FAPI 2.0/OAuth2 in der föderalen Verwaltung: Wie wir föderale APIs sicher & wirtschaftlich integrierbar machen
Wer föderale Basisdienste wie FIT‑Connect, NOOTS oder Bezahldienste anbinden will, trifft heute auf unterschiedliche Autorisierungs- und Registrierungsprozesse je Dienst. Das erzeugt Abstimmungsaufwand, verzögert Integrationen und führt zu einem uneinheitlichen Sicherheitsniveau.
Im Projekt „Föderale API‑Autorisierungsinfrastruktur“ erarbeiten Sachsen‑Anhalt und die FITKO im Auftrag des IT‑Planungsrats einheitliche Sicherheitsvorgaben und eine Zielarchitektur für föderale API‑Autorisierung – basierend auf OAuth 2.0, OpenID Connect und dem FAPI 2.0 Security Profile.
Im Vortrag zeigen wir praxisnah: Welche Architekturprinzipien und Sicherheitsanforderungen wir definieren, welche Entscheidungen und Trade‑offs wir dabei treffen (z. B. bei Token‑Bindung, Client‑Authentisierung und Onboarding), und wie sich wiederverwendbare Bausteine und Migrationspfade für Basisdienste und anbindende Systeme ableiten. Ergänzend geben wir Einblicke in erste technische Ergebnisse (Showcase/PoC) und leiten konkrete Handlungsoptionen für Betreiber, Entwickler und Sicherheitsverantwortliche ab.
Das Projekt „Föderale API‑Autorisierungsinfrastruktur“ adressiert die Frage, wie Onlinedienste, Fachverfahren und Unternehmensanwendungen sicher und effizient auf föderale Basisdienste zugreifen können – ohne je Dienst eigene Autorisierungsvorgaben und Registrierungswege nehmen zu müssen. Ziel sind einheitliche Sicherheitsvorgaben, Architekturprinzipien und eine föderale Zielarchitektur als gemeinsames Fundament.
Die Zielarchitektur baut auf etablierten Industriestandards wie OAuth 2.0, OpenID Connect und dem FAPI 2.0 Security Profile auf und soll interoperable, wiederverwendbare Bausteine ermöglichen. Alle Artefakte (u. a. Sicherheitsvorgaben, Anforderungen, ADRs, Zielarchitektur) werden offen auf OpenCode veröffentlicht: https://gitlab.opencode.de/sachsen-anhalt/mid/foederale-api-autorisierungsinfrastruktur/-/blob/main/README.md
Ablauf:
- Ausgangslage & Problem: Warum fragmentierte Autorisierung Integration und Sicherheit bremst
- Zielbild & Architektur: Prinzipien, Sicherheitsvorgaben, Kernbausteine
- Entscheidungen & Trade-offs: Was wir wie abwägen (z. B. Token-Bindung, Client-Auth, Berechtigungsmodelle, Gültigkeit und Prüfung von Berechtigungen, Umgang mit personenbezogenen Daten)
- Technische Ergebnisse: Showcase/PoC mit einem Basisdienst für Kernbausteine
- Ausblick: Migrationspfade, Handlungsbedarfe, nächste Schritte
- Q&A
Mehrwert für die Teilnehmenden:
- Entscheidungsgrundlagen & Learnings für föderale API-Absicherung (Sicherheitsniveau, Interoperabilität, Governance)
- Praxisnahe Handlungsoptionen: für Basisdienste, Betreiber, Fachverfahren/Onlinedienste und Integratoren
- Einordnung von OAuth2/OIDC/FAPI 2.0 im föderalen Kontext inkl. typischer Stolpersteine
Alexander Hoose ist seit Ende 2019 bei der FITKO als IT-Architekt tätig. In dieser Funktion initiierte und leitete er zunächst von 2020 bis 2022 das Projekt FIT-Connect, welches ab 2023 als Produkt des IT-Planungsrats übernommen wurde. Alexander Hoose war im Projekt „Aufbau föderales IT-Architekturmanagement“ involviert und wirkte an der Konzeption der strategischen und operativen Strukturen für ein föderales IT-Architekturmanagement mit. Seit Juni 2025 ist Alexander Hoose Vorhabensverantwortlicher und Lead Architekt im Projekt "Föderale API-Autorisierungsinfrastruktur" und verantwortet damit die fachliche und architektonische Steuerung des Projekts.
Vor seiner Tätigkeit bei der FITKO war Alexander Hoose unter anderem als persönlicher Referent im Bereich des hessischen CIO sowie davor als Senior Berater für den öffentlichen Sektor im Bereich Strategie, Prozessmanagement und Enterprise Architecture Management tätig.
Sein persönliches Interesse gilt der Verknüpfung von erfolgreichen Plattformstrategien aus dem privaten und öffentlichen Sektor mit Methoden des Architekturmanagements. Ziel ist die Schaffung eines agilen und innovativen Ökosystems, das unabhängige Lösungsentwicklung und -bereitstellung ermöglicht, ohne jedoch staatliche Steuerungshoheit über die Verwaltungsdigitalisierung zu verlieren.
Roland Baum is Co-Founder and Managing Partner of umbrella.associates GmbH, a boutique consultancy near Frankfurt for digital identities and the protection of critical infrastructure. As a Cyber Security and IT Architect, he brings many years of experience in information security, complex system landscapes, and Zero Trust strategies, with a focus on Identity & Access Management (IAM) and Fine Grained Authorization — expertise he has applied for public sector and enterprise clients.
Following this mission, he brought together the stakeholders behind the OpenID Foundation's AuthZEN Working Group, where he now focuses on standardized externalized authorization
Roland holds the CISSP, CISA, and CIDPRO® certifications and speaks regularly on zero trust, externalized authorization, and identity for regulated and enterprize environments.