Detailliertere OAuth-Erklärung für weniger technisch versierte Nutzer

Die Bank-Analogie erklärt, wie das funktioniert:

• Die Bank & der Tresor (Ihr E-Mail-Anbieter): Google, Microsoft usw. fungieren als sichere Bank, die Ihre wertvollen Vermögenswerte (E-Mails, Kontakte, Kalender) aufbewahrt.
• Ihr Passwort mit vollem Zugriff (Ihr Nutzername/Passwort): Dies ist der Schlüssel zu Ihrem gesamten Schließfach. Sie zeigen es während der Verifizierung nur direkt der Bank, niemals zufälligen Drittanbieter-Apps.
• Thunderbird (Der Kurier): Thunderbird ist ein von Ihnen beauftragter Kurierdienst, der Ihre Post von der Bank zustellt und abholt.
• Der OAuth-Token (Der temporäre Ausweis): Anstatt dem Kurier Ihr Passwort auszuhändigen, stellt die Bank Thunderbird einen laminierten, zeitlich begrenzten Besucherausweis aus.

Wie der Prozess funktioniert

1. Zugriff anfordern: Wenn Sie in Thunderbird eine neue E-Mail-Adresse einrichten, bittet Thunderbird die Bank um einen Ausweis.
2. Der laminierte Ausweis: Die Bank leitet Sie vorübergehend auf ihre sichere Website (die Lobby der Bank) weiter, wo Sie Ihre Identität mit Ihrem Passwort mit vollem Zugriff (z. B. Ihrem Google- oder Microsoft-Kontopasswort) und möglicherweise einer Zwei-Faktor-Authentifizierung (2FA) bestätigen.
3. Eingeschränkte Berechtigungen: Nach der Verifizierung stellt die Bank Thunderbird einen Zugriffstoken (Access Token) aus. Dieser Token gewährt nur die Berechtigung zum Lesen und Senden von E-Mails (und möglicherweise von Kontakten und Kalendern) – er kann nicht für andere Zwecke (z. B. Google Fotos oder Microsofts One Drive), zum Ändern Ihres Kontopassworts oder zum Aussperren verwendet werden.
4. Zugriff widerrufen: Wenn Sie Thunderbird nicht mehr vertrauen oder Ihr Gerät verloren geht, können Sie die Bank anrufen (gehen Sie zu Ihren Google- oder Microsoft-Kontoeinstellungen) und ihr mitteilen, dass sie „den Ausweis stornieren“ soll. Thunderbird verliert sofort den Zugriff, aber Ihr Konto (z. B. Ihr Google- oder Microsoft-Konto) bleibt unberührt.

Das ist nicht technisch genug. Bitte erklären Sie OAuth im Detail!

OAuth ist ein Webstandard, mit dem Sie eine Anwendung oder einen Dienst autorisieren können, sich bei einem anderen anzumelden, ohne private Informationen wie Passwörter preiszugeben. Mit Google / Apple / Microsoft anmelden ist ein Beispiel für OAuth, das Sie vielleicht schon gesehen haben. Viele E-Mail-Anbieter wie Gmail und Outlook verwenden OAuth, damit sich Thunderbird bei ihren E-Mail-Diensten anmelden kann, ohne die gesamten Anmeldedaten des E-Mail-Anbieters mit Thunderbird zu teilen.

OAuth ist die Standard-Authentifizierungsmethode für Gmail, Outlook, Yahoo Mail und viele andere Anbieter. Der Anbieter (nicht Thunderbird) öffnet den Webbrowser Ihres Systems und zeigt eine Reihe von Dialogen im Design des Anbieters an, in denen Sie nach einem Nutzernamen und Passwort für Ihr Konto, der Zustimmung zu den Nutzungsbedingungen und der Autorisierung für die Arten von Daten des Anbieters gefragt werden, auf die Thunderbird zugreifen darf, z. B. E-Mails, Kalender und Kontakte. Jeder dieser Dialoge oder auch alle können Werbung enthalten. Alles, was in diesen Dialogen angezeigt wird (einschließlich Werbung), wird vom E-Mail-Anbieter kontrolliert, nicht von Thunderbird.

Ablauf des OAuth-Dialogs

Im Rahmen des Authentifizierungsprozesses werden Ihnen Dialoge für einige oder alle der folgenden Punkte angezeigt:

1. Geben Sie Ihren Nutzernamen, Ihre E-Mail-Adresse oder Ihre Mobilfunknummer an. Der Nutzername ist Ihre E-Mail-Adresse.
2. Geben Sie Ihr Kontopasswort ein (verwenden Sie nicht Ihr App-Passwort).
3. Optional: Stimmen Sie den Nutzungsbedingungen zu.
4. Optional: Wählen Sie eine Methode zur Bestätigung „Sind Sie das wirklich?“, indem ein Sicherheitscode an Ihr Telefon oder Ihre Konto-E-Mail-Adresse gesendet wird, und geben Sie dann den erhaltenen Code in einem Folgedialog ein.
5. Erteilen Sie Thunderbird die Berechtigung, auf einige oder alle der folgenden Daten zuzugreifen: E-Mails, Kontakte, Kalender.

Am Ende des Authentifizierungsprozesses:

• Ein Zugriffstoken (Access Token) wird von Ihrem Anbieter gesendet und dann von Thunderbird in seiner Passwortliste gespeichert, um den zukünftigen Zugriff auf den Server zu ermöglichen. Ein Token ist eine Zeichenfolge, die den Zugriff von einem bestimmten Client auf einem bestimmten Gerät ermöglicht – es ist kein Passwort. Token verfallen irgendwann zu einem von Ihrem Anbieter festgelegten Zeitpunkt, was erfordert, dass Sie sich erneut mit Ihrem Nutzernamen und Passwort authentifizieren. Wenn Sie Ihr Passwort nicht kennen, müssen Sie die Kontoseite Ihres Anbieters in einem Webbrowser verwenden, um ein neues Passwort zu erstellen, was oft als Zurücksetzen des Passworts bezeichnet wird.
• Thunderbird richtet die Konfiguration des Kontos entsprechend den von Ihnen soeben angegebenen Authentifizierungseinstellungen ein.