JSON Web Token (JWT)
Definition
Ein JSON Web Token ist ein kompaktes Format zum Übertragen von Claims zwischen Parteien.
JWTs werden als JWS signiert bzw. MAC-geschützt oder als JWE verschlüsselt. Ein häufig verwendetes signiertes JWT ist nicht automatisch verschlüsselt; sein Payload kann lesbar sein.
Einfach erklärt
Wie ein digitaler Ausweiszettel mit Claims, dessen Echtheit geprüft werden kann – aber dessen Inhalt nicht zwingend geheim ist.
Warum das im Alltag wichtig ist
Relevant für Authentisierung, Autorisierung und API-Sitzungen, wenn Token korrekt validiert und kurzlebig eingesetzt werden.
Beispiel aus dem Mittelstand
Eine API validiert Signatur, issuer, audience und expiry eines Access Tokens, bevor ein geschützter Endpunkt ausgeführt wird.
Grenzen und Fallstricke
- Payload als geheim behandeln; alg/Signaturprüfung falsch konfigurieren; Tokens zu lange gültig machen; sensible Daten unnötig einbetten.
Entstehung & Geschichte
JWT wurde 2015 als RFC 7519 standardisiert. RFC 8725 ergänzt Best Current Practices für Sicherheitsfragen.
Anwendung im Mittelstand
- Mögliche Anwendungen: standardisierte Claims in OAuth-/OIDC-basierten Web- und API-Systemen.
Häufige Fragen
Ist JWT verschlüsselt?
Nicht automatisch. Ist jedes JWT ein Access Token? Nein. Was muss validiert werden? Unter anderem Signatur bzw. Schutzmechanismus und anwendungsspezifische Claims.
Quellen
- RFC 7519 · RFC 7519
- JWT Best Current Practices · RFC 8725, JWT Best Current Practices
Quellen geprüft am 10.10.2026.
Redaktionell geprüft am: