OpenID Connect

OpenID Connect ist ein festgelegtes Verfahren für das Anmelden im Internet. Es regelt, wie eine Webseite sicher erfährt, wer gerade vor dem Bildschirm sitzt. Dabei fragt die Webseite nicht selbst nach einem Passwort. Stattdessen schickt sie den Nutzer zu einem anderen Anbieter, bei dem dieser bereits ein Konto hat, zum Beispiel Google, Microsoft oder Apple. Dieser Anbieter prüft die Identität und meldet der Webseite anschließend zurück: Diese Person ist echt, und so heißt sie. Weil sich alle Beteiligten an dieselben Regeln halten, funktioniert das über Firmengrenzen hinweg. Die Abkürzung OIDC steht genau für dieses Regelwerk.

Warum niemand mehr fünfzig Passwörter verwalten will

Früher legte jede Webseite ihr eigenes Konto mit eigenem Passwort an. Das führte zu zwei Problemen. Erstens benutzten viele Menschen überall dasselbe Passwort. Wurde eine einzige Seite gehackt, standen alle anderen Konten offen. Zweitens musste jede noch so kleine Webseite Passwörter sicher speichern, und viele konnten das schlicht nicht.

OIDC verschiebt diese Verantwortung dorthin, wo sie besser aufgehoben ist. Nur noch ein einziger großer Anbieter kennt das Passwort und schützt es mit viel Aufwand. Die Webseite selbst speichert gar kein Passwort mehr und kann folglich auch keines verlieren. Zusätzlich lässt sich beim Anbieter eine Zwei-Faktor-Anmeldung einschalten, also eine zweite Bestätigung per Handy oder Sicherheitsschlüssel. Diese Absicherung wirkt dann sofort für alle Dienste, die man über dieses Konto nutzt.

Für Firmen ist noch ein anderer Punkt entscheidend. Verlässt eine Mitarbeiterin das Unternehmen, wird ihr zentrales Konto gesperrt. Damit ist der Zugang zu allen angebundenen Programmen in einem Schritt weg. Ohne ein solches Verfahren müsste jemand Dutzende Einzelkonten von Hand abschalten und würde dabei fast sicher eines übersehen.

Der Ausweis, den der Anmeldedienst ausstellt

Der Ablauf folgt immer demselben Muster. Man klickt auf den Anmeldeknopf und landet auf der Seite des Anbieters. Dort gibt man seine Zugangsdaten ein, die die ursprüngliche Webseite nie zu Gesicht bekommt. Danach wird man zurückgeleitet, und im Gepäck liegt ein sogenanntes ID-Token.

Dieses ID-Token ist eine kleine Datei mit Angaben zur Person: eine eindeutige Nummer, oft der Name und die E-Mail-Adresse, dazu Ausstellungszeit und Ablaufdatum. Man kann es sich wie einen Ausweis vorstellen, den der Anbieter frisch ausdruckt. Entscheidend ist die digitale Signatur darauf. Sie ist eine mathematische Unterschrift, die sich prüfen, aber nicht fälschen lässt. Die Webseite rechnet diese Signatur nach und weiß dann, dass das Token wirklich vom Anbieter stammt.

Technisch baut OIDC auf einem älteren Verfahren namens OAuth 2.0 auf. Das ist eine wichtige Abgrenzung, die oft verwechselt wird. OAuth regelt Berechtigungen, also die Frage: Darf diese App auf meinen Kalender zugreifen? OIDC ergänzt die Frage nach der Identität: Wer bist du überhaupt? Deshalb sagt man, OIDC sei eine Identitätsschicht auf OAuth. Ein Token läuft übrigens meist nach Minuten oder Stunden ab, damit ein gestohlener Ausweis schnell wertlos wird.

Vom Login-Knopf bis zum Firmennetz

Am sichtbarsten ist OIDC bei jedem Knopf mit der Aufschrift “Mit Google fortfahren” oder “Mit Apple anmelden”. Auch Anmeldungen über Microsoft-, GitHub- oder Discord-Konten laufen fast immer darüber. Wer ein Onlinespiel, eine Lern-App oder ein Forum ohne neue Registrierung nutzt, hat das Verfahren bereits benutzt, ohne den Namen zu kennen.

In Unternehmen und Schulen steckt es hinter dem Single Sign-on, also der einmaligen Anmeldung für viele Programme. Man meldet sich morgens einmal an und kommt danach ohne weitere Eingabe in E-Mail, Cloudspeicher und Lernplattform. Anbieter wie Microsoft Entra ID, Okta oder Keycloak sind auf diese Rolle spezialisiert.

In Tech-News taucht der Begriff meist in zwei Zusammenhängen auf. Entweder geht es um eine Sicherheitslücke, bei der Angreifer gültige Token erbeutet haben, oder um Firmenübernahmen im Markt für Identitätsdienste. Auch bei KI-Werkzeugen wird OIDC wichtiger, weil ein Assistent im Namen eines Nutzers auf dessen Daten zugreifen soll. Dann muss sauber geklärt sein, wer der Nutzer ist und was das Programm für ihn tun darf.