Was ist OpenID Connect?
Ein neues Tool, ein Klick auf „Mit Google anmelden“, fertig. Kein neues Passwort, kein Formular. Das Tool weiß trotzdem, wer du bist. Für diese Auskunft sorgt in der Regel OpenID Connect (OIDC).
Die Spezifikation nennt es eine einfache Identitätsschicht auf dem Protokoll OAuth 2.0. Ein Dienst kann damit prüfen, wer sich angemeldet hat, und bekommt Basisdaten zum Profil. Der Vorteil: Er muss selbst keine Passwörter speichern.
OIDC ist keine Erfindung eines einzelnen Anbieters. Es ist ein offener Standard der OpenID Foundation, die aktuelle Fassung von OIDC Core 1.0 stammt vom 15. Dezember 2023. Google schreibt, seine Anmeldung folge dieser Spezifikation und sei OpenID-zertifiziert.
Was ist der Unterschied zu OAuth?
Das ist die häufigste Verwechslung. Merk dir das Bild: OAuth ist der Schlüssel, OIDC der Ausweis.
OAuth 2.0
OIDC
Frage
Was darf die App?
Wer ist der Nutzer?
Ergebnis
Access-Token
Zusätzlich ID-Token
Beispiel
Tool liest deinen Kalender
Login mit Google
Das ID-Token ist der Kern von OIDC, eine signierte Datei im JWT-Format. Darin steht unter anderem, wer es ausgestellt hat, für wen es gilt, wann es abläuft und eine eindeutige Kennung des Nutzers. Ausgelöst wird das Ganze, indem ein Dienst bei der Anfrage den Scope openid mitschickt.
Beide laufen oft gleichzeitig. Du meldest dich per OIDC an und gibst der App per OAuth Zugriff auf deine Daten.
OIDC, SAML und Single Sign-on
Single Sign-on (SSO) ist das Ziel: einmal anmelden, viele Dienste nutzen. OIDC und SAML sind zwei Wege dorthin. SAML ist der ältere, XML-basierte Weg, verbreitet in Unternehmen und Hochschulen.
Laut OpenID Foundation deckt OIDC dieselben Fälle mit einfacherem JSON und REST ab und funktioniert auch in mobilen Apps. Die Foundation erwartet aber, dass beide noch eine Weile nebeneinander laufen. Sie ist hier natürlich Partei.
OIDC und MCP-Server
Wenn du KI-Assistenten über das Model Context Protocol (MCP) an deine Tools anbindest, taucht OIDC wieder auf. Aber anders, als viele denken: Ein MCP-Server verlangt keine OIDC-Anmeldung. Formal arbeitet er mit OAuth 2.1.
OIDC kommt in der Fassung vom 25. November 2025 bei der Auffindbarkeit ins Spiel. Der Autorisierungsserver muss seine Konfiguration veröffentlichen, entweder nach dem OAuth-Standard RFC 8414 oder über OpenID Connect Discovery. MCP-Clients müssen beide Wege können. Die Spezifikation ändert sich laufend, schau also auf das Datum.
Häufige Fehler
Fehler 1 · OAuth für eine Anmeldung halten
OAuth 2.0 regelt delegierten Zugriff. Erst OIDC liefert den Nachweis, wer da sitzt. Wer beides gleichsetzt, baut unsichere Logins.
Fehler 2 · Das Access-Token als Login-Beweis nehmen
Das Access-Token ist für die Programmierschnittstelle gedacht. Zur Anmeldung gehört das geprüfte ID-Token.
Fehler 3 · Die E-Mail-Adresse als Nutzer-ID nehmen
E-Mail-Adressen ändern sich. Google rät deshalb, die feste Kennung sub zu verwenden. Das ist auch für dein CRM ein guter Gedanke: Wer sich umbenennt, sollte kein zweiter Kontakt werden.
Fehler 4 · Tokens selbst prüfen wollen
Microsoft und Google empfehlen fertige Bibliotheken statt Eigenbau. Das ist Sache der Entwicklung, aber frag beim nächsten Projekt ruhig danach.
Was das für dich bedeutet
Drei Dinge lohnen sich im Alltag:
- Zustimmungsfenster lesen: Geht es nur um deinen Namen und deine E-Mail-Adresse, ist das die Anmeldung. Will die App Mails oder Dateien, ist das OAuth-Zugriff.
- Firmenkonto bewusst nutzen: Der Login hängt dann an deinem Google- oder Microsoft-Konto. Verlässt jemand das Team, entfällt der Zugang mit dem Konto.
- Single Sign-on prüfen: Bei mehreren Tools im Team lohnt die Frage, ob das Tool SSO kann.
Häufige Fragen
Ist OpenID Connect dasselbe wie „Mit Google anmelden“?
Nicht ganz. „Mit Google anmelden“ ist das Produkt, OpenID Connect das Protokoll dahinter. Google schreibt, seine OAuth-2.0-Anmeldung entspreche der OIDC-Spezifikation.
Was steht im ID-Token?
Pflicht sind Aussteller, Nutzerkennung, Empfänger, Ablaufzeit und Ausstellungszeit. Dazu kommen je nach Anbieter Daten wie Name, E-Mail-Adresse oder Profilbild. Das Token ist signiert, damit niemand es unbemerkt ändert.
Was ist der Unterschied zwischen OIDC und SAML?
Beide ermöglichen Single Sign-on. SAML arbeitet mit XML und ist in Unternehmen etabliert, OIDC mit JSON und ist laut OpenID Foundation einfacher und auch für mobile Apps gedacht. Welches Verfahren passt, bestimmen oft deine vorhandenen Systeme.
Braucht ein MCP-Server OpenID Connect?
Nein. MCP setzt für die Autorisierung auf OAuth 2.1, und die ist für lokale Verbindungen sogar optional. OIDC spielt nur eine Rolle, wenn der Autorisierungsserver seine Konfiguration über OpenID Connect Discovery bereitstellt.
