OAuth-Anwendung
Eine OAuth-Anwendung ist ein Programm, das im Auftrag eines Nutzers auf Daten bei einem anderen Dienst zugreift – ohne dass der Nutzer dafür sein Passwort herausgeben muss. Das Verfahren dahinter, OAuth, ist heute der weltweite Standard für sichere Zugriffsrechte zwischen Apps und Plattformen.
Stell dir vor, du möchtest einer App erlauben, deine Spotify-Playlists zu lesen – aber du willst ihr dein Spotify-Passwort nicht geben. OAuth (kurz für « Open Authorization ») löst genau dieses Problem. Es ist ein Verfahren, mit dem ein Nutzer einer fremden Anwendung Zugriff auf seine Daten bei einem anderen Dienst genehmigt. Die Anwendung, die diesen Zugriff beantragt, heißt OAuth-Anwendung. Sie bekommt dafür einen zeitlich begrenzten Schlüssel, ein sogenanntes Zugriffstoken, und nie das eigentliche Passwort. Das schützt den Nutzer: Selbst wenn die OAuth-Anwendung kompromittiert wird, bleibt das Konto beim eigentlichen Dienst sicher.
Zugriffsrechte ohne Passwort weitergeben
Vor OAuth war die Lage gefährlich. Wollte eine App auf fremde Daten zugreifen, fragte sie schlicht nach dem Passwort. Nutzer gaben es weiter – und verloren damit jede Kontrolle. Die Drittanbieter-App konnte alles tun, was auch der Nutzer selbst tun könnte: Daten lesen, ändern, löschen.
OAuth trennt Identität und Berechtigung sauber. Der Nutzer bleibt im Besitz seines Passworts. Die OAuth-Anwendung bekommt nur das, was explizit genehmigt wurde – und auch das nur für eine bestimmte Zeit. Viele Dienste erlauben zudem, einzelne Zugriffstoken nachträglich zu widerrufen. Das bedeutet: Wer einer App misstraut, kann ihr den Schlüssel entziehen, ohne das eigene Passwort ändern zu müssen.
Besonders wichtig ist das für Entwicklerinnen und Entwickler. Wer eine eigene Anwendung baut, die auf Nutzerdaten zugreift, muss diese Daten verantwortungsvoll behandeln. OAuth macht das technisch erzwingbar: Der Dienst, der die Daten hält, entscheidet selbst, welche Zugriffsarten er für OAuth-Anwendungen überhaupt erlaubt.
Der Ablauf hinter dem « Mit Google anmelden »-Button
Eine OAuth-Anwendung startet den Prozess, indem sie den Nutzer auf die Anmeldeseite des Dienstes weiterleitet – etwa zu Google oder GitHub. Dort meldet sich der Nutzer mit seinen eigenen Zugangsdaten an. Der Dienst zeigt dann genau an, welche Rechte die Anwendung haben möchte: zum Beispiel « E-Mail-Adresse lesen » oder « Kalendereinträge schreiben ».
Stimmt der Nutzer zu, schickt der Dienst einen kurzlebigen Code an die OAuth-Anwendung. Diese tauscht ihn im Hintergrund gegen ein Zugriffstoken ein. Ab diesem Moment kann die Anwendung im Rahmen der genehmigten Rechte auf die Daten zugreifen – ohne jemals das Passwort gesehen zu haben. Das Token läuft nach einer festgelegten Zeit ab oder kann manuell entzogen werden.
Ein häufiger Irrtum: OAuth ist kein Verfahren zur Anmeldung, sondern zur Zugriffsgenehmigung. Wenn du dich mit « Mit Google anmelden » bei einer fremden Website einloggst, nutzt diese Website OAuth, um zu beweisen, dass du ein gültiges Google-Konto besitzt. Der eigentliche Login-Teil wird dabei durch eine Erweiterung namens OpenID Connect geregelt, die auf OAuth aufbaut. Beide Begriffe werden im Alltag oft vermischt.
OAuth-Anwendungen in Produkten, News und Entwickleralltag
Jedes Mal, wenn eine App fragt « Darf diese Anwendung auf dein Konto zugreifen? », steckt sehr wahrscheinlich OAuth dahinter. Das gilt für Social-Media-Dashboards wie Buffer, die im Namen des Nutzers auf Twitter oder Instagram posten. Es gilt für Code-Tools wie GitHub Actions, die auf Repositories zugreifen. Und es gilt für KI-Assistenten, die auf Google Drive oder Outlook zugreifen, um Dokumente zusammenzufassen.
In der Finanzwelt taucht OAuth im Zusammenhang mit Open Banking auf. Dabei genehmigen Nutzer einer Finanz-App, ihre Kontodaten direkt bei der Bank abzurufen – über standardisierte Schnittstellen, die auf OAuth basieren. Die App sieht den Kontostand, aber nie die Bankzugangsdaten selbst.
In Tech-News erscheint der Begriff oft im Zusammenhang mit Sicherheitsvorfällen. Wenn Angreifer eine OAuth-Anwendung mit weit gefassten Rechten registrieren und Nutzer dazu bringen, ihr zuzustimmen, können sie dauerhaften Zugriff auf Konten erhalten – ganz ohne Phishing-Passwort. Große Plattformen wie Microsoft und Google haben deshalb begonnen, die Genehmigung von OAuth-Anwendungen durch Unternehmensadministratoren zu erzwingen, bevor Mitarbeitende sie nutzen dürfen.
