FlowConsent
So funktioniert’sPreiseVergleicheBlogDokumentationAnmeldenFlowConsent testen
FlowConsent testen
Sicherheit

Amazon Cognito

NotwendigOffizielle Website

AWS Identity Service für Registrierung, Anmeldung, Mehr Faktor Authentifizierung, Passwort Wiederherstellung und Föderation mit sozialen oder Unternehmens Identity Providern in Web und Mobile Apps.

Amazon Cognito bis zur Einwilligung blockierenMeine Website scannen
Überblick

Was macht Amazon Cognito?

Was Amazon Cognito macht

Amazon Cognito ist der Identity Service von AWS. User Pools dienen zur Registrierung und Authentifizierung von Endnutzern per E Mail, Telefon, Social Login (Google, Facebook, Apple, SAML, OIDC), Multi Faktor Authentifizierung und Passwort Wiederherstellung; Identity Pools vergeben temporäre AWS Credentials, damit eine App AWS APIs im Namen des Nutzers aufrufen kann.

Verarbeitete Daten und Cookies

Cognito verarbeitet Kontoattribute (E Mail, Telefon, Custom Claims), Passwörter, MFA Secrets, OAuth und OIDC Tokens, IP Adressen, Geräte Fingerprints (bei aktivierter Advanced Security) sowie Login Aktivität. Die Hosted UI setzt First Party Cookies auf der Auth Domain (XSRF Token, Session Cookie), und die Client App speichert ID, Access und Refresh Tokens typischerweise in Cookies oder Browser Storage.

DSGVO und ePrivacy Bewertung

Cookies und Tokens, die den Nutzer angemeldet halten, sind technisch notwendig im Sinne von Art. 5(3) ePrivacy Richtlinie und § 25 Abs. 2 TTDSG und benötigen keine vorherige Einwilligung. AWS handelt als Auftragsverarbeiter über das AWS Data Processing Addendum, das Standardvertragsklauseln und das EU US Data Privacy Framework umfasst. Erweiterte Sicherheitsfunktionen (adaptive Authentifizierung, Kompromittierungsprüfung) führen Risiko Profiling durch und müssen in der Datenschutzerklärung erläutert werden.

Einwilligungspflichten

Für die reine Authentifizierung mit Cognito ist keine Einwilligung erforderlich. Wenn der Login Flow Social Federation Widgets lädt, die Tracking Cookies setzen (Google, Facebook, Apple), ist eine Einwilligung nötig, und die Nutzer müssen darüber informiert werden, dass ihr Login an den Drittanbieter weitergegeben wird.

Datenübermittlung und EU Regionen

User Pools und Identity Pools liegen in der von Ihnen gewählten AWS Region. Um Drittlandtransfers zu reduzieren, wählen Sie eu west 1 (Irland), eu central 1 (Frankfurt), eu west 3 (Paris), eu south 1 (Mailand), eu north 1 (Stockholm) oder eu west 2 (London). Administrative Metadaten, Support und Betriebs Telemetrie können dennoch von AWS Personal in den USA unter SCC und EU US Data Privacy Framework verarbeitet werden.

Praktische Compliance Schritte

Schließen Sie den AWS DPA, wählen Sie eine EU Region, erzwingen Sie eine starke Passwort Policy und MFA, setzen Sie sinnvolle Token Lebensdauern, regeln Sie Admin Aktionen über IAM Rollen, protokollieren Sie CloudTrail und Cognito Events, dokumentieren Sie die Betroffenenrechte Workflows (Export, Löschung via AdminDeleteUser) und führen Sie eine DSFA durch, sobald Advanced Security oder eine umfangreiche Identitätsverarbeitung aktiv sind.

Datenschutz

Amazon Cognito und die DSGVO

Rechtsgrundlage
Article 6(1)(b) GDPR (contract performance) for user authentication and account management; Article 6(1)(f) GDPR (legitimate interest) for security and fraud prevention. Consent is only required for optional social or marketing federation that triggers third party tracking.
Risikostufe
medium
Anwendbare Vorschriften
GDPR, ePrivacy Directive, German TTDSG, French CNIL guidance on identity providers, Spanish LOPDGDD

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA wird empfohlen, wenn Cognito für umfangreiche Authentifizierung eingesetzt wird, wenn besondere Kategorien (Gesundheit, öffentliche Verwaltung) verarbeitet werden, wenn mehrere externe Identity Provider eingebunden werden oder wenn die erweiterten Sicherheitsfunktionen Geräte und IP Risiken profilieren.

Beispieltext für Ihr Banner

Wir setzen Amazon Cognito (Amazon Web Services) ein, um Benutzerkonten, Anmeldung und Authentifizierung zu verwalten. Die Authentifizierungs Cookies und Tokens sind technisch notwendig, damit Sie angemeldet bleiben. Wenn Sie sich über einen Drittanbieter anmelden (Google, Facebook, Apple), kann dieser Ihre Kennungen nach seinen eigenen Bedingungen erhalten.
Cookies und Tracker

Was Amazon Cognito setzt und kontaktiert

Tracking-Methode
OAuth 2.0 / OpenID Connect authentication tokens (JWT), session cookies, identity tokens, optional federation cookies
Serverstandort
Configurable AWS region (EU regions available: eu-west-1 Ireland, eu-central-1 Frankfurt, eu-west-3 Paris, eu-south-1 Milan, eu-north-1 Stockholm, eu-west-2 London)
Datenübermittlung außerhalb der EU
Amazon Cognito is operated by Amazon Web Services, Inc., a US based company. Customer data stays in the AWS region you select, but administrative metadata, support requests and operational telemetry can be processed in the United States. AWS provides Standard Contractual Clauses and is self certified under the EU US Data Privacy Framework.

Gesetzte Cookies (7)

NameTypLaufzeitZweck
XSRF-TOKENhttpSessionCSRF protection for the Cognito Hosted UI login forms.
cognito-flhttpSessionFlag cookie used by the Hosted UI to track multi step login flows.
csrf-statehttp10 minutesStores the state parameter used during OAuth and federation flows to prevent replay attacks.
CognitoIdentityServiceProvider.<clientId>.<sub>.idTokenhttp1 hour (configurable)Stores the OpenID Connect ID token issued to the authenticated user.
CognitoIdentityServiceProvider.<clientId>.<sub>.accessTokenhttp1 hour (configurable)Stores the OAuth 2.0 access token used to call protected APIs.
CognitoIdentityServiceProvider.<clientId>.<sub>.refreshTokenhttp30 days (configurable, up to 10 years)Allows the client to obtain new access and ID tokens without re authentication.
CognitoIdentityServiceProvider.<clientId>.LastAuthUserhttpPersistentStores the username of the last user signed in on this device.

Kontaktierte Drittanbieter-Domains (5)

  • auth.<region>.amazoncognito.com
  • cognito-idp.<region>.amazonaws.com
  • cognito-identity.<region>.amazonaws.com
  • amazoncognito.com
  • amazonaws.com
Fragen

Häufige Fragen zu Amazon Cognito

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

Welche Cookies setzt Amazon Cognito?

Die Hosted UI setzt XSRF-TOKEN, csrf-state und ein Flow Cookie auf der eigenen Domain auth.<region>.amazoncognito.com. Nach erfolgreicher Anmeldung speichert die Client App ID, Access und Refresh Tokens, typischerweise als CognitoIdentityServiceProvider.* Cookies oder im Browser Storage.

Brauche ich eine Einwilligung für Cognito?

Nein für die Authentifizierung selbst: Session Cookies und Tokens sind technisch notwendig. Ja für jeden Social Login Button, der die SDKs von Google, Facebook oder Apple mit eigenen Tracking Cookies lädt, und ja, wenn die Advanced Security ein Verhaltensprofil über das Sicherheitserforderliche hinaus erstellt.

Welche Rechtsgrundlage gilt für die Identitätsdaten?

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) deckt Kontoanlage, Anmeldung und Passwortverwaltung. Art. 6 Abs. 1 lit. f (berechtigtes Interesse) deckt Betrugsprävention, Missbrauchsabwehr und Sicherheits Logs. Einwilligung (Art. 6 Abs. 1 lit. a) ist für optionale Föderation erforderlich, die Daten an Dritte weitergibt.

Werden Daten in die USA übermittelt?

Kundendaten verbleiben in der gewählten AWS Region. Administrative Metadaten, Support und Telemetrie können von AWS Personal in den USA verarbeitet werden, abgesichert durch Standardvertragsklauseln und das EU US Data Privacy Framework gemäß AWS DPA.

Brauche ich eine DSFA?

Eine DSFA wird empfohlen (und kann nach Art. 35 DSGVO Pflicht werden) für umfangreiche Identitätsverarbeitung, Identitäten im öffentlichen Sektor, sensible Branchen (Gesundheit, Finanzen) oder wenn adaptive Authentifizierung und risikobasiertes Profiling aktiv sind.

Wie setze ich Cognito DSGVO konform um?

Wählen Sie eine EU AWS Region, schließen Sie den AWS DPA, erzwingen Sie MFA, begrenzen Sie die Token Lebensdauer, regeln Sie Admin Zugriff über IAM Rollen, protokollieren Sie über CloudTrail, bieten Sie Workflows für Betroffenenrechte (Export, AdminDeleteUser) und beschränken Sie die erfassten Benutzerattribute auf das Nötigste.

Welche Alternativen gibt es?

Andere Identity Provider sind Auth0, Okta Customer Identity, Microsoft Entra External ID, Keycloak (selbst gehostet), FusionAuth, Ory Hydra/Kratos, Clerk, WorkOS und Supabase Auth. Jeder Anbieter hat ein eigenes Profil bezüglich Datenresidenz, Preis und Integration.

Wie aktualisiere ich die Cookie Richtlinie?

Führen Sie einen Cookie Scan auf den Auth und Callback Seiten durch, listen Sie die technisch notwendigen Cognito Cookies (XSRF-TOKEN, csrf-state, Token Speicherung), markieren Sie sie als First Party auf Ihrer Auth Domain und dokumentieren Sie alle Drittanbieter Cookies für Social Login, die bei Nutzeraktion geladen werden.

Gleiche Kategorie

Weitere Dienste: Sicherheit

Ganze Kategorie ansehen

Radar

Notwendig

WWPass

Notwendig

Socure

Notwendig

Login with Amazon

Notwendig

Sift

Notwendig

Authy

Notwendig

Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

Mein Banner erstellenMeine Website scannen