auth_token und ct0 bei Twitter/X: was die beiden Werte sind und warum Werkzeuge beide verlangen

Ein Hinweis vorweg, der auf Deutsch praktisch wird: Suchen Sie nach „twitter auth token“, nicht nach „x auth token“. Der einzelne Buchstabe kollidiert im Deutschen mit zu vielem, und die Suche liefert dann allgemeines Entwicklermaterial über Bearer-Tokens, Postman und Bitbucket. Unter „twitter“ steht dagegen genau das, worum es hier geht, einschließlich der Kombination aus beiden Werten.

Zwei Werte mit zwei verschiedenen Aufgaben

auth_token ist die Sitzung. Dieser Wert ist der Nachweis, dass sich jemand erfolgreich angemeldet hat. Wer ihn besitzt, ist angemeldet, und zwar ohne Benutzername, ohne Passwort und ohne den zweiten Faktor. Er ist im Browser so gesetzt, dass Skripte auf der Seite ihn nicht auslesen können, was ihn gegen einen Teil der Angriffe schützt und gegen Erweiterungen nicht.

ct0 ist kein zweites Passwort, sondern eine Gegenprobe. Er dient dazu, Anfragen abzuwehren, die zwar Ihre Sitzung mitbringen, aber gar nicht von der Seite selbst stammen. Das Verfahren dahinter ist simpel: Derselbe Wert steht einmal als Cookie und muss von der Anwendung zusätzlich als Kopfzeile mitgeschickt werden. Ein fremdes Formular kann Ihr Cookie zwar auslösen, aber die Kopfzeile nicht setzen, und fällt damit auf.

Das erklärt die Frage, die am häufigsten gestellt wird. Ein Werkzeug verlangt beide Werte nicht aus Gründlichkeit, sondern weil es ohne ct0 an derselben Prüfung scheitert wie ein Angreifer. Es tut so, als wäre es die Weboberfläche, und dazu gehört diese Gegenprobe.

Daraus folgt auch, was ct0 nicht ist: kein Sicherheitsgewinn für Sie und kein zusätzlicher Schutz für das Konto. Wer beide Werte hat, hat das Konto. Der auth_token allein reicht für vieles bereits aus.

Warum es überhaupt so läuft, und warum es ohne Vorwarnung aufhört

Diese beiden Namen stehen in keiner Dokumentation. Sie gehören zu den internen Abläufen der Weboberfläche, nicht zur offiziellen Programmierschnittstelle. Auch die Hilfeseiten von X sind für automatisierte Abrufe geschlossen, so dass sich in dieser Sache nichts erstquellenmäßig nachlesen lässt; was hier steht, beschreibt das beobachtbare Verhalten und ist ausdrücklich keine zugesicherte Schnittstelle.

Das ist keine Nebensächlichkeit, sondern der wichtigste Satz auf dieser Seite. Was nicht dokumentiert ist, wird auch nicht angekündigt, wenn es sich ändert. Ein Werkzeug, das über diese Werte arbeitet, funktioniert bis zu dem Tag, an dem es das nicht mehr tut, und Sie erfahren es daran, dass es aufhört. Wer darauf etwas Wichtiges aufbaut, sollte diesen Tag einplanen statt ihn auszuschließen.

Der offizielle Weg dagegen ist die Programmierschnittstelle mit einer eigenen Anwendung und einer Freigabe durch den Kontoinhaber. Sie ist umständlicher, kostet je nach Umfang etwas und ist an Bedingungen gebunden. Dafür bricht sie nicht schweigend weg, und die Freigabe lässt sich einzeln entziehen, ohne dass Sie das Passwort ändern müssen. Für alles, was länger als ein paar Wochen laufen soll, ist das der ruhigere Weg.

Die Erweiterung, und warum sie die teuerste Abkürzung ist

Vier der zehn deutschen Vorschläge zu diesem Thema enthalten das Wort Extension. Der Weg ist naheliegend: Man installiert eine Erweiterung, klickt auf ein Symbol, und die Werte stehen im Zwischenspeicher.

Was dabei tatsächlich passiert, ist etwas anderes. Eine Erweiterung, die Cookies einer Seite auslesen kann, kann die Cookies aller Seiten auslesen, für die sie Rechte hat, und sehr viele davon verlangen Zugriff auf alle Seiten. Sie geben also nicht das Twitter-Token her, sondern die Möglichkeit, jedes Ihrer angemeldeten Konten auszulesen. Das gilt für Ihr Postfach genauso wie für das Bankkonto im Nachbartab.

Dazu kommt eine Eigenheit, die Erweiterungen von anderer Software unterscheidet: Sie aktualisieren sich still. Eine Erweiterung, die heute harmlos ist, kann morgen den Besitzer wechseln und beim nächsten automatischen Update etwas anderes tun, ohne dass Sie irgendwo zustimmen. Dieser Ablauf ist mehrfach dokumentiert und betrifft besonders kleine Erweiterungen mit einer einzigen Funktion, also genau die Bauart, um die es hier geht.

Wenn Sie diese Werte brauchen, holen Sie sie in den Entwicklerwerkzeugen des Browsers, die in jedem Browser eingebaut sind und nichts installieren. Und wenn möglich in einem eigenen Browserprofil, in dem sonst nichts angemeldet ist.

Wie lange die Werte halten und was sie beendet

Eine feste Gültigkeitsdauer ist nirgends veröffentlicht, und die Zahlen, die im Umlauf sind, widersprechen einander. Nennenswert ist deshalb nicht die Dauer, sondern die Liste dessen, was einen solchen Wert sicher unbrauchbar macht:

• Eine Passwortänderung. Der zuverlässigste Weg, und deshalb der erste Schritt bei jeder Übernahme; die Reihenfolge dazu steht im Beitrag zum Passwortwechsel.
• Das Abmelden der betreffenden Sitzung in den Kontoeinstellungen.
• Eine Sicherheitsprüfung durch die Plattform, etwa nach einem Zugriff aus einer ungewohnten Region. Die Sitzung überlebt sie meist nicht.

Was einen solchen Wert dagegen nicht beendet: das Schließen des Browsers, das Löschen der Erweiterung, das Ablaufen des Abonnements oder die Aktivierung der Zwei-Faktor-Anmeldung. Der zweite Faktor greift beim Anmelden, und hier meldet sich niemand an, sondern bringt eine fertige Anmeldung mit.

Wenn ein Angebot Token enthält

Auf unserem Regal für Twitter-Konten nennen von 917 aktiven Angeboten 494 ein Token, 257 davon ausdrücklich den auth_token und 127 zusätzlich ct0. Nur 45 sprechen überhaupt von Cookies. Die Angebote benutzen also dieselben Wörter wie die Suche, und wer nach „Cookie-Login“ filtert, findet die Hälfte nicht.

Preislich ist die Angabe kein Aufschlag, sondern ein Abschlag: Angebote mit dieser Lieferform liegen beim 0,8-fachen des mittleren Preises auf diesem Regal. Das ist auch sachlich richtig, denn eine Sitzung ist weniger als ein Konto. Drei Punkte, die vor dem Kauf zu klären sind:

1. Kommt das Passwort mit oder nur die Sitzung? Ohne Passwort können Sie die Sitzung nicht durch eine Passwortänderung absichern, und dann ist jede Kopie, die der Verkäufer behalten hat, weiterhin gültig. Das ist der wichtigste Unterschied zwischen zwei Angeboten, die gleich aussehen.
2. Ist ein Postfach dabei, auf das Sie zugreifen können? Ohne Zugriff auf die hinterlegte Adresse lässt sich weder das Passwort zurücksetzen noch eine Sicherheitsabfrage beantworten.
3. Prüfen Sie sofort, nicht abends. Für die Garantie zählt der Zeitpunkt der Lieferung, nicht der der Zahlung, und wie lange sie läuft, steht nur im Angebot selbst. So lange haben Sie, um festzustellen, ob die Sitzung trägt und ob das Konto das aus dem Angebot ist.

Angebote stehen unter Twitter- und X-Konten. Wenn Sie danach ohnehin das Passwort wechseln, was Sie sollten, lesen Sie vorher, was dabei kaputtgeht.