Token-Flows aus PDFs lernen? Viel Glück.
Themenstand: 04.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet.
13 Tools und Labs, um Identitäten, Tokens und Protokolle zu sehen, zu prüfen und miteinander zu verbinden.
Sehen statt auswendig.
Eine Protokollgrafik bleibt hübsch, bis man erklären muss, welches Token eine konkrete API akzeptiert. Dann werden Empfänger, Berechtigungen und Lebensdauer plötzlich sehr praktisch. Diese Sammlung von Maurizio Schmidt verbindet Decoder, visualisierte Abläufe und bewusst verwundbare Lernumgebungen.
Die 13 Links gehören zu unterschiedlichen Schichten. TLS schützt die Verbindung, Kerberos und SAML haben andere Modelle als OAuth, und OpenID Connect ergänzt dessen Anmeldekontext. Sie alle einfach als Token-Flow zu behandeln wäre bequem, würde die wichtigen Unterschiede aber verwischen.
Token verstehen.
Ein lesbarer Inhalt ist noch kein geprüfter Nachweis. Beim Dekodieren eines JSON Web Tokens werden seine Daten sichtbar. Ob Signatur, Aussteller, Empfänger und Berechtigung für die konkrete Ressource passen, ist eine weitere Prüfung. Für Übungen eignen sich synthetische Beispiele und isolierte Test-Tokens.
Auch einzelne Claims brauchen Kontext. Aus einem amr-Wert allein lässt sich keine vollständige Aussage über sämtliche Anmelde- und Zugriffsrichtlinien ableiten. Und ein Primary Refresh Token ist kein beliebiges JWT, dessen Inhalt man einfach im Decoder aufklappt.
Flows sehen.
Bei einem Ablauf würde ich nicht nur auf den Endzustand schauen. Welche Nachricht enthält einen Code? Wer löst ihn ein? Wo wird eine Bindung geprüft? Der OAuth Playground bietet dafür einen simulierten Server. Andere Werkzeuge können echte Endpunkte ansprechen; der gewählte Testkontext muss dazu passen.
- 05 · OAuth 2.0 Playground — Authorization Code, PKCE und weitere Flows
- 06 · OAuth Tools — Requests und Antworten im eigenen Testkontext
- 07 · Illustrated TLS 1.3 — den Handshake bis auf Byte-Ebene verfolgen
- 08 · WebAuthn.io — Registrierung und Anmeldung ausprobieren
- 09 · Kerberos im Detail — Tickets und ihre Zusammenhänge
Lab und Bruch.
Jetzt wird aus dem Beobachten eine überprüfbare Frage: Welche fehlende Prüfung macht den Ablauf angreifbar? Die PortSwigger-Labs zeigen bewusst eingebaute Fehler. Die Forschungsbeiträge zu Token-Familien und Primary Refresh Tokens vertiefen plattformspezifisches Verhalten; ihre Voraussetzungen gehören beim Lesen dazu.
Ein brauchbarer Anfang.
Nimm einen Flow, zeichne die beteiligten Systeme und erkläre jede Nachricht mit eigenen Worten. Danach ändere genau eine Voraussetzung und vergleiche das Ergebnis. Wer bei Kerberos länger hängenbleibt als geplant: Das liegt vermutlich nicht am Browser.
Die passende nächste Station ist unsere eigene Werkbank: Dort sind Normalfall, abgefangener Autorisierungscode und PKCE direkt gegenübergestellt. Der Schutz eines bereits ausgestellten Bearer Tokens bleibt eine gesonderte Frage.