Cyberpediavon Brain
DEENFR

JSON Web Token (JWT)

Ein JWT ist der Nachweis, den eine Anwendung nach Ihrer Anmeldung ausstellt. Was die Signatur prüft, welche Fallstricke es gibt und was zu tun ist.

In 30 Sekunden

Wo es vorkommt
Bei der Microsoft-Identitätsplattform, die Benutzer authentifiziert und Zugriffs-, Aktualisierungs- und Identitätstoken bereitstellt1.
Was der Angreifer will
Ein gültiges Token stehlen, um mit den Rechten seines Inhabers zu handeln, ohne das Passwort zu kennen2.
Der Reflex
Ein Token oder eine Adresse, die eines enthält, niemals versenden oder veröffentlichen, sich nach der Nutzung abmelden und jedes ungewöhnliche Verhalten melden.
Wenn es schon passiert ist
Abmelden und dann die IT-Abteilung informieren. OWASP weist darauf hin, dass das Löschen eines Cookies nicht genügt: „deleting a cookie alone does not invalidate a stolen copy of the session ID“, und die Ungültigmachung auf der Serverseite ist nötig6.

Worum es geht

Nach Ihrer Anmeldung an einer Unternehmensanwendung stellt diese Ihnen einen digitalen Nachweis aus, den Ihr Browser oder Ihre Anwendung danach bei jeder Anfrage vorlegt. Bei Microsoft hat dieser Nachweis die Form eines JSON Web Tokens, kurz JWT, das „Claims“ enthält, also Aussagen über den Benutzer oder die Anwendung1.

Ein JWT lässt sich dekodieren, zum Beispiel mit der Website jwt.ms, und seine Signatur dient dazu, die Echtheit des Tokens zu prüfen3. Dieser Beitrag beschreibt, was Beschäftigte tun, und was Verantwortliche tun.

Direkte Fragen

Was ist ein JWT?

Ein JWT besteht aus drei durch einen Punkt getrennten Segmenten: dem Header, dem Body und der Signatur3. Der Body enthält die Claims. Die Signatur dient dazu, die Echtheit des Tokens zu beurteilen3.

Verhindert die Signatur, dass man das Token lesen kann?

Die Signatur dient dazu, die Echtheit des Tokens zu prüfen. Microsoft gibt an, dass Entwickler ein JWT mit einer Website wie jwt.ms dekodieren können, zur Validierung und zur Fehlersuche3. Das Token ist sensibel und stellt ein Sicherheitsrisiko dar, wenn es falsch gehandhabt wird3.

Kann man mit einem gestohlenen Token wirklich an meiner Stelle handeln?

Ja. MITRE beschreibt Angreifer, die gestohlene Zugriffstoken verwenden, um den üblichen Authentifizierungsprozess zu umgehen und auf Konten, Informationen oder Dienste zuzugreifen. Diese Token werden anstelle der Anmeldedaten verwendet2.

Bleibt ein gestohlenes Token lange gültig?

Das hängt von seiner Lebensdauer ab. Bei Microsoft-Zugriffstoken liegt die Standarddauer bei einem Zufallswert zwischen 60 und 90 Minuten, im Mittel 75 Minuten3. Mandanten ohne bedingten Zugriff haben für Clients wie Microsoft Teams und Microsoft 365 eine Standarddauer von zwei Stunden3. MITRE weist jedoch darauf hin, dass der Angreifer manchmal auch ein Aktualisierungstoken stehlen kann, mit dem er neue Zugriffstoken erhält, ohne den Benutzer einzubeziehen4.

1Wie es funktioniert1 min

Der Autorisierungsserver signiert das Token mit einem privaten Schlüssel und veröffentlicht den passenden öffentlichen Schlüssel. Um ein Token zu validieren, prüft die Anwendung die Signatur mit diesem öffentlichen Schlüssel1. Der Header des JWT nennt den Signaturalgorithmus (Claim alg) und den zu verwendenden öffentlichen Schlüssel (Claim kid)3. Microsoft Entra ID stellt Token aus, die mit standardmäßigen asymmetrischen Algorithmen wie RS256 signiert sind3.

Das Zugriffstoken wird an eine API als „Bearer“-Token im Authorization-Header übergeben1. Weil Token nur für begrenzte Zeit gültig sind, liefert der Server oft ein Paar: ein Zugriffstoken und ein Aktualisierungstoken, das dazu dient, das erste zu erneuern, wenn es sich dem Ablauf nähert1. Das Aktualisierungstoken liefert nur dann ein neues Zugriffstoken, wenn der Benutzer weiterhin autorisiert ist1.

Bei OpenID Connect ist das ID Token ein signiertes JWT, mit dem eine Anwendung die Identität des Benutzers überprüfen kann5.

2Was Sie tun2 min

Als Beschäftigte oder Beschäftigter:

  • Senden Sie niemals ein Token oder eine Webadresse, die eines enthält, in einer Nachricht, einem Ticket oder einem Forum. Sitzungskennungen in einer Adresse können in Links, Protokollen, im Browserverlauf, in Lesezeichen, im Referer-Header oder in Suchmaschinen landen6.
  • Melden Sie sich ab, wenn Sie fertig sind. Eine Anwendung muss eine sichtbare und zugängliche Abmeldeschaltfläche bieten, damit der Benutzer seine Sitzung jederzeit beenden kann6.
  • Verlassen Sie sich nicht darauf, den Browser zu schließen: Das erzwingt eine Abmeldung nicht zuverlässig, insbesondere auf Mobilgeräten6.
  • Melden Sie ungewöhnliches Verhalten (unerwartete Abmeldungen, Aktionen, die Sie nicht ausgeführt haben, die Aufforderung, eine unbekannte Anwendung zu autorisieren). MITRE beschreibt Angreifer, die einer bösartigen Anwendung Zugriff verschaffen lassen, indem sie einen gezielten Phishing-Link versenden4.

Als Verantwortlicher, von Teams und Lieferanten einzufordern:

  • Die Validierung der Signatur und des Ausstellers durch die Anwendung, die das Token empfängt, mit den Werten aus dem OpenID-Discovery-Dokument3.
  • Die Prüfung der Zielgruppe (Audience): Eine API darf nur Token akzeptieren, deren Claim aud zu ihr passt. Ein für eine andere Ressource bestimmtes Token zu akzeptieren, ist ein Beispiel für das „Confused-Deputy“-Problem3.
  • Bewährte Bibliotheken statt selbst geschriebenem Code. Microsoft empfiehlt seine MSAL-Bibliotheken, die das Beschaffen, Aktualisieren und Validieren von Token übernehmen1.
  • Begrenzte Sitzungsdauern. OWASP nennt als übliche Bereiche für das Inaktivitäts-Timeout 2 bis 5 Minuten für Anwendungen mit hohem Wert und 15 bis 30 Minuten für solche mit geringem Risiko und verlangt außerdem ein absolutes Timeout unabhängig von der Aktivität6.
  • Eine sorgfältige Speicherung im Browser (siehe nächsten Abschnitt).
3Die Fallstricke2 min

MITRE gibt an, dass gestohlene Token „used in lieu of login credentials“ werden, also anstelle der Anmeldedaten2. MITRE weist darauf hin, dass Sitzungscookies bestimmte Protokolle der Multi-Faktor-Authentifizierung umgehen können7.

In den Quellen kehren mehrere Implementierungsfehler wieder.

  • Die Speicherung im Browser. OWASP rät davon ab, Authentifizierungstoken, Sitzungskennungen, JWT oder Aktualisierungstoken in localStorage oder sessionStorage zu speichern: Diese Speicherbereiche sind für jedes JavaScript zugänglich, das im selben Origin läuft, sodass schon eine einzige XSS-Schwachstelle alle Token preisgibt6. OWASP bevorzugt Cookies mit HttpOnly, Secure und SameSite=Strict oder ein Modell vom Typ Backend-for-Frontend6.
  • Das Token in der Adresse. Eine über die URL übergebene Kennung kann abfließen und weitere Angriffe wie die Session Fixation erleichtern6.
  • Eine Validierung an der falschen Stelle. Laut Microsoft darf ein Client nicht versuchen, ein Zugriffstoken zu validieren: Das ist Aufgabe der API, und der Client behandelt es als undurchsichtige Zeichenfolge3.
  • Das Vertrauen in den Inhalt, ohne die Signatur zu prüfen. Eine Anwendung, die ein Token validieren muss, prüft zuerst die Signatur und den Aussteller3.
  • Aus der Infrastruktur entwendete Token. In Kubernetes-Umgebungen oder in Pipelines für kontinuierliche Integration und Bereitstellung können API-Token gestohlen werden, wenn der Container oder die Pipeline kompromittiert ist4.
  • Der Diebstahl von Sitzungen durch ein bösartiges Skript oder einen Phishing-Proxy. MITRE nennt Schadsoftware, die auf Browser-Cookies abzielt, und freie Werkzeuge wie Evilginx2 und Muraena, die Cookies über einen bösartigen Proxy abgreifen7.

Die hier zitierten Quellen beschreiben andere häufig genannte Konstruktionsfehler nicht im Einzelnen, etwa den Algorithmus „none“, die Verwechslung von Schlüsseln oder schwache Geheimnisse. Dieser Punkt sollte von den Entwicklungsteams anhand ihrer eigenen Referenzdokumente überprüft werden.

Merkblatt

Kennung
CP-195
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Zugriffe kontrollieren (control_access)
Brain-Reflex
cr-027
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
7 Quellen geprüft am 3. November 2026
Quellen7 Quellen
  1. Microsoft, „Tokens and claims overview - Microsoft identity platform“, 21. März 2025. https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1550/001/ (abgerufen am 3. November 2026)
  3. Microsoft, „Access tokens in the Microsoft identity platform - Microsoft identity platform“, 14. Mai 2025. https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1528/ (abgerufen am 3. November 2026)
  5. OWASP, „Authentication - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (abgerufen am 3. November 2026)
  6. OWASP, „Session Management - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Steal Web Session Cookie, Technique T1539 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1539/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „JSON Web Token (JWT)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/jwt-json-web-token-signatur-fallstricke/

BibTeX 
@misc{brain_cp195_de_2026,
  author = {Brain},
  title = {JSON Web Token (JWT)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/jwt-json-web-token-signatur-fallstricke/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0