Zusammenfassung
API‑Sicherheitsvorfälle nehmen zu: 87 % der Unternehmen erlebten im vergangenen Jahr einen API‑Sicherheitsvorfall – 2022 waren es noch 76 %.
KI ist vernetzt: 42 % der Vorfälle betreffen APIs, die mit KI‑Technologien wie Large Language Models (LLMs) und autonomen Agenten verbunden sind.
Die Transparenz bricht ein: Nur 23 % der Unternehmen mit „vollständigen“ API‑Beständen wissen, welche APIs sensible Daten zurückgeben.
Es besteht eine Vertrauenslücke: CxOs sind hinsichtlich des Reifegrads ihrer API‑Tests deutlich optimistischer als die DevSecOps-Teams, die die Arbeit ausführen.
- Die finanziellen Folgen sind erheblich: API‑bezogene Sicherheitsverletzungen kosten Unternehmen im obersten Quartil mittlerweile jährlich mehr als 1,8 Millionen US‑Dollar.
Eine beunruhigende Realität für Sicherheitsexperten
Die Ergebnisse der neuesten API‑Sicherheitsstudie von Akamai offenbaren eine beunruhigende Realität für Sicherheitsexperten. Zwar haben Warnungen vor unkontrollierten APIs, Schatten‑APIs, Zombie‑APIs und anderen API-Sicherheitslücken dazu geführt, dass Unternehmen mittlerweile in API‑Sicherheit investieren. Doch sie haben nach wie vor Schwierigkeiten, mit Bedrohungen Schritt zu halten. Während sie versuchen, die Vorteile neuer KI‑Entwicklungen möglichst schnell zu nutzen, schaffen Unternehmen unbeabsichtigt eine weitläufige, nicht kartierte Angriffsfläche, die herkömmliche Abwehrmaßnahmen nicht erkennen, geschweige denn schützen können.
Die Ergebnisse der API‑Sicherheitsstudie 2026 von Akamai – einer Umfrage unter 1.840 Sicherheitsverantwortlichen und -fachleuten in zehn Ländern – zeigen, dass die Bemühungen zur Resilienzsteigerung nicht mit dem API‑Wachstum Schritt halten können. Während globale Unternehmen mittlerweile im Median 5.900 APIs verwalten, nimmt ihre Fähigkeit, diese APIs zu verteidigen, immer weiter ab.
Doch das Ganze ist nicht nur eine technische Komplikation, sondern ein systemisches Governance-Problem, das Unternehmen im Durchschnitt 700.000 US‑Dollar pro Jahr kostet. Und diese Kosten steigen weiter an: Die API-Sicherheitsstudie 2024 bezifferte die durchschnittlichen Kosten noch auf 590.000 US‑Dollar.
Glücklicherweise erkennen Unternehmen zusehends, welches Risiko von ihren APIs ausgeht. So gehört API‑Sicherheit für fast 80 % der Unternehmen zu den drei wichtigsten Prioritäten im Bereich Cybersicherheit. Zwei Drittel der Befragten geben an, dass sie der API‑Sicherheit in den letzten 12 Monaten mehr Aufmerksamkeit gewidmet haben. Und mehr als die Hälfte (52 %) nannten API‑Sicherheitsvorfälle als eine der fünf Cyberbedrohungen, die beim Erreichen von Cyberresilienz die größte Rolle spielen.
Sicherheitsteams können mit der API‑Ausbreitung einfach nicht Schritt halten.
Die große Diskrepanz: Warum WAFs nicht ausreichen
Jahrelang haben Unternehmen API‑Sicherheit als eine rein formelle Compliance-Anforderung auf der WAF‑Checkliste (Web Application Firewall) behandelt. WAFs wurden entwickelt, um „schädliche“ Signaturen wie SQL‑Injection zu blockieren. Doch moderne API‑Angriffe sind unauffällig und gehen langsam vor. Sie nutzen legitime Anmeldedaten und zulässige Protokollstrukturen, um illegale Aktionen auszuführen.
Bei herkömmlicher Websicherheit werden APIs als zweitrangig gegenüber der Nutzeroberfläche behandelt. Doch in einer KI‑gestützten Welt sind APIs entscheidend für das Geschäft.
Unsere Untersuchungen zeigen, dass zwar 80 % der Unternehmen eine WAF einsetzen, aber nur 35 % spezielle API‑Sicherheitstools nutzen. Diese veralteten Netzwerklösungen schaffen eine massive Lücke, die das Risiko einer fehlerhafte Autorisierung auf Objektebene (Broken Object Level Authorization, BOLA) und eines Missbrauchs der Geschäftslogik steigert. Angreifer knacken Ihren Code nicht mehr, sondern weisen Ihre APIs an, Aktionen auszuführen, für die sie nicht vorgesehen sind – und Ihre WAF lässt den unbefugten Traffic blind zu.
Tatsächlich sind BOLA‑Angriffe oft das Ergebnis von Konfigurationsfehlern wie unsicheren direkten Objektverweisen oder einem übermäßigen Einsatz clientseitiger Prüfungen. Das ist besonders besorgniserregend, wenn man bedenkt, dass die Hälfte der befragten Unternehmen laut eigener Aussage nur bedingt in der Lage sind, diese Fehlkonfigurationen zu beheben.
Die Epidemie von Schatten‑APIs und der KI‑Katalysatoreffekt
Was Sie nicht sehen, können Sie auch nicht überwachen. Das Problem von Schatten‑APIs hat einen kritischen Punkt erreicht. Die diesjährigen Daten zeigen, dass zwar 77 % der Befragten angeben, über einen „vollständigen API‑Bestand“ zu verfügen, doch dass Einblicke in die Absicht dieser APIs vier Jahre in Folge abgenommen haben.
2022 wussten noch 40 % der Unternehmen, welche APIs sensible Daten zurückgaben. Heute ist dieser Anteil auf 23 % gesunken. Und Angreifer nutzen diese Transparenzlücke mithilfe von KI aus.
Während Unternehmen 2025 etwa 37 Milliarden US‑Dollar in GenAI investiert haben, haben sie Tausende neuer Verbindungen zu LLMs geschaffen. Diese KI‑verknüpften APIs legen fest, auf welche Daten ein Modell zugreifen und welche Aktionen es auslösen kann. Wenn ein Angreifer eine KI durch Prompt Injection austrickst, kann er die API dazu bringen, sensible Daten abzurufen.
Unternehmen erkennen die Risiken zusehends: In der API‑Sicherheitsstudie 2026 sagen 42 % der Sicherheitsexperten, die im vergangenen Jahr API‑bezogene Sicherheitsvorfälle gemeldet hatten, dass es sich bei ihren Vorfällen um Angriffe handelte, an denen APIs beteiligt waren, die mit KI‑Technologien wie Anwendungen, Agenten und LLMs verknüpft waren.
Die Vertrauenslücke: eine Führungskrise
Eine der auffälligsten Erkenntnisse der API‑Sicherheitsstudie 2026 ist die Diskrepanz zwischen der Wahrnehmung der Führungsebene und der betrieblichen Realität. Die Befragten wurden gebeten, den Reifegrad ihrer API‑Tests auf einer dreistufigen Skala zu bewerten:
- Funktionstests, die überprüfen, ob APIs wie vorgesehen funktionieren
- Tests mit einem gewissen Sicherheitsfokus, die begrenzte Sicherheitsprüfungen umfassen
- Fortgeschrittene Tests, die APIs systematisch auf Schwachstellen und reale Angriffsmethoden überprüfen
Zudem ist Unternehmen seit Jahren bewusst, dass Tests während des Lebenszyklus der Softwareentwicklung (Software Development Lifecycle, SDLC) einer der wichtigsten Schritte ist, um API‑Sicherheitslücken zu beheben. Und obwohl die Wahrnehmungslücke nicht ganz so ausgeprägt ist wie die Sicherheitslücke, stellt auch sie ein Problem dar.
Kennzahlen | Vertrauen der Führungsetage | DevSecOps-Realität |
|---|---|---|
Fortgeschrittener Test-Reifegrad | 40 % | 28 % |
Vollständige SDLC‑Integration | 19 % | 13 % |
Die Vertrauenslücke in der Führungsetage; Quelle: API-Sicherheitsstudie 2026
Die in der Tabelle dargestellten Lücken deuten darauf hin, dass Führungskräfte möglicherweise zu wenig in die API‑Sicherheit investieren, weil sie glauben, das Problem sei bereits gelöst. Wenn der Drang nach schneller KI‑Einführung die Sicherheit in den Hintergrund drängt, erkennen DevSecOps-Teams die Schwachstellen als Erste.
Übermäßiges Selbstvertrauen in der Führungsetage führt zu einem Mangel an dedizierten Ressourcen: Nur jedes sechste Unternehmen hat Sicherheitstests für APIs vollständig in seine CI/CD-Pipelines integriert – hierdurch wird ein entscheidender Schritt zur Verhinderung von Missbrauch und Angriffen eingeschränkt.
Die wahren Kosten des Status quo
API‑Sicherheit ist nicht mehr nur eine IT‑Frage, sondern ein erhebliches Geschäftsrisiko. Die finanziellen Folgen eskalieren, da Angreifer nicht mehr nur einfache Daten stehlen, sondern die zentrale Geschäftslogik stören.
Die aktuelle API‑Sicherheitsstudie zeigt, wie schwerwiegend API‑Vorfälle sein können. Zu den Folgen zählen:
- Durchschnittliche jährliche Kosten: 700.000 US‑Dollar pro Unternehmen
- Durchschnittliche jährliche Kosten für das oberste Quartil: Mehr als 1,8 Millionen US‑Dollar
- Hauptursachen für die Kosten: Systemreparaturen, Ausfallzeiten und Rechtskosten
In Branchen wie Energie und Versorgung steigen die durchschnittlichen Kosten auf 860.000 US‑Dollar. Doch die Verluste sind nicht rein finanzieller Natur: Das Problem wirkt sich auch auf die Produktivität aus. Wenn APIs kompromittiert werden, kommen die Anwendungen, die sie unterstützen, zum Erliegen. Und das führt zu massiven internen Problemen und einem Verlust des Kundenvertrauens.
Diese Erkenntnis wird Sicherheitsverantwortlichen und -fachleuten immer deutlicher bewusst: Fast 80 % aller Unternehmen zählen API‑Sicherheit zu den drei wichtigsten Prioritäten im Bereich Cybersicherheit.
Ein neuer Weg in die Zukunft: Abkehr von alten Netzwerkansätzen
Um im KI‑Zeitalter bestehen zu können, müssen Sicherheitsexperten nicht nur weiterhin API‑Schwachstellen berücksichtigen, sondern auch ihre Denkweise ändern. Wir können uns nicht länger auf statische Abwehrmaßnahmen verlassen und darauf hoffen, dass sie alle APIs erfassen. Unternehmen müssen ihre Strategien weiterentwickeln, um der API‑Ebene Priorität einzuräumen, indem sie wie folgt vorgehen:
- Grundlegende Transparenzlücken schließen
- Über Funktionstests hinausgehen
- API‑Governance formalisieren
Grundlegende Transparenzlücken schließen
Verlassen Sie sich nicht länger auf statische Tabellen. Sie benötigen eine kontinuierliche, automatisierte Erkennung, die KI‑verknüpfte, Schatten- und Zombie‑APIs in Echtzeit identifiziert. Wenn Sie nicht wissen, welche APIs personenbezogene Daten oder durch HIPAA regulierte Informationen verarbeiten, riskieren Sie, das Vertrauen von Kunden und Aufsichtsbehörden zu verlieren.
Über Funktionstests hinausgehen
Funktionstests beweisen lediglich, dass eine API funktioniert, aber nicht, dass sie sicher ist. Unternehmen müssen auf fortschrittliche Sicherheitstests umsteigen, die bereits in der Entwicklungsphase reale Angriffsmethoden wie Credential Stuffing und BOLA‑Attacken simulieren.
API‑Governance formalisieren
API‑Sicherheit muss in das formelle Compliance-Reporting und in Risikobewertungen integriert werden. Zwar geben 95 % der Unternehmen an, dass sie APIs bereits bei der Einhaltung gesetzlicher Anforderungen berücksichtigen, doch nur 38 % beziehen APIs in ihre Meldepflichten ein. Die Umsetzung muss der Absicht entsprechen.
Nur Akamai schützt KI‑gestützte Unternehmen
Der Wettlauf um KI ist in vollem Gange, aber es ist noch nicht zu spät, Ihre Grundlagen zu stärken. Akamai bietet die nötigen globalen Einblicke und Verhaltensinformationen, um API‑Missbrauch zu erkennen und zu stoppen, bevor er Ihren Ursprung erreicht. Indem wir dedizierte API‑Sicherheit mit unserem globalen Schutz für Webanwendungen und APIs kombinieren, stellen wir sicher, dass Ihre KI‑Innovation auf einer resilienten, sicheren Architektur aufbaut.
Lesen Sie den vollständigen Bericht, um Benchmark-Daten darüber zu erhalten, wie Ihre Branchenkollegen angesichts von KI‑Fortschritten die API‑Sicherheit bewältigen.
Tags
