Modern Basic Auth (m.b.a.)

Was ist Basic Auth?

HTTP Basic Authentication, kurz Basic Auth, ist ein sehr einfacher Mechanismus zur Zugangskontrolle im Web. Der Server fordert den Benutzer auf, einen Benutzernamen und ein Paßwort einzugeben, die dann bei jeder Anfrage automatisch mitgesendet werden. Die Zugangsdaten werden nur Base64-kodiert übertragen, daher ist die Nutzung nur in Verbindung mit HTTPS sicher.

Wofür nutzt man Basic Auth?

Basic Auth eignet sich besonders für:

• Schutz von Admin-Bereichen oder Staging-Seiten
• Interne Tools oder Wartungsseiten
• Bereiche, in denen nur ein kleiner Kreis an Benutzern Zugriff benötigt

Der Vorteil liegt darin, daß es sofort vom Server unterstützt wird, keine zusätzliche Software oder komplexes Session-Handling nötig ist.

Warum wird Basic Auth so häufig verwendet?

Die Beliebtheit kommt von der extrem einfachen Implementierung und der universellen Unterstützung durch Browser und Tools wie curl. Entwickler:innen können schnell und ohne großen Aufwand einen Verzeichnisschutz einrichten, der schon einen soliden Grundschutz bietet.

Vorteile von Basic Auth

• Einfach umzusetzen – native Unterstützung in Apache, Nginx und anderen Webservern.
• Kein Session-Handling – keine Cookies, Sessions oder Session-Hijacking.
• Geringe Angriffsfläche – minimaler Code, kaum typische Web-Schwachstellen.
• Serverseitig erzwungen – greift, bevor PHP oder andere Anwendungen ausgeführt werden.
• Ressourcenschonend – ideal für kleine Systeme oder Low-Budget-Server.
• Kompatibel mit allen Browsern & Tools – funktioniert überall ohne Anpassung.
• Einfache Integration in Logs und Automatisierung – Fehlversuche landen direkt im Server-Log, z. B. für Fail2Ban.
• Kein JavaScript nötig – funktioniert auch bei deaktiviertem JS oder restriktiven Clients.
• Optimal für Verzeichnisschutz – besonders für Admin- oder Wartungsbereiche.

Nachteile von Basic Auth

• Unsicher ohne HTTPS – Daten werden nur Base64-kodiert übertragen.
• Zugangsdaten bei jeder Anfrage – werden bei jeder Request erneut gesendet.
• Kein klassisches Logout – Abmelden ist browserabhängig, oft nur durch Schließen des Browsers möglich.
• Eingeschränkte Benutzerführung – kein individuelles Login-Design, keine Fehlermeldungen.
• Keine Rollen- oder Rechteverwaltung – nur Zugriff erlaubt oder nicht.
• Schlechte Skalierbarkeit bei vielen Nutzern – .htpasswd wird schnell unübersichtlich.
• Umständliche Paßwortänderung – erfordert Serverzugriff oder Tools.
• Keine Anforderungen an Paßwortstärke – Keine Mindestlänge, keine Sonderzeichen, keine Komplexität.
• Keine Passwort-Policy oder Ablaufmechanismen – Keine Möglichkeit, Passwörter regelmäßig zu ändern oder ablaufen zu lassen.
• Keine 2FA-Unterstützung – Mehrfaktor-Authentifizierung ist nicht vorgesehen.
• Browser speichern Zugangsdaten aggressiv – Nutzer verlieren leicht den Überblick. Browser-Credentials i Browser speichern Basic Auth Zugangsdaten automatisch und geben sie bei jeder Anfrage wieder mit. Nutzer merken oft nicht, dass sie noch eingeloggt sind, oder andere Personen könnten Zugriff erhalten, wenn der Rechner gemeinsam genutzt wird.
• Kein Schutz gegen Credential-Reuse i Credential-Reuse bedeutet, daß ein Paßwort mehrfach auf verschiedenen Diensten verwendet wird. Wenn es bei einem Dienst gestohlen wird, können Angreifer es auch bei anderen Diensten ausprobieren. Basic Auth schützt hier nicht. – keine Mechanismen gegen Leaks oder Wiederverwendung.
• Eingeschränkte Internationalisierung – Login-Dialoge sind browserabhängig.
• Nicht geeignet für öffentliche Nutzerkonten – keine Selbstregistrierung oder Paßwort-Reset.