HTTP Basic Authentication

Was ist HTTP Basic Authentication?

HTTP Basic Authentication ist das einfachste Zugangsverfahren, das direkt im HTTP-Protokoll vorgesehen ist. Es ist von der IETF in RFC 7617 spezifiziert, die im September 2015 von Julian Reschke veröffentlicht wurde und die frühere Definition aus RFC 2617 ersetzt. Es handelt sich nicht um ein Produkt oder den Dienst eines Anbieters: Alle gängigen Webserver (Apache, Nginx, IIS, Caddy) und die meisten Frameworks unterstützen das Verfahren von Haus aus. Typische Einsatzorte sind Staging-Umgebungen, Admin-Bereiche, interne Tools und APIs.

Wie Basic Authentication auf einer Website erkennbar ist

Ruft ein Besucher eine geschützte Seite auf, antwortet der Server mit Status 401 und dem Header WWW-Authenticate: Basic, meist mit einem Realm-Namen. Technologie-Scanner erkennen das Verfahren an diesem Header. Der Browser blendet daraufhin seinen eigenen Anmeldedialog ein. Benutzername und Passwort werden mit einem Doppelpunkt verbunden, Base64-kodiert und im Authorization-Header jeder weiteren Anfrage übertragen. Es wird kein JavaScript geladen und keine externe Domain kontaktiert.

Cookies und personenbezogene Daten

Basic Authentication verwendet keine Cookies. Der Browser hält die Zugangsdaten für die Dauer der Sitzung im Speicher und sendet sie automatisch mit, weshalb es auch keine echte Abmeldung gibt. Betroffen sind Benutzername, Passwort und die IP-Adresse des Besuchers, die in der Regel in den Zugriffsprotokollen des Servers landet. Base64 ist eine Kodierung, keine Verschlüsselung: Wer eine unverschlüsselte Anfrage mitliest, kann das Passwort lesen.

DSGVO und Einwilligung

Eine Einwilligung ist nicht erforderlich. Das Verfahren dient ausschließlich dazu, einem berechtigten Nutzer Zugang zu einem von ihm gewünschten Dienst zu geben, und fällt damit unter die Ausnahme für unbedingt erforderliche Vorgänge nach Art. 5 Abs. 3 ePrivacy-Richtlinie bzw. § 25 Abs. 2 TDDDG. Die Verarbeitung der Zugangsdaten und Protokolle stützt sich auf den Vertrag mit dem Nutzer oder auf das berechtigte Interesse des Betreibers an einem gesicherten Zugang. Das Verfahren selbst überträgt keine Daten an Dritte oder in Länder außerhalb der EU. Die Sicherheitspflicht aus Art. 32 DSGVO gilt weiterhin.

Praktische Schritte

• Geschützte Bereiche ausschließlich über HTTPS ausliefern, nie über einfaches HTTP.
• Passwörter auf dem Server gehasht speichern (bcrypt oder Argon2 in htpasswd-Dateien).
• Die Speicherdauer der Zugriffsprotokolle begrenzen und in der Datenschutzerklärung nennen.
• Für öffentliche Benutzerkonten eine sitzungsbasierte Anmeldung oder einen Identity Provider bevorzugen und Basic Authentication für interne oder temporäre Zugänge reservieren.
• Rate Limiting oder IP-Beschränkungen gegen das Erraten von Passwörtern einsetzen.