JSON Web Token (JWT) Decoder: JWT-Inhalt und Claims inspizieren

31. März 2026 · 12 Min. Lesezeit

JSON Web Tokens verstehen

JSON Web Tokens (JWTs) sind kompakte, eigenständige Tokens, die verwendet werden, um Informationen sicher zwischen Parteien als JSON-Objekt zu übertragen. Sie sind zum De-facto-Standard für Authentifizierung und Informationsaustausch in modernen Webanwendungen, mobilen Apps und Microservices-Architekturen geworden.

Im Gegensatz zur traditionellen sitzungsbasierten Authentifizierung, bei der Benutzerdaten auf dem Server gespeichert werden, betten JWTs die Daten direkt in das Token selbst ein. Dieser grundlegende Unterschied macht JWTs ideal für zustandslose Operationen – der Server muss keinen Sitzungsspeicher verwalten oder bei jeder Anfrage eine Datenbank abfragen, um die Benutzeridentität zu überprüfen.

Stellen Sie sich ein JWT wie einen digitalen Reisepass vor. So wie ein Reisepass Ihre Identitätsinformationen enthält und kryptografisch mit Hologrammen und Wasserzeichen gesichert ist, enthält ein JWT Claims über einen Benutzer und ist kryptografisch signiert, um Manipulation zu verhindern. Wenn Sie Ihren Reisepass an der Grenzkontrolle vorlegen, können Beamte seine Echtheit überprüfen, ohne Ihr Heimatland anzurufen – ähnlich können Dienste JWTs überprüfen, ohne den ausstellenden Server zu kontaktieren.

Häufige Szenarien, in denen JWTs glänzen, umfassen:

• Single Sign-On (SSO): Benutzer authentifizieren sich einmal und greifen mit demselben Token auf mehrere Dienste zu
• API-Authentifizierung: Mobile Apps und SPAs authentifizieren sich mit Backend-APIs ohne Cookies
• Informationsaustausch: Sichere Übertragung verifizierter Daten zwischen Diensten
• Zustandslose Autorisierung: Gewährung temporären Zugriffs auf Ressourcen ohne serverseitige Sitzungen

Die dreiteilige Struktur von JWTs

Jedes JWT besteht aus drei unterschiedlichen Teilen, die durch Punkte (Dots) getrennt sind. Jeder Teil erfüllt einen spezifischen Zweck im Funktions- und Sicherheitsmodell des Tokens. Wenn Sie ein JWT sehen, sieht es so aus:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Lassen Sie uns jede Komponente aufschlüsseln:

Header

Der Header besteht typischerweise aus zwei Teilen: dem Token-Typ (der JWT ist) und dem verwendeten Signaturalgorithmus, wie HMAC SHA256 oder RSA. Diese Information teilt der empfangenden Partei mit, wie das Token zu verarbeiten und zu überprüfen ist.

Ein dekodierter Header sieht so aus:

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

Der Payload enthält die Claims – Aussagen über eine Entität (typischerweise den Benutzer) und zusätzliche Metadaten. Claims werden in drei Typen kategorisiert:

Ein typischer Payload könnte so aussehen:

{
  "sub": "1234567890",
  "name": "John Doe",
  "email": "[email protected]",
  "role": "admin",
  "iat": 1516239022,
  "exp": 1516242622
}

Signatur

Die Signatur ist das kryptografische Siegel, das sicherstellt, dass das Token nicht manipuliert wurde. Sie wird erstellt, indem der kodierte Header, der kodierte Payload, ein geheimer Schlüssel genommen und der im Header angegebene Algorithmus angewendet wird.

Wenn beispielsweise HMAC SHA256 verwendet wird, wird die Signatur so erstellt:

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)

Die Signatur ermöglicht es dem Empfänger zu überprüfen, dass der Absender des JWT derjenige ist, der er vorgibt zu sein, und dass die Nachricht unterwegs nicht verändert wurde.

Warum einen JSON Web Token Decoder verwenden?

Während JWTs so konzipiert sind, dass sie maschinenlesbar sind, müssen Entwickler häufig ihren Inhalt während der Entwicklung, beim Debugging und bei Sicherheitsaudits inspizieren. Ein JWT-Decoder transformiert die Base64-kodierten Strings in menschenlesbares JSON und macht es einfach zu verstehen, welche Informationen das Token enthält.

Hier sind die Hauptgründe, warum Entwickler JWT-Decoder verwenden:

Entwicklung und Debugging

Beim Aufbau von Authentifizierungssystemen müssen Sie überprüfen, dass Ihre Tokens die richtigen Claims enthalten und korrekt formatiert sind. Ein Decoder ermöglicht es Ihnen, Tokens schnell zu inspizieren, ohne benutzerdefinierten Code zu schreiben oder Kommandozeilen-Tools zu verwenden.

Wenn Benutzer beispielsweise Authentifizierungsprobleme melden, können Sie ihr JWT dekodieren, um zu prüfen, ob der exp-Claim (Ablauf) abgelaufen ist oder ob erforderliche Claims fehlen.

Sicherheitsaudit

Sicherheitsteams verwenden JWT-Decoder, um Tokens auf potenzielle Schwachstellen zu analysieren. Sie können prüfen auf:

• Versehentlich im Payload enthaltene sensible Informationen
• Schwache Signaturalgorithmen (wie none oder HS256, wenn RS256 erwartet wird)
• Fehlende oder falsch konfigurierte Sicherheits-Claims
• Übermäßige Token-Laufzeiten, die das Sicherheitsrisiko erhöhen

Integrationstests

Bei der Integration mit Drittanbieter-APIs, die JWT-Authentifizierung verwenden, hilft das Dekodieren von Tokens, das erwartete Format und die Claims-Struktur zu verstehen. Dies ist besonders nützlich, wenn die Dokumentation unvollständig oder veraltet ist.

Lernen und Bildung

Für Entwickler, die neu bei JWT sind, bietet ein Decoder sofortiges visuelles Feedback darüber, wie die dreiteilige Struktur funktioniert und wie Änderungen am Payload das endgültige Token beeinflussen.

Schritt-für-Schritt-Dekodierungsprozess

Das Dekodieren eines JWT ist unkompliziert, sobald Sie den Prozess verstehen. So funktioniert es unter der Haube:

Schritt 1: Token aufteilen

Teilen Sie zunächst den JWT-String an den Punktzeichen auf, um die drei Teile zu trennen:

const parts = token.split('.');
const header = parts[0];
const payload = parts[1];
const signature = parts[2];

Schritt 2: Base64-Dekodierung

Jeder Teil ist Base64URL-kodiert (eine URL-sichere Variante von Base64). Dekodieren Sie Header und Payload, um die JSON-Strings zu erhalten:

const decodedHeader = atob(header);
const decodedPayload = atob(payload);

Schritt 3: JSON parsen

Parsen Sie die dekodierten Strings als JSON-Objekte:

const headerObj = JSON.parse(decodedHeader);
const payloadObj = JSON.parse(decodedPayload);

Schritt 4: Inhalt inspizieren

Jetzt können Sie die Claims und Metadaten untersuchen. Prüfen Sie auf Standard-Claims wie:

• iss (issuer): Wer das Token erstellt und signiert hat
• sub (subject): Der Benutzer oder die Entität, die das Token repräsentiert
• aud (audience): Für wen das Token bestimmt ist
• exp (expiration): Wann das Token abläuft (Unix-Zeitstempel)
• iat (issued at): Wann das Token erstellt wurde
• nbf (not before): Token sollte vor dieser Zeit nicht akzeptiert werden

Mit unserem JWT Decoder erfolgt dieser gesamte Prozess sofort in Ihrem Browser. Fügen Sie einfach Ihr Token ein und sehen Sie sofort den dekodierten Header und Payload.

Validierung der Token-Signatur

Das Dekodieren eines JWT ist nur die halbe Geschichte – die Validierung ist der Punkt, an dem Sicherheit stattfindet. Jeder kann ein JWT dekodieren, da es nur Base64-kodiertes JSON ist, aber nur Parteien mit dem richtigen Geheimnis oder öffentlichen Schlüssel können die Signatur überprüfen.

Warum Signaturvalidierung wichtig ist

Die Signatur gewährleistet zwei kritische Sicherheitseigenschaften:

1. Integrität: Das Token wurde seit der Signierung nicht verändert
2. Authentizität: Das Token wurde von einer vertrauenswürdigen Partei erstellt, die den geheimen Schlüssel besitzt

Ohne Signaturvalidierung könnte ein Angreifer ein JWT dekodieren, den Payload ändern (vielleicht seine Berechtigungen von "user" auf "admin" erhöhen), es neu kodieren und das modifizierte Token verwenden. Die Signatur verhindert diesen Angriff.

Validierungsprozess

Um eine JWT-Signatur zu validieren, benötigen Sie:

• Das vollständige JWT (alle drei Teile)
• Den geheimen Schlüssel (für HMAC-Algorithmen) oder öffentlichen Schlüssel (für RSA/ECDSA-Algorithmen)
• Kenntnis des verwendeten Signaturalgorithmus

Der Validierungsprozess erstellt die Signatur unter Verwendung von Header und Payload aus dem Token neu und vergleicht sie dann mit der im Token enthaltenen Signatur. Wenn sie übereinstimmen, ist das Token gültig.

Gängige Signaturalgorithmen