APIs verbinden Anwendungen und Daten über das Netz. Weil sie oft direkt auf Geschäftslogik und Daten zugreifen, sind sie ein bevorzugtes und wachsendes Angriffsziel.
Eine API (Application Programming Interface) ist eine Schnittstelle, über die Anwendungen miteinander sprechen und Daten austauschen. Moderne Software besteht zu großen Teilen aus APIs: Web- und Mobile-Apps, Cloud-Dienste, Partner-Integrationen und Microservices kommunizieren fast ausschließlich über sie. API-Sicherheit bezeichnet die Maßnahmen, die verhindern, dass diese Schnittstellen missbraucht werden.
Das Problem: APIs sprechen direkt mit der Geschäftslogik und den Daten dahinter – oft ohne die Schutzschichten einer klassischen Weboberfläche. Ein Fehler in der Zugriffskontrolle legt hier schnell ganze Datenbestände offen. Während eine Weboberfläche den Nutzer durch Masken und Abläufe führt, ist eine API ein direkter Draht zur Logik dahinter – Angreifer können jeden Parameter frei verändern und Antworten systematisch auswerten.
Typische Schwachstellen
Die häufigsten Probleme sind in der OWASP-API-Security-Top-10 gebündelt. Besonders relevant:
- fehlerhafte Objekt- und Funktionsebenen-Autorisierung: ein Nutzer greift auf fremde Datensätze zu,
- schwache oder fehlende Authentifizierung,
- zu viele zurückgegebene Daten (Excessive Data Exposure),
- fehlende Begrenzung von Anfragen (Rate Limiting),
- Einschleusungen wie SQL Injection über Schnittstellenparameter,
- vergessene oder undokumentierte Endpunkte aus früheren Versionen.
Bedeutung für Unternehmen
APIs sind ein schnell wachsender Teil der Angriffsfläche, der in klassischen Prüfungen oft zu kurz kommt. Viele APIs sind gar nicht vollständig dokumentiert oder stammen aus früheren Projektphasen. Für Entscheider heißt das: Jede Schnittstelle, die auf sensible Daten zugreift, braucht denselben Schutz wie die Anwendung selbst – und muss regelmäßig geprüft werden, besonders in Cloud-Umgebungen.
Härtung und Prüfung aus Red-Team-Sicht
Wir prüfen APIs gezielt auf fehlerhafte Zugriffskontrolle: Lässt sich durch Verändern von Parametern auf fremde Objekte zugreifen? Greifen Berechtigungen auf jeder Ebene? Empfohlene Maßnahmen:
- Autorisierung serverseitig auf Objekt- und Funktionsebene prüfen, nie dem Client vertrauen,
- starke Authentifizierung und kurzlebige Token,
- nur die wirklich nötigen Daten zurückgeben,
- Rate Limiting und Eingabevalidierung durchsetzen,
- vollständiges Inventar aller APIs über Attack Surface Management.
Orientierung bietet die OWASP Top 10. Wir prüfen APIs im Rahmen eines Penetrationstests.