OAuth 2.0 und API-Schlüssel in benutzerdefinierten Power Apps-Connectors meistern

Von Mirko Peters · 2026-08-11 · Aktualisiert 2026-08-28

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: Mastering OAuth 2.0 and API Keys in Power Apps Custom Connectors

Beim Entwickeln von Unternehmenslösungen auf der Microsoft Power Platform stoßen Entwickler häufig an eine strukturelle Grenze. Integrierte Connectors sind hervorragend für Standarddienste von Microsoft 365, Azure-Komponenten und beliebte SaaS-Plattformen von Drittanbietern geeignet. Sobald Ihre Anwendung jedoch spezialisierte Fachbereichsdaten, Anbindungen an Legacy-Backends oder proprietäre Branchen-APIs benötigt, endet die Reichweite dieser Standardwerkzeuge genau dort, wo Ihre eigentlichen Geschäftsdaten beginnen. An diesem Punkt kommen benutzerdefinierte Connectors ins Spiel. Sie fungieren als universeller Adapter, der Power Apps und Power Automate beibringt, direkt mit Ihren individuellen APIs zu kommunizieren.

Doch ein benutzerdefinierter Connector zu erstellen ist nur die halbe Miete. Den entscheidenden Unterschied zwischen einem fragilen Prototyp und einer belastbaren Unternehmensintegration macht eine sichere Authentifizierung. Wenn Sie OAuth 2.0 nicht korrekt konfigurieren oder Ihre API-Schlüssel falsch verwalten, werden Ihre Anwendungen mit Einwilligungsfehlern bei mehreren Benutzern, unerwarteten Token-Timeouts und Sicherheitslücken konfrontiert sein. In diesem umfassenden Leitfaden zeigen wir Ihnen, wie Sie eine sichere Authentifizierung für Ihre benutzerdefinierten Connectors einrichten: von Berechtigungsbereichen nach dem Prinzip der minimalen Rechte bis hin zur reibungslosen Behandlung von Token-Aktualisierungen und dem Schutz Ihrer Produktivumgebungen.

Einführung in benutzerdefinierte Connectors und sichere Authentifizierung

Im Kern agiert ein benutzerdefinierter Connector als Wrapper um eine RESTful-API. Er ermöglicht Power Apps, Power Automate und Azure Logic Apps, mit externen Diensten über Aktionen, Trigger und typisierte Schemas zu interagieren. Bevor jedoch Daten fließen können, müssen Sie Vertrauen herstellen. Die Authentifizierung ist die allererste Hürde, die Sie nehmen müssen. Ob Sie API-Schlüssel, Basisauthentifizierung oder den Goldstandard, OAuth 2.0, verwenden: Eine korrekt eingerichtete Sicherheitsabfolge bestimmt von Beginn an maßgeblich die Stabilität und Akzeptanz Ihrer Anwendung.

Entwickler gehen die Sicherheitskonfiguration häufig nur zügig durch, um möglichst schnell einen erfolgreichen Datenabruf zu sehen. Später stellt sich dann oft heraus, dass die gewählte Authentifizierungsmethode bei der Bereitstellung für eine größere Benutzergruppe nicht mehr funktioniert. Einen benutzerdefinierten Connector abzusichern bedeutet, den genauen Handshake-Ablauf zu verstehen, den Ihre Ziel-API erfordert, und diesen sauber in das Sicherheitsmodell der Power Platform zu übertragen.

Der Aufbau benutzerdefinierter Power Apps-Connectors im Detail

Um die Authentifizierung zu beherrschen, müssen Sie zunächst den grundlegenden Aufbau eines benutzerdefinierten Connectors verstehen. Ein gut gestalteter Connector besteht aus mehreren zentralen Komponenten:

Host und Basis-URL: Die Zielendpunkte, an die der API-Datenverkehr geleitet wird. HTTPS ist zwingend erforderlich.
Sicherheitseinstellungen: Der Mechanismus, der nachweist, wer die API aufruft. Er reicht von einfachen API-Schlüsseln bis hin zu komplexen OAuth 2.0-Autorisierungscode-Flows.
Definition: Die Aktionen (Methoden, Pfade, Abfrageparameter, Header und Request-/Response-Payloads) und Trigger, die die verfügbaren Operationen festlegen.
Code (optional): Benutzerdefinierte C#-Skriptrichtlinien, mit denen URLs umgeschrieben, bestimmte Header gesetzt oder kleine Payloads bei Bedarf transformiert werden.

Wenn Sie diese Elemente planen, schaffen Sie eine vorhersehbare Schnittstelle. Die Sicherheit bleibt jedoch der entscheidende Faktor. Fehlen in Ihrer Sicherheitsdefinition passende Bereiche oder setzen Sie auf fest codierte gemeinsame Geheimnisse, ist die gesamte Architektur gefährdet.

OAuth 2.0 und API-Schlüssel richtig konfigurieren

Welcher Authentifizierungstyp der richtige ist, hängt vollständig davon ab, was Ihre zugrunde liegende API unterstützt. Wann immer möglich, sollten Sie OAuth 2.0 bevorzugen. Es ermöglicht eine sichere, tokenbasierte Delegation, ohne Benutzeranmeldedaten preiszugeben. Beim Konfigurieren von OAuth 2.0 im Assistenten für benutzerdefinierte Power Apps-Connectors müssen Sie bestimmte Parameter angeben:

Identitätsanbieter: Der Dienst, der Ihre Token ausstellt (etwa Azure Active Directory, Auth0, Okta oder ein eigener Identitätsserver).
Client-ID und Clientgeheimnis: Die eindeutigen Kennungen für Ihre registrierte Anwendung.
Autorisierungs-URL und Token-URL: Die Endpunkte, die für die Anmeldeaufforderung an den Benutzer und den Austausch von Autorisierungscodes gegen Zugriffstoken zuständig sind.
Umleitungs-URL: Die von Power Apps generierte Callback-URL, die Sie in den Einstellungen Ihres Identitätsanbieters hinterlegen müssen.

Wenn OAuth 2.0 für das Zielsystem zu komplex ist oder nicht unterstützt wird, können Sie auf einen API-Schlüssel zurückgreifen. API-Schlüssel werden in der Regel über HTTP-Header (etwa Ocp-Apim-Subscription-Key oder Authorization) oder über Abfragezeichenfolgen übergeben. Sie sind einfacher zu implementieren, erfordern jedoch eine konsequente Verwaltung der Geheimnisse, damit sie nicht offengelegt werden.

Bereiche mit minimalen Berechtigungen und Token-Aktualisierung einrichten

Ein verbreitetes Antimuster bei der Entwicklung benutzerdefinierter Konnektoren besteht darin, pauschal weitreichende Berechtigungen anzufordern, nur damit alles schnell funktioniert. Das führt zu erheblichen Sicherheitsrisiken. Stattdessen sollten Sie die Authentifizierung konsequent nach dem Prinzip der minimalen Berechtigungen gestalten.

Konfigurieren Sie Ihre OAuth-Bereiche so, dass sie nur die Berechtigungen gewähren, die die App tatsächlich benötigt, zum Beispiel das Lesen von Bestandsdaten, ohne die Berechtigung zum Löschen von Benutzerkonten einzuschließen. Außerdem müssen Sie die Lebensdauer von Token berücksichtigen. Zugriffstoken laufen ab. Wenn Ihr Konnektor Token-Aktualisierungen nicht sauber behandelt, kommt es für Benutzer zu plötzlichen Unterbrechungen und sie müssen sich ständig erneut anmelden. Stellen Sie sicher, dass Ihre Token-URL korrekt zugeordnet ist, damit Aktualisierungstoken im Hintergrund Zugriffssitzungen ohne Zutun des Benutzers verlängern können.

Häufige Fallstricke vermeiden: Zustimmung mehrerer Benutzer und Token-Timeouts

Haben Sie schon einmal einen Konnektor gebaut, der für Sie als Entwickler einwandfrei funktioniert hat, bei einem Kollegen aber sofort scheiterte? Das ist der klassische Fehler bei der Zustimmung mehrerer Benutzer. Er tritt meist aufgrund fehlender OAuth-Bereiche, einer nicht konfigurierten Mehrmandanten-App-Registrierung oder einer nicht übereinstimmenden Umleitungs-URI auf. Um das zu beheben, prüfen Sie, ob Ihre App-Registrierung die Zustimmung mehrerer Benutzer zulässt und ob die Umleitungs-URL Ihres Konnektors bei Ihrem Identitätsanbieter ausdrücklich freigegeben ist.

Ein weiteres häufiges Problem sind Token-Timeouts. Wenn Ihre API kurzlebige Token ausstellt und Ihr Konnektor ein Aktualisierungstoken nicht anfordert oder verarbeitet, werden Verbindungen Ihrer App unvorhersehbar getrennt. Testen Sie Ihren Konnektor daher immer unter Bedingungen, in denen Token regulär ablaufen, damit sichergestellt ist, dass der Aktualisierungsablauf unbemerkt abläuft.

Authentifizierungsablauf testen und validieren

Eine strukturierte Testmethodik spart Stunden bei der Fehlersuche. Testen Sie die Authentifizierung beim ersten Versuch niemals direkt in Power Apps. Gehen Sie stattdessen schrittweise vor:

Validieren Sie zuerst Ihre Endpunkte, Header und Token-Austausche in Postman. Speichern Sie funktionierende Beispiele.
Übernehmen Sie die funktionierenden Parameter in den Assistenten für benutzerdefinierte Konnektoren.
Verwenden Sie die integrierte Registerkarte Test im Portal für benutzerdefinierte Konnektoren in Power Apps, um für jede Aktion Testaufrufe auszuführen und zu prüfen, ob die Authentifizierungsvorgänge erfolgreich abgeschlossen werden.
Integrieren Sie den Konnektor abschließend in Ihre Power App oder Ihren Power-Automate-Flow und prüfen Sie das Verhalten von Anfang bis Ende.

Produktionsschutz, Fehlerzuordnung und Drosselung

Ein benutzerdefinierter Konnektor muss für den Produktivbetrieb gehärtet werden, bevor er aus der Entwicklungsumgebung übernommen wird. Rohe Fehlercodes von Drittanbieter-APIs (etwa kryptische 500-Fehler für interne Serverfehler oder 403-Meldungen für verbotene Zugriffe) verwirren Endbenutzer. Implementieren Sie in den Richtlinien Ihres Konnektors eine Fehlerzuordnung, die 4xx- und 5xx-Statuscodes in verständliche Meldungen übersetzt und Korrelations-IDs für den Support enthält.

Ebenso wichtig ist die Ausfallsicherheit. APIs setzen häufig strikte Ratenbegrenzungen durch. Wenn eine schlecht entworfene Schleife in Power Automate einen Endpunkt zu schnell aufruft, lösen Sie HTTP-429-Drosselungsfehler aus. Implementieren Sie Wiederholungsrichtlinien mit exponentiellem Backoff und nutzen Sie, wo sinnvoll, Caching, um die Serverlimits einzuhalten und die Stabilität der App zu sichern.

Best Practices für Sicherheit und Governance

Governance im Unternehmen sorgt dafür, dass benutzerdefinierte Konnektoren nicht zu einer Schatten-IT-Schwachstelle werden. Um eine sichere Position zu wahren, halten Sie sich an folgende Governance-Grundlagen:

Speicherung von Geheimnissen: Fest codieren Sie niemals Clientgeheimnisse oder API-Schlüssel in Ihren Konnektordefinitionen. Speichern Sie diese sicher in Azure Key Vault oder verwenden Sie Umgebungsvariablen.
DLP-Richtlinien: Wenden Sie Richtlinien für die Verhinderung von Datenverlust (Data Loss Prevention, DLP) an, indem Sie Konnektoren als Business oder Non-Business kategorisieren. So steuern Sie, wo und wie Ihr benutzerdefinierter Konnektor in verschiedenen Umgebungen verwendet werden kann.
Verwaltete Identitäten: Verwenden Sie verwaltete Identitäten oder Dienstprinzipale für Server-zu-Server-Szenarien und automatisierte Hintergrundvorgänge, in denen kein Benutzerkontext erforderlich ist.
Trennung der Umgebungen: Pflegen Sie getrennte Connectors für Entwicklung, Test und Produktion mit jeweils eigenen Anmeldedaten, und beschränken Sie strikt, wer Updates in der Produktion veröffentlichen darf.

Fazit und Das Wichtigste in Kürze

Mit einer sauberen Authentifizierung für benutzerdefinierte Connectors in Power Apps werden Ihre Low-Code-Lösungen von isolierten Anwendungen zu tief integrierten Unternehmenslösungen. Wenn Sie die Anatomie von Connectors verstehen, robuste OAuth-2.0-Ababläufe konfigurieren, Berechtigungen nach dem Least-Privilege-Prinzip vergeben und Schutzmechanismen für die Produktion etablieren, sorgen Sie dafür, dass Ihre Integrationen langfristig sicher, skalierbar und belastbar bleiben.

Um dieses Thema noch intensiver zu vertiefen und Expertendiskussionen zum Aufbau robuster Integrationen, zur Gestaltung von Payloads und zur Bewältigung kniffliger Authentifizierungsabläufe zu hören, lohnt sich ein Blick auf die passende Podcast-Episode: Build Secure Custom Connectors for Power Apps. Viel Erfolg beim Bauen!