API-Sicherheit umfasst alle Maßnahmen, die Programmierschnittstellen (APIs) vor Missbrauch, Datenabfluss und Überlast schützen. APIs tragen heute den Großteil des dynamischen Datenverkehrs — mobile Apps, Partneranbindungen, Microservices und KI-Agenten kommunizieren über Schnittstellen, die in klassischen Sicherheitskonzepten oft nur am Rand vorkommen.
Das größte Risiko ist selten die einzelne Schwachstelle, sondern die Unkenntnis der eigenen Angriffsfläche: Systematisches Discovery findet regelmäßig deutlich mehr aktive Endpunkte, als dokumentiert sind — vergessene Testrouten, Alt-Versionen, intern gedachte Schnittstellen mit Internet-Exposition.
Die Bausteine wirksamer API-Sicherheit
Am Anfang steht Sichtbarkeit: Automatisches Endpunkt-Discovery inventarisiert, was tatsächlich erreichbar ist — inklusive Schatten-APIs. Darauf aufbauend erzwingt Schema-Validierung nach dem Positivmodell, dass nur spezifizierte Anfragen durchkommen: erlaubt ist, was definiert wurde, alles andere wird abgewiesen.
Dazu kommen starke Authentifizierung und Autorisierung (etwa OAuth oder mTLS für Maschinen-Identitäten), anfragegenaue Rate Limits für teure Endpunkte und anomaliebasierte Missbrauchserkennung, die auch formal valide, aber auffällige Nutzungsmuster erkennt — orientiert an den OWASP API Security Top 10.
Typische API-Risiken
- Schatten-APIs: erreichbare Endpunkte, die niemand kennt und niemand schützt.
- Broken Object Level Authorization: Zugriff auf fremde Datensätze über manipulierte IDs.
- Fehlende Limits an teuren Endpunkten — bis zur Kostenexplosion oder zum Ausfall.
- Ausufernde Datenantworten, die mehr preisgeben, als der Client braucht.