Sicherung von Open Finance im Jahr 2025: Wichtige Erkenntnisse für Finanzinstitute

APIs sind das Herzstück von Open Finance. Sie erleichtern den Austausch von Finanzdaten zwischen Banken, FinTechs und Apps von Drittanbietern und ermöglichen Verbrauchern so den einfachen Zugriff auf innovative Dienste. Da APIs jedoch als „Eingangstür“ zu sensiblen Systemen dienen, sind sie auch ein Hauptziel für Angreifer.

Hauptbedrohungen:

• Unzureichend geschützte APIs können es Angreifern ermöglichen, vertrauliche Daten abzufangen oder zu stehlen.
• Exploits wie Injection-Angriffe, defekte Autorisierung auf Objektebene (BOLA) oder unsachgemäße Authentifizierung können unbefugten Parteien Zugriff auf Kundenkonten oder Finanzsysteme gewähren.

In einem kürzlich auf der Website von JPMorganChase veröffentlichten Tech-Blog mit dem Titel „Ein offener Brief an Drittanbieter “ erklärte der CISO des Unternehmens: „Wir stehen an einem kritischen Punkt. Die Anbieter müssen der Sicherheit dringend eine neue Priorität einräumen und sie der Einführung neuer Produkte gleichstellen oder sogar überordnen.“ Diese Drittanbieter-Netzwerke (TPP), von denen der CISO spricht, sind das, worauf Open Finance angewiesen ist. Diese Kooperationen und Partnerschaften zwischen TPPs und Finanzinstituten fördern zwar Innovationen, schaffen aber auch zusätzliche Einstiegspunkte für Angreifer. Eine Sicherheitslücke im System eines einzelnen Partners – egal wie klein – könnte das gesamte Ökosystem gefährden.

Viele Finanzinstitute veröffentlichen auf ihren Websites mittlerweile Warnhinweise, in denen sie Verbrauchern raten, im Umgang mit TPPs wie Aggregatoren aufgrund möglicher Risiken vorsichtig zu sein. Diese Warnungen erinnern die Verbraucher daran, dass die Weitergabe ihrer Anmeldeinformationen gegen die Bedingungen ihrer Verträge verstößt und dass Finanzinstitute nicht für Schäden haften, die durch die Weitergabe der Anmeldeinformationen entstehen.

Hauptbedrohungen:

• Anbieter, die nicht ausreichend geprüft sind oder Compliance-Standards nicht erfüllen, könnten Schwachstellen einführen, die Benutzer für eine Ausnutzung innerhalb des Systems anfällig machen.
• Durch die Gewährung übermäßiger Zugriffsrechte an externe Entwickler können vertrauliche Finanzdaten oder Funktionen offengelegt werden.

Die gemeinsame Nutzung sensibler Verbraucherinformationen – wie etwa der Verlauf von Finanztransaktionen und Kontoständen – über mehrere Plattformen hinweg ist eine grundlegende Voraussetzung für Open Finance. Dieser Datenaustausch ist zwar die Grundlage für neue Dienste, erhöht aber auch die Anfälligkeit für Bedrohungen wie Datendiebstahl und Missbrauch. Darüber hinaus erwarten Verbraucher mehr Datenschutz und die Einhaltung von Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, der Zahlungsdiensterichtlinie 2 (PSD2) und starken offenen API-Standards im Finanzbereich, wie etwa Financial Data Exchange (FDX) .

Hauptbedrohungen:

• Datenlecks aufgrund unzureichender Verschlüsselung oder unsachgemäßer Weitergabepraktiken.
• Rechtliche Schäden und Rufschädigungen durch mangelnden Schutz der Privatsphäre der Verbraucher.

Da APIs für Open Finance von zentraler Bedeutung sind, sollte ihr Schutz höchste Priorität haben. Durch die Sicherung von APIs wird die Integrität der Verbindungen zwischen Finanzdienstleistungsinstituten, Drittanbietern und Endbenutzern gewährleistet.

Zu den umsetzbaren Schritten zur Stärkung der API-Sicherheit gehören:

• Strenge Authentifizierungsrichtlinien: Verwenden Sie Industriestandards für die offene Authentifizierung, wie etwa OAuth2.0, gegenseitiges TLS oder andere starke Protokolle, um API-Benutzer zu authentifizieren und unberechtigter Zugriff zu verhindern.
• Echtzeitüberwachung: Verwenden Sie Lösungen, um unregelmäßige API-Aktivitäten oder potenziellen Missbrauch zu erkennen, bevor diese eskalieren. Erwägen Sie Lösungen mit code- und verkehrsbasierter Erkennung und Überprüfung sowie einer externen Bewertung der Angriffsfläche (Domänenscan).
• Optimieren Sie die Governance: Setzen Sie Lösungen ein, die bei der API-Bestandsverwaltung helfen können, beispielsweise durch das einfache Hinzufügen neu entdeckter APIs zum Bestand. Integrieren Sie außerdem eine API-Compliance-Analyse und verfolgen Sie Änderungen der Compliance-Haltung besser über automatische Warnmeldungen.
• Verschlüsselungsstandards: Der gesamte API-Verkehr sollte mit Protokollen wie TLS 1.3 verschlüsselt werden, um die Sicherheit der Daten während der Übertragung zu gewährleisten.
• Regelmäßige Tests: Führen Sie routinemäßige Penetrationstests durch, um Schwachstellen in Ihrer API-Architektur zu identifizieren und zu beheben. Erwägen Sie Lösungen, die API-Tests vor der Laufzeit anbieten.

Einblick: APIs können zwar die Innovation hinter Open Finance erleichtern, bieten aber auch die größten Möglichkeiten zur Nutzung. Behandeln Sie APIs wie jedes andere wichtige digitale Produkt: Überwachen, sichern und optimieren Sie sie kontinuierlich. Erwägen Sie Lösungen, die umfassenden Laufzeitschutz wie WAF, API-Schutzregeln, Ratenbegrenzung und Datenschutz beinhalten.

Der Drittanbietercharakter von Open Finance erfordert von Finanzinstituten die Zusammenarbeit mit den Anbietern und Entwicklern, die mit ihren Systemen und Daten interagieren. Um das Gesamtrisiko zu senken, ist es von entscheidender Bedeutung, die Sicherheit dieser Partnerschaften zu gewährleisten.

Zu den umsetzbaren Schritten zur Sicherung von Beziehungen zu Dritten gehören:

• Strenge Überprüfung: Führen Sie vor der Einbindung von FinTech-Partnern oder Drittanbietern eine umfassende Due-Diligence-Prüfung durch. Bewerten Sie ihre Sicherheitsprotokolle, Compliance-Historie und technischen Zertifizierungen.
• Echtzeitüberwachung: Setzen Sie Tools ein, die die Aktivitäten von Drittanbietern innerhalb Ihres API-Ökosystems überwachen und nicht autorisierte Aktionen oder ungewöhnliches Verhalten kennzeichnen.
• Granulare Zugriffskontrollen: Beschränken Sie den Zugriff Dritter auf die für ihre Funktion erforderlichen Mindestdaten und Zugriffsebenen und verringern Sie so das Risiko einer Überberechtigung.
• Vertragliche Sicherheitsklauseln: Stärken Sie Partnerschaften durch klare vertragliche Vereinbarungen, die regelmäßige Audits, Rechenschaftspflicht bei Verstößen und die Einhaltung Ihrer Sicherheitsstandards vorschreiben.

Einblick: Ihr Open-Finance-Ökosystem ist nur so sicher wie sein schwächstes Glied – und das wird in vielen Fällen ein Drittanbieter sein. Wenden Sie auf alle Lieferantenbeziehungen den Grundsatz „Vertrauen, aber Kontrolle“ an.