Auth-Token
Ein Auth-Token ist eine Zeichenkette, die ein Programm als Nachweis vorzeigt, dass es sich vorher erfolgreich angemeldet hat. Statt bei jeder Anfrage erneut Passwort oder Schlüssel zu senden, schickt man dieses befristete Stück Text mit.
Wenn du dich bei einem Dienst im Internet anmeldest, prüft der Server einmal, ob dein Passwort stimmt. Danach schickt er dir eine lange, zufällig aussehende Zeichenkette zurück. Diese Zeichenkette ist der Auth-Token. Bei jeder weiteren Anfrage legst du ihn bei, und der Server weiß daran, wer du bist. Ein Vergleich hilft: Am Eingang eines Festivals zeigst du einmal deinen Ausweis und bekommst ein Bändchen ums Handgelenk. Danach reicht das Bändchen, dein Ausweis bleibt in der Tasche.
Warum Passwörter nicht ständig durchs Netz sollen
Ein Passwort ist dauerhaft gültig und oft für mehrere Dienste dasselbe. Wer es abfängt, hat unbegrenzten Zugriff auf dein Konto. Ein Auth-Token dagegen läuft nach kurzer Zeit ab, manchmal schon nach einer Stunde. Selbst wenn ihn jemand stiehlt, ist der Schaden zeitlich begrenzt. Außerdem kann der Betreiber einen einzelnen Token für ungültig erklären, ohne dass du dein Passwort ändern musst.
Ein Token kann außerdem eingeschränkte Rechte tragen. Wenn eine Foto-App auf deine Cloud zugreifen will, bekommt sie einen Token nur für Bilder. Deine E-Mails bleiben für sie unsichtbar. Diese feine Abstufung wäre mit einem Passwort unmöglich, denn ein Passwort öffnet immer alles.
Für Unternehmen ist das auch eine Kostenfrage. In der Welt der KI-Dienste zahlt jede Firma pro Anfrage an ein Modell. Wer einen fremden Token in die Hände bekommt, kann auf Rechnung des Besitzers rechnen lassen. Versehentlich veröffentlichte Tokens auf Plattformen wie GitHub sind deshalb ein regelmäßig gemeldeter Sicherheitsvorfall.
Was in so einer Zeichenkette steckt
Es gibt zwei Grundformen. Die erste ist ein reiner Zufallswert ohne Bedeutung. Der Server führt eine Liste und schlägt bei jeder Anfrage nach, zu wem der Wert gehört. Das ist einfach, erzeugt aber bei jedem Aufruf eine Datenbankabfrage.
Die zweite Form heißt JSON Web Token, kurz JWT. Hier steht die Information direkt im Token: Nutzerkennung, Ablaufzeit, erlaubte Aktionen. Damit niemand diese Angaben verändert, hängt eine kryptografische Signatur daran. Das ist ein Prüfwert, den nur der Server mit seinem geheimen Schlüssel erzeugen kann. Ändert jemand auch nur ein Zeichen, passt die Signatur nicht mehr und der Token wird abgelehnt.
Wichtig ist ein häufiger Irrtum: Ein signierter Token ist nicht verschlüsselt. Der Inhalt lässt sich von jedem lesen, der ihn abfängt. Die Signatur schützt nur vor Fälschung, nicht vor Neugier. Deshalb gehören Passwörter oder persönliche Daten niemals in einen Token hinein.
Vom Handy-Login bis zur KI-Schnittstelle
Du benutzt Auth-Tokens täglich, ohne sie zu sehen. Jede App, bei der du dich nur einmal anmeldest und danach wochenlang eingeloggt bleibst, speichert im Hintergrund einen solchen Token. Auch der Knopf « Mit Google anmelden » funktioniert so: Google prüft dich und stellt der fremden Seite einen Token aus.
In der Programmierung begegnet der Begriff besonders oft bei Schnittstellen, also den Zugängen, über die Programme miteinander sprechen. Wer ein KI-Modell von OpenAI oder Anthropic in eigene Software einbaut, bekommt dafür einen Schlüssel oder Token. Er wird bei jeder Anfrage mitgeschickt und entscheidet über Zugriff und Abrechnung.
Achtung bei einer Verwechslung: In Texten über Sprachmodelle bedeutet « Token » etwas völlig anderes, nämlich ein Wortstück, das ein Modell verarbeitet. Nur der Zusatz « Auth » macht klar, dass es um den Zugangsnachweis geht. In News-Artikeln taucht der Begriff meist dann auf, wenn Tokens durch einen Fehler öffentlich wurden.
