Die API-Security rückt 2025 in den zentralen Fokus

KI-Anwendungen sind zum integralen Bestandteil von Unternehmensprozessen geworden – und sorgen damit für eine Erweiterung des Angriffsvektors. Da KI-basierte Systeme hauptsächlich über APIs kommunizieren und Daten austauschen, versuchen Cyberkriminelle diese viel zu oft schwach geschützten Schnittstellen als Einfallstor zu nutzen. Gleichzeitig nimmt die Komplexität von KI-Anwendungen, -Modellen und -Algorithmen zu, was die Anzahl an verwendeten APIs und der potenziellen Schwachstellen im System noch erhöht. Eine der wichtigsten Aufgaben des kommenden Jahres für Unternehmen wird es daher sein, ihre Programmierschnittstellen zu prüfen, Sicherheitslücken in ihnen zu schliessen und deren Betrieb zu überwachen. 

GenAI ist und bleibt auf dem Vormarsch – das gilt für die Cybersecurity im Allgemeinen, aber auch speziell für die Sicherheit von Programmierschnittstellen. Generative KI kann beispielsweise zu Beginn eines Entwicklungsprojekts sinnvolle Massnahmen für die API-Sicherheit vorschlagen. Doch auch bestehende Projekte oder jene, die sich gerade im Entstehungsprozess befinden, profitieren von der Zukunftstechnologie. So hilft sie etwa bei der Prüfung, ob die vorhandenen APIs den unternehmensspezifischen Programmiervorgaben und Compliance-Richtlinien entsprechen sowie richtig dokumentiert sind. Generative KI ist überdies in der Lage, Angriffe zu identifizieren, die auf APIs abzielen, sie zu klassifizieren und Gegenmassnahmen vorzuschlagen. Daher führt 2025 kein Weg an GenAI vorbei. 

Traditionell kümmern sich Unternehmen ausschliesslich um ihre eigenen Programmierschnittstellen. Die Frage, ob die öffentlich zugänglichen Unternehmens-APIs sicher sind oder ob die rein intern genutzten Schnittstellen allen Richtlinien entsprechend programmiert und konfiguriert wurden, war der zentrale Aspekt dieses Bereichs der Cybersecurity. Im kommenden Jahr wird sich der Fokus verändern, denn immer mehr Unternehmen möchten auch APIs von Dritten genauer unter die Lupe nehmen. Third-Party-API-Monitoring enthüllt, auf welche Informationen und Daten diese Schnittstellen zugreifen und was die mit ihnen verbundenen Services überhaupt machen. Nur Unternehmen, die ein holistisches Bild über ihre gesamte API-Infrastruktur erhalten – intern wie extern – können ein ganzheitliches Risk Assessment durchführen und sich entsprechend absichern. 

API-Security ist in diesem Jahr ins Zentrum der Aufmerksamkeit vieler Unternehmen und IT-Sicherheitsdienstleister gerückt – zahlreiche Start-ups und etablierte Service-Anbieter schreiben sie sich auf die Fahnen. Doch was genau bedeutet API-Security eigentlich? Genau da scheiden sich die Geister, denn es gibt keine zentrale Definition. Die Suche nach ihr wird daher im kommenden Jahr die Branche beschäftigen. Ein weiteres Themenfeld, das einer klaren Definition bedarf, ist das sogenannte Measurement of Success im Hinblick auf Cybersicherheitsmassnahmen. Viele Investoren und Geschäftsleitungen fordern von IT-Teams heute klar messbare Werte, an denen sich der Erfolg oder Misserfolg der Sicherheitsmassnahmen festmachen lassen. Diese klaren Indikatoren zu definieren, wird IT-Teams und Chief Information Security Officers (CISOs) 2025 beschäftigen. 

CISOs haben sich bereits in der Vergangenheit immer wieder neu erfinden und ihre Skills ausweiten beziehungsweise ihren Fokus ändern müssen. Auch im kommenden Jahr steht eine solche Transformation wieder ins Haus: Aus den führenden Beauftragten für Cybersicherheit werden 2025 Architekten für Geschäftsresilienz. Diese Veränderung basiert auf einer eskalierenden Sicherheitslage, komplexen Regularien wie dem Digital Operational Resilience Act (DORA) sowie den immer höheren Kosten von Cyberattacken. Da Resilienz nun zu einer zentralen geschäftlichen Notwendigkeit wird, nehmen CISOs in der Führungsetage von Unternehmen eine immer wichtigere Rolle ein. Sie fungieren als Übersetzer für das technologisch weniger versierte C-Level und erklären, wie sich Investments in die Cybersicherheit (oder deren Ausbleiben) auf die Geschäftskontinuität und den Umsatz auswirken. 

„Zwischen der Entwicklung von Microservices oder komplexen KI-Anwendungen und der Verwaltung immer umfangreicherer IT-Landschaften werden die vermeintlich unwesentlichen Programmierschnittstellen, sogenannte APIs, leider viel zu häufig übersehen“, warnt Mario van Riesen, Regional Sales Director DACH bei Cequence. „Ein Fehler mit teils fatalen Folgen: Cyberkriminelle nutzen Schwachstellen in APIs immer öfter, um Zugang zu geschützten Systemen zu erhalten. Unternehmen sollten für das kommende Jahr der API-Security daher höchste Priorität einräumen und sich Partner suchen, die sich mit deren Absicherung auskennen und entsprechende Services anbieten.“ ​

Cequence ist Innovationsführer im Bereich der API-Sicherheit und des Bot-Managements. Die Unified API Protection (UAP)-Plattform von Cequence bietet einen transparenten Überblick über die eingesetzten APIs und Anwendungen und schützt diese effektiv gegen Cyberangriffe, Datenverluste und Missbrauch. www.cequence.ai