OpenID Connect (OIDC): Definition, Funktionsweise und Abgrenzung zu OAuth 2.0

Wie OpenID Connect die Lücke von OAuth 2.0 bei der Identitätsprüfung schließt

Dieser Beitrag zeigt Ihnen, wie OpenID Connect als Authentifizierungsschicht auf OAuth 2.0 aufbaut. Sie erfahren außerdem, welche Rolle das ID-Token spielt und wo OpenID Connect in der Praxis eingesetzt wird.

Was ist OpenID Connect?

OpenID Connect (OIDC) ist ein Authentifizierungsprotokoll, das auf OAuth 2.0 aufbaut und dieses um die Bestätigung der Nutzeridentität erweitert. Während OAuth 2.0 nur regelt, worauf eine Anwendung zugreifen darf, bestätigt OIDC zusätzlich, wer der Nutzer ist – über ein sogenanntes ID-Token.

OpenID Connect ist heute die technische Grundlage vieler moderner Single-Sign-On-Lösungen.

Funktionsweise von OpenID Connect (OIDC)

Aufbau und Inhalt eines ID-Tokens

Das Herzstück von OpenID Connect ist das ID-Token, ein signiertes JSON Web Token, das Informationen über die Identität des Nutzers enthält – etwa den eindeutigen Identifikator, den Ausstellungszeitpunkt und optional weitere Profildaten. Anders als das Access Token aus OAuth 2.0, das ausschließlich für die Autorisierung von Ressourcenzugriffen gedacht ist, ist das ID-Token für die Anwendung selbst bestimmt und dient dem Identitätsnachweis.

Der OpenID Connect Authentifizierungsablauf im Detail

Der Ablauf ähnelt dem OAuth-2.0-Authorization-Code-Flow: Der Nutzer authentifiziert sich beim Identity Provider, die Anwendung erhält im Gegenzug sowohl ein Access Token als auch ein ID-Token. Über einen zusätzlichen UserInfo-Endpunkt lassen sich bei Bedarf weitere Profilinformationen nachladen.

Abgrenzung: OIDC vs. reines OAuth 2.0

Der zentrale Unterschied zu reinem OAuth 2.0 liegt genau in diesem ID-Token: OAuth 2.0 allein trifft keine verlässliche Aussage über die Identität des Nutzers, es autorisiert lediglich einen Zugriff. Entwickler, die OAuth 2.0 fälschlich als vollständige Login-Lösung einsetzen, laufen Gefahr, Sicherheitslücken zu schaffen – ein bekanntes Anti-Pattern, das in der Fachwelt oft mit dem Schlagwort ‚OAuth ist kein Login‘ beschrieben wird.

Einordnung und Praxis von OpenID Connect (OIDC)

Abgrenzung: OIDC vs. SAML

Im Vergleich zu SAML punktet OpenID Connect vor allem mit seiner Leichtgewichtigkeit: Statt XML setzt OIDC auf JSON und REST, was die Integration in moderne Web- und Mobile-Anwendungen deutlich vereinfacht. SAML bleibt dennoch in klassischen Enterprise-Umgebungen weit verbreitet, insbesondere dort, wo etablierte Identity-Provider-Landschaften bestehen.

Typische Fehlannahmen bei der Implementierung

In der Praxis begegnet OpenID Connect Nutzern vor allem bei ‚Mit Google anmelden‘- oder ‚Mit Microsoft anmelden‘-Buttons. Für Unternehmen ist OIDC zudem die technische Basis vieler moderner Identity-Provider-Lösungen, die zentrale Anmeldungen über mehrere Anwendungen hinweg ermöglichen.

Identity-Provider-Anbieter, die auf OpenID Connect setzen, konkurrieren oft über feine technische Unterschiede in der Implementierung. Diese Unterschiede überzeugend zu kommunizieren, ohne Entscheider mit unnötigem Fachjargon zu überfordern, ist eine eigene Disziplin – und entscheidet oft darüber, ob ein technisch überlegenes Produkt auch tatsächlich wahrgenommen wird.

OpenID Connect verstehen und verständlich vermitteln: Wie summ-it dabei unterstützt

Anbieter von Identity-Provider-Lösungen stehen vor der Herausforderung, hochtechnische Konzepte wie OIDC für unterschiedliche Zielgruppen verständlich zu machen – vom Entwickler bis zum CISO. summ-it verbindet technisches Verständnis mit zielgruppengerechter Kommunikation und sorgt dafür, dass komplexe Authentifizierungsthemen nicht zwischen Fachchinesisch und Oberflächlichkeit verloren gehen.

So erreichen Sie mit summ-it genau die Entscheider, die Ihre technische Tiefe zu schätzen wissen.

Kostenloses Erstgespräch vereinbaren

FAQ: OpenID Connect (OIDC)

Braucht man OAuth 2.0, um OpenID Connect zu nutzen?

Ja, OpenID Connect ist keine eigenständige Alternative, sondern eine Erweiterung von OAuth 2.0. Es nutzt dieselben Grundmechanismen und ergänzt sie um das ID-Token zur Identitätsbestätigung. Ohne OAuth 2.0 als technisches Fundament funktioniert OpenID Connect nicht.

Wofür wird das ID-Token bei OpenID Connect verwendet?

Das ID-Token bestätigt der Anwendung die Identität des angemeldeten Nutzers und enthält dafür signierte Identitätsinformationen. Es ist ausschließlich für die Anwendung selbst bestimmt und wird nicht für den Zugriff auf externe Ressourcen verwendet.

Was ist ein UserInfo-Endpunkt bei OpenID Connect?

Der UserInfo-Endpunkt ist eine zusätzliche Schnittstelle, über die eine Anwendung mit einem gültigen Access Token weitere Profilinformationen zum angemeldeten Nutzer abrufen kann, etwa Name oder E-Mail-Adresse.

Ist OpenID Connect nur für Web-Anwendungen geeignet?

Nein, OpenID Connect wird auch in mobilen Apps und nativen Anwendungen eingesetzt. Für diese Umgebungen existieren angepasste Ablaufvarianten, die zusätzliche Sicherheitsmechanismen wie PKCE einbeziehen.

Was bedeutet der Begriff Claims bei OpenID Connect?

Claims sind einzelne Informationseinheiten innerhalb eines ID-Tokens, etwa der Nutzername oder der Zeitpunkt der Authentifizierung. Sie bilden die strukturierte Grundlage, auf der Anwendungen Identitätsinformationen auswerten.

Unterstützen alle großen Identity-Provider OpenID Connect?

Die meisten etablierten Identity-Provider, darunter Google, Microsoft und zahlreiche spezialisierte Anbieter, unterstützen OpenID Connect als Standardprotokoll, da es sich als De-facto-Standard für moderne Anmeldeverfahren durchgesetzt hat.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.