OAuth-Scope

Viele Programme wollen auf Daten zugreifen, die bei einem anderen Dienst liegen. Eine Terminplaner-App möchte zum Beispiel deinen Google-Kalender lesen. Dafür gibst du der App nicht dein Passwort, sondern erlaubst den Zugriff über ein Anmeldeverfahren namens OAuth. Bei diesem Verfahren wird genau festgehalten, welche Handlungen erlaubt sind: Kalender lesen ja, E-Mails löschen nein. Genau diese einzelnen Erlaubnisse heißen Scopes. Ein Scope ist also eine kurze, technische Bezeichnung für eine bestimmte Befugnis, die du einer fremden App erteilst.

Warum ein Kalender-Tool nicht dein Postfach lesen sollte

Ohne Scopes gäbe es nur zwei Zustände: kein Zugriff oder voller Zugriff. Das wäre so, als würdest du einem Handwerker nicht den Schlüssel zum Keller geben, sondern den Generalschlüssel für das ganze Haus. Scopes machen daraus eine Abstufung. Die App bekommt nur den Schlüssel für den Raum, in dem sie arbeiten muss.

Das begrenzt vor allem den Schaden, wenn etwas schiefgeht. Wird der Anbieter der App gehackt, können Angreifer nur das tun, was der Scope erlaubt. Ein Zugriff, der ausschließlich Kalendereinträge lesen darf, ist für Kriminelle deutlich weniger wert als einer, der Mails verschicken kann. Fachleute nennen dieses Prinzip Least Privilege: so wenig Rechte wie möglich, so viele wie nötig.

Für dich als Nutzer sind Scopes außerdem die einzige ehrliche Information darüber, was eine App wirklich vorhat. Wenn ein simples Spiel die Erlaubnis verlangt, deine Kontakte zu ändern, passt das nicht zusammen. Genau deshalb lohnt es sich, den Zustimmungsbildschirm zu lesen, statt ihn wegzuklicken.

Von der Anfrage bis zum Zugriffstoken

Der Ablauf beginnt bei der App. Sie schickt dich zum Anbieter, etwa zu Google oder GitHub, und gibt dabei eine Liste der gewünschten Scopes mit. Diese Liste besteht aus festen Textbausteinen, die der Anbieter definiert hat. Typische Beispiele sind « repo » für Zugriff auf Code-Projekte oder « calendar.readonly » für reines Lesen des Kalenders.

Der Anbieter zeigt dir dann einen Bildschirm mit der Frage, ob du zustimmst. Sagst du ja, stellt er der App ein sogenanntes Zugriffstoken aus. Das ist eine lange, zufällige Zeichenkette, die wie ein befristeter Ausweis funktioniert. In diesem Ausweis stehen die genehmigten Scopes fest vermerkt.

Ab jetzt prüft der Server bei jeder einzelnen Anfrage, ob der passende Scope im Token steht. Versucht die App etwas, wofür sie keine Erlaubnis hat, kommt eine Fehlermeldung statt der Daten. Wichtig ist die Abgrenzung zur Authentifizierung: Die klärt, wer du bist. Der Scope klärt, was danach erlaubt ist. Beides zusammen ergibt erst eine sinnvolle Zugriffskontrolle.

Scopes im Anmeldefenster und in Sicherheitsmeldungen

Du siehst Scopes häufiger, als du denkst. Jedes Fenster mit der Überschrift « Diese App möchte Zugriff auf … » ist eine Auflistung von Scopes in verständlicher Sprache. Die Punkte darunter, etwa « Deine E-Mail-Adresse sehen » oder « Dateien in deinem Drive verwalten », sind übersetzte Scope-Namen. In den Kontoeinstellungen kannst du diese Freigaben meist auch wieder entziehen.

In Tech-News tauchen Scopes vor allem bei Sicherheitsvorfällen auf. Immer wieder werden Zugriffstokens von Entwicklerdiensten gestohlen. Die entscheidende Frage lautet dann: Welche Scopes hatten diese Tokens? Waren es nur Leserechte, ist der Schaden begrenzt. Erlaubten sie Schreibzugriff auf Programmcode, kann Schadsoftware in Projekte eingeschleust werden.

Auch bei KI-Anwendungen wird das Thema gerade wichtig. Assistenten sollen Mails beantworten, Termine buchen oder Dokumente bearbeiten. Dafür brauchen sie Scopes mit echten Schreibrechten. Ein häufiger Irrtum ist, dass ein einmal erteilter Scope harmlos bleibt, weil man die App kaum noch nutzt. Tatsächlich gilt die Erlaubnis weiter, bis du sie aktiv widerrufst.