Sitzungstokens

Sitzungstoken (engl. session token) bezeichnet eine Kennung, die verwendet wird, um eine Benutzersitzung zwischen Client und Server zu identifizieren und zu erhalten. In Webanwendungen dient es dazu, Zustandsinformationen über mehrere Anfragen hinweg zu speichern, ohne jedes Mal sich neu authentifizieren zu müssen. Typischerweise wird ein Sitzungstoken nach der erfolgreichen Authentifizierung erzeugt und dem Client zugewiesen, oft in Form eines Cookies. Das Token selbst enthält in der Regel nur eine Sitzungskennung, während der eigentliche Sitzungszustand serverseitig in einem Sitzungsstore abgelegt wird.

Funktionsweise: Der Server generiert eine eindeutige Sitzungs-ID und verbindet sie mit Benutzerdaten und Metadaten. Bei jeder Request sendet der Client das Token (häufig als HttpOnly, Secure, SameSite-Cookie), damit der Server die passende Sitzung laden kann. In manchen Implementationen wird das Token auch in lokalen Speicher geschrieben, was Sicherheitsrisiken erhöht.

Lebensdauer und Verwaltung: Sitzungstoken haben eine bestimmte Gültigkeitsdauer und können bei Logout oder nach Ablauf der Zeit invalidiert werden. Viele Systeme verwenden Token-Rotation oder regelmäßige Neustarts der Session-ID, um Missbrauch zu erschweren.

Sicherheit: Wichtige Schutzmaßnahmen umfassen die Verwendung von TLS, HttpOnly- und Secure-Flags, SameSite-Attribute, kurze Ablaufzeiten, regelmäßige Sperrung/Rotation von Tokens sowie Maßnahmen gegen Session-Fixation und XSS. CSRF-Schutz ist bei Cookies oft erforderlich, beispielsweise durch CSRF-Tokens oder SameSite.

Abgrenzung: Gegenüber Zugriffstoken (Bearer-Tokens) dienen Sitzungstoken der Aufrechterhaltung eines Serversitzungszustands, während Zugriffstoken oft zur API-Authentifizierung mit geringerer Speicherrichtung gedacht sind. In modernen, stateless Architekturen können JWT-basierte Tokens als Sitzungstoken fungieren, wodurch der Server weniger Zustand halten muss.

Siehe auch: Cookies, CSRF, OAuth.