Was ist JWT?

JWT steht für JSON Web Token. Es ist ein kompaktes, URL-sicheres Token-Format, das verwendet wird, um Informationen zwischen Parteien sicher als JSON-Objekt zu übertragen. Die Informationen werden digital signiert, sodass sie verifiziert und als vertrauenswürdig eingestuft werden können. JWTs werden am häufigsten für Authentifizierung und Autorisierung in Web- und Mobile-Anwendungen eingesetzt.

Geschichte

JWT wurde von der IETF (Internet Engineering Task Force) vorgeschlagen und im Mai 2015 als RFC 7519 standardisiert. Es wurde als Teil des umfassenderen JSON Object Signing and Encryption (JOSE)-Frameworks entwickelt. JWT wurde schnell zum dominierenden Token-Format für REST-APIs und Single-Page-Anwendungen und ersetzte in vielen Web-Kontexten schwerere XML-basierte Alternativen wie SAML-Tokens.

Struktur

Ein JWT besteht aus drei Base64URL-kodierten Teilen, die durch Punkte getrennt sind: header.payload.signature.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaWNlIiwiaWF0IjoxNTE2MjM5MDIyfQ
.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

1. Header

Der Header gibt den Token-Typ und den verwendeten Signierungsalgorithmus an:

{
  "alg": "HS256",
  "typ": "JWT"
}

2. Payload

Der Payload enthält Claims — Aussagen über den Benutzer und zusätzliche Metadaten. Standardmäßige Claims sind:

• sub — Subject (Benutzerkennung)
• iat — Issued at (Unix-Zeitstempel der Ausstellung)
• exp — Expiration time (Unix-Zeitstempel des Ablaufs)
• iss — Issuer (wer das Token erstellt hat)
• aud — Audience (beabsichtigte Empfänger)

{
  "sub": "1234567890",
  "name": "Alice",
  "role": "admin",
  "iat": 1516239022,
  "exp": 1516242622
}

3. Signatur

Die Signatur wird erstellt, indem der kodierte Header und Payload mit einem geheimen Schlüssel (oder einem privaten Schlüssel bei asymmetrischen Algorithmen) signiert werden. Sie stellt sicher, dass das Token nicht manipuliert wurde:

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)

Wie JWT-Authentifizierung funktioniert

1. Benutzer meldet sich mit Anmeldedaten an (Benutzername + Passwort)
2. Server prüft die Anmeldedaten und erstellt ein signiertes JWT
3. Server gibt das JWT an den Client zurück
4. Client speichert das JWT (üblicherweise im Arbeitsspeicher oder in localStorage)
5. Client sendet das JWT im Header Authorization: Bearer <token> bei jeder Anfrage
6. Server verifiziert die Signatur und liest die Claims ohne Datenbankabfrage

Signierungsalgorithmen

• HS256 / HS384 / HS512 — HMAC mit SHA-2. Verwendet einen einzigen gemeinsamen geheimen Schlüssel für Signieren und Verifizierung. Einfach und schnell, aber alle Parteien müssen das Geheimnis teilen.
• RS256 / RS384 / RS512 — RSA mit SHA-2. Verwendet einen privaten Schlüssel zum Signieren und einen öffentlichen Schlüssel zum Verifizieren. Der Verifizierer kann keine neuen Tokens erstellen.
• ES256 / ES384 / ES512 — ECDSA mit SHA-2. Ähnlich wie RSA, aber mit kleineren Schlüsselgrößen und besserer Performance.

Häufige Anwendungsfälle

• Authentifizierung — Benutzer über mehrere Anfragen hinweg eingeloggt halten, ohne serverseitigen Session-Speicher zu benötigen
• Autorisierung — Benutzerrollen und -berechtigungen im Token einbetten, damit jeder Microservice eigenständig Zugriffsentscheidungen treffen kann
• Informationsaustausch — Verifizierte Daten zwischen Diensten in einer verteilten Architektur übertragen
• Single Sign-On (SSO) — Eine Anmeldung gewährt Zugriff auf mehrere Anwendungen mit demselben JWT

Sicherheitsregeln

• Der Payload ist nur Base64-kodiert, nicht verschlüsselt — speichere niemals Passwörter oder sensible Daten in einem JWT
• Übertrage JWTs immer über HTTPS, um das Abfangen zu verhindern
• Setze eine kurze exp-Ablaufzeit (15–60 Minuten sind üblich) und verwende Refresh-Tokens
• Verifiziere immer die Signatur und den exp-Claim auf dem Server, bevor du einem Token vertraust
• Akzeptiere niemals den Algorithmus alg: none — er deaktiviert die Signaturprüfung vollständig
• Speichere Tokens im Arbeitsspeicher oder in httpOnly-Cookies, nicht in localStorage, um das XSS-Risiko zu reduzieren