JWT (JSON Web Token): Aufbau, Funktionsweise und sichere Verwendung

Wie ein JWT Authentifizierungsinformationen kompakt und überprüfbar macht

Dieser Artikel gibt Ihnen einen Überblick über Aufbau und Funktionsweise eines JWT. Zudem zeigen wir, worauf bei der sicheren Verwendung von JWT in APIs zu achten ist.

Was ist JWT (JSON Web Token)?

Ein JWT (JSON Web Token) ist ein kompaktes, signiertes Datenformat zur sicheren Übertragung von Informationen zwischen zwei Parteien.

Es besteht aus Header, Payload und Signatur und wird häufig zur Authentifizierung in APIs verwendet – der Server kann die Gültigkeit des Tokens prüfen, ohne eine Datenbankabfrage durchführen zu müssen.

Funktionsweise von JWT (JSON Web Token)

Die drei Bestandteile eines JWT: Header, Payload, Signatur

Ein JWT besteht aus drei durch Punkte getrennten, Base64-kodierten Abschnitten: dem Header (enthält Angaben zum Signaturalgorithmus), dem Payload (enthält die eigentlichen Nutzdaten, sogenannte Claims, wie Nutzer-ID oder Ablaufzeitpunkt) und der Signatur, die aus Header und Payload sowie einem geheimen Schlüssel berechnet wird.

Wie die Signaturprüfung technisch funktioniert

Die Signatur ermöglicht es dem empfangenden Server, die Integrität des Tokens zu prüfen, ohne selbst Zustand über die Sitzung speichern zu müssen: Stimmt die aus den empfangenen Daten neu berechnete Signatur mit der übermittelten Signatur überein, gilt der Inhalt als unverändert und vertrauenswürdig.

JSON Web Token vs. klassische Session-basierte Authentifizierung

Dieser zustandslose Charakter ist der zentrale Unterschied zur klassischen Session-basierten Authentifizierung, bei der der Server jede aktive Sitzung serverseitig speichert und bei jeder Anfrage nachschlägt. JWT-basierte Authentifizierung skaliert dadurch besser in verteilten Systemen, macht aber das serverseitige Invalidieren einzelner Tokens vor Ablauf technisch aufwendiger.

Einordnung und Praxis von JWT (JSON Web Token)

Abgrenzung: JWT als Tokenformat vs. OAuth 2.0/OIDC als Protokolle

Wichtig ist die Abgrenzung: JWT ist lediglich ein Tokenformat, kein vollständiges Authentifizierungsprotokoll. OAuth 2.0 und OpenID Connect definieren, wie Tokens ausgestellt, übertragen und genutzt werden – das JWT-Format wird dabei häufig, aber nicht zwingend, für Access Token oder ID-Token verwendet.

Sicherheitsrisiken bei falscher JWT-Implementierung

Ein bekanntes Sicherheitsrisiko entsteht, wenn Implementierungen den im Header angegebenen Algorithmus unkritisch übernehmen, etwa wenn ein Angreifer den Algorithmus auf ’none‘ setzt und manche Bibliotheken das Token trotzdem als gültig akzeptieren. Sichere Implementierungen erzwingen deshalb explizit den erwarteten Algorithmus serverseitig, statt sich auf die Angabe im Token selbst zu verlassen.

Praxiseinsatz in modernen API- und Microservice-Architekturen

In modernen Microservice-Architekturen erlaubt der zustandslose Charakter von JWT eine effiziente Authentifizierung zwischen vielen unabhängigen Diensten, ohne dass jeder Dienst eine zentrale Session-Datenbank abfragen muss.

API-Security-Anbieter, deren Lösungen auf korrekter JWT-Validierung basieren, profitieren davon, konkrete Sicherheitsmechanismen wie Algorithmus-Erzwingung oder Token-Rotation verständlich darzustellen. Genau an dieser Schnittstelle zwischen technischer Tiefe und klarer Kommunikation setzt zielgerichtetes Content-Marketing an.

JWT-Sicherheit als Verkaufsargument nutzen: Die Unterstützung von summ-it

Für API-Security-Anbieter ist es essenziell, technische Feinheiten wie Signaturprüfung oder Algorithmus-Validierung überzeugend zu kommunizieren, ohne Entscheider mit Details zu überfordern.

summ-it findet die richtige Balance zwischen technischer Präzision und verständlicher Nutzenargumentation – und macht so aus komplexer API-Sicherheit ein Marketing-Argument, das bei Einkäufern und Architekten gleichermaßen ankommt.

Kostenloses Erstgespräch vereinbaren

FAQ: JWT (JSON Web Token)

Ist ein JWT verschlüsselt?

Standardmäßig ist ein JWT lediglich signiert, nicht verschlüsselt – die enthaltenen Daten lassen sich durch die Base64-Kodierung von jedem lesen, aber nicht unbemerkt verändern. Sollen die Inhalte vertraulich bleiben, kommt die verschlüsselte Variante JWE zum Einsatz.

Kann man ein JSON Web Token nachträglich ungültig machen?

Da JWT-Prüfungen zustandslos funktionieren, ist ein vorzeitiges Invalidieren einzelner Tokens technisch aufwendiger als bei Session-basierten Verfahren. Üblich sind kurze Gültigkeitszeiten in Kombination mit serverseitigen Sperrlisten für Ausnahmefälle.

Wie lang sollte die Gültigkeitsdauer eines JWT sein?

Für Access Token empfiehlt sich eine kurze Gültigkeitsdauer von wenigen Minuten bis maximal einer Stunde, um das Risiko bei Diebstahl zu begrenzen. Längerfristige Zugriffe werden stattdessen über separate Refresh Token realisiert.

Können JWTs Rollen und Berechtigungen enthalten?

Ja, JWTs können im Payload beliebige Claims enthalten, darunter auch Rollen- oder Berechtigungsinformationen. Diese sollten jedoch stets serverseitig validiert und nicht blind vertraut werden.

Was ist der Unterschied zwischen JWT und Session-Cookies?

Session-Cookies verweisen auf serverseitig gespeicherten Zustand, während ein JWT alle relevanten Informationen selbst trägt und ohne serverseitige Datenbankabfrage geprüft werden kann. Dies macht JWT besonders für verteilte Systeme attraktiv.

Wie erkennt ein Server, ob ein JWT manipuliert wurde?

Der Server berechnet aus dem empfangenen Header und Payload sowie einem geheimen Schlüssel selbst eine Signatur und vergleicht diese mit der im Token enthaltenen Signatur. Bei jeder Abweichung gilt das Token als ungültig.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.