Google OAuth: DPoP bindet Refresh Tokens gegen Infostealer-Angriffe
Veröffentlicht am: 15.10.2026 um 23:44 Uhr | Redaktion boerse-global.de
Google erweitert die Sicherheitsmechanismen seines Authentifizierungsdienstes Google OAuth um den Standard Demonstrating Proof-of-Possession (DPoP nach RFC 9449). Wie aus einem Bericht vom 15. Oktober 2026 auf dem offiziellen Unternehmensblog hervorgeht, zielt die Neuerung darauf ab, langlebige Anmeldedaten gezielt gegen weitverbreitete Angriffsmethoden abzusichern.
Insbesondere soll der Mechanismus verhindern, dass kompromittierte Refresh Tokens von Infostealer-Schadsoftware wie RedLine oder NodeStealer missbraucht oder im Rahmen von Man-in-the-Middle-Szenarien (Adversary-in-the-Middle, AiTM) abgefangen und auf fremden Systemen eingesetzt werden.
Kryptografische Bindung an den Client
Das Verfahren hinter DPoP basiert darauf, dass Tokens kryptografisch an ein asymmetrisches Schlüsselpaar gebunden werden, das direkt auf dem jeweiligen Client erzeugt wird. Auf diese Weise kann ein erbeutetes Token von Angreifern nicht ohne den passenden privaten Schlüssel verwendet werden. Die reine Kopie des Datenwerts reicht damit für einen unbefugten Zugriff nicht mehr aus.
Bei der Umsetzung setzt Google auf eine differenzierte Architektur: Die Bindung mittels DPoP beschränkt sich auf die Refresh Tokens. Access Tokens verbleiben hingegen als reguläre Bearer-Tokens, deren Lebensdauer typischerweise bei maximal einer Stunde liegt (?1 Stunde).
Das Unternehmen begründet diese Trennung mit der Vermeidung von Krypto-Overhead bei Schnittstellen mit hohen Abfragevolumina (High-QPS-APIs). Da kurzlebige Tokens ohnehin ein begrenztes Angriffsfenster bieten, soll die bestehende Leistungsfähigkeit datenintensiver APIs erhalten bleiben, während die langlebigen Refresh Tokens geschützt sind.
Wer sich mit dem Schutz digitaler Identitäten befasst, sollte auch die Risiken klassischer Anmeldeverfahren kennen. Dieser kostenlose Report zeigt, wie Passkeys Hackerangriffen keine Chance mehr lassen und Passwörter sicher ablösen. Technologie gegen Passwörter jetzt gratis nachlesen
Absicherung von Enterprise-KI und Multi-Agent-Systemen
Die Integration von DPoP spielt nach Angaben des Unternehmens auch bei modernen Unternehmensanwendungen eine Rolle. So nutzt Google Workspace Context-Aware Access das Verfahren zur Absicherung von Workloads im Bereich Enterprise-KI auf der Gemini Enterprise Agent Platform.
Für Szenarien mit mehreren zusammenarbeitenden Software-Agenten gibt Google Entwicklern konkrete Empfehlungen an die Hand: Da der Endpunkt oauth2.googleapis.com kein OAuth 2.0 Token Exchange nach RFC 8693 unterstützt, empfiehlt der Konzern für Multi-Agent-Workflows die Nutzung des Google Cloud Secure Token Service (STS).
Moderne IT-Sicherheit erfordert den Schutz vor immer ausgefeilteren Methoden wie Identitätsdiebstahl und Phishing. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen vor aktuellen Bedrohungen absichern. Gratis-E-Book zur Cyber-Security herunterladen
Dieser Dienst ermöglicht die kontrollierte und sichere Weitergabe beziehungsweise den Austausch von Identitätsnachweisen in komplexeren Cloud-Architekturen.
Ergänzende Standards für Webbrowser
Der Schutz von OAuth-Tokens über DPoP ist Teil einer umfassenderen Strategie gegen Identitätsdiebstahl. Als Ergänzung zu DPoP arbeiten Google und die Web Incubator Community Group (WICG) an den sogenannten Device Bound Session Credentials (DBSC).
Während DPoP für API-Tokens und native Anwendungen konzipiert ist, soll DBSC die Bindung klassischer Browser-Session-Cookies an ein Endgerät sicherstellen. Beide Technologien adressieren damit die wachsende Bedrohung durch Schadprogramme, die darauf spezialisiert sind, bereits authentifizierte Sitzungen von Arbeitsplätzen zu entwenden.
