GitHub Apps legen Repositories künftig ohne Administrationsrechte an
Serguey Asael Shinder2 Min. LesezeitGitHub hat am 13. Oktober 2026 eine Reihe von Änderungen an GitHub Apps angekündigt. Zwei Ziele stehen dahinter: Automatisierung weg von klassischen Personal Access Tokens zu bringen und Apps weniger Rechte anfordern zu lassen als bisher.
Zwei neue feingranulare Berechtigungen. Bisher brauchte das Anlegen eines Repositorys repository_administration:write – eine Berechtigung, die auch Löschen und Übertragen einschließt. Nach GitHubs eigener Darstellung führte das zu schlechten Entscheidungen: App ablehnen, Tokens mit dieser Berechtigung verbieten oder die Überprivilegierung hinnehmen. Die neue Berechtigung repository_creation:write erlaubt nur das Anlegen; wer das Repository erstellt, erhält Zugriff darauf, und eine App mit dieser Berechtigung muss weiterhin von einem Organisationsadministrator installiert werden. Eine zweite Berechtigung, installation_repositories:write, gilt je Repository und erlaubt, dieses Repository einer beliebigen App-Installation in der Organisation hinzuzufügen oder es daraus zu entfernen. Die zugehörigen Organisations-APIs, die bisher nur den groben Scope repo akzeptierten, nehmen nun GitHub Apps und feingranulare PATs an; ruft ein Nutzer auf, muss er zusätzlich Owner der Organisation oder Admin des Repositorys sein.
Repository-Admins dürfen freigegebene Apps erweitern. Apps mit Rechten auf Organisationsebene konnten Repository-Administratoren bisher grundsätzlich nicht installieren. Das wird gelockert, wenn die App bereits in der Organisation installiert ist: Dann kann ein Repository-Admin sein Repository der bestehenden Installation ohne Freigabe eines Owners hinzufügen, weil der Zugriff der App auf Organisationsebene nicht wächst. Drei Berechtigungsgruppen bleiben owner-pflichtig: alle Rechte auf Organisationsebene, Repository-Administration und das neue Anlegen von Repositories. Wer das alte Verhalten will, kann die Installation auf Owner beschränken.
Ablaufende Tokens, schrittweise. GitHub Apps unterstützen nun den Scope offline_access, wie OAuth-Apps. Wer ablaufende Nutzer-Tokens einst abgeschaltet hat, kann sie schrittweise wieder einführen: Eine Sitzung mit offline_access erhält neben dem kurzlebigen Access-Token ein Refresh-Token, ohne dass alle bestehenden Clients auf einmal umgestellt werden müssen. Die Berechtigungen selbst bleiben in der App-Registrierung festgelegt.
Verwaltung und Audit. Apps können über die API „Get an app“ Angaben zu privaten und internen Apps abrufen, sofern sie einen gemeinsamen Eigentümer haben – gleiche Organisation, gleiches Enterprise bei internen Apps oder Enterprise gegenüber Organisation. GitHub sieht darin eine Grundlage für automatisierte App-Audits. Zugangsdaten wandern in einen eigenen Reiter „Credentials“, der laut GitHub Platz für geplante Workload-Federation-Zugangsdaten schafft.
Für GitHub Enterprise Server kommt offline_access mit GHES 3.23, der Rest mit GHES 3.24.
Quelle: GitHub Changelog, „GitHub App improvements for least privilege and management“ — https://github.blog/changelog/2026-10-13-github-app-improvements-for-least-privilege-and-management