AADSTS700025 „Invalid JWT“-Fehler in Azure AD beheben

Von Mirko Peters · 2026-04-21

Wenn Sie in der Azure Active Directory-Authentifizierung auf den Fehler AADSTS700025 stoßen – also die gefürchtete Meldung „invalid JWT“ –, sind Sie nicht allein. Dieses Problem bringt Anmeldungen und API-Zugriffe zum Erliegen, wenn Tokens der Prüfung nicht standhalten. Wer Microsoft-basierte Anwendungen entwickelt, verwaltet oder absichert, sollte diesen Fehler verstehen – egal, ob Sie interne To

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Hier erfahren Sie, was AADSTS700025 tatsächlich bedeutet, welche typischen Ursachen und Fehltritte bei der Validierung von Anmeldeinformationen auftreten und wie Sie JWTs dekodieren und validieren. Das Ziel: Sie finden die Ursache schneller, beheben das Problem dauerhaft und verhindern, dass dieser Ärger wieder auftritt. Krempeln wir die Ärmel hoch und analysieren die Authentifizierungsfehler, damit Ihre Anmeldung wieder funktioniert – sicher und effizient.

Hier erfahren Sie, was AADSTS700025 tatsächlich bedeutet, welche praktischen Ursachen und Fehltritte die Validierung von Anmeldeinformationen scheitern lassen und wie Sie JWTs dekodieren und validieren. Das Ziel: Sie finden die Grundursachen schneller, beheben das Problem dauerhaft und verhindern solche Probleme künftig. Krempeln wir die Ärmel hoch und analysieren die Authentifizierungsfehler, damit Ihre Anwendungen wieder funktionieren – sicher und klug.

Der Fehler AADSTS700025 ist die Art von Azure AD, Ihnen mitzuteilen: „Dieses Token ist nicht in Ordnung.“ Er tritt auf, wenn Ihre Anwendung oder Ihr Dienst versucht, sich mit einem JWT (JSON Web Token) anzumelden, dem Azure AD nicht vertrauen kann. Im Authentifizierungsprotokoll bedeutet das meist, dass die Signatur des Tokens ungültig ist. Azure AD setzt dann ein Sicherheitskennzeichen und verweigert die Anmeldung oder den API-Aufruf.

Diesen Fehler sehen Sie am ehesten in OAuth 2.0- oder OpenID Connect-Abläufen, genau dann, wenn Azure AD ein Token empfängt und es prüft. Microsoft verwendet „AADSTS-Codes“ als Kurzbezeichnungen, die genau anzeigen, was schiefgelaufen ist. Die 700025 steht speziell für eine fehlgeschlagene Validierung der JWT-Signatur. Wenn Ihr Client, Ihre API oder Ihre Middleware kein Token erzeugt, das Azure erkennt und akzeptiert, erhalten Sie genau diesen Fehler.

Eine „ungültige JWT-Signatur“ hat fast immer mit der Art zu tun, wie das Token erstellt, formatiert oder signiert wurde. Entweder stimmen das Geheimnis, das Zertifikat oder der Signaturalgorithmus nicht mit den Erwartungen von Azure AD überein, oder die Nutzlast wurde auf dem Weg manipuliert. Die Fehlercodes können Sie auf Microsofts Fehlerlookup-Seite oder in der Dokumentation nachschlagen. Die Diagnose bleibt jedoch immer gleich: Das Token lässt sich nicht validieren, und die Authentifizierung kommt zum Stillstand.

Kurz gesagt: Wenn ein Benutzer oder Dienst auf AADSTS700025 stößt, teilt Azure AD Ihnen mit: „Ich glaube nicht, dass diese Person die ist, für die sie sich ausgibt.“ Deshalb ist die Klärung der Ursache eines ungültigen JWT so wichtig, um Ihre Anwendungen und Daten sicher zu halten – und Ihre Benutzer zufrieden.

Kurz gesagt: Wenn ein Benutzer oder Dienst AADSTS700025 erhält, teilt Azure AD Ihnen mit: „Ich glaube nicht, dass diese Person die ist, für die sie sich ausgibt, also kein Zugriff.“ Deshalb ist es so wichtig, die Ursache eines ungültigen JWT zu finden – für die Sicherheit Ihrer Anwendungen und Daten und für zufriedene Benutzer.

Die meisten Fehler AADSTS700025 gehen auf eine Handvoll leicht übersehener Fehltritte bei der Verarbeitung von Anmeldeinformationen in Ihrer Anwendung zurück. Wenn Sie Clientgeheimnisse, Zertifikate oder Assertions verwenden, kann schon ein kleiner Fehler dazu führen, dass Azure AD das Token sofort ablehnt. Tippfehler, abgelaufene Geheimnisse oder nicht passende Zertifikat-Fingerabdrücke sind die häufigsten Ursachen für fehlerhafte oder schlicht ungültige JWTs.

Die meisten AADSTS700025-Fehler gehen auf einige leicht übersehene Fehler zurück, wie Ihre Anwendung mit Anmeldeinformationen umgeht. Verwenden Sie Clientgeheimnisse, Zertifikate oder Assertions, kann schon ein kleiner Fehler dazu führen, dass Azure AD ein Token sofort ablehnt. Tippfehler, abgelaufene Geheimnisse oder nicht passende Zertifikat-Fingerabdrücke sind die häufigsten Ursachen für fehlerhafte oder schlicht ungültige JWTs.

Bei Abläufen wie clientsecretcredential, clientcertificatecredential oder clientassertioncredential muss die Konfiguration der Anmeldeinformationen exakt stimmen. Ein zusätzliches Leerzeichen, ein nicht passender Schlüssel oder eine Verwechslung der Signaturalgorithmen führt dazu, dass Azure den Zugriff verweigert. Entwickler machen zudem Fehler, wenn sie Geheimnisse fest im Code hinterlegen oder kopieren, an Bibliotheken herumbasteln oder eigene Code-Logik zur Token-Ausstellung schreiben, die erforderliche Claims oder die Einstellungen der App-Registrierung ignoriert.

Zur Fehlerbehebung beginnen Sie damit, die Quelle Ihrer Anmeldeinformationen zu prüfen: Vergewissern Sie sich, dass Geheimnisse nicht abgelaufen sind und Zertifikate gültig sind und dort gespeichert werden, wo Ihr Code sie erwartet. Prüfen Sie Ihre App-Registrierung auf Änderungen oder Fehler in den Einstellungen im Azure-Portal, insbesondere bei Umleitungs-URLs und Schlüsselablaufdaten. Diese Kontrollen lösen die meisten Fälle und ersparen Ihnen langwierige Debugging-Sitzungen.

Zur Fehlerbehebung prüfen Sie zunächst Ihre Quelle für Anmeldeinformationen: Vergewissern Sie sich, dass Geheimnisse nicht abgelaufen sind, dass Zertifikate gültig sind und dort gespeichert werden, wo Ihr Code sie erwartet. Prüfen Sie außerdem Ihre App-Registrierung im Azure-Portal auf Änderungen oder Fehler, insbesondere bei Umleitungs-URLs und Ablaufdaten der Schlüssel. Diese Kontrollen beheben die meisten Fälle und ersparen Ihnen später langwierige Debugging-Sitzungen.

Azure-AD-JWTs in Echtzeit dekodieren und validieren

Hier ein Punkt, den die meisten übersehen: Sie müssen nicht raten, was mit Ihrem JWT nicht stimmt. Sie können das Token abrufen und selbst prüfen, und zwar sofort. Tools wie jwt.io machen das einfach: Kopieren Sie Ihr von Azure ausgestelltes Token, fügen Sie es ein, und schon sehen Sie die Nutzlast (Payload). Außerdem können Sie Signatur, Claims, Algorithmen und Ablaufdaten validieren. Das ist der schnellste Weg, fehlende Claims zu erkennen oder eine offensichtliche Abweichung bei der Signatur zu finden.

Einen Schritt weiter gehen Sie, wenn Sie lieber selbst Hand anlegen: Dekodieren und prüfen Sie Tokens programmatisch. In Node.js können Sie Bibliotheken wie jsonwebtoken verwenden, um das Token zu parsen und anhand der öffentlichen Schlüssel von Azure zu prüfen. Diese finden Sie in der OpenID-Konfiguration. Python-Entwickler haben für dieselbe Aufgabe PyJWT zur Verfügung. Rufen Sie die JWKs (JSON Web Keys) ab und prüfen Sie anschließend, ob das Token korrekt signiert und nicht abgelaufen ist.

Mit diesen Methoden erkennen Sie Probleme wie Clock Skew, also Abweichungen, wenn die Zeitangaben iat oder exp des Tokens nicht zum Server passen. Ebenso finden Sie einen falschen Authority-Endpunkt oder eine beschädigte Signatur. Und wenn Ihre Systemzeit nicht synchron läuft, etwa bei Docker oder Kubernetes, können Tokens, die anderswo einwandfrei aussehen, bei Azure trotzdem die Validierung nicht bestehen. Prüfen Sie daher immer beides: die Uhr und die Claims!

Unterm Strich: Wer Tokens selbst dekodiert, hat das Steuer in der Hand. Sie können Probleme gezielt eingrenzen und deutlich schneller beheben, als blind an Einstellungen oder Anmeldeinformationen herumzuprobieren. So vermeiden Sie zermürbende Runden von „Trial and Error“-Debugging, die Geduld kosten, Ihre eigene und die Ihres Teams.

AADSTS700025 verhindern: Best Practices, Fehlerbehandlung und Hilfe aus der Community

Sie möchten ungültige JWT-Probleme gar nicht erst aufkommen lassen? Am klügsten ist es, auf offizielle Microsoft-Bibliotheken zu setzen, etwa MSAL oder die Azure SDKs, die auch die Token-Erstellung übernehmen. Diese Werkzeuge berücksichtigen bereits alle Anforderungen an Signatur, Format und Claims. So müssen Sie das Rad nicht neu erfinden (oder beim Flicken eines Reifens Fehler machen).

Ihr Code sollte Authentifizierungsfehler immer abfangen und sorgfältig behandeln. Implementieren Sie eine strukturierte Protokollierung für alle fehlgeschlagenen Anmeldungen, und stellen Sie sicher, dass Ihre catch-Blöcke die AADSTS-Codes ausgeben, damit Sie gezielt reagieren können. Verschlucken Sie keine Ausnahmen und zeigen Sie keine allgemeinen Fehlermeldungen an. Das spart im Ernstfall wertvolle Zeit und liefert Ihnen einen Nachweis, den Sie Administratoren oder dem Microsoft-Support vorlegen können.

Eine weitere wichtige Gewohnheit sind regelmäßige Prüfungen von Anmeldeinformationen und App-Registrierungen. Erneuern Sie Clientgeheimnisse und Zertifikate, bevor sie ablaufen, validieren Sie Umleitungs-URIs und achten Sie auf nicht übereinstimmende Signaturalgorithmen (RS256 vs. HS256). Richten Sie in größeren Organisationen automatisierte Prozesse oder Governance-Richtlinien ein, wie in diesem Leitfaden zur Azure-Governance-Strategie beschrieben. So halten Sie App-Registrierungen und Tokens sicher und aktuell.

Und wenn Sie festhängen, sind Sie garantiert nicht allein. GitHub bietet eine riesige Menge an Beispielcode von Microsoft und der Community. Suchen Sie dort nach gemeldeten Problemen oder teilen Sie Ihren Stacktrace, um schnelle Lösungen zu finden. Die Foren und Feedback-Kanäle von Microsoft ermöglichen es Ihnen, AADSTS-Fehlermuster zu melden und bekannte Probleme einzusehen. Nutzen Sie diese Netzwerke, um Lösungen gemeinsam zu erarbeiten, Ihre Fehlersuche zu schärfen und dafür zu sorgen, dass Ihre JWTs beim nächsten Mal tadellos sind.