Typisches Alltagsbeispiel:

„Mit Google anmelden" auf einer fremden Website. Die Website bekommt nie dein Google-Passwort – nur ein Token, das bestimmte Rechte gewährt (z. B. nur Name und E-Mail-Adresse lesen).

Die vier Rollen in OAuth2:

Resource Owner – der Nutzer, dem die Daten gehören.
Client – die App, die Zugriff möchte (z. B. eine Kalender-App).
Authorization Server – prüft die Identität und stellt das Token aus (z. B. Google, Microsoft).
Resource Server – der Server, der die eigentlichen Daten hält (z. B. Google Drive).

OAuth 2.0

OAuth 2.0 ist ein Standard für die Autorisierung von Anwendungen. Er ermöglicht einer Anwendung den Zugriff auf Ressourcen eines Benutzers, ohne dessen Passwort zu kennen.

Definition

OAuth 2.0 ist ein Autorisierungsprotokoll, mit dem Benutzer einer Anwendung bestimmte Zugriffsrechte auf ihre Daten gewähren können, ohne ihre Zugangsdaten weiterzugeben.

Wofür wird OAuth 2.0 verwendet?

Zugriff auf Web-APIs
Anmeldung über Drittanbieter (Google, Microsoft, GitHub)
Freigabe von Benutzerressourcen für Anwendungen
Sichere Delegation von Berechtigungen

Funktionsweise (vereinfacht)

Benutzer → Zustimmung → Autorisierungsserver → Access Token → Anwendung

Der Benutzer meldet sich beim Autorisierungsserver an.
Der Benutzer erteilt einer Anwendung bestimmte Berechtigungen.
Die Anwendung erhält ein Access Token.
Mit diesem Token greift die Anwendung auf Ressourcen zu.

Praxisbeispiel

„Mit Google anmelden“: Eine Website erhält nach Ihrer Zustimmung bestimmte Informationen von Ihrem Google-Konto, ohne Ihr Google-Passwort zu kennen.

Authentifizierung oder Autorisierung?

Begriff	Bedeutung
Authentifizierung	Wer bist du?
Autorisierung	Was darfst du?
OAuth 2.0	Primär Autorisierung

Prüfungsfalle:
OAuth 2.0 dient hauptsächlich der Autorisierung, nicht der Authentifizierung. Für die Identitätsfeststellung wird häufig zusätzlich OpenID Connect (OIDC) verwendet, das auf OAuth 2.0 aufbaut.

Vorteile

Passwörter müssen nicht an Drittanwendungen weitergegeben werden.
Feingranulare Rechtevergabe möglich.
Tokens können zeitlich begrenzt werden.
Weit verbreiteter Standard für Cloud- und Webanwendungen.

Merksatz für die FISI-Prüfung:

OAuth 2.0 = Autorisierung durch Tokens statt Passwortweitergabe.

Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?

Typische Prüfungsantwort

OAuth 2.0 ist ein Standard zur Autorisierung von Anwendungen. Er ermöglicht einer Anwendung den Zugriff auf Ressourcen eines Benutzers über Access Tokens, ohne dass das Passwort des Benutzers weitergegeben werden muss. OAuth 2.0 wird häufig bei Web-APIs und Anmeldungen über Drittanbieter verwendet.

``` ### FISI-Kurzantwort 📝 **OAuth 2.0** ist ein Standard zur **Autorisierung**. Er ermöglicht einer Anwendung, mit Zustimmung des Benutzers auf bestimmte Daten oder Dienste zuzugreifen, ohne dessen Passwort zu kennen. **Beispiel:** * „Mit Google anmelden“ * Microsoft 365 APIs * GitHub APIs **Ablauf:** 1. Benutzer meldet sich beim Autorisierungsserver an. 2. Benutzer erteilt Berechtigungen. 3. Anwendung erhält ein **Access Token**. 4. Anwendung greift mit dem Token auf Ressourcen zu. ### Prüfungsformel 🔑 Passwort bleibt geheim 🎫 Access Token wird verwendet ✅ Autorisierung ❌ Keine reine Authentifizierung **Wichtiger Zusatz für die Prüfung:** * **OAuth 2.0 = Autorisierung** * **OpenID Connect (OIDC) = Authentifizierung auf Basis von OAuth 2.0** 🚀