Websites herunterladen, die Auth0 nutzen

Über Auth0

Ein Authentifizierungsanbieter gehört zu den wenigen Technologien, die verraten, dass eine Website Nutzer hat. Eine Visitenkarten-Website braucht ein Content-System und ein Kontaktformular. Ein Login-Bildschirm dagegen bedeutet Konten, Sitzungen, Berechtigungen, Passwort-Resets und Support, dazu die Entscheidung, diese Maschinerie einzukaufen, statt sie selbst zu schreiben. Auth0 gehört zur Kategorie Authentication und ist ein gehosteter Identitätsdienst, der Social Login, Multi-Faktor-Abfragen, Single Sign-on und die Protokollarbeit dahinter abdeckt.

Bei der Erkennung sind offene Worte nötig. Sichtbar ist für uns die JavaScript-Bibliothek im Browser samt den Endpunkten, die sie aufruft, also erfassen wir die Websites, die ein Login-Widget in ihre eigenen Seiten einbetten. Ein großer Teil dieses Marktes funktioniert andersherum und leitet Besucher auf eine gehostete Login-Domain weiter, und eine Weiterleitung hinterlässt auf der Ausgangsseite nichts, was ein Crawler finden könnte. Stand Oktober 2026 erkennen wir die Bibliothek auf 173 Websites, und der Kundenstamm hinter dem Dienst ist mit Sicherheit größer. Wer aus der Zahl einen Markt abschätzt, sollte sie als Untergrenze für eine einzige Integrationsart behandeln und nicht als Zahl der Konten.

Die Versionsdaten zeigen, warum sich ein Blick auf clientseitige Identitätsbibliotheken lohnt. Über den gesamten Bestand erfassen wir 22 verschiedene Release-Strings, und Version 9.5.1 gehört zu den häufig erkannten. Identitätsbibliotheken werden früh in einem Projekt festgepinnt, in einen Build gebündelt und dann nicht mehr angefasst. Die Releases streuen deshalb breit, und alte Bundles laufen weiter, lange nachdem der Anbieter weitergezogen ist. Für Sicherheitsforscher liegt genau in dieser Streuung der Wert. Eine Login-Bibliothek, die seit Jahren niemand aktualisiert hat, ist eine unbeobachtete Abhängigkeit, und die Websites, auf denen eine solche läuft, lassen sich als Gruppe identifizieren statt eine nach der anderen.

Der Eigentümerwechsel hat verändert, was der Kauf des Dienstes bedeutet. Die Plattform stammt aus dem Jahr 2013 und gehört heute zum Anbieter Okta, womit aus einem unabhängigen Entwicklertool ein Teil eines Enterprise-Identitätsportfolios wurde, mit den Preisen, Einkaufsprozessen und Paketangeboten, die das mit sich bringt. Der Dienst wird unter der Lizenz Proprietary angeboten, jede Erkennung steht also für einen Vertrag, und die Domains, auf denen er läuft, sind funktionierende Anwendungen mit echten Nutzern und keine statischen Seiten.

Eine Abfrage pro Domain klärt eine enge Frage zu einer einzelnen Website. Eine Liste klärt die Fragen, die es erst auf der Ebene des gesamten Bestands gibt: wie viele Produkte einer Branche die Identitätsverwaltung auslagern, statt sie selbst zu bauen, in welchen Frameworks die Integrationen stecken, welche gebündelten Releases so veraltet sind, dass es ins Gewicht fällt, und wie sich die Gruppe zwischen zwei Snapshots verschiebt. Wettbewerber vermessen damit einen Markt. Sicherheitsteams finden damit exponierte Builds. Integratoren finden darin Anwendungen, die sich bereits auf ein gehostetes Identitätsmodell festgelegt haben.