---
title: "Replay-Angriff: Definition | KYA-Glossar"
url: https://knowyouragent.ch/wissen/glossar/replay-angriff
lang: de-CH
updated: 2026-10-12
license: © Innopulse Consulting GmbH
---

# Replay-Angriff

Ein Replay-Angriff ist der Versuch, eine abgefangene, gültige Nachricht oder einen Nachweis erneut einzureichen, um eine Handlung ein zweites Mal oder bei einem anderen Empfänger auszulösen.

Eine Signatur belegt, dass eine Nachricht unverändert ist, aber nicht, dass sie zum ersten Mal und beim richtigen Empfänger ankommt. Wer eine signierte Zahlungsanweisung abfängt, könnte sie ohne Schutz beliebig oft wieder einreichen. Abwehr entsteht durch Angaben, die eine Nachricht an einen Zeitpunkt, einen Empfänger und eine einmalige Kennung binden: iat und exp für die Zeit, aud für den Empfänger, nonce oder jti für die Einmaligkeit.

Bei Agenten ist das Risiko besonders gross, weil sie viele Nachrichten automatisiert senden und Nachweise über mehrere Systeme reisen. Jede Stelle, die einen Nachweis annimmt, sollte deshalb prüfen, ob er frisch, für sie bestimmt und noch nicht verwendet ist.

## Beispiel

Ein Angreifer fängt die signierte Vorlage eines Mandats ab, die ein Agent bei Shop A eingereicht hat, und reicht sie bei Shop B ein. Weil das Key-Binding-JWT Shop A als Empfänger nennt und einen Zeitpunkt trägt, lehnt Shop B die Vorlage ab.

## Abgrenzung

Eine Manipulation verändert eine Nachricht, ein Replay verwendet sie unverändert erneut. Gegen Manipulation hilft die Signatur, gegen Replay helfen Zeit, Empfänger und einmalige Kennungen, die selbst signiert sind.

## In der Praxis

- Verlangen Sie in jedem Nachweis einen Empfänger und einen Zeitpunkt, und lehnen Sie abweichende oder alte Nachweise ab.
- Speichern Sie verwendete Kennungen wie jti oder nonce für die Dauer der Gültigkeit und weisen Sie Wiederholungen zurück.
- Halten Sie Gültigkeiten kurz, damit das Fenster für ein Replay klein bleibt.

## Bezug zu KYA

KYA prüft bei [SD-JWT VC](https://knowyouragent.ch/wissen/glossar/sd-jwt-vc) das Key-Binding-JWT mit Empfänger und Zeitpunkt und bei HTTP-Signaturen die Signaturparameter. Ob eine Kennung bereits verwendet wurde, kann nur die annehmende Stelle wissen, weil KYA keinen Zustand speichert.

Zugehöriger Prüfschritt: [Agent und Auftraggeber](https://knowyouragent.ch/methode/pruefschritte) (`subject_agent_binding`). Nennen alle Teile denselben Agenten, ist der [Auftraggeber](https://knowyouragent.ch/wissen/glossar/auftraggeber) benannt, hält der Agent den gebundenen Schlüssel?

[Jetzt prüfen: passendes Beispiel öffnen](https://knowyouragent.ch/pruefen?beispiel=paket)

## Häufige Fragen

### Was ist ein Replay-Angriff?

Das erneute Einreichen einer abgefangenen, gültigen Nachricht. Weil sie unverändert ist, hilft die Signatur allein nicht; es braucht Angaben zu Zeit, Empfänger und Einmaligkeit.

### Wie schützt eine Nonce vor Replay?

Die Nonce ist ein einmaliger Wert, den der Empfänger vorgibt oder speichert. Taucht derselbe Wert erneut auf, erkennt er die Wiederholung und lehnt ab.

### Schützt eine kurze Gültigkeit vor Replay?

Sie verkleinert das Zeitfenster, beseitigt das Risiko aber nicht. Innerhalb der Gültigkeit braucht es zusätzlich Empfänger und einmalige Kennungen.

### Kann KYA ein Replay erkennen?

KYA prüft Empfänger und Zeitpunkt in Key-Binding-JWT und HTTP-Signaturen. Ob eine Kennung schon verwendet wurde, muss die annehmende Stelle selbst festhalten, weil KYA keinen Zustand speichert.

## Quellen

- [RFC 9449: DPoP (Abschnitt zu Replay)](https://www.rfc-editor.org/rfc/rfc9449)
- [SD-JWT (IETF): Key Binding](https://datatracker.ietf.org/doc/draft-ietf-oauth-selective-disclosure-jwt/)

## Verwandte Begriffe

- [Key Binding](https://knowyouragent.ch/wissen/glossar/key-binding)
- [DPoP (RFC 9449)](https://knowyouragent.ch/wissen/glossar/dpop)
- [HTTP Message Signatures (RFC 9421)](https://knowyouragent.ch/wissen/glossar/http-message-signatures)
- [Entscheid-Token](https://knowyouragent.ch/wissen/glossar/entscheid-token)

---
Quelle: https://knowyouragent.ch/wissen/glossar/replay-angriff · KYA – Know Your Agent