Fünf Bereiche, in denen ein verbesserter API-Schutz die Sicherheit im Finanzdienstleistungssektor erhöht

Joshua Goldfarb

API-Sicherheit ist heute ein viel diskutiertes Thema – und das aus gutem Grund. Bei genauerer Betrachtung haben sich die meisten Finanzdienstleister zunehmend zu Technologieunternehmen entwickelt. Sie stehen ständig unter Innovationsdruck, um mit FinTechs Schritt zu halten, die bei der Erfüllung digitaler Kundenanforderungen neue Maßstäbe setzen – oder um sogar Partnerschaften mit ihnen einzugehen. Das daraus entstandene, weiterentwickelte Finanzdienstleistungsökosystem, das FinTechs über APIs einbindet, hat zu einem erheblichen Wachstum der Open-Finance-Bewegung geführt. Dadurch sind Finanzinstitute für ihren Geschäftsbetrieb stärker denn je auf APIs angewiesen.

Es überrascht nicht, dass mit den Banken auch Angreifer die Bedeutung von APIs erkannt haben. Geschäftskritische APIs werden ständig von Angreifern ins Visier genommen, da sie wissen, dass sie von der Ausnutzung, dem Missbrauch und/oder der Kompromittierung von APIs finanziell oder anderweitig profitieren können. Gleichzeitig hat sich die Angriffsfläche in den vergangenen Jahren erheblich vergrößert. Dies ist vor allem auf die zunehmende Komplexität und die wachsenden Schwierigkeiten bei der Verwaltung von Hybrid- und Multi-Cloud-Umgebungen zurückzuführen, die die Branche erfasst haben. All dies hat erhebliche geschäftliche Auswirkungen in Form von groß angelegten Datenschutzverletzungen, Compliance-Problemen und behördlichen Bußgeldern.

Natürlich gibt es nicht nur schlechte Nachrichten. Wenn Finanzdienstleister mit einem vertrauenswürdigen Partner zusammenarbeiten, können sie sich besser vor Bedrohungen für ihre APIs schützen. Sehen wir uns fünf Bereiche an, in denen der richtige vertrauenswürdige Partner zur Verbesserung der API-Sicherheit beitragen kann.

1. Entwicklung: Entwicklungsteams stehen vor einer schwierigen Herausforderung. Einerseits müssen sie unter hohem Termindruck die erforderlichen Funktionen entwickeln und zum Laufen bringen. Andererseits müssen sie bei der Entwicklung von APIs die vom Sicherheitsteam festgelegten Anforderungen erfüllen. Es gibt jedoch keine wirkliche Möglichkeit, diese Anforderungen durchzusetzen oder ihre Einhaltung zu überprüfen. Natürlich kann der Code auditiert und überprüft werden, doch das ist ein mühsamer und zeitaufwendiger Prozess, der anfällig für menschliche Fehler und Versäumnisse ist. Zudem wird dieser Prozess meist zugunsten anderer, besonders dringlicher Prioritäten zurückgestellt. In den meisten Unternehmen gibt es in der Regel deutlich mehr Entwickler als Sicherheitsexperten, was zu einem Skalierungsproblem führt. Dadurch gelangen Fehler, Versäumnisse und Schwachstellen durch den Entwicklungsprozess bis in produktive APIs. Nur durch Automatisierung lassen sich Sicherheitskontrollen skalieren, ohne dass das Sicherheitsteam zum Hindernis wird und das vom Unternehmen geforderte Tempo verlangsamt. Die Zusammenarbeit mit einem vertrauenswürdigen Partner, der Schemas, Standards und Richtlinien automatisch durchsetzt, ist der bessere Weg.
2. Zugriffskontrolle: Ob Sie es glauben oder nicht: Zu kontrollieren, wer auf welche APIs zugreifen darf, ist nach wie vor eine Herausforderung. Angesichts der Komplexität moderner Unternehmen ist das vielleicht gar nicht so überraschend. Die meisten Unternehmen nutzen mindestens zwei Cloud-Anbieter sowie lokale Umgebungen und/oder Rechenzentren. In der Regel sind mehrere Teams erforderlich, um die Netzwerk-, Technologie-, Entwicklungs- und Sicherheitsinfrastruktur an jedem dieser unterschiedlichen Standorte zu verwalten. Daher überrascht es nicht, dass die Kontrolle (und Überwachung) des Zugriffs auf APIs zu einer ernsthaften Herausforderung geworden ist. Tatsächlich beziehen sich vier der OWASP API Security Top 10 aus dem Jahr 2023 auf Authentifizierung bzw. Autorisierung. Der richtige vertrauenswürdige Anbieter kann helfen, die Komplexität zu reduzieren und überlastete Teams zu entlasten. So kann sich das Unternehmen voll und ganz auf den Betrieb, die Wartung und die Absicherung dieser Umgebungen konzentrieren – einschließlich einer angemessenen Zugriffskontrolle.
3. Nicht autorisierte APIs: Manchmal brauchen formale Prozesse ihre Zeit, und Entwickler richten neue Infrastrukturen und Endpunkte ein, um einen Entwicklungstermin einzuhalten. Oder Infrastrukturen und Endpunkte sind möglicherweise durchs Raster gefallen und wurden nie ordnungsgemäß inventarisiert, verwaltet, überwacht und abgesichert. Unabhängig von den Gründen gibt es nicht autorisierte APIs. Ist eine API nicht bekannt, kann sie weder inventarisiert noch verwaltet, überwacht oder abgesichert werden. Ein guter, vertrauenswürdiger Partner hilft dem Unternehmen, unbekannte APIs nicht nur zu erkennen, sondern auch abzusichern.
4. WAF allein reicht nicht aus: Web Application Firewalls (WAFs) sind zweifellos ein wesentlicher Bestandteil eines Sicherheits-Stacks. WAFs bieten wichtigen Schutz vor einer Vielzahl von Bedrohungen. Sie waren jedoch nie als Universallösung für alle Arten von Angriffen gedacht, denen APIs täglich ausgesetzt sind. Darüber hinaus entwickeln sich APIs rasant weiter, wodurch völlig neue Klassen von Schwachstellen entstehen, die von Sicherheitskontrollen möglicherweise nicht erkannt werden. Das Angebot eines vertrauenswürdigen Partners ist nur dann vollständig, wenn es zusätzlich zu und integriert in eine WAF hochentwickelte Funktionen zur Erkennung und Behebung von API-Schwachstellen bietet.
5. Ausgefeilte Angriffe: Die Zeiten, in denen Anwendungen mit bekannten, gängigen Angriffsmethoden attackiert wurden, sind vorbei. Erfahrene Angreifer führen ausgefeilte Angriffe durch, die unbemerkt bleiben sollen, um sensible Geschäftsabläufe offenzulegen, Daten zu entwenden, Betrug zu begehen, Anwendungen lahmzulegen und den Ruf eines Unternehmens zu schädigen. Dazu zählen sowohl manuelle als auch automatisierte Angriffe (Bot-Angriffe). Um diese ausgefeilten Angriffsarten zu identifizieren, zu erkennen und abzuwehren, ist spezialisiertes Know-how erforderlich. Der Schutz vor den ausgefeiltesten Angriffen sollte Bestandteil des API-Sicherheitsangebots jedes vertrauenswürdigen Partners sein.

Natürlich ist diese Liste nicht vollständig. Jedes Finanzdienstleistungsunternehmen sollte sein Risikoregister überprüfen, um zu ermitteln, welche Risiken und Bedrohungen voraussichtlich die größten Auswirkungen auf das Geschäft haben werden. Risiken mit potenziell schwerwiegenderen Folgen können dabei höher priorisiert werden. Es ist jedoch wichtig zu beachten, dass viele Führungskräfte möglicherweise nicht wissen, wie sie das tatsächliche Ausmaß des API-Sicherheitsrisikos am effektivsten bewerten können. Umso wichtiger ist die Zusammenarbeit mit dem richtigen Partner. Risiken im Zusammenhang mit der API-Sicherheit sollten idealerweise weit oben auf der Liste stehen und somit als vorrangiges Thema behandelt werden, das entsprechende Investitionen rechtfertigt. Dazu gehört die Zusammenarbeit mit einem geeigneten Partner, der die Bedeutung der API-Sicherheit versteht und die passenden Lösungen mitbringt.

Weitere Informationen finden Sie unter „Cybersicherheit für Banken und Finanzdienstleister“.

Über den Autor

Joshua Goldfarb

Weitere Blogbeiträge von Joshua Goldfarb