Cybersicherheitsrisiko: APIs sind weitgehend ungeschützt

Cloudflare, Anbieter im Bereich Connectivity Cloud, hat seinen ersten Bericht zu API-Sicherheit und -Verwaltung veröffentlicht. Daraus geht hervor, dass Unternehmen heute stärker auf API – einen technischen Grundpfeiler der aktuell am häufigsten genutzten Websites und Apps – zurückgreifen als je zuvor. Damit wird aber auch einer nie dagewesenen Zahl an Online-Bedrohungen Tür und Tor geöffnet.

Der Report verdeutlicht die Schieflage zwischen der Allgegenwärtigkeit von API und der unzureichenden Fähigkeit von Unternehmen, die Daten zu schützen, die mit diesen API in Berührung kommen.

API sind der Motor der digitalen Welt – Handys, Smartwaches, Banksysteme und Shopping-Websites nutzen alle API zur Kommunikation. Sie können die Zahlungsabwicklung im Online-Geschäft erleichtern, zur sicheren Übertragung von Gesundheitsdaten beitragen oder Betreibern von Taxidiensten und öffentlichen Verkehrsmitteln Zugriff auf Echtzeit-Verkehrsdaten ermöglichen. So gut wie jedes Unternehmen verwendet heute API, um Websites, Anwendungen und Dienste zu entwickeln und für Verbraucherinnen und Verbraucher zu optimieren. Wenn diese Schnittstellen aber nicht verwaltet und abgesichert werden, sind sie eine Goldgrube für Kriminelle, die darüber sensible Informationen ausschleusen können.

„API sind für die Funktionsweise von Anwendungen und Websites maßgeblich. Das macht sie zu einem einträglichen, wenn auch relativ neuen Ziel von Hackern“, erklärt Matthew Prince, CEO und Mitgründer von Cloudflare. „Unternehmen müssen unbedingt alle ihre API aufspüren und absichern, um Datenlecks zu verhindern und ihr Geschäft zu schützen.“

Wichtige Erkenntnisse aus dem Cloudflare-Bericht zu API-Sicherheit und -Verwaltung 2024:

• Selbst Branchen, von denen man es nicht erwartet, verzeichnen einen starken Anstieg beim API-Traffic: Weil API eine nahtlose Integration ermöglichen, greifen Unternehmen aus verschiedenen Branchen zunehmend darauf zurück – manche allerdings schneller als andere. Den höchsten Anteil am API-Datenverkehr hatten 2023 das Internet der Dinge, der Schienenverkehr, Busse und Taxen, Rechtsdienstleistungen, Multimedia und der Bereich Gaming sowie die Logistik- und Lieferkettenbranche.

• Auf API entfällt der größte Teil des Internet-Traffics: Weltweit wird der dynamische Internet-Traffic von API (57 Prozent) dominiert. In jeder Region auf der Welt, die von Cloudflare geschützt wird, wurde im vergangenen Jahr eine Zunahme der API-Verwendung registriert. Die Regionen, in denen sich API explosionsartig verbreitet haben und bei denen API 2023 den höchsten Anteil am Datenverkehr hatten, waren jedoch Afrika und Asien.

• API sind einer Vielzahl an häufigen und wachsenden Bedrohungen ausgesetzt: Wie bei vielen anderen beliebten und geschäftstragenden Funktionen, die sensible Daten beinhalten, versuchen Kriminelle auch hier mit allen Mitteln, sich Zugang zu verschaffen. Daher hat die wachsende Beliebtheit von API auch zu einem Anstieg des Angriffsvolumens geführt. Bei den von Cloudflare abgewehrten Attacken wurden am häufigsten HTTP-Anomalien, Injection und File Inclusion genutzt.

• Mit Schatten-API haben Angreifer freie Bahn: Wissen Unternehmen nichts von der Existenz einer Bedrohung, können sie sich auch nicht dagegen schützen. Mittels Machine Learning konnten knapp 31 % mehr API REST-Endpunkte (über die sich eine API mit einer Software verbindet) ermittelt werden als anhand der von Kundinnen und Kunden angegebenen Identifizierungsmerkmale. Mit anderen Worten: Die Unternehmen haben keine klare Vorstellung von ihrem eigenen API-Bestand.

• DDoS-Abwehrlösungen gehören zu den effektivsten Mitteln zum Schutz von API: Unabhängig davon, ob ein Unternehmen vollständigen Überblick über alle seine API hat, können DDoS-Abwehrlösungen zur Blockierung potenzieller Bedrohungen beitragen. Ein Drittel (33 Prozent) aller gegen API-Bedrohungen angewandten Abwehrmaßnahmen wurden durch einen bereits implementierten DDoS-Schutz eingeleitet.

„API sind mächtige Werkzeuge, mit denen Entwicklerinnen und Entwickler umfassende, komplexe Anwendungen für Kundinnen und Kunden, Partner und Beschäftigte erschaffen können. Doch jede API ist auch ein mögliches Einfallstor für Angriffe, das abgesichert werden muss“, erklärt Melinda Marks, Practice Director, Cybersecurity bei der Enterprise Strategy Group. „Wie dieser neue Bericht zeigt, brauchen Unternehmen effektivere Möglichkeiten zur Gewährleistung der API-Sicherheit. Dazu gehören ein umfassenderer Überblick über vorhandene API, Wege für eine sichere Authentifizierung und bessere Mittel, um ihre Anwendungen vor Angriffen zu schützen.“

Methodik:

Die Ergebnisse dieses Berichts, wozu auch die oben aufgeführten Statistiken gehören, leiten sich aus Traffic-Mustern ab, die im weltumspannenden Netzwerk von Cloudflare (einschließlich unserer Web Application Firewall, unseres DDoS-Schutzes, unseres Bot-Managements und unserer API Gateway-Dienste) zwischen dem 1. Oktober 2022 und dem 31. August 2023 beobachtet wurden. Während des am 30. September 2023 abgelaufenen Quartals hat Cloudflare im Schnitt mehr als 50 Millionen HTTP-Anfragen pro Sekunde verarbeitet und durchschnittlich 170 Milliarden Cyberbedrohungen am Tag blockiert.

Weitere Informationen:

Hier finden Sie den vollständigen Bericht zu API-Sicherheit und -Verwaltung.

www.cloudflare.com