JWT ist nicht verschlüsselt, sondern nur Base64

Das ist das Token, das bei jeder Anfrage in deiner App mitgeschickt wird. Wer, glaubst du, kann lesen, was darin steht? Die Antwort ist einfach: jeder.

Drei Teile

Jedes JWT besteht aus drei Teilen, die durch Punkte getrennt sind: header.payload.signature. Die ersten beiden sind nicht verschlüsselt, sondern nur Base64-kodiert. Base64 ist keine Verschlüsselung, sondern nur ein Kodierungsformat – man kann es jederzeit dekodieren.

const [header, payload] = token.split(".");
console.log(JSON.parse(atob(payload)));
// { sub: "user_123", email: "...", role: "admin", exp: 1735689600 }

Wenn du das in deine Browser-Konsole einfügst, erscheinen direkt vor dir deine E-Mail-Adresse, deine User-ID, deine Rolle und das Ablaufdatum. Deshalb solltest du niemals Passwörter, Ausweisnummern oder Kartendaten in den Payload eines JWT packen.

Kann ich es einfach ändern und Admin werden?

Du könntest den Payload bearbeiten und role: "admin" hineinschreiben – Base64 lässt sich schließlich in beide Richtungen umwandeln. Aber der Server berechnet die Signatur mit einem geheimen Schlüssel neu, den nur er kennt. Die Signatur passt nicht zu deinem gefälschten Payload, und der Server lehnt das Token ab: 401. Du kannst den Payload lesen, aber nicht unbemerkt manipulieren.

Vier Regeln

Fazit

Die Aufgabe von JWT ist nicht Vertraulichkeit, sondern Integrität: Es garantiert, dass der Inhalt nicht manipuliert wurde, nicht dass er verborgen bleibt. Wenn du Daten hast, die wirklich geheim bleiben müssen, nutze JWE (verschlüsseltes JWT) oder klassische serverseitige Sessions.