Andrew Hanna
Tekunda Team
Im September 2025 führt Salesforce wichtige Änderungen an der Sicherheit von Connected Apps ein, die beeinflussen, wie Ihre Anwendungen authentifizieren. Zwei große Änderungen kommen:
Der OAuth 2.0 Device Flow wird blockiert.
Nicht installierte Connected Apps sind für die meisten Nutzer nicht mehr zugänglich.
Dieser Beitrag erklärt die Migration vom Device Login Flow zu Connected App OAuth2 Flow mit PKCE, warum die Änderung wichtig ist und wie Sie sich sicher vorbereiten.
Der Device Flow (RFC8628) hat eine bekannte Schwachstelle: Er kann nur mit einer client_id gestartet werden. Ein Angreifer kann das in Social-Engineering-Angriffen ausnutzen und Nutzer dazu bringen, nicht vertrauenswürdige Apps zu genehmigen.
Auswirkungen in der Praxis: Aktuelle prominente Vorfälle bei KLM Airfrance, Adidas, Google, Qantas und Allianz Life wurden von Gruppen wie UNC6040/ShinyHunters genau über diesen Angriffsvektor durchgeführt. Die Angreifer nutzten Social Engineering, etwa Telefonanrufe als angebliche IT-Mitarbeiter, um Beschäftigte zur Autorisierung bösartiger Connected Apps via Device Flow zu bewegen.
Salesforce hat bestätigt, dass diese Schwachstelle in Produktionsumgebungen ausgenutzt wurde. Die Abschaltung ist deshalb eine Sicherheitsnotwendigkeit, nicht nur ein technisches Upgrade.
Der sichere Ersatz ist PKCE (Proof Key for Code Exchange), eine Erweiterung des Authorization Code Flow, die das Abfangen des Authorization Code verhindert.
Erstellen Sie einen code_verifier, einen zufälligen kryptografisch sicheren String mit 43-128 Zeichen.
Hashen Sie ihn mit SHA256 und encodieren Sie ihn mit base64url → code_challenge.
Wichtig: Verwenden Sie base64url encoding, nicht Standard-base64. Das
ersetzt + durch -, / durch _ und
entfernt Padding-Zeichen = für URL-Sicherheit.
Stellen Sie sicher, dass der für PKCE wichtige Parameter enthalten ist:
code_challenge_method=S256
Beispiel:
https://login.salesforce.com/services/oauth2/authorize? client_id=YOUR_CLIENT_ID& response_type=code& redirect_uri=YOUR_CALLBACK_URL& scope=full refresh_token& code_challenge_method=S256& code_challenge=YOUR_CODE_CHALLENGE& state=YOUR_RANDOM_STATE
Senden Sie code und code_verifier zurück an Salesforce:
POST /services/oauth2/token grant_type=authorization_code client_id=YOUR_CLIENT_ID code=AUTH_CODE code_verifier=ORIGINAL_CODE_VERIFIER redirect_uri=CALLBACK_URL
Salesforce fügt neue Berechtigungen mit Regeln anhand Ihrer Org-Konfiguration hinzu:
Nutzer können auf nicht installierte Apps mit einer dieser Berechtigungen zugreifen:
Nur die Berechtigung Use Any API Client funktioniert für den Zugriff auf nicht installierte Apps.
Kritische Frist: 2. September 2025, OAuth Device Flow Support endet in Data Loader.
PKCE-Fehler ("invalid code verifier"): meist verursacht durch
fehlenden Parameter code_challenge_method=S256 oder falsches base64url
encoding.
Blockierter Nutzerzugriff nach September: beheben Sie dies durch Zuweisung der passenden Berechtigung anhand Ihres API Access Control-Status.
Data Loader Login-Fehler: migrieren Sie die Authentifizierungsmethode vor dem 2. September 2025.
Falsche Connected App-Konfiguration: setzen Sie bei installierten Apps "Permitted Users" auf "Admin approved users are pre-authorized" für bessere Sicherheitskontrolle.
Connected Apps auditieren:
Device Flow-Nutzung identifizieren:
PKCE-Implementierung planen:
PKCE-fähigen OAuth flow implementieren:
code_challenge_method=S256 einbeziehenIn Salesforce sandbox testen:
Connected Apps korrekt konfigurieren:
Data Loader-Migration vorbereiten:
Authentifizierungslogs überwachen:
Nutzersupport bereitstellen:
Security Policies vierteljährlich prüfen:
Kontaktieren Sie Salesforce Support, um diese Funktion zu aktivieren. Sie bietet:
Bestehende Autorisierungen: Nutzer, die Connected Apps zuvor autorisiert haben, können sie nach September 2025 weiter verwenden, AUSSER diese Apps wurden über Device Flow autorisiert. Alle Device Flow-Autorisierungen werden unabhängig von früherer Nutzung sofort blockiert.
Salesforces Abschaltung des Device Flow ist nicht nur ein technisches Upgrade. Sie ist eine kritische Sicherheitsreaktion auf reale Angriffe, die große Organisationen kompromittiert haben. Die jüngsten Vorfälle bei bekannten Unternehmen zeigen die Dringlichkeit dieser Sicherheitsverbesserungen.
Durch die Migration zu Connected App OAuth2 Flow mit PKCE und korrekt konfigurierte Berechtigungen können Organisationen:
Zentrale Erfolgsfaktoren:
Frühe Vorbereitung, gründliche Tests und saubere Governance minimieren Störungen und stärken gleichzeitig die Sicherheitslage Ihrer Organisation deutlich.
Andrew Hanna
Serpent Team
Tekunda Team
Tekunda Team
Tekunda Team
Andrew Hanna