> HTTP Basic Authentication (RFC 7617): Funktionsweise, warum keine Cookies gesetzt werden und welche DSGVO-Regeln für passwortgeschützte Seiten gelten. > > Canonical: https://www.flowconsent.com/de/services/sicherheit/basic Sicherheit # HTTP Basic Authentication Notwendig · [Offizielle Website](https://datatracker.ietf.org/doc/html/rfc7617) HTTP Basic Authentication ist das von der IETF in RFC 7617 (2015) definierte Zugangsverfahren. Der Webserver antwortet mit dem Header WWW-Authenticate: Basic, der Browser zeigt ein eigenes Anmeldefenster und sendet Benutzername und Passwort danach Base64-kodiert mit jeder Anfrage. Es werden keine Cookies gesetzt und keine Drittanbieter geladen, daher ist keine Einwilligung nötig. Wegen der unverschlüsselten Zugangsdaten darf das Verfahren aber nur über HTTPS genutzt werden. [HTTP Basic Authentication bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=security) · [Meine Website scannen](https://www.flowconsent.com/de/scan) Auf einen Blick - Kategorie [Sicherheit](https://www.flowconsent.com/de/services/sicherheit) - Einwilligung Notwendig - Vorherige Einwilligung Nicht erforderlich - Dokumentierte Cookies 0 - Server Not applicable (handled by the website's own web server) Überblick ## Was macht HTTP Basic Authentication? ## **Was ist HTTP Basic Authentication?** HTTP Basic Authentication ist das einfachste Zugangsverfahren, das direkt im HTTP-Protokoll vorgesehen ist. Es ist von der IETF in RFC 7617 spezifiziert, die im September 2015 von Julian Reschke veröffentlicht wurde und die frühere Definition aus RFC 2617 ersetzt. Es handelt sich nicht um ein Produkt oder den Dienst eines Anbieters: Alle gängigen Webserver (Apache, Nginx, IIS, Caddy) und die meisten Frameworks unterstützen das Verfahren von Haus aus. Typische Einsatzorte sind Staging-Umgebungen, Admin-Bereiche, interne Tools und APIs. ## **Wie Basic Authentication auf einer Website erkennbar ist** Ruft ein Besucher eine geschützte Seite auf, antwortet der Server mit Status 401 und dem Header WWW-Authenticate: Basic, meist mit einem Realm-Namen. Technologie-Scanner erkennen das Verfahren an diesem Header. Der Browser blendet daraufhin seinen eigenen Anmeldedialog ein. Benutzername und Passwort werden mit einem Doppelpunkt verbunden, Base64-kodiert und im Authorization-Header jeder weiteren Anfrage übertragen. Es wird kein JavaScript geladen und keine externe Domain kontaktiert. ## **Cookies und personenbezogene Daten** Basic Authentication verwendet keine Cookies. Der Browser hält die Zugangsdaten für die Dauer der Sitzung im Speicher und sendet sie automatisch mit, weshalb es auch keine echte Abmeldung gibt. Betroffen sind Benutzername, Passwort und die IP-Adresse des Besuchers, die in der Regel in den Zugriffsprotokollen des Servers landet. Base64 ist eine Kodierung, keine Verschlüsselung: Wer eine unverschlüsselte Anfrage mitliest, kann das Passwort lesen. ## **DSGVO und Einwilligung** Eine Einwilligung ist nicht erforderlich. Das Verfahren dient ausschließlich dazu, einem berechtigten Nutzer Zugang zu einem von ihm gewünschten Dienst zu geben, und fällt damit unter die Ausnahme für unbedingt erforderliche Vorgänge nach Art. 5 Abs. 3 ePrivacy-Richtlinie bzw. § 25 Abs. 2 TDDDG. Die Verarbeitung der Zugangsdaten und Protokolle stützt sich auf den Vertrag mit dem Nutzer oder auf das berechtigte Interesse des Betreibers an einem gesicherten Zugang. Das Verfahren selbst überträgt keine Daten an Dritte oder in Länder außerhalb der EU. Die Sicherheitspflicht aus Art. 32 DSGVO gilt weiterhin. ## **Praktische Schritte** - Geschützte Bereiche ausschließlich über HTTPS ausliefern, nie über einfaches HTTP. - Passwörter auf dem Server gehasht speichern (bcrypt oder Argon2 in htpasswd-Dateien). - Die Speicherdauer der Zugriffsprotokolle begrenzen und in der Datenschutzerklärung nennen. - Für öffentliche Benutzerkonten eine sitzungsbasierte Anmeldung oder einen Identity Provider bevorzugen und Basic Authentication für interne oder temporäre Zugänge reservieren. - Rate Limiting oder IP-Beschränkungen gegen das Erraten von Passwörtern einsetzen. Datenschutz ## HTTP Basic Authentication und die DSGVO - Rechtsgrundlage Performance of a contract or legitimate interest (Art. 6(1)(b) or 6(1)(f) GDPR); storage of credentials in the browser is exempt from consent as strictly necessary (Art. 5(3) ePrivacy Directive) - Risikostufe low - Anwendbare Vorschriften GDPR, ePrivacy Directive ### Datenschutz-Folgenabschätzung (DSFA) Für Basic Authentication selbst ist keine Datenschutz-Folgenabschätzung erforderlich: Verarbeitet werden nur Zugangsdaten und Verbindungsprotokolle eines begrenzten Kreises berechtigter Nutzer. Zu beachten sind die Transportsicherheit (HTTPS ist Pflicht, da Base64 keinen Schutz bietet), die Speicherung der Passwörter auf dem Server und die Aufbewahrungsdauer der Zugriffsprotokolle. ### Beispieltext für Ihr Banner > Dieser Bereich ist mit einer standardmäßigen HTTP-Anmeldung geschützt. Ihr Browser übermittelt Ihre Zugangsdaten bei jeder Anfrage, damit Sie angemeldet bleiben; es wird kein Cookie gespeichert und nichts an Dritte weitergegeben. Cookies und Tracker ## Was HTTP Basic Authentication setzt und kontaktiert - Tracking-Methode Server-side HTTP authentication scheme, detected through a WWW-Authenticate: Basic response header (usually with a 401 status). No script, no cookie. - Serverstandort Not applicable (handled by the website's own web server) - Cookieloser Modus verfügbar Ja Fragen ## Häufige Fragen zu HTTP Basic Authentication Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Setzt HTTP Basic Authentication Cookies? Nein. Der Browser hält die Zugangsdaten im Speicher und sendet sie im Authorization-Header jeder Anfrage erneut. Es wird nichts in einem Cookie oder im lokalen Speicher abgelegt. ### Brauche ich einen Cookie-Banner für eine mit Basic Authentication geschützte Seite? Nein. Das Verfahren ist unbedingt erforderlich, um einem berechtigten Nutzer Zugang zum gewünschten Dienst zu geben, und daher von der Einwilligungspflicht ausgenommen. Die Verarbeitung von Zugangsdaten und Protokollen sollte dennoch in der Datenschutzerklärung beschrieben werden. ### Ist Basic Authentication sicher? Nur über HTTPS. Benutzername und Passwort sind lediglich Base64-kodiert und lassen sich von jedem dekodieren; über einfaches HTTP werden sie also im Klartext übertragen. Mit TLS, Rate Limiting und starken, gehashten Passwörtern ist das Verfahren für interne Tools und Staging-Umgebungen vertretbar. ### Warum kann man sich bei Basic Authentication nicht abmelden? Der Browser speichert die Zugangsdaten für die Sitzung, und das Protokoll kennt keinen Abmeldebefehl. In der Regel muss der Browser geschlossen werden, ein Grund, für öffentliche Konten eine sitzungsbasierte Anmeldung zu wählen. ### Welcher Standard definiert HTTP Basic Authentication? RFC 7617, im September 2015 von der IETF veröffentlicht. Sie ersetzt den Basic-Teil von RFC 2617 und ergänzt einen charset-Parameter, mit dem Server UTF-8-Zugangsdaten ankündigen können. Passender Leitfaden ## Unsere Leitfäden zu HTTP Basic Authentication [28. März 2026](https://www.flowconsent.com/de/blog/consent-mode-basic-vs-advanced-vergleich) ### [Consent Mode v2: Basic- oder Advanced-Modus, welcher ist der richtige?](https://www.flowconsent.com/de/blog/consent-mode-basic-vs-advanced-vergleich) [Consent Mode v2 bietet zwei Modi: Basic (strikte Blockierung) und Advanced (anonymisierte Pings). Unterschiede, DSGVO-Auswirkungen und Entscheidungshilfe.](https://www.flowconsent.com/de/blog/consent-mode-basic-vs-advanced-vergleich) [Leitfaden lesen](https://www.flowconsent.com/de/blog/consent-mode-basic-vs-advanced-vergleich) Gleiche Kategorie ## Weitere Dienste: Sicherheit [Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/sicherheit) ### [ClickGuard](https://www.flowconsent.com/de/services/sicherheit/clickguard) [Marketing](https://www.flowconsent.com/de/services/sicherheit/clickguard) · ### [Skyflow](https://www.flowconsent.com/de/services/sicherheit/skyflow) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/skyflow) · ### [AWS Certificate Manager](https://www.flowconsent.com/de/services/sicherheit/aws-certificate-manager) [Sicherheit](https://www.flowconsent.com/de/services/sicherheit/aws-certificate-manager) · ### [MaxMind](https://www.flowconsent.com/de/services/sicherheit/maxmind) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/maxmind) · ### [OpenSSL](https://www.flowconsent.com/de/services/sicherheit/openssl) [Sicherheit](https://www.flowconsent.com/de/services/sicherheit/openssl) · ### [ARCaptcha](https://www.flowconsent.com/de/services/sicherheit/arcaptcha) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/arcaptcha) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)