Universelle Anmeldeverfahren im Web

"Melden Sie sich mit Ihrem Facebook- oder Google-Konto an!" Wer gerne im Web surft und neue Online-Dienste ausprobiert, kennt Aufforderungen dieser Art. Bietet eine Website solche Möglichkeiten an, entfallen Registrierung und Anlegen eines neuen Logins mit Benutzernamen, Passwort und weiteren Angaben.

Stattdessen gibt man einfach die vorhandenen Login-Daten von Facebook oder Google ein - sofort ist man eingeloggt. Technisch gesehen verbergen sich hinter der Anmeldung per Facebook- oder Google-Konto jedoch zwei unterschiedliche Systeme. Während Facebook auf sein eigenes Anmeldeverfahren Facebook Connect setzt, nutzt Google das weitverbreitete OpenID-System zur Authentifizierung.

OpenID (openid.net) ist ein offenes, dezentrales Authentifizierungssystem für Webseiten und webbasierte Dienste. Anwender erhalten von einem so genannten OpenID-Provider eine kostenlose Identität, die OpenID. Dazu registrieren sie sich bei dem Provider einmalig mit persönlichen Angaben.

Anschließend können sich die Nutzer mit ihrer OpenID überall dort anmelden, wo das System unterstützt wird. Entsprechende Webseiten und Dienste werden als Consumer bezeichnet. OpenID-Teilnehmer können entweder nur Provider sein, nur Consumer oder aber beides zugleich. So ist Google zum Beispiel nur OpenID-Provider - ein Google-Account kann auf anderen Websites zum Einloggen genutzt werden.

Die Open-Source-Seite Sourceforge.net ist nur Consumer - man kann sich dort mit einer vorhandenen OpenID anmelden, aber keine neue Identität erstellen. Verständlicherweise sind vor allem kleinere Websites ausschließlich Consumer. Sie rechnen damit, dass jeder Internetnutzer ein Konto von einem großen Anbieter wie Google, Yahoo oder Flickr besitzt.

Die ursprüngliche Variante einer OpenID ist die URL-Form. Dabei ist der Anmeldename oftmals eine Subdomain zur Domain des Open-ID-Providers - benutzername.beispiel-provider.de oder www.beispiel-provider.de/benutzername. Wenn die Eingabe einer solchen URL zur Anmeldung verlangt wird, ist es offensichtlich, dass sich dahinter OpenID verbirgt.

Entsprechende Anmeldefenster sind auch durch das OpenID-Symbol gekennzeichnet, das ein orangefarbenes I und einen grauen Rundpfeil zeigt. Weniger deutlich ist OpenID, wenn es einfach nur einen Login-Button gibt. Das ist zum Beispiel bei der Anmeldung mit einem Google- oder Yahoo-Account der Fall. Tatsächlich verbirgt sich dahinter aber auch OpenID.

Egal, ob Eingabe der OpenID oder Anklicken eines Anmelde-Buttons: Danach öffnet sich immer ein Fenster, in das Benutzername und Passwort des OpenID-Providers eingegeben werden müssen.

Die OpenID-Authentifizierung

Die eigentliche Authentifizierung des Anwenders läuft nach einem festen Schema ab - siehe Grafik oben. Der Nutzer gibt beim Consumer seine OpenID-Adresse ein oder klickt auf den Anmelde-Button, etwa für Google oder Yahoo. Consumer und Provider handeln nun per SSL einen Schlüssel aus, sodass die weitere Kommunikation sicher stattfinden kann.

Das erwähnte Anmeldefenster öffnet sich. Der Nutzer loggt sich beim OpenID-Provider ein, dieser prüft die Identität und leitet das Ergebnis an den Consumer weiter. Dabei bekommt der Consumer die Login-Daten selbst nicht zu sehen, nur das OK oder eine Ablehnung, falls die Login-Daten nicht existieren oder nicht korrekt sind.

Das OpenID-Protokoll sieht übrigens vor, dass der Consumer weitere Anwenderdaten vom Provider erhalten kann, wenn der Nutzer der Übermittlung solcher Daten zustimmt. Dazu gehören zum Beispiel Name, Nickname, Geburtsdatum, E-Mail-Adresse und Herkunftsland.

In der Praxis ist diese Datenübermittlung wenig verbreitet. Für den Anwender hat sie den Vorteil, dass er manche Daten nicht doppelt angeben muss. Allerdings muss er selbst abwägen, ob die Übermittlung der Daten in jedem Fall sinnvoll ist.

Webdienste, die OpenID als Login-Verfahren unterstützen, können ergänzend ein klassisches Login mit Benutzernamen und Passwort anbieten oder aber darauf verzichten. Wenn sie ausschließlich OpenID anbieten, müssen sie beispielsweise keine Funktionen für das Wiederherstellen vergessener Passwörter implementieren.

Weil Benutzernamen und Passwörter überhaupt nicht mehr gespeichert werden müssen, entfällt auch der dafür nötige Sicherheitsaufwand aufseiten des Website-Betreibers. Das ist ein Grund, warum vor allem immer mehr kleine Websites auf OpenID setzen.

Viele Internetnutzer dürften bereits eine OpenID besitzen, auch wenn sie sich dessen vielleicht nicht bewusst sind. Denn neben Google-, Yahoo und Flickr-Konten können zum Beispiel auch Weblog-URLs von Blogger, Typepad oder Wordpress als OpenID genutzt werden, aber auch andere Webdienste wie MySpace oder Technorati.

Wer keinen Account bei einem der genannten Online-Dienste besitzt oder ihn nicht nutzen will, wählt einen unabhängigen OpenID-Provider, zum Beispiel MyOpenID (www.myopenid.com). Dort kann man eine persönliche Profil-Webseite anlegen, deren URL sich als OpenID nutzen lässt. Einen vergleichbaren Dienst in deutscher Sprache bietet die Website MyON-ID (www.myonid.de).