Seminar Supabase – Authentifizierung, OAuth, SSO und MFA

Das Seminar führt durch Authentifizierungsflüsse von Passwort und Einmalcode bis zu Social Login, Unternehmens-SSO und Mehrfaktor-Authentifizierung. Sessions, Identitäten, Redirects und die Kopplung an Datenzugriffsregeln werden praktisch abgesichert.

Eine Beispielanwendung erhält mehrere Anmeldewege, kontrollierte Sessions, MFA, rollenabhängige Datenzugriffe sowie Tests für Fehlkonfigurationen und Missbrauchsszenarien.

Inhaltsübersicht

• 1. Benutzer, Identitäten, Sessions und JWT einordnen
• 2. Passwortlose und kennwortbasierte Flüsse umsetzen
• 3. PKCE, SSR, Redirects und mobile Rücksprünge absichern
• 4. Social Login, OIDC und Unternehmens-SSO integrieren
• 5. MFA und Schutzmechanismen konfigurieren
• 6. Authentifizierung mit Autorisierung verbinden

1. Benutzer, Identitäten, Sessions und JWT einordnen

In diesem Abschnitt werden Lebenszyklus von Benutzerkonto, Identität, Session, Access Token, Refresh Token und Claims nachvollziehen. Ziel ist ein nachvollziehbares Vorgehen, das sich in Entwicklungs-, Test- und Betriebsumgebungen wiederholen lässt.

Schritt-für-Schritt-Vorgehen

1. Schritt 1 – Ausgangslage erfassen: Fachliche Anforderungen, betroffene Daten, Rollen, Schnittstellen und Qualitätskriterien für „Benutzer, Identitäten, Sessions und JWT einordnen“ in einer Arbeitsmatrix festhalten.
2. Schritt 2 – Zielzustand planen: Lebenszyklus von benutzerkonto, identität, session, access token, refresh token und claims nachvollziehen; dabei Abhängigkeiten, Sicherheitsgrenzen, Fehlerfälle und Rückfallmöglichkeiten ausdrücklich dokumentieren.
3. Schritt 3 – Umsetzung durchführen: Ein sequenzmodell für anmeldung, token-erneuerung, abmeldung und serverseitige prüfung erstellen und an einer testanwendung beobachten.
4. Schritt 4 – Prüfung und Nachweis: Positiv-, Negativ- und Wiederholungsfall ausführen, Soll- und Ist-Ergebnis vergleichen, Abweichungen korrigieren und den fertigen Standard versioniert dokumentieren.

Prüfpunkt: Die Umsetzung ist erst abgeschlossen, wenn der vorgesehene Zugriff funktioniert, unzulässige Varianten abgewiesen werden, der Fehlerfall nachvollziehbar bleibt und ein zweiter Durchlauf dasselbe Ergebnis liefert.

2. Passwortlose und kennwortbasierte Flüsse umsetzen

In diesem Abschnitt werden Registrierung, E-Mail-Bestätigung, Passwort, Magic Link, Einmalcode, Telefon und optionale Passkey-Verfahren nach Sicherheitsbedarf auswählen. Ziel ist ein nachvollziehbares Vorgehen, das sich in Entwicklungs-, Test- und Betriebsumgebungen wiederholen lässt.

Schritt-für-Schritt-Vorgehen

1. Schritt 1 – Ausgangslage erfassen: Fachliche Anforderungen, betroffene Daten, Rollen, Schnittstellen und Qualitätskriterien für „Passwortlose und kennwortbasierte Flüsse umsetzen“ in einer Arbeitsmatrix festhalten.
2. Schritt 2 – Zielzustand planen: Registrierung, e-mail-bestätigung, passwort, magic link, einmalcode, telefon und optionale passkey-verfahren nach sicherheitsbedarf auswählen; dabei Abhängigkeiten, Sicherheitsgrenzen, Fehlerfälle und Rückfallmöglichkeiten ausdrücklich dokumentieren.
3. Schritt 3 – Umsetzung durchführen: Zwei unterschiedliche anmeldewege mit sicheren rückmeldungen, wiederherstellung und kontrollierter benutzerregistrierung implementieren.
4. Schritt 4 – Prüfung und Nachweis: Positiv-, Negativ- und Wiederholungsfall ausführen, Soll- und Ist-Ergebnis vergleichen, Abweichungen korrigieren und den fertigen Standard versioniert dokumentieren.

Prüfpunkt: Die Umsetzung ist erst abgeschlossen, wenn der vorgesehene Zugriff funktioniert, unzulässige Varianten abgewiesen werden, der Fehlerfall nachvollziehbar bleibt und ein zweiter Durchlauf dasselbe Ergebnis liefert.

3. PKCE, SSR, Redirects und mobile Rücksprünge absichern

In diesem Abschnitt werden Client-, Server- und mobile Anwendungen hinsichtlich Code-Austausch, Cookie-Verarbeitung, erlaubter Redirect-Ziele und Deep Links unterscheiden. Ziel ist ein nachvollziehbares Vorgehen, das sich in Entwicklungs-, Test- und Betriebsumgebungen wiederholen lässt.

Schritt-für-Schritt-Vorgehen

1. Schritt 1 – Ausgangslage erfassen: Fachliche Anforderungen, betroffene Daten, Rollen, Schnittstellen und Qualitätskriterien für „PKCE, SSR, Redirects und mobile Rücksprünge absichern“ in einer Arbeitsmatrix festhalten.
2. Schritt 2 – Zielzustand planen: Client-, server- und mobile anwendungen hinsichtlich code-austausch, cookie-verarbeitung, erlaubter redirect-ziele und deep links unterscheiden; dabei Abhängigkeiten, Sicherheitsgrenzen, Fehlerfälle und Rückfallmöglichkeiten ausdrücklich dokumentieren.
3. Schritt 3 – Umsetzung durchführen: Lokale, vorschau- und produktionsziele getrennt konfigurieren und fehlerhafte beziehungsweise manipulierte rücksprünge testen.
4. Schritt 4 – Prüfung und Nachweis: Positiv-, Negativ- und Wiederholungsfall ausführen, Soll- und Ist-Ergebnis vergleichen, Abweichungen korrigieren und den fertigen Standard versioniert dokumentieren.

Prüfpunkt: Die Umsetzung ist erst abgeschlossen, wenn der vorgesehene Zugriff funktioniert, unzulässige Varianten abgewiesen werden, der Fehlerfall nachvollziehbar bleibt und ein zweiter Durchlauf dasselbe Ergebnis liefert.

4. Social Login, OIDC und Unternehmens-SSO integrieren

In diesem Abschnitt werden externe Identitätsanbieter, benutzerdefinierte OAuth/OIDC-Anbieter, SAML-SSO und Identitätsverknüpfung fachlich abgrenzen. Ziel ist ein nachvollziehbares Vorgehen, das sich in Entwicklungs-, Test- und Betriebsumgebungen wiederholen lässt.

Schritt-für-Schritt-Vorgehen

1. Schritt 1 – Ausgangslage erfassen: Fachliche Anforderungen, betroffene Daten, Rollen, Schnittstellen und Qualitätskriterien für „Social Login, OIDC und Unternehmens-SSO integrieren“ in einer Arbeitsmatrix festhalten.
2. Schritt 2 – Zielzustand planen: Externe identitätsanbieter, benutzerdefinierte oauth/oidc-anbieter, saml-sso und identitätsverknüpfung fachlich abgrenzen; dabei Abhängigkeiten, Sicherheitsgrenzen, Fehlerfälle und Rückfallmöglichkeiten ausdrücklich dokumentieren.
3. Schritt 3 – Umsetzung durchführen: Einen externen anbieter in einer testkonfiguration anbinden, claims zuordnen und konto-dubletten sowie verknüpfungsfälle prüfen.
4. Schritt 4 – Prüfung und Nachweis: Positiv-, Negativ- und Wiederholungsfall ausführen, Soll- und Ist-Ergebnis vergleichen, Abweichungen korrigieren und den fertigen Standard versioniert dokumentieren.

Prüfpunkt: Die Umsetzung ist erst abgeschlossen, wenn der vorgesehene Zugriff funktioniert, unzulässige Varianten abgewiesen werden, der Fehlerfall nachvollziehbar bleibt und ein zweiter Durchlauf dasselbe Ergebnis liefert.

5. MFA und Schutzmechanismen konfigurieren

In diesem Abschnitt werden Mehrfaktor-Verfahren, Assurance Level, Ratenbegrenzung, Bot-Schutz, E-Mail-Versand und Auth-Hooks zu einer Schutzkette verbinden. Ziel ist ein nachvollziehbares Vorgehen, das sich in Entwicklungs-, Test- und Betriebsumgebungen wiederholen lässt.

Schritt-für-Schritt-Vorgehen

1. Schritt 1 – Ausgangslage erfassen: Fachliche Anforderungen, betroffene Daten, Rollen, Schnittstellen und Qualitätskriterien für „MFA und Schutzmechanismen konfigurieren“ in einer Arbeitsmatrix festhalten.
2. Schritt 2 – Zielzustand planen: Mehrfaktor-verfahren, assurance level, ratenbegrenzung, bot-schutz, e-mail-versand und auth-hooks zu einer schutzkette verbinden; dabei Abhängigkeiten, Sicherheitsgrenzen, Fehlerfälle und Rückfallmöglichkeiten ausdrücklich dokumentieren.
3. Schritt 3 – Umsetzung durchführen: Mfa-einschreibung, challenge, wiederanmeldung und eine erhöhte schutzanforderung für sensible aktionen umsetzen.
4. Schritt 4 – Prüfung und Nachweis: Positiv-, Negativ- und Wiederholungsfall ausführen, Soll- und Ist-Ergebnis vergleichen, Abweichungen korrigieren und den fertigen Standard versioniert dokumentieren.

Prüfpunkt: Die Umsetzung ist erst abgeschlossen, wenn der vorgesehene Zugriff funktioniert, unzulässige Varianten abgewiesen werden, der Fehlerfall nachvollziehbar bleibt und ein zweiter Durchlauf dasselbe Ergebnis liefert.

6. Authentifizierung mit Autorisierung verbinden

In diesem Abschnitt werden JWT-Inhalte, Rollen, Mandantenkontext, RLS und serverseitige Sonderrechte ohne Vertrauenslücken kombinieren. Ziel ist ein nachvollziehbares Vorgehen, das sich in Entwicklungs-, Test- und Betriebsumgebungen wiederholen lässt.

Schritt-für-Schritt-Vorgehen

1. Schritt 1 – Ausgangslage erfassen: Fachliche Anforderungen, betroffene Daten, Rollen, Schnittstellen und Qualitätskriterien für „Authentifizierung mit Autorisierung verbinden“ in einer Arbeitsmatrix festhalten.
2. Schritt 2 – Zielzustand planen: Jwt-inhalte, rollen, mandantenkontext, rls und serverseitige sonderrechte ohne vertrauenslücken kombinieren; dabei Abhängigkeiten, Sicherheitsgrenzen, Fehlerfälle und Rückfallmöglichkeiten ausdrücklich dokumentieren.
3. Schritt 3 – Umsetzung durchführen: Zugriffsregeln für eigentümer, teammitglieder und administratoren aufbauen und mit abgelaufenen, manipulierten und unzureichend abgesicherten sessions testen.
4. Schritt 4 – Prüfung und Nachweis: Positiv-, Negativ- und Wiederholungsfall ausführen, Soll- und Ist-Ergebnis vergleichen, Abweichungen korrigieren und den fertigen Standard versioniert dokumentieren.

Prüfpunkt: Die Umsetzung ist erst abgeschlossen, wenn der vorgesehene Zugriff funktioniert, unzulässige Varianten abgewiesen werden, der Fehlerfall nachvollziehbar bleibt und ein zweiter Durchlauf dasselbe Ergebnis liefert.