Automatischer Widerruf von OAuth 2.0-Tokens bei einer Passwortänderung

OAuth 2.0-Tokens, die für den Zugriff auf bestimmte Produkte ausgestellt wurden, werden automatisch widerrufen, wenn das Passwort eines Nutzers geändert wird. So sind die Konten von Google-Nutzern besser geschützt. Die Synchronisierung von Daten in E-Mail-Apps von Drittanbietern wie Apple Mail oder Mozilla Thunderbird wird erst dann fortgesetzt, wenn ein neues OAuth 2.0-Token erstellt wurde. Dies gilt auch für andere Anwendungen, die E-Mail-Bereiche verwenden, um auf die E-Mails eines Nutzers zuzugreifen. Ein neues Token wird erstellt, wenn sich der Nutzer erneut mit seinem Nutzernamen und dem Passwort im Google-Konto authentifiziert.

Diese Richtlinienänderung betrifft auch E-Mail-Apps von Drittanbietern auf Mobilgeräten. So müssen sich zum Beispiel Nutzer, die die systemeigene E-Mail-App auf einem iOS-Gerät verwenden, jetzt erneut mit den Anmeldedaten für ihr Google-Konto authentifizieren, wenn ihr Passwort geändert wurde. In der Gmail App auf iOS- und Android-Geräten ist zurzeit bereits eine erneute Authentifizierung nötig, wenn das Passwort zurückgesetzt wurde. Dies ist jetzt auch bei anderen E-Mail-Apps auf Mobilgeräten der Fall.

Vom Widerruf von Tokens sind keine Anwendungen betroffen, die mit Apps Script erstellt wurden – auch dann nicht, wenn das Skript auf E-Mails zugreift.

Hinweis: Wenn die Passwortänderung von einem Android-Gerät ausgelöst wurde, wird das von diesem Android-Gerät zur Kontosynchronisierung verwendete OAuth-Token nicht widerrufen.

Fragen

Wie wirkt sich diese Änderung auf Anwendungen mit einem App-Passwort aus, wenn die Bestätigung in zwei Schritten aktiviert ist?

Zurzeit gibt es keine Auswirkungen. Sobald Änderungen im Hinblick auf App-Passwörter auftreten, werden wir sie bekanntgeben.

Wann werden die Tokens widerrufen? Beim Ablauf oder bei der Änderung des Passworts?

Die Tokens werden bei der Änderung des Passworts widerrufen.

Werden durch eine Passwortänderung Zugriffstokens und Aktualisierungstokens ungültig?

Ja, durch die Passwortänderung werden sowohl Zugriffstokens als auch Aktualisierungstokens ungültig.

Wir haben ein benutzerdefiniertes Skript, durch das dasselbe Passwort mehrmals für einen Nutzer festgelegt wird. Wird dadurch ein Widerruf des Tokens ausgelöst?

Erfolgt dies über die Nutzeraktualisierung der Directory API und wird das gleiche Passwort über die gleiche Funktion mit einem Hash versehen, wird dies nicht als Passwortänderung angesehen und diese Tokens sollten nicht widerrufen werden.

Hinweis: Wenn Sie eine Hash-Funktion mit einem Salt nutzen, müssen Sie bei jeder Aktualisierung denselben verwenden. So vermeiden Sie, dass die Aktualisierung als Passwortänderung eingestuft wird.

Wie wirkt sich die Änderung auf die Einstellung Weniger sichere Apps aus?

Die Einstellung Weniger sichere Apps hat keine Auswirkungen auf Tokens, die nach einer Passwortänderung widerrufen werden.

_{Google, Google Workspace sowie zugehörige Marken und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der Unternehmen, mit denen sie verbunden sind.}