{"id":328331,"date":"2026-08-11T00:03:41","date_gmt":"2026-08-10T22:03:41","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=328331"},"modified":"2026-08-10T23:36:05","modified_gmt":"2026-08-10T21:36:05","slug":"anleitung-token-protection-in-web-apps-als-preview","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/08\/11\/anleitung-token-protection-in-web-apps-als-preview\/","title":{"rendered":"Anleitung \"Token Protection\" in Web-Apps als Preview"},"content":{"rendered":"

Mir sind die Tage zwei Informationen untergekommen, die ich mal hier im Blog einstelle. Microsoft hat eine Anleitung zur Bereitstellung von \"Token Protection\" f\u00fcr Web-Apps als Preview (Vorschau) ver\u00f6ffentlicht. Wer das aber umsetzt, k\u00f6nnte Gefahr laufen, dass die Web-Apps keinen Zugriff mehr auf Portale bekommen, warnt jemand.<\/p>\n

<\/p>\n

Was ist \"Token Protection\"?<\/h2>\n

\"\"Token Protection ist eine Sicherheitsfunktion in Microsoft Entra ID. Diese bindet Authentifizierungs- und Sitzungstoken kryptografisch an ein bestimmtes, vertrauensw\u00fcrdiges Ger\u00e4t. Dadurch wird ein gestohlenes Token auf fremden Ger\u00e4ten unbrauchbar, selbst wenn Angreifer die Multifaktor-Authentifizierung (MFA) zuvor aushebeln konnten.<\/p>\n

Microsoft beschreibt<\/a> Token Protection als eine Sitzungssteuerung im Rahmen des bedingten Zugriffs, die darauf abzielt, Token-Replay-Angriffe zu reduzieren. Durch die Funktion wird sichergestellt, dass Microsoft Entra ID nur ger\u00e4tegebundene Anmeldesitzungstoken, wie z. B. Primary Refresh Tokens (PRTs), akzeptiert, wenn Anwendungen Zugriff auf gesch\u00fctzte Ressourcen anfordern.<\/p>\n

Registriert ein Benutzer ein unterst\u00fctztes Ger\u00e4t bei Microsoft Entra, wird ein PRT ausgestellt und kryptografisch an dieses Ger\u00e4t gebunden. Diese Bindung stellt sicher, dass das Token selbst dann nicht von einem anderen Ger\u00e4t aus verwendet werden kann, wenn es von einem Angreifer gestohlen wird. Bei aktivierter Token-Sicherung \u00fcberpr\u00fcft Microsoft Entra, ob von unterst\u00fctzten Anwendungen ausschlie\u00dflich diese an Ger\u00e4te gebundenen Anmeldesitzungstoken verwendet werden.<\/p>\n

Preview:\u00a0Anleitung \"Token Protection\" in Web-Apps<\/h2>\n

\u00dcber nachfolgenden Tweet bin ich darauf gesto\u00dfen, dass Microsoft das Dokument\u00a0Token Protection deployment guide – Web apps (Preview)<\/a> ver\u00f6ffentlicht hat.<\/p>\n

\"Entra<\/a><\/p>\n

Laut Tweet erfordert der Token-Schutz f\u00fcr Web-Apps mithilfe von Azure Resource Manager (ARM) eine Erweiterung f\u00fcr Edge und Chrome und befindet sich nun in der \u00f6ffentlichen Vorschau (Preview). F\u00fcr die Nutzung dieser Funktion sind Microsoft Entra ID P1-Lizenzen erforderlich. Microsoft empfiehlt, die Sicherheitsfunktion als Teil einer umfassenden mehrstufigen Verteidigungsstrategie gegen Token-Diebstahl einzusetzen (siehe Protecting tokens in Microsoft Entra<\/a>).<\/p>\n

Es k\u00f6nnte Probleme geben<\/h2>\n

Bereits kurz bevor ich auf obigen Tweet gesto\u00dfen bin, sind mir mehrere Tweets mit Warnungen vor dem unbedachten\u00a0Token Protection-Einsatz untergekommen. Nachfolgender Tweet fasst das Ganze zusammen.<\/p>\n

\"Entra<\/a><\/p>\n

Nathan McNulty weist darauf hin, dass derzeit nur wenige Web-Apps und Browser unterst\u00fctzt werden. Er spricht eine Warnung aus: Die derzeitige Durchsetzung des Token-Schutzes f\u00fcr Web-Apps werde den Zugriff auf viele Portal-Apps effektiv blockieren. Seine Empfehlung lautet: \"Lassen Sie den Token-Schutz vorerst beiseite und f\u00fchren Sie stattdessen 'Global Secure Access' mit 'Universal CAE' ein.\" Ist Token-Protection f\u00fcr Web-Apps derzeit f\u00fcr euch ein Thema?<\/p>\n","protected":false},"excerpt":{"rendered":"

Mir sind die Tage zwei Informationen untergekommen, die ich mal hier im Blog einstelle. Microsoft hat eine Anleitung zur Bereitstellung von \"Token Protection\" f\u00fcr Web-Apps als Preview (Vorschau) ver\u00f6ffentlicht. Wer das aber umsetzt, k\u00f6nnte Gefahr laufen, dass die Web-Apps keinen … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1440,7263,4461,1356,426,7459],"tags":[4328,3836],"class_list":["post-328331","post","type-post","status-publish","format-standard","hentry","category-app","category-cloud","category-edge","category-google-chrome-internet","category-sicherheit","category-software","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328331","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=328331"}],"version-history":[{"count":1,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328331\/revisions"}],"predecessor-version":[{"id":328334,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328331\/revisions\/328334"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=328331"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=328331"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=328331"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}