API-Sicherheit Zunahme der APIs erhöht Cybersicherheitsrisiken

Anbieter zum Thema

CADFEM Germany GmbH

xSuite Group GmbH

Esker Software Entwicklungs-und Vertrieb

Eine neue Studie von Fastly zeigt, dass neun von zehn Entscheidern wissen, dass APIs ein trojanisches Pferd für Cyberangriffe sind. Allerdings investieren die meisten nicht in fortschrittliche Anwendungen für API-Sicherheit. Im internationalen Vergleich identifizieren Unternehmen in der DACH-Region API-Schwachstellen mit am häufigsten.

Eine große Mehrheit der Entscheidungsträger ignoriert das wachsende Riisiko von APIs (Application Programming Interfaces) durch Cyberangriffe für ihr Unternehmen. Zu diesem Ergebnis kommt eine neue Umfrage von Fastly, einem Anbieter von Edge-Cloud-Plattformen, für die 235 IT- und Cybersicherheits-Experten befragt wurden. APIs sind seit langem als einer der Grundpfeiler der digitalen Wirtschaft anerkannt.

 Jüngste Zahlen zeigen, dass mittlerweile der Großteil des gesamten Internetverkehrs über APIs abgewickelt wird. Die Allgegenwärtigkeit von APIs bedeutet, dass sie zu einem der beliebtesten Einfallstore für Cyber-Angriffe geworden sind. In der Fastly-Umfrage gaben 84 Prozent der Befragten zu, dass sie über keine fortschrittlichen Anwendungen für API-Sicherheit verfügen.

Unzureichende Maßnahmen gegen API-Missbrauch

Der Mangel an Maßnahmen gegen API-Missbrauch tritt auf, obwohl die große Mehrheit der Entscheidungsträger weiß, dass es diesbezüglich Probleme gibt. 95 Prozent der von Fastly befragten Unternehmen gaben an, in den letzten zwölf Monaten Probleme mit der API-Sicherheit gehabt zu haben. Mehr als drei Viertel (79 Prozent) haben die Einführung oder Integration einer neuen Anwendung aufgrund von API-Sicherheitsbedenken verzögert. Darüber hinaus sagten 79 Prozent, dass sie der API-Sicherheit eine hohe oder sehr hohe Bedeutung beimessen. Auf die Frage, warum nichts davon umgesetzt wurde, waren „unzureichendes Budget“ und „fehlendes Fachwissen“ die am häufigsten genannten Gründe.

API-Sicherheit: Risiko von Betriebsunterbrechungen

Jay Coley, Senior Security Architect bei Fastly, erklärt: „Die Ergebnisse unserer breit angelegten Umfrage zeigen, dass Entscheidungsträger wissen, dass die zunehmende Abhängigkeit von APIs ein Risiko für schwere Cyberangriffe darstellt. Aber bisher unternehmen sie nicht genug, um dem entgegenzuwirken. Dies ist überraschend, wenn man bedenkt, dass die operativen Kosten und Reputationsschäden infolge einer Sicherheitsverletzung die Kosten für die Bereitstellung einer konsolidierten Webanwendungs- und API-Sicherheitslösung bei weitem übersteigen."

Auf die Frage, welche Eigenschaften einer Plattform für API-Sicherheitsplatt für ihr Unternehmen am wichtigsten wären, nannten die Befragten an erster Stelle die Identifizierung von APIs, die personenbezogene oder sensible Daten preisgeben (43 Prozent). Weitere Hauptanliegen waren die Identifizierung aller APIs, einschließlich der nicht dokumentierten (40 Prozent), sowie die Protokollierung und Überwachung (28 Prozent). Aufgrund der hohen Anzahl von Meldungen herkömmlicher Sicherheitslösungen fällt es Unternehmen jedoch zunehmend schwerer, API-Angriffe zu erkennen.

Credential Stuffing, Missbrauch von Geschäftslogik und DDoS-Angriffe sind nur einige der bösartigen automatisierten Bot-Angriffe, die eingesetzt werden, um Konten zu übernehmen und Identitätsdiebstahl und Betrug zu begehen. Leicht verfügbare Skripte und Tools machen es einfacher denn je, API-Angriffe zu orchestrieren, und herkömmliche Bot-Abwehrtechniken haben Schwierigkeiten, diese potenziell verheerenden Angriffe zu erkennen.

KI-Sicherheitslösungen sind im Kommen

Eine Lösung für die Komplexität der API-Landschaft könnte eine neue Generation von KI-gestützten Cybersicherheits-Systemen sein. Fastly fand allerdings heraus, dass es derzeit wenig Begeisterung für diese neuen Systeme gibt. Nur 14 Prozent der befragten Unternehmen betrachten den Einsatz von KI-Technologien in der API-Sicherheit als Priorität. Dennoch erwarten 58 Prozent, dass generative KI in einem Zeitfenster von etwa zwei bis drei Jahren einen „großen oder sehr großen“ Einfluss auf die API-Sicherheit haben wird. Im regionalen Vergleich gehen die Befragten aus den DACH-Ländern und aus Spanien am meisten von einem hohen bis sehr hohen Einfluss von KI auf die API-Sicherheit aus (65 Prozent).

Sektorale und regionale Unterschiede bei API-Sicherheit

Ein beunruhigender Aspekt der Umfrage ist, dass stark regulierte Sektoren, die mit sensiblen Daten umgehen, zu den schlimmsten Verursachern von API-Inaktivität gehören. Nur 80 Prozent der Befragten im Finanzdienstleistungssektor messen der API-Sicherheit eine hohe oder sehr hohe Bedeutung bei. Im Vergleich dazu sind es im Groß- und Einzelhandel sowie im E-Commerce 89 Prozent.

API-Schwachstellen werden in den untersuchten Regionen unterschiedlich häufig entdeckt. Unternehmen aus der DACH-Region sowie aus Spanien melden mit 47 Prozent die meisten Schwachstellen. Gleichzeitig sind nur 13 Prozent der Befragten in der DACH-Region der Ansicht, dass ihre API-Sicherheit fortschrittlich genug ist. Die Manipulation von APIs ist in der DACH-Region das häufigste Problem, während in Großbritannien und Skandinavien Zombie-APIs die größte Herausforderung darstellen.

Sicherheitsexperten unterschätzen Ausmaß der Bedrohungen

Eine interessante Erkenntnis ist die Diskrepanz zwischen den Einstellungen innerhalb der Unternehmenshierarchien. 91 Prozent der C-Suite- und Compliance-Experten messen der API-Sicherheit eine „hohe oder sehr hohe“ Bedeutung bei, aber nur 74 Prozent der internen Sicherheitsexperten teilen diese Einschätzung. Dies könnte darauf hindeuten, dass Sicherheitsexperten das Ausmaß der Bedrohung unterschätzen - oder dass sie tagtäglich mit einer größeren Anzahl von Bedrohungen konfrontiert sind.

Im Rahmen der Studie zur API-Sicherheit wurden 235 wichtige Entscheidungsträger für IT und Cybersicherheit in Großunternehmen verschiedener Branchen in Großbritannien, Frankreich, Spanien, Skandinavien (Dänemark, Norwegen, Schweden, Finnland) und der DACH-Region befragt. Die Edge-Cloud-Plattform von Fastly unterstützt Unternehmen bei der Bereitstellung bestmöglicher Online-Erlebnisse. Fastly bietet Edge Computing, Content Delivery sowie Cybersecurity- und Observability-Produkte zur Verbesserung ihrer Website-Performance, Erhöhung der Sicherheit und Förderung von Innovationen auf globaler Ebene.

API-Design: Optimierung reduziert Risiko für Cyberangriffe