Das hier ist ein vollständig KI generierter Artikel.

Mit der flächendeckenden Einführung von Multi-Faktor-Authentifizierung (MFA) in Unternehmen verlagern Angreifer ihren Fokus: Statt ausschliesslich Passwörter zu stehlen, zielen sie zunehmend auf OAuth-Tokens – jene digitalen Schlüssel, mit denen Anwendungen im Namen eines Nutzers auf Daten und Funktionen zugreifen dürfen. Diese Angriffe setzen nach erfolgreicher Anmeldung an und umgehen damit MFA, überstehen Passwort-Resets und ermöglichen einen langlebigen, schwer erkennbaren Zugriff auf Unternehmensressourcen.

Von Passwort-Phishing zu Token-Hijacking

Vor der Einführung von OAuth war es üblich, dass Anwendungen untereinander Zugangsdaten teilten, um Funktionen zu integrieren – etwa wenn ein Dienst über das E-Mail-Konto eines Nutzers agieren sollte. Wurden diese Zugangsdaten durch Phishing erbeutet, konnte ein Angreifer nicht nur das ursprüngliche Konto übernehmen, sondern sich auch auf alle angebundenen Dienste ausbreiten. Die Konsequenzen reichten von Kontoübernahmen über Datenmanipulation bis hin zur vollständigen Sperrung legitimer Nutzer.

Um dieses Risiko zu reduzieren, wurde OAuth entwickelt. Anstatt Passwörter weiterzugeben, erhalten Drittanwendungen zeitlich begrenzte Tokens mit klar definierten Berechtigungen (Scopes). Der Nutzer meldet sich beim Identitätsanbieter (IdP) an, bestätigt die angeforderten Rechte, und die Drittanwendung erhält ein Access-Token, mit dem sie innerhalb dieser Grenzen agieren darf. In der Theorie sind diese Tokens kurzlebig, widerrufbar und damit sicherer als gemeinsam genutzte Passwörter.

Warum OAuth heute zur Angriffsfläche geworden ist

In der Praxis haben sich OAuth-Flows zu einem attraktiven Ziel entwickelt, weil sie genau zwischen Authentifizierung und Autorisierung liegen. Klassische Phishing-Kampagnen versuchen, Benutzername und Passwort zu stehlen. OAuth-basierte Angriffe umgehen diesen Schritt: Das Opfer meldet sich regulär beim IdP an, durchläuft MFA und autorisiert scheinbar eine legitime Anwendung. Der eigentliche Angriff findet im Hintergrund statt, wenn Access- und Refresh-Tokens abgegriffen oder auf ein bösartiges Ziel umgeleitet werden.

Ein Problem ist, dass viele Anwendungen deutlich mehr Berechtigungen anfordern, als für ihre Funktion notwendig wären. Untersuchungen zeigen, dass ein signifikanter Anteil von OAuth-Integrationen über das Minimum hinausgehende Scopes verlangt. Auch wenn dies nicht automatisch böswillig ist, erhöht es das Risiko von Datenschutzverletzungen und übermässigen Privilegien, sobald ein Token in falsche Hände gerät.

Das Kernproblem: Tokens überleben Passwörter

Der eigentliche Sicherheitsgewinn von OAuth – kurzlebige, leicht widerrufbare Tokens – wird häufig durch die Praxis unterlaufen. In vielen Umgebungen sind Tokens:

  • zu lang gültig konfiguriert,
  • unabhängig vom Passwort-Reset,
  • nicht an erneute MFA gebunden und
  • durch Refresh-Tokens über Tage oder Monate verlängerbar.

Damit werden sie zu einem dauerhaften Einfallstor. Selbst wenn ein kompromittiertes Passwort geändert und MFA neu ausgerollt wird, bleibt der Zugriff über bestehende Tokens oft bestehen, solange diese nicht explizit widerrufen werden. Genau diese Persistenz verstärkt moderne Angriffsformen auf die Autorisierungsschicht.

Moderne Angriffsmuster auf OAuth

Aktuelle Angreifer kombinieren verschiedene Techniken, um OAuth-Flows zu missbrauchen. Dazu gehören dynamische Evasionsmechanismen im Code, Phishing-as-a-Service (PhaaS) mit vorgefertigten Templates und täuschend echte Marken-Imitationen, die zunehmend mit Hilfe grosser Sprachmodelle erzeugt werden. Ziel ist es, Nutzer durch vertraut wirkende Oberflächen zur Autorisierung zu bewegen und die resultierenden Tokens abzufangen.

Besonders kritisch sind Szenarien, in denen OAuth-Sitzungen oder Token-Verwaltung zentralisiert werden, etwa in Form von OAuth-as-a-Service (OaaS). Hier verwaltet ein Cloud-Anbieter einen gemeinsamen Token-Tresor für viele Anwendungen (Tenants). Fehler in der Trennung oder Zuordnung können dazu führen, dass Tokens zwischen Mandanten oder Konnektoren vertauscht werden und so unberechtigter Zugriff entsteht.

Beispiele für strukturelle Schwachstellen

Mehrere Angriffsklassen zeigen, wie Design- oder Implementierungsfehler in OAuth-Umgebungen ausgenutzt werden können:

  • Cross-User OAuth Session Fixation (COSF): Eine vom Angreifer initiierte OAuth-Sitzung wird so manipuliert, dass das Opfer sich in diese bestehende Sitzung einloggt. Das resultierende Token landet im Konto des Angreifers und dient als dauerhafter Hintereingang.
  • Cross-Tenant Client ID Confusion: In gemeinsam genutzten Token-Tresoren kann eine bösartige Anwendung ihre Client-ID so anpassen, dass sie wie eine vertrauenswürdige Anwendung erscheint. Der Tresor verarbeitet die Anfrage im Kontext der vermeintlich legitimen Anwendung und gibt Tokens an den falschen Tenant aus.
  • Cross-Connector OAuth Account Takeover: Durch Manipulation der Zuordnung zwischen OAuth-Sitzungen und Konnektoren wird ein Autorisierungsfluss, der eigentlich für eine andere Anwendung bestimmt ist, auf den Angreifer umgeleitet. So entsteht eine vollständige Kontoübernahme ohne klassischen Credential-Diebstahl.

Allen diesen Angriffen ist gemeinsam, dass ihre Wirksamkeit mit der Lebensdauer der Tokens steigt. Je länger Access- und Refresh-Tokens gültig sind, desto grösser ist das Zeitfenster für Missbrauch, laterale Bewegung und unbemerkte Datenabflüsse.

Strategien zur Verteidigung gegen OAuth-Missbrauch

Unternehmen können das Risiko von OAuth-Angriffen deutlich reduzieren, wenn sie die Autorisierungsschicht als eigenständige Sicherheitsdomäne behandeln und gezielt absichern. Wichtige Massnahmen sind unter anderem:

  • Strenge Kontrolle von App-Zustimmungen: Endnutzer sollten keine weitreichenden Berechtigungen für unklare oder nachgeahmte App-Namen erteilen können. Stattdessen sind standardisierte, geprüfte Integrationen und Whitelists sinnvoll.
  • Admin-basierte Freigabeprozesse: Kritische Scopes und neue Anwendungen sollten nur über definierte Genehmigungs-Workflows durch Administratoren zugelassen werden.
  • Überwachung von Autorisierungsflüssen: Ereignisse rund um Autorisierungscodes und Redirects – etwa das Kopieren von Codes in die Zwischenablage oder ungewöhnliche Redirect-URIs – sollten protokolliert und auf Anomalien geprüft werden.
  • Kontinuierliche Prüfung von redirect_uri-Werten: Registrierte Weiterleitungsadressen müssen regelmässig auditiert werden, um Missbrauch durch subtile Domain-Varianten oder nachträgliche Manipulationen zu verhindern.
  • Konsequentes Token-Management: Lebensdauer von Access- und Refresh-Tokens sollte so kurz wie möglich gehalten werden. Zudem braucht es Prozesse, um Tokens bei Verdacht auf Kompromittierung zentral zu widerrufen – unabhängig von Passwort- oder MFA-Änderungen.

Fazit: Autorisierung als eigene Sicherheitsgrenze denken

OAuth hat die Sicherheit im Vergleich zur früheren Praxis des Passwortteilens deutlich verbessert, aber es verschiebt die Angriffsfläche von der Authentifizierung zur Autorisierung. Angreifer nutzen diese Lücke gezielt aus, indem sie Tokens statt Passwörter ins Visier nehmen. Unternehmen, die sich allein auf MFA und starke Passwörter verlassen, übersehen damit einen zentralen Angriffsvektor.

Ein wirksamer Schutz erfordert, OAuth-Flows, Token-Lebenszyklen und App-Berechtigungen als kritische Infrastruktur zu behandeln: mit klaren Richtlinien, technischen Kontrollen und kontinuierlicher Überwachung. Nur wenn Authentifizierung und Autorisierung gemeinsam gedacht und abgesichert werden, lässt sich die langlebige und oft unsichtbare Bedrohung durch OAuth-Angriffe wirksam eindämmen.

Quelle: https://unit42.paloaltonetworks.com/current-landscape-oauth-attacks/