Token-Refresh

Wenn du dich bei einem Onlinedienst anmeldest, prüft der Dienst einmal dein Passwort. Danach bekommt deine App eine lange, zufällige Zeichenfolge zurück. Diese Zeichenfolge nennt man Token, und sie funktioniert wie ein Eintrittsband auf einem Festival: Wer es vorzeigt, darf rein, ohne noch einmal den Ausweis zu zeigen. Solche Eintrittsbänder gelten aus Sicherheitsgründen aber nur kurz, oft nur wenige Minuten oder Stunden. Token-Refresh ist der Vorgang, bei dem die App im Hintergrund ein frisches Band abholt, bevor oder nachdem das alte abgelaufen ist. Für dich ist davon nichts zu sehen: Du bleibst einfach eingeloggt.

Kurze Gültigkeit als Sicherheitsnetz

Tokens sind ein beliebtes Ziel für Angriffe. Wer ein gültiges Token stiehlt, kann sich damit als du ausgeben, ganz ohne dein Passwort zu kennen. Genau deshalb lässt man Tokens absichtlich schnell verfallen. Ein gestohlenes Token ist dann nach kurzer Zeit wertlos, und der Schaden bleibt begrenzt.

Ohne Refresh wäre diese kurze Gültigkeit allerdings unerträglich. Du müsstest dich alle fünfzehn Minuten neu anmelden, in jeder App einzeln. Der Refresh löst diesen Zielkonflikt: Sicherheit durch kurze Laufzeiten, Bequemlichkeit durch automatische Erneuerung. Das ist der Grund, warum du dich bei deinem E-Mail-Programm monatelang nicht anmelden musst, obwohl im Hintergrund ständig neue Tokens fließen.

Ein zweiter Vorteil ist die Kontrolle. Der Betreiber kann die Erneuerung jederzeit verweigern, etwa wenn ein Gerät als gestohlen gemeldet wurde. Beim nächsten Refresh-Versuch fliegt das Gerät heraus. Genau das passiert, wenn du in den Kontoeinstellungen auf « Von allen Geräten abmelden » klickst.

Zwei Tokens mit verschiedenen Aufgaben

Beim Anmelden bekommt die App in der Regel nicht ein, sondern zwei Tokens. Das erste heißt Access-Token und wird bei jeder einzelnen Anfrage mitgeschickt, etwa beim Laden deiner Nachrichten. Es ist kurzlebig, oft nur fünf bis sechzig Minuten gültig. Das zweite heißt Refresh-Token und hat einen einzigen Zweck: neue Access-Tokens zu besorgen.

Der Ablauf ist immer gleich. Die App merkt, dass das Access-Token abgelaufen ist, oder der Server antwortet mit einer Fehlermeldung. Daraufhin schickt die App das Refresh-Token an eine spezielle Adresse des Anmeldedienstes. Der prüft es und schickt ein frisches Access-Token zurück. Die ursprüngliche Anfrage wird dann still wiederholt, und du merkst nichts davon.

Weil das Refresh-Token deutlich länger gültig ist, wird es besonders geschützt. Es wird nie an normale Server geschickt, sondern nur an den Anmeldedienst. Viele Systeme arbeiten zusätzlich mit Rotation: Bei jedem Refresh wird das alte Refresh-Token ungültig und durch ein neues ersetzt. Taucht ein bereits verbrauchtes Refresh-Token noch einmal auf, ist das ein starkes Zeichen für Diebstahl, und der Dienst wirft vorsichtshalber alle Sitzungen dieses Nutzers hinaus.

Wo im Alltag ständig Tokens erneuert werden

Am sichtbarsten wird der Mechanismus, wenn er scheitert. Wenn eine App dich plötzlich zur erneuten Anmeldung auffordert, obwohl du nichts geändert hast, ist meist ein Refresh fehlgeschlagen. Auch die Meldung « Sitzung abgelaufen » beim Onlinebanking gehört hierher. Banken setzen absichtlich sehr kurze Laufzeiten und verzichten oft ganz auf einen langen Refresh.

Im KI-Umfeld begegnet dir der Begriff vor allem bei Schnittstellen. Wer ein Sprachmodell über eine Programmierschnittstelle anspricht, muss sich bei jeder Anfrage ausweisen. Manche Anbieter arbeiten dafür mit einem festen API-Schlüssel, andere mit kurzlebigen Tokens plus Refresh. Bei Unternehmenskunden ist der zweite Weg üblich, weil sich Zugriffe damit feiner steuern und schneller entziehen lassen.

Ein häufiger Irrtum ist, Token-Refresh mit dem Aktualisieren einer Webseite zu verwechseln. Beides heißt umgangssprachlich Refresh, hat aber nichts miteinander zu tun. Ebenso wenig hat der Begriff mit den Tokens zu tun, in die ein Sprachmodell Texte zerlegt. Dasselbe Wort, zwei völlig verschiedene Bedeutungen, die man im Kontext aber leicht auseinanderhält.