Die Umkehrung der API ist die digitale Transformation, die Unternehmen benötigen, um an der API-Ökonomie teilzunehmen und darin wettbewerbsfähig zu sein

Rajesh Narayanan

Motivation, Herausforderungen und Chancen

Programmierschnittstellen (APIs) und damit auch die API-Ökonomie entwickeln sich rasant zu Wegbereitern der digitalen Transformation. Zwar verstehen die meisten Unternehmen die Funktionsweise einer API, doch nur wenige nutzen sie als Instrument, um ihren eigenen Geschäftswert zu steigern. Die API-Ökonomie umfasst sämtliche Geschäftsmodelle, Praktiken und Ressourcen, die die digitale Wirtschaft vorantreiben werden, da immer mehr Unternehmen ihre Dienste über APIs nach außen zugänglich machen. Im Wesentlichen ermöglicht die API-Ökonomie einem Unternehmen, seine Dienste und Daten sicher bereitzustellen und dadurch einen Mehrwert für das Unternehmen zu schaffen.

Alle Unternehmen verfügen über Daten und bieten damit verbundene Dienste an, die einen inhärenten Wert besitzen, aber in der Regel nur innerhalb der Organisation verfügbar sind. Um jedoch an dieser API-Ökonomie teilzunehmen und darin erfolgreich zu konkurrieren, muss ein Unternehmen auch in Betracht ziehen, sein Inneres nach außen zu kehren, indem es einige dieser APIs invertiert. In dem Bericht „How APIs Create Growth by Inverting the Firm“ beschreiben Benzell et al., wie die Offenlegung privater APIs den Wert einer Organisation steigert. Wir haben den Ausdruck zu „Inverting the API“ erweitert. Damit bezeichnen wir einen Prozess, bei dem ein Unternehmen eine private API externalisiert, indem es sie als Partner-API oder öffentliche API verfügbar macht.

Kurzer Überblick über APIs

APIs ermöglichen es Entwicklern, Anwendungen und Produkte einfach und agil zu erstellen. Sie erleichtern die schnelle Integration von Software aus verschiedenen Unternehmensbereichen sowie die Interaktion mit Diensten, die über Partner-APIs oder öffentliche APIs bereitgestellt werden.

APIs können auch die Integration neuer Dienste zwischen Unternehmen ermöglichen, indem sie den Zugriff auf Daten und den Austausch gemeinsam genutzter Funktionen erlauben. Gerade beim Datenzugriff bieten APIs die attraktivsten Chancen, bergen aber zugleich die größten Herausforderungen und Risiken. APIs ermöglichen Nutzern den sicheren Zugriff auf Daten aus verschiedenen Diensten, ohne dass sie die Sicherheitsmaßnahmen jedes einzelnen Dienstanbieters durchlaufen müssen. Ein unsachgemäßes API-Design kann jedoch dazu führen, dass ein Unternehmen unbeabsichtigt Daten offenlegt, was zu den zahlreichen Herausforderungen führt, die wir heute in der Branche beobachten.

Laut Postmans Bericht „State of the API 2022“ war die „Integration in interne Systeme“ der wichtigste Grund für Unternehmen, APIs zu nutzen, da diese ihnen die einfachste Möglichkeit bietet, an der digitalen Wirtschaft teilzunehmen. Dies ist von Bedeutung, weil Integrationstools damit zu einem entscheidenden Faktor werden, wenn Unternehmen die passende Technologie für ihre API-First-Strategie auswählen.

Geschäftliche Motivation

Das wohl bekannteste Beispiel dafür, private APIs für die Nutzung durch ein größeres Ökosystem zugänglich zu machen, ist Amazon Web Services (AWS). Amazon erkannte die Chance, Kunden die unternehmenseigene Recheninfrastruktur im Self-Service und nach Bedarf zur Verfügung zu stellen. Für Amazon war dies nichts Neues, da das Unternehmen bereits über sämtliche Self-Service- und Automatisierungstools für interne Entwickler verfügte. Es bot Amazon die Möglichkeit, das Unternehmenswachstum voranzutreiben, und führte zur Entstehung des Cloud-Computings, wie wir es heute kennen. Obwohl Skeptiker behaupteten, Unternehmen würden die Cloud niemals nutzen, hat sich Cloud-Computing in den 15 Jahren seit seiner Einführung zu einer Branche mit einem Volumen von rund 1 Billion US-Dollar entwickelt. Zugleich ist der Unternehmenswert von Amazon innerhalb eines Jahrzehnts um mehr als das Zehnfache gestiegen – größtenteils dank des Erfolgs von AWS. Dies gab den Anstoß zur Entstehung eines neuen Wirtschaftszweigs.

Doch Unternehmen haben das volle Potenzial von APIs zur Steigerung des Geschäftswerts noch immer nicht erkannt. Zwar mag es mehrere Gründe geben, die Aussicht auf höhere Renditen außer Acht zu lassen, doch der ausschlaggebende Beweggrund ist die Cybersicherheit. Da der Schutz der Vermögenswerte eines Unternehmens für die IT höchste Priorität hat, führen die meisten Unternehmen aufwendige Best Practices und Arbeitsabläufe ein, die die geschäftliche Agilität einschränken und letztlich die Gewinne schmälern. Das Ziel der Sicherheit sollte jedoch darin bestehen, den verborgenen Wert eines Unternehmens zu erschließen, statt ihn einzuschränken.

APIs auf ihre Eignung für die Inversion prüfen

Bei der „Umkehrung der API“ geht es nicht nur um die technische Frage, wie sie anderen außerhalb des Unternehmens zugänglich gemacht werden kann. Die Granularität der Offenlegung einer API (GRAPE) veranlasst das Unternehmen zu prüfen, ob eine API sicher umgekehrt werden kann. Bei einem „GRAPE-Test“ muss ein Unternehmen feststellen, ob es unbeabsichtigt Daten offenlegt, die als wettbewerbsrelevant gelten könnten oder möglicherweise gegen Vorgaben zu Governance, Risikomanagement und Compliance (GRC) verstoßen, und wie gut die API aus Sicherheitssicht konzipiert ist. Im Grunde wollen Unternehmen keine „Trauben“ zum Pflücken übrig lassen.

Sobald eine API dieses Audit erfolgreich durchlaufen hat, bleibt es eine geschäftliche Entscheidung, ob die Daten über eine Partner- oder öffentliche API bereitgestellt werden. Ziel der IT-Organisation sollte es sein, dem Unternehmen die Werkzeuge an die Hand zu geben, um dies auf sichere Weise zu tun. Wir müssen Entwicklern ermöglichen, mehr Mehrwert zu schaffen, indem sie verschiedene Dienste, die normalerweise unternehmensintern ausgerichtet wären, so granular wie möglich bereitstellen können. Diese APIs könnten mit „wohlgesinnten“ externen Kunden und Partnern getestet werden, doch dieser Prozess ist heute so aufwendig, dass die meisten Unternehmen diesen Weg nicht einschlagen wollen. Die Lösung besteht darin, dass GRC- und Sicherheitsteams Leitplanken vorgeben, die unerwünschte Vorfälle verhindern und zugleich die Autonomie fördern.

Herausforderungen – vorwiegend technischer Natur

Wie geht es nun weiter? Vorausgesetzt, der geschäftliche Nutzen der Umkehrung einer API ist klar und der Grape-Test wurde bestanden, stehen noch einige technische Herausforderungen bevor.

• Sicherheit ist bei allem maßgeblich—GRC und Sicherheit sind von Vorteil, denn APIs haben auch eine Schattenseite. Hacker suchen nach APIs, die sie für ihre Angriffe nutzen können. Böswillige Akteure sind motiviert und hartnäckig, setzen zahlreiche Techniken ein und improvisieren ständig, um die Sicherheitsmaßnahmen von APIs zu umgehen. Unternehmen, denen es an geeigneten Best Practices für Sicherheit mangelt, werden große Schwierigkeiten haben, ihre privaten APIs öffentlich zugänglich zu machen.
  
  
• APIs erkennen und überprüfen—Ein Unternehmen von verlorenen, verwaisten oder unsicheren APIs zu bereinigen, ist eine schwierige Aufgabe. Entwickler verlassen ihre Teams oder Unternehmen, ohne die Dienste zu bereinigen, die sie entwickeln und testen. Selbst disziplinierten Softwareteams unterlaufen Fehler, sodass Dienste noch lange nach der Entwicklungs-, Test- und End-of-Life-Phase weiterlaufen. Ein weiteres Problem bei APIs ist die Dokumentation, wenn neue Entwickler das volle Potenzial der zurückgegebenen Daten nicht kennen. Auch dies verweist wieder auf das Thema Sicherheit.
  
  
• Konnektivität—Selbst wenn ein Unternehmen überzeugende Gründe dafür findet, seine privaten APIs für externe Kunden oder Partner zu nutzen, ist es eine gewaltige Aufgabe, eine API hinter drei Firewall-Ebenen innerhalb eines Unternehmens zugänglich zu machen. Während Geschäftsbereiche möglicherweise viele Monate benötigen, um den ROI zu prüfen und zu rechtfertigen, damit dies praktikabel wird, kann man eine interne API nicht einfach öffentlich zugänglich machen; auch die Herstellung der Konnektivität ist ein Prozess. Dadurch leidet die Agilität, und Entwickler können nicht schnell innovativ sein.

Letztlich müssen wir erkennen, dass geschäftliche Agilität in einer nicht vertrauenswürdigen Umgebung nur äußerst schwer zu erreichen ist. IT-Prozesse werden von unterschiedlichen Sicherheitsbedenken geprägt, definiert und bestimmt. Sie erfüllen einen bestimmten Zweck und dürfen nicht umgangen werden.

Chance – das Unternehmen IST die Plattform

Sobald ein Unternehmen seine Denkweise darauf ausrichtet, wie es in der API-Ökonomie wettbewerbsfähig sein kann, wird die Umkehrung seiner APIs zu einer naheliegenden Entscheidung. Der nächste logische Schritt besteht darin, das gesamte Unternehmen als Plattform zu begreifen und Wege zu entwickeln, um dieses Ziel zu erreichen.

Kristin R. Moyer, Vice President und Distinguished Analyst bei Gartner, sagte: „Die API-Ökonomie ermöglicht es, ein Unternehmen oder eine Organisation in eine Plattform zu verwandeln. Plattformen vervielfachen die Wertschöpfung, da sie es Geschäftsökosystemen innerhalb und außerhalb des Unternehmens ermöglichen, Nutzer zusammenzubringen und die Schaffung und/oder den Austausch von Waren, Dienstleistungen und sozialem Kapital zu erleichtern, sodass alle Beteiligten einen Mehrwert erzielen können.“ (Mulesoft)

Ein Unternehmen auf diesem Weg zu begleiten, ist nicht ohne Herausforderungen, und hier tragen die Anbieter gemeinsam mit den IT-Organisationen Verantwortung. Das Unternehmen muss verstehen, welche Aspekte seiner internen Ressourcen der größeren Gemeinschaft zugutekommen können oder werden und deren Wert steigern. Das Anbieter-Ökosystem muss Tools und Technologien bereitstellen, die Unternehmen dabei unterstützen, APIs sicher nach außen zu öffnen und das Wertpotenzial des Unternehmens als Plattform zu erschließen.

Über den Autor

Rajesh Narayanan

Weitere Blogbeiträge von Rajesh Narayanan