Viele Cloud-Anwendungen arbeiten nach der Anmeldung mit Access Tokens. Diese Tokens ermöglichen den Zugriff auf E-Mail, Dateien, APIs oder andere Ressourcen, ohne dass bei jeder Aktion erneut ein Passwort eingegeben wird. Genau deshalb sind sie für Angreifer besonders wertvoll.
Warum Tokens so attraktiv sind
Ein gültiges Token kann einem Angreifer Zugriff auf bereits autorisierte Ressourcen geben. Je nach Kontext kann dies geschehen, ohne dass erneut eine MFA-Abfrage ausgelöst wird. Deshalb ist Token-Diebstahl nicht nur ein Passwortproblem, sondern ein eigenständiges Identitätsrisiko.
NIST finalisiert neue Leitlinien
Im September 2026 veröffentlichte NIST die finale Fassung neuer Empfehlungen zum Schutz von Online-Identitäten und Access Tokens vor Missbrauch. Der Fokus liegt auf der gesamten Token-Lebensdauer: Ausgabe, Speicherung, Übertragung, Nutzung und Widerruf.
Tokens nicht unnötig lange leben lassen
Kurze Gültigkeitszeiten reduzieren das Zeitfenster für Missbrauch. Gleichzeitig müssen Anwendungen mit Refresh Tokens und Sitzungen so umgehen, dass gestohlene Berechtigungen schnell widerrufen werden können.
Geräte- und Kontextbindung
Je stärker ein Token an Gerät, Anwendung oder Kontext gebunden werden kann, desto schwerer ist es für einen Angreifer, es auf einem anderen System zu verwenden. Moderne Identitätsplattformen entwickeln genau in diese Richtung zusätzliche Schutzmechanismen.
Logs sind entscheidend
Token-Missbrauch lässt sich häufig nur über ungewöhnliche Nutzungsmuster erkennen. Unternehmen sollten Sign-in-Logs, API-Zugriffe, Cloud-Aktivitäten und Änderungen an Identitäten zentral auswerten.
Mehr dazu unter Cybersecurity und Monitoring & Zabbix.
Fazit
Passwörter und MFA bleiben wichtig, doch moderne Cloud-Sicherheit muss auch Tokens schützen. Unternehmen sollten Token-Lebenszeiten, Gerätebindung, Widerruf und Monitoring genauso ernst nehmen wie den eigentlichen Login.
Autor: Salman Dolatpanah Gortlar
Quelle: NIST – Guidelines on Protecting Online Identity and Access Tokens From Misuse, September 2026.