JWT-Decoder

VonOleh Soloninaktualisiert 25. September 2026

Ergebnis

HS256-Token mit 4 Feldern im Payload — abgelaufen.

Header

{ "alg": "HS256", "typ": "JWT" }

Payload

{ "sub": "1234567890", "name": "Erika Musterfrau", "iat": 1786536000, "exp": 1786622400 }

Gültigkeit

abgelaufen — das Token endete am 2026-08-13 um 12:00 UTC, 53,5 Tage vor dem Prüfdatum

Zeitangaben

ausgestellt 2026-08-12 12:00 UTC, Laufzeit 24 Stunden

Rechnung

3 durch Punkte getrennte Teile: Header 36 Zeichen (27 Bytes JSON), Payload 107 Zeichen (80 Bytes), Signatur 11 Zeichen. Base64url trägt je 4 Zeichen 3 Bytes. Das Feld exp steht als 1786622400 — Sekunden seit dem 1. Januar 1970, das ergibt 2026-08-13 um 12:00 UTC.

Wichtig

Algorithmus HS256. Die Signatur wird hier nicht geprüft: dafür braucht es den Schlüssel des Ausstellers.

Das Ergebnis ist ein Richtwert und ersetzt keine Beratung.

Kopf und Nutzdaten eines JSON Web Token lesbar machen — samt Gültigkeitsdauer.

Ein signiertes JSON Web Token (kompaktes JWS, der übliche Fall) besteht aus drei Teilen, getrennt durch Punkte: Header, Payload und Signatur. Die ersten beiden sind lediglich Base64-kodiertes JSON — jeder kann sie lesen, ohne einen Schlüssel zu besitzen. Verschlüsselte JWT (JWE) haben fünf Teile und lassen sich so nicht lesen.

Genau das wird regelmäßig missverstanden. Ein signiertes JWT in der dreiteiligen Form verbirgt nichts; die Signatur beweist nur, dass der Inhalt nicht verändert wurde. Verschlüsselte Tokens (JWE) gibt es auch, dieser Decoder liest sie nicht. Wer ein Geheimnis in den Payload schreibt, veröffentlicht es.

So benutzen Sie den Rechner

Fügen Sie das Token ein — es wird im Browser zerlegt und nirgendwohin gesendet.
Das Prüfdatum entscheidet über die Anzeige „gültig“ oder „abgelaufen“; voreingestellt ist der heutige Tag.
Das mitgelieferte Beispieltoken lief am 13. August 2026 ab. Stellen Sie das Prüfdatum davor, und die Anzeige wechselt — so sehen Sie beide Fälle.

Die drei Teile des Beispieltokens

Ein JWT sind drei mit Punkt getrennte Base64url-Zeichenketten: Header, Payload, Signatur. Die ersten beiden sind nur kodiert, nicht verschlüsselt — jeder, der das Token hat, liest sie mit, auch ohne Schlüssel. Genau das tut diese Seite.

Base64url trägt je vier Zeichen drei Bytes. Deshalb sind die JSON-Teile rund ein Viertel kürzer als ihre Darstellung im Token, und deshalb wächst ein Token spürbar mit jedem Feld, das man in den Payload legt — es reist bei jeder Anfrage mit.

Alle Zahlen stammen aus dem Rechner dieser Seite, gerechnet mit dem voreingestellten Beispieltoken. Die Signatur ist dort absichtlich zu kurz für HS256 — ein echtes Token trägt an dieser Stelle 43 Zeichen.
Teil	Zeichen im Token	Bytes JSON	Inhalt
Header	36	27	alg: HS256, typ: JWT
Payload	107	80	sub, name, iat, exp
Signatur	11	—	hier nicht geprüft

Die sieben festgelegten Felder

RFC 7519 legt sieben Namen fest, alles andere im Payload ist frei wählbar und nur zwischen Aussteller und Empfänger abgesprochen. Drei der sieben sind Zeitangaben, und alle drei stehen in Sekunden seit dem 1. Januar 1970 — nicht in Millisekunden, was der häufigste Fehler beim Selberbauen ist.

Der Rechner liest diese drei aus und rechnet sie in Datumsangaben um. Die übrigen Felder zeigt er unverändert an, weil ihre Bedeutung nicht allgemein festgelegt ist.

Im Beispieltoken steht exp als 1786622400. Das sind Sekunden seit dem 1. Januar 1970 und ergibt den 13. August 2026 um 12:00 UTC — dieselbe Umrechnung zeigt der Rechner unter „Rechnung“.
Feld	Bedeutung	Format
iss	Aussteller	Zeichenkette
sub	Subjekt — wem das Token gehört	Zeichenkette
aud	Empfänger, für den es bestimmt ist	Zeichenkette oder Liste
exp	läuft ab am	Sekunden seit 1970
nbf	gültig nicht vor	Sekunden seit 1970
iat	ausgestellt am	Sekunden seit 1970
jti	eindeutige Kennung des Tokens	Zeichenkette

Was in den Zeitfeldern steht

exp ist der Ablaufzeitpunkt, iat der Zeitpunkt der Ausstellung und nbf der früheste Zeitpunkt, ab dem das Token gilt. Alle drei sind Unix-Zeitstempel in Sekunden — nicht in Millisekunden, was eine verbreitete Fehlerquelle ist.

Fehlt exp, trägt das Token kein Ablaufdatum; die Anwendung kann es ablehnen oder eine eigene Gültigkeit anwenden. Bei Zugriffstoken ist das fast immer ein Fehler: Wird ein solches Token abgegriffen und vom Server angenommen, bleibt es gültig, denn zurückrufen lässt sich ein JWT ohne zusätzliche Sperrliste nicht.

Warum dieser Rechner die Signatur nicht prüft

Zum Prüfen braucht es das Geheimnis oder den öffentlichen Schlüssel des Ausstellers. Ein Geheimnis oder einen privaten Schlüssel trägt man nie in ein Webformular ein; ein öffentlicher Schlüssel darf weitergegeben werden, muss aber aus einer vertrauenswürdigen Quelle stammen. Diese Seite prüft keine Signaturen, sie dekodiert ausschließlich.

Ein dekodiertes Token sagt also, was drinsteht, nicht ob es echt ist. Die Prüfung gehört auf den Server, mit einer Bibliothek und einer festen Vorgabe für den erlaubten Algorithmus — sonst öffnet man das bekannte Loch mit alg gleich none.

Quellen

Stand der Werte: 2026. Die Ergebnisse sind Orientierungswerte und ersetzen keine fachliche Beratung.

Häufige Fragen

Kann ich ein Token hier gefahrlos einfügen?

Die Verarbeitung passiert im Browser, es wird nichts übertragen. Trotzdem gilt: Ein gültiges Zugriffstoken ist wie ein Passwort. Zum Anschauen besser ein abgelaufenes oder ein eigens erzeugtes Testtoken verwenden.

Was bedeutet der Algorithmus im Header?

HS256 steht für ein gemeinsames Geheimnis, RS256 und ES256 für ein Schlüsselpaar. Der Wert none bedeutet ganz ohne Signatur — wo ein signiertes Token erwartet wird, darf er nie akzeptiert werden, und genau das war eine der bekanntesten JWT-Schwachstellen. RFC 7519 sieht ihn nur vor, wenn das Protokoll das Token auf anderem Weg schützt.

Warum ist das Beispieltoken abgelaufen?

Weil sein exp-Feld fest auf den 13. August 2026 steht — ein Token trägt sein Ablaufdatum in sich, und diese Seite wird nicht bei jedem Aufruf neu gebaut. Der Fall ist nützlich: Stellen Sie das Prüfdatum auf einen Tag davor, und dieselbe Zeichenkette gilt plötzlich als gültig.

Was bedeutet eine Zahl wie 1786622400?

Sekunden seit dem 1. Januar 1970, 00:00 UTC. Diese eine Zahl beschreibt einen Zeitpunkt weltweit eindeutig, ohne Zeitzone und ohne Sommerzeit. Steht dort eine dreizehnstellige Zahl, sind es Millisekunden — dann liegt das Token um den Faktor tausend daneben und läuft erst in rund 56 000 Jahren ab.

Kann ich ein ausgestelltes Token zurückziehen?

Nicht das Token selbst. Es gilt bis zu seinem exp, weil der Server nur die Signatur prüft und dafür nichts nachschlagen muss — das ist der ganze Sinn der Bauart. Wer widerrufen können will, braucht eine Sperrliste auf dem Server oder kurze Laufzeiten mit einem Refresh-Token; beides gibt einen Teil des Vorteils wieder auf.

Was gehört nicht in den Payload?

Alles, was nicht jeder lesen soll. Der Payload ist kodiert, nicht verschlüsselt — diese Seite zeigt, wie leicht er sich öffnen lässt. Passwörter, vollständige Ausweisnummern oder Gesundheitsangaben gehören also nicht hinein, auch nicht „vorübergehend“.

Nützliche Links

Entwicklung und Web Alle Rechner

JWT-Decoder

Ergebnis

Passt dazu

Base64-Umwandler

Hash berechnen: MD5, SHA-1, SHA-256

Unix-Zeitstempel-Umrechner

UUID erzeugen und prüfen

Passwortstärke-Rechner

JSON-Formatierer

Nützliche Links