Die größten Warnsignale bei der API-Sicherheit

Sie wissen nicht, wo sich all Ihre APIs befinden

• Die unkontrollierte Ausbreitung von APIs ist erschreckend weit verbreitet. Laut dem „Datos API Security Solution Evaluation Guide“ wird die Zahl der bis 2030 genutzten APIs 2 Milliarden übersteigen, wobei Unternehmen bereits heute durchschnittlich mehr als 20.000 APIs nutzen.
• API-Endpunkte stellen eine besondere Herausforderung dar. Laut dem 2024 State of Application Strategy Report von F5 kann „eine einzelne API Dutzende oder Hunderte von Endpunkten haben“. Erschwerend kommt hinzu, dass ein Unternehmen möglicherweise nicht die vollständige Kontrolle über alle APIs hat, die mit seinen Systemen in Kontakt kommen.
• Der Bericht „2023 State of the API“ von Postman nennt die folgenden Hindernisse bei der Nutzung von APIs:
  • Fehlende Dokumentation (52 %)
  • Schwierigkeiten beim Auffinden von APIs (32 %)

Die Angriffsfläche Ihres Unternehmens ist nicht eindeutig definiert

• Der Datos API Security Solution Evaluation Guide erläutert das Kernproblem: „Die Erfassung der API-Angriffsfläche ist für die Absicherung von APIs unerlässlich. CISOs können nicht schützen, was ihnen nicht bekannt ist. Die API-Erkennung ist notwendig, um Schatten-APIs, verwaiste, veraltete und nicht mehr aktuelle APIs zu identifizieren.“
• APIs sind für jedes moderne Unternehmen von entscheidender Bedeutung. Wie von Venture Beat beschrieben, machen „APIs 91 % des gesamten Web-Traffics aus. Sie entsprechen dem Trend hin zu Microservices-Architekturen und der Notwendigkeit, dynamisch auf sich schnell verändernde Marktbedingungen zu reagieren.“
• Und da sie eine zentrale Rolle spielen, sind APIs ein beliebtes Ziel für Cyberkriminelle. 90 % der webbasierten Cyberangriffe richten sich gegen API-Endpunkte, und die Zahl der durch API-basierte Angriffe kompromittierten Datensätze hat die Marke von einer Milliarde überschritten.

Ihr Sicherheits-Stack ist zu komplex

• Heutige Anwendungen und APIs werden in hybriden Multicloud-Umgebungen bereitgestellt. Wie aus dem 2024 State of Application Strategy Report hervorgeht, nutzen fast 90 % der Unternehmen hybride Bereitstellungsmodelle, darunter SaaS, Public Cloud/IaaS, lokale Bereitstellungen (traditionell), lokale Bereitstellungen (Private Cloud), Colocation und Edge.
• Aus demselben Bericht geht hervor: Die Zahl der Unternehmen, die sechs verschiedene Modelle nutzen, stieg von 2023 bis 2024 um fast 20 %.
• 66 % der Großunternehmen (mit mehr als 10.000 Beschäftigten) setzen in der Regel 60 bis 80 Sicherheitstools ein – unter anderem, weil spezielle Tools erforderlich sind, um spezifische Anforderungen in mehreren Cloud-Umgebungen zu erfüllen.

Die Aufrechterhaltung Ihres Sicherheitsstatus erfordert zu viele manuelle Schritte

• Bei so vielen APIs und Endpunkten sind manuelle Sicherheitsupdates auf Dauer nicht praktikabel. Die automatisierte Absicherung von APIs kann den Bedarf an manuellen Updates drastisch reduzieren, wie diese Fallstudie von McGraw Hill zeigt. Darin werden die Bemühungen des Unternehmens dokumentiert, die Verwaltung von 18 Millionen API-Anfragen pro Monat zu vereinfachen.
• State of Application Strategy – die Befragten berichten, dass manuelle Patches und Updates nicht schnell genug sind, um auf Zero-Day-Angriffe zu reagieren. Viele Entscheidungsträger geben an, dass die hohen Kosten erfolgreicher Angriffe die Automatisierung der App- und API-Sicherheit unverzichtbar machen. Daher stieg die Automatisierung von Apps und APIs im vergangenen Jahr von 33 % auf 43 %. Die Zahl der veröffentlichten CVEs nimmt immer schneller zu, und Forscher von F5 Labs erwarten die Veröffentlichung von 500 neuen CVEs in einer typischen Woche im Jahr 2025.
• Die zunehmende Verbreitung generativer KI wirkt sich auch auf die Sicherheit von Anwendungen und APIs aus. Der wichtigste Anwendungsfall für generative KI im Sicherheitsbereich besteht darin, Sicherheitsrichtlinien automatisch anzupassen und Sicherheitskonfigurationen für erkannte Bedrohungen zu erstellen.

Sie machen sich Sorgen um die Sicherheit von KI-Anwendungen

• Die Absicherung generativer KI beginnt mit einer soliden Grundlage für die Sicherheit von Anwendungen und APIs. Dies wird von Mete Atamel treffend beschrieben, Cloud Developer Advocate bei Google: „Unabhängig davon, wie Sie generative KI nutzen, rufen Sie letztlich einen Endpunkt auf – entweder mit einem SDK, einer Bibliothek oder über eine REST-API.“
• Zwei Monate nach dem Start des OpenAI GPT Store haben Nutzer bereits über 3 Millionen benutzerdefinierte Versionen von ChatGPT erstellt. Dies verdeutlicht das Ausmaß der Sicherheitsherausforderung, die mit der Absicherung von Drittanbietern verbunden ist.
• IDC berichtet: „66 % der Befragten nennen GenAI und ganz allgemein öffentliche und private KI-Workloads als einen ihrer wichtigsten Anwendungsfälle.“ Zudem stellte IDC fest: „Die meisten KI-gestützten Unternehmensanwendungen sind in ihrer Implementierung stark verteilt und erfordern Dutzende bis Hunderte von API-Interaktionen, die eine Vielzahl von Public-Cloud-, spezialisierten Cloud- und lokalen Infrastruktur- und Anwendungsumgebungen hochverfügbar und sicher durchlaufen müssen.“ F5-Forscher stellten außerdem fest, dass die meisten Unternehmen planen, KI-Anwendungen in Hybrid- und Multi-Cloud-Umgebungen bereitzustellen. Die Befragten der Umfrage zum Stand der Anwendungsstrategie gaben an, KI-Anwendungen in der Public Cloud (80 %) und lokal (54 %) zu betreiben.