--- id: CP-194 slug: oauth-2-delegierter-zugriff-token lang: de title: OAuth 2.0 und Zugriffstoken description: Wie OAuth 2.0 einer Anwendung begrenzten Zugriff auf Ihr Konto ohne Ihr Passwort gibt und wie Sie den Zustimmungsbildschirm lesen. canonical_url: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ markdown_url: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „OAuth 2.0 und Zugriffstoken“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-026 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ fr: https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ en: https://startbrain.io/cyberpedia/en/articles/oauth-2-delegated-access-tokens/ es: https://startbrain.io/cyberpedia/es/articles/oauth-2-delegacion-acceso-tokens/ sources: - "n": 1 title: Investigate and remediate risky OAuth apps publisher: Microsoft url: https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth accessed: "2026-11-03" - "n": 2 title: Steal Application Access Token, Technique T1528 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 3 title: Access tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens accessed: "2026-11-03" - "n": 4 title: Refresh tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens accessed: "2026-11-03" - "n": 5 title: "Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/001/ accessed: "2026-11-03" - "n": 6 title: OAuth2 - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html accessed: "2026-11-03" --- # OAuth 2.0 und Zugriffstoken OAuth ist ein offener, tokenbasierter Standard für Authentifizierung und Autorisierung. Er erlaubt es einem Drittdienst, Informationen eines Kontos zu nutzen, ohne dass das Passwort des Kontoinhabers preisgegeben wird [1]. Nehmen wir eine Anwendung, die Ihren Kalender auswertet, um Ihnen Tipps zur Organisation zu geben. Sie braucht Zugriff auf den Kalender, erhält aber nicht Ihre Zugangsdaten, sondern ein Token, das entsteht, wenn Sie auf einer eigenen Seite Ihre Zustimmung geben [1]. Diese Seite heißt Zustimmungsbildschirm. ## In 30 Sekunden - Wo es vorkommt: Viele Drittanwendungen, die Nutzer installieren, bitten um die Erlaubnis, auf deren Daten zuzugreifen und sich in ihrem Namen bei anderen Online-Anwendungen anzumelden [1]. - Was der Angreifer will: Sie dazu bringen, einer bösartigen Anwendung Zugriff zu gewähren, zum Beispiel nach einem Link aus gezieltem Phishing [2]. - Der Reflex: Prüfen Sie vor dem Klick auf „Akzeptieren“, ob die angeforderten Berechtigungen zum Zweck der Anwendung passen, und lehnen Sie andernfalls ab [1]. - Wenn es schon passiert ist: Ein Administrator kann die Anwendung sperren oder widerrufen [1]. ## Direkte Fragen ### Was passiert, wenn ich einen Zustimmungsbildschirm akzeptiere? Die Anwendung erhält ein Zugriffstoken, das die Weitergabe bestimmter Kontoinformationen erlaubt, und nur dieser [1]. Das Passwort bleibt beim Anbieter des Kontos. ### Was ist ein Zugriffstoken? Es ist ein Nachweis für die Autorisierung: Er gibt im Namen eines bereits authentifizierten Nutzers Zugriff auf bestimmte Ressourcen. Microsoft vergleicht es mit Schlüsseln, die in einem Gebäude bestimmte Türen öffnen [3]. Weil es Zugriff eröffnet, ist es sensibel und birgt ein Risiko, wenn es schlecht geschützt ist [3]. Seine Lebensdauer ist begrenzt. Auf der Microsoft-Identitätsplattform wird der Standardwert zufällig zwischen 60 und 90 Minuten festgelegt, im Mittel also 75 Minuten [3]. ### Was ist ein Refresh-Token? Ein Refresh-Token dient dazu, ein neues Tokenpaar zu erhalten, wenn das Zugriffstoken abläuft. Der Client erhält es gleichzeitig mit dem Zugriffstoken [4]. Es lebt länger: Auf der Microsoft-Plattform gelten standardmäßig 24 Stunden für Single-Page-Anwendungen und für Anwendungen, die den Authentifizierungsablauf mit einmaligem, per E-Mail gesendetem Code nutzen, und 90 Tage in allen anderen Szenarien [4]. So kann die Anwendung im Hintergrund weiterarbeiten, ohne bei jedem Ablauf erneut Ihre Zustimmung zu erfragen. ### Warum interessieren sich Angreifer für diese Token? Ein gestohlenes Token erlaubt es, mit den Rechten des Kontos zu handeln. MITRE ATT&CK beschreibt Angreifer, die gestohlene Token anstelle von Anmeldedaten verwenden [5]. Das Refresh-Token verschärft das Risiko: Wird es gestohlen, erhält der Angreifer neue Zugriffstoken, ohne den Nutzer zu behelligen [2]. ### Kann man den Zugriff einer Anwendung entziehen? Ja. Auf der Verwaltungsseite lässt sich eine Anwendung über die Seite der OAuth-Apps sperren oder widerrufen, und eine Richtlinie kann den Widerruf automatisieren [1]. Auf der Token-Seite kann der Dienst ein Refresh-Token vor seinem Ablauf widerrufen, zum Beispiel nach einer Passwortänderung oder einer Aktion des Nutzers oder des Administrators [4]. Die Auswirkungen hängen von der Art des Tokens und der vorgenommenen Änderung ab [4]. ## So funktioniert es Drei Akteure sind beteiligt. Der Client ist die Anwendung, die den Zugriff anfragt. Der Autorisierungsserver stellt die Token aus, nachdem er den Eigentümer der Daten authentifiziert und dessen Zustimmung eingeholt hat. Der Ressourcenserver hostet die Daten und akzeptiert Anfragen, die ein Token mitbringen [6]. Das Zugriffstoken ersetzt die verschiedenen Nachweise (zum Beispiel Benutzername und Passwort) durch ein einziges Element, das der Ressourcenserver versteht. Deshalb kann es eine kurze Lebensdauer haben [6]. Mit dem Refresh-Token lässt sich ein neues beschaffen, mit gleichen oder engeren Rechten: Ein Zugriffstoken kann eine kürzere Lebensdauer und weniger Berechtigungen haben als die vom Eigentümer gewährten [6]. Das häufigste Token ist das Bearer-Token: Wer es besitzt, kann es verwenden. OWASP empfiehlt daher, es möglichst auf einen einzigen Ressourcenserver zu beschränken, um den Schaden bei einem Leck zu verringern [6]. Die Anwendung selbst muss das Token als undurchsichtige Zeichenkette behandeln: Nur die angesprochene API darf den Inhalt lesen [3]. ## Was Sie tun Vor einem Zustimmungsbildschirm genügen einige Prüfungen. - Lesen Sie die Anfrage, bevor Sie sie akzeptieren. Nutzer klicken oft auf „Akzeptieren“, ohne die Einzelheiten zu prüfen, auch nicht die gewährten Berechtigungen [1]. - Vergleichen Sie die Berechtigungen mit dem Zweck der Anwendung. Eine Anwendung sollte nur Berechtigungen anfordern, die zu ihrem Zweck gehören. Microsoft nennt als Beispiel eine Uhr-Anwendung mit Vollzugriff auf alle Postfächer, was nicht zu ihrem Zweck passt [1]. - Seien Sie bei den weitreichendsten Berechtigungen misstrauisch. MITRE ATT&CK weist darauf hin, dass Offlinezugriff und Zugriff auf das Lesen von E-Mails stärker misstrauisch machen sollten, da Angreifer die APIs von Onlinediensten nutzen können, um dort nach Zugangsdaten und sensiblen Mitteilungen zu suchen [2]. - Achten Sie auf die Weiterleitungsadresse. Ist sie falsch geschrieben oder bildet sie eine verschachtelte Wortfolge um einen erwarteten Dienst, versucht die Website wahrscheinlich, einen echten Dienst nachzuahmen [2]. - Bevorzugen Sie gängige Anwendungen. Je verbreiteter eine Anwendung ist, in der Organisation wie im Internet, desto wahrscheinlicher ist sie sicher [1]. - Lehnen Sie eine Anwendung ab, die Sie nicht kennen. MITRE ATT&CK empfiehlt, Nutzer zu schulen, unbekannte Drittanwendungen nicht zu autorisieren [2]. - Ein Administrator kann verdächtige Anwendungen untersuchen und entfernen [2]. ## Die Fallstricke ### Der gefälschte Zustimmungsbildschirm Der Angreifer registriert eine Anwendung beim Autorisierungsserver und sendet dann einen gezielten Phishing-Link, damit das Opfer ihr Zugriff gewährt [2]. Ein Beispiel von Microsoft: Eine Zustimmungsseite kann für einen durchschnittlichen Nutzer legitim wirken, obwohl „Google APIs Explorer“ keinen Grund hat, bei Google selbst Berechtigungen anzufragen. Die Anwendung kann also ein Phishing-Versuch ohne Bezug zu Google sein [1]. Beruhigende Namen sind häufig. MITRE ATT&CK vermerkt, dass die Gruppe APT28 bösartige Anwendungen einsetzte, die sich gegenüber Gmail-Nutzern als „Google Defender“, „Google Email Protection“ und „Google Scanner“ und gegenüber Yahoo-Nutzern als „Delivery Service“ und „McAfee Email Protection“ ausgaben [2]. ### Das Token, das bleibt Sobald das Token gewährt ist, kann die Anwendung einen potenziell dauerhaften Zugriff auf die Funktionen des Kontos erhalten [2]. Mit einem Refresh-Token, das Hintergrundzugriff erlaubt, kann ein Angreifer zum Beispiel E-Mails durchsuchen und Kontakte auflisten [5]. Eine Passwortänderung löst das Problem nicht immer: Laut der Tabelle von Microsoft bleiben manche Token nach einer Passwortänderung durch den Nutzer aktiv [4]. ### Das Token, das gestohlen wird, ohne dass man Sie fragt Tokendiebstahl läuft nicht immer über eine Zustimmung. MITRE ATT&CK nennt auch Token, die in Containerumgebungen oder Entwicklungsketten gestohlen wurden und dort zur Authentifizierung bei anderen Diensten dienen [2]. Das Programm Kali365 soll OAuth-Zugriffs- und Refresh-Token erlangt haben, indem es Opfer täuschte, damit sie vom Angreifer ausgelöste Geräteautorisierungsanfragen bestätigten [2]. ### Die vergessene Anwendung Eine Anwendung, die einmal autorisiert wurde, bleibt verbunden, solange sie niemand entfernt. Microsoft empfiehlt, Anwendungen aufzuspüren, deren letzte Autorisierung nicht aktuell ist: Sie werden möglicherweise nicht mehr gebraucht [1]. MITRE ATT&CK verlangt von Administratoren ein Audit aller OAuth-Anwendungen und der gewährten Berechtigungen, danach regelmäßige Audits, mit Untersuchung und Entfernung verdächtiger Anwendungen [2]. Für Beschäftigte bedeutet das einen einfachen Handgriff: von Zeit zu Zeit die Liste der mit dem eigenen Konto verbundenen Anwendungen durchgehen und melden, welche man nicht kennt. ## Quellen 1. Microsoft, „Investigate and remediate risky OAuth apps“. https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Steal Application Access Token, Technique T1528 - Enterprise“. https://attack.mitre.org/techniques/T1528/ (abgerufen am 3. November 2026) 3. Microsoft, „Access tokens in the Microsoft identity platform“. https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (abgerufen am 3. November 2026) 4. Microsoft, „Refresh tokens in the Microsoft identity platform“. https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise“. https://attack.mitre.org/techniques/T1550/001/ (abgerufen am 3. November 2026) 6. OWASP, „OAuth2 - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.