Cybersecurity-Teams in Unternehmen richten ihren Fokus zunehmend auf die API-Sicherheit, und das aus gutem Grund. In der digitalen Wirtschaft sind APIs das Eingangstor zum Unternehmen – ein Zugangspunkt für IoT-Geräte, Web- und mobile Apps und zunehmend auch für KI-gestützte Anwendungen, die unsere Geschäftsabläufe grundlegend verändern. Leider dienen APIs auch Kriminellen als Eingangstor, von denen viele Bots für ihre Angriffe einsetzen. Daher ist es für Sicherheitsteams unerlässlich, APIs zu schützen und die für Angriffe eingesetzten Bots abzuwehren.
Die OWASP-Liste der zehn größten API-Sicherheitslücken zeigt deutlich, welch zentrale Rolle Bots bei Angriffen auf APIs spielen. Drei der zehn größten API-Sicherheitslücken stehen in direktem Zusammenhang mit Bots:
- Fehlerhafte Authentifizierung: Bots überwinden Authentifizierungsmechanismen durch Brute-Force- und Wörterbuchangriffe sowie durch Credential Stuffing. Dies führt zur Übernahme von Konten, zu Betrug, finanziellen Verlusten und verärgerten Kunden.
- Uneingeschränkter Ressourcenverbrauch: Bots nutzen den uneingeschränkten Ressourcenverbrauch aus und erschöpfen dadurch die Speicher- und Verarbeitungskapazität von APIs. Wenn Bots auf APIs abzielen, die für die Nutzung durch interaktive Anwendungen (von Menschen verwendete Web- und mobile Anwendungen) konzipiert sind, können die Auswirkungen auf Leistung und Kosten katastrophal sein.
- Uneingeschränkter Zugriff auf sensible Geschäftsprozesse: Übermäßiger Zugriff auf bestimmte Geschäftsprozesse kann dem Unternehmen schaden. Nicht autorisierte Wiederverkäufer können Produktbestände aufkaufen und die Produkte zu einem deutlich höheren Preis weiterverkaufen. Spammer können Kommentar- oder Beitragsfunktionen missbrauchen. Angreifer können über ein Reservierungssystem alle verfügbaren Zeitfenster blockieren. In solchen Fällen werden Bots eingesetzt, um diese Geschäftsprozesse auszunutzen.
In seinem Buch „Hacking APIs: Breaking Web Application Programming Interfaces,“ erläutert der renommierte Cybersicherheits- und API-Experte Corey J. Ball, wie Angreifer automatisierte Tools zur API-Erkennung (OWASP ZAP, Gobuster, Kiterunner) und für Fuzzing (Postman, Wfuzz und Burp Suite) einsetzen können, um Tausende von Anfragen an APIs zu senden und Schwachstellen aufzuspüren. Es muss ein Bot-Management vorhanden sein, um solche Ausspähversuche zu erkennen und ihre Wirksamkeit zu verringern.
Bots wirken sich nicht auf alle APIs gleichermaßen aus. APIs sind in der Regel durch gegenseitiges TLS geschützt, sodass das Risiko einer fehlerhaften Authentifizierung gering ist und die Anfragerate für jeden authentifizierten Client begrenzt werden kann. APIs, die ausschließlich Datenverkehr von interaktiven Web- und mobilen Apps erwarten, sind am anfälligsten für Bots.
Die Abwehr von Bots wird für APIs, die von Menschen initiierten Datenverkehr erwarten, zunehmend schwieriger. Open-Source-Bibliotheken erleichtern es, die Erkennung durch Header-Fingerprinting zu umgehen. Zudem stehen Bot-Betreibern weithin Dienste zur Verfügung, mit denen sich CAPTCHAs überwinden und Anfragen über Netzwerke mit mehreren zehn Millionen privaten IP-Adressen weiterleiten lassen. Herkömmliche Verfahren wie Header-Analysen, IP-Sperrlisten und CAPTCHAs sind nicht mehr wirksam. Daher müssen Anwendungssicherheitsteams zur Abwehr von Bots auf die umfassende Erfassung clientseitiger Signale mithilfe von JavaScript und mobilen SDKs sowie auf ausgefeiltes maschinelles Lernen setzen, um Angriffswerkzeuge und Bot-Verhaltensweisen zu erkennen.
Mit der zunehmenden Verbreitung von KI-Anwendungen wird es entscheidend sein, APIs und diese Endpunkte vor automatisierten Angriffen zu schützen. Als Reaktion darauf hat OWASP seine Liste Top 10 Risiken und Gegenmaßnahmen für LLMs und generative KI-Anwendungen 2025 veröffentlicht. Weitere Informationen finden Sie in meinem kürzlich veröffentlichten Beitrag „Wie Bots große Sprachmodelle angreifen“.
Welche APIs Ihres Unternehmens sind anfällig für Bots? Wie wahrscheinlich ist ein Angriff und welche Kosten hätte er zur Folge? Wie können Sie Sicherheitskontrollen so gestalten, dass sie den erforderlichen Schutz vor Bots gewährleisten? Diese Fragen sollten im Rahmen der Bedrohungsmodellierung geklärt werden. Weitere Informationen zu den geschäftlichen Auswirkungen von Bots finden Sie im F5-Whitepaper zu diesem Thema. Alternativ können Sie sich für eine kostenlose Beratung anmelden.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...