Header-Auth
Header-Auth bezeichnet die Authentifizierung von HTTP-Anfragen durch die Übermittlung von Zugangsdaten im Header der Anfrage. Häufig genutzt werden dabei das Authorization-Header-Feld mit Verfahren wie Bearer Token, Basic Auth oder API-Keys.
Ausführliche Erklärung
Header-Auth ist ein Oberbegriff für Authentifizierungsverfahren, bei denen Zugangsdaten über HTTP-Header übertragen werden. Das am häufigsten verwendete Header-Feld ist „Authorization", das unterschiedliche Authentifizierungsschemata unterstützt. Bei Basic Authentication werden Benutzername und Passwort Base64-kodiert übertragen, bei Bearer-Token-Authentication wird ein Token mitgesendet, das zuvor vom Server ausgestellt wurde. Daneben können auch API-Keys oder Custom Headers zur Authentifizierung genutzt werden.
Im KMU-Kontext spielt Header-Auth vor allem bei der Absicherung von API-Schnittstellen und Webhooks eine Rolle. Wenn ein Unternehmen beispielsweise externe Dienste anbindet oder automatisierte Prozesse über APIs steuert, müssen die eingehenden Anfragen authentifiziert werden, damit nur berechtigte Systeme Zugriff erhalten. Header-Auth bietet dafür eine standardisierte und technisch gut unterstützte Methode. Gerade bei Automatisierungsplattformen wie n8n, Make oder Zapier ist die Konfiguration von Header-Auth ein Standardschritt bei der Einrichtung von Webhooks.
Wichtig ist, dass Header-Auth immer über HTTPS (TLS-verschlüsselt) erfolgen sollte, da die Zugangsdaten sonst im Klartext übertragen werden. Bei Basic Authentication ist dies besonders kritisch, da die Base64-Kodierung keine Verschlüsselung darstellt. Bearer-Token-Verfahren, insbesondere mit JSON Web Tokens (JWT), bieten höhere Sicherheit, da Tokens zeitlich begrenzt und signiert sein können. Für sensible Anwendungen sollte Header-Auth mit weiteren Sicherheitsmaßnahmen wie Signaturprüfung, IP-Whitelisting oder Timestamp-Validierung kombiniert werden.
Praxisbeispiel
Eine österreichische Steuerberatungskanzlei mit 12 Mitarbeitenden nutzt eine Workflow-Automatisierung, um Mandantendaten aus der Kanzleisoftware automatisch an ein Dokumentenmanagementsystem zu übertragen. Dabei wird ein Webhook konfiguriert, der bei jeder neuen Rechnung ausgelöst wird. Um sicherzustellen, dass nur die eigene Kanzleisoftware Daten an das DMS senden kann, wird in den Webhook-Einstellungen eine Header-Auth mit Bearer Token eingerichtet. Das DMS prüft bei jeder eingehenden Anfrage, ob das Token im Authorization-Header vorhanden und gültig ist.
Code-Beispiel
// Python-Beispiel: API-Anfrage mit Bearer Token
import requests
url = "https://api.example.com/data"
token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
headers = {
"Authorization": f"Bearer {token}",
"Content-Type": "application/json"
}
response = requests.get(url, headers=headers)
if response.status_code == 200:
print("Authentifizierung erfolgreich")
else:
print(f"Fehler: {response.status_code}")