Die Verbraucher sind bereit, die digitale Wirtschaft mit schätzungsweise 843 bis 859 Milliarden US-Dollar in diesem Jahr anzukurbeln – mehr als doppelt so viel wie 2002, als sich der Gesamtumsatz im Weihnachtsgeschäft auf lediglich 416,4 Milliarden US-Dollar belief.
Letztlich wird all dies über Finanzdienstleistungsinstitute abgewickelt. Unabhängig davon, ob Zahlungen über Apple Pay, Venmo, PayPal oder eine Debitkarte verarbeitet werden, ist stets ein Konto bei einem Finanzdienstleistungsinstitut beteiligt.
Dies führt natürlich dazu, dass böswillige Akteure versuchen, sich Zugang zu diesen Konten zu verschaffen, insbesondere über FinTechs. Ob durch Betrugsmaschen, wie sie etwa Zelle-Nutzer erlebt haben oder Mitarbeiter des Robinhood-Kundendienstes, oder direkt durch Credential Stuffing oder Brute-Force-Angriffe – wer hartnäckig bleibt, kann damit hohe Gewinne erzielen.
Die meisten erfolgreichen Sicherheitsverletzungen, von denen wir heute hören, richten sich direkt gegen die Benutzeroberflächen eines Finanzdienstleisters: eine Web-App, eine Textnachricht oder eine E-Mail. Umso beunruhigender sind die potenziellen Auswirkungen des explosionsartigen API-Wachstums, das das digitale Finanzökosystem antreibt – ebenso wie die damit verbundenen Risiken durch Drittanbieter, die kriminelle Organisationen zunehmend als lukrativen Angriffsvektor erkennen.
APIs werden für kriminelle Organisationen immer attraktiver
Verbrauchern steht heute ein immer vielfältigeres Zahlungsökosystem zur Verfügung, mit dem sie ihre großzügigen Weihnachtsausgaben finanzieren können:
- Mehr als zwei von drei Käuferinnen und Käufern der Generation Z planen, in dieser Weihnachtssaison über unkonventionelle Kanäle wie Instagram, WhatsApp und Livestreams einzukaufen.
- Laut einer NPD-Umfrage vom Juni 2021 gaben mehr als 50 % der Verbraucher an, bereits über Instagram oder Facebook eingekauft zu haben. 15 % dieser Verbraucher nannten TikTok als eine Social-Media-Plattform, auf der sie Produkte entdecken und sich darüber informieren. (Quelle: E-Commerce-Statistiken und -Trends zum Weihnachtseinkauf 2021)
Ein florierendes Zahlungsökosystem ist auf APIs angewiesen, um digitale Finanztransaktionen zu ermöglichen. Standardisierung trägt dazu bei, schnelle und sichere Transaktionen zu gewährleisten, um den Erwartungen ungeduldiger Verbraucher gerecht zu werden und digitalen Unternehmen die nötige Anpassungs- und Wachstumsfähigkeit zu bieten. Der derzeit führende Standard ist FDX (Financial Data Exchange). Im September 2021 nutzten bereits 22 Millionen Verbraucherkonten die FDX-API für den Austausch von Open-Finance-Daten. Dies hat insbesondere zu einem erheblichen Anstieg der API-Aufrufe geführt, deren Zahl auf knapp 2 Milliarden pro Monat gestiegen ist. (Quelle: FinExtra)
Ein kürzlich veröffentlichter Bericht des Office of the CTO von F5 mit dem Titel „Kontinuierliche API-Ausbreitung: Herausforderungen und Chancen in einer API-getriebenen Wirtschaft,“ weist auf die rasante Verbreitung von APIs und die damit verbundenen Governance- und Sicherheitsrisiken hin.
Der Bericht kam zu dem Ergebnis, dass es derzeit rund 200 Millionen APIs gibt, die von digitalen Zahlungen bis hin zu Unterhaltungsdiensten alles ermöglichen und die Grundlage für leistungsfähige Marktplätze bilden. Bis 2030 könnte diese Zahl auf 1,7 Milliarden steigen.
In Verbindung mit den Erkenntnissen aus der F5 Labs-Forschung, die zeigen, dass die Zahl der API-Sicherheitsvorfälle – von denen viele mit Drittanbietern wie FinTechs zusammenhängen – jedes Jahr zunimmt, müssen sich Finanzinstitute um weit mehr sorgen als nur um mögliche bevorstehende regulatorische Maßnahmen und den Wettbewerbsdruck.
Die digitale Wirtschaft schützen
Die Absicherung von APIs und der Schutz von Verbrauchern und Unternehmen vor Betrug rücken für digitale Unternehmen aller Branchen zunehmend in den Fokus, insbesondere jedoch für Unternehmen im Finanzdienstleistungssektor.
Darüber hinaus: „Verschiedene Entwicklungsteams, die an mehreren Anwendungen arbeiten, verwenden häufig unterschiedliche Toolsets. Das bedeutet, dass herkömmliche Sicherheitsteams möglicherweise nicht über eine zentrale Kontrollinstanz verfügen, um Sicherheitsvorgaben durchzusetzen. Daher ist ein standardisierter Satz von Tools erforderlich, um die richtigen Kontrollen in die Prozesse zur Entwicklung und Verwaltung von APIs zu integrieren.“ (Quelle: Renuka Nadkarni, CTO Security bei F5, Die FDX-API absichern, um Daten im Open Banking zu schützen)
Der Leitfaden zu den Open-Banking-Lösungen von F5 bietet einen umfassenden Überblick über die Lösungen von F5 für Open Banking. Darüber hinaus weist Nadkarni darauf hin, dass „FDX umfassende Empfehlungen zu den Kontrollen veröffentlicht hat, die implementiert werden sollten, um Informationen zu Verbraucherkonten und die Integrität der Dienste vor Bedrohungen und Risiken zu schützen.“ Zu diesen Kontrollen gehören:
- Softwaresicherheit – Schutz vor den OWASP Top 10 und anderen Softwareschwachstellen – einschließlich der Bereitstellung einer Web Application Firewall (WAF)
- Netzwerk- und Systemsicherheit
- Betriebliche Sicherheit
- Physische Sicherheit
- Geschäftskontinuität und Notfallwiederherstellung
- Lieferantensicherheit
- Entwurfsmuster für AuthN/AuthZ einschließlich Schutzmaßnahmen gegen Credential Stuffing
- Muster für eine sichere Gateway-Architektur (SGA), einschließlich in das API-Gateway integrierter API-Sicherheitskontrollen
Abschließend ist festzuhalten, dass der Schutz von Finanzdaten – sowohl bei der Übertragung als auch bei der Speicherung – in einer Wirtschaft, in der digitale Prozesse zum Standard werden, zunehmend an Bedeutung gewinnt. Das Betrugsrisiko für Unternehmen ist zweifellos erheblich, doch für Verbraucher ist es noch größer.
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.