Die Bedeutung von APIs und deren Management bei Digitalisierungsinitiativen

Die Bedeutung von APIs und deren
Management bei Digitalisierungsinitiativen
Eigene und fremde APIs erfolgreich managen und so
Anforderungen an Sicherheit und Compliance abdecken!
Roland Wenzke | SEEBURGER AG

© SEEBURGER AG 2019 2
Digitalisierung bringt einige Herausforderungen mit sich
… das erfordert Management
COMPLIANCE
Regulation
COMPLIANCE
Gesetzeskonform
WIRTSCHAFTLICHKEIT
Standardisierung
SICHERHEIT
Datenschutz
WIRTSCHAFTLICHKEIT
Automatisierung
SICHERHEIT
Skalierbarkeit

DSGVO
Compliance – Gesetzgeber verschärfen die Datenschutzrichtlinien
und drohen hohe Bußgelder bei Verstößen an
Der Bußgeldrahmen ist mit der Datenschutz-
Grundverordnung erheblich erhöht worden.
Lag bisher der Maximalbetrag bei 300.000 €
pro Fall, sind Unternehmen nun bei schwersten
Datenschutzverstößen von einem Maximalbußgeld
von bis zu 20 Mio. € oder von bis zu vier Prozent
ihres weltweiten Jahresumsatzes bedroht.

Folgen von Non Compliance –
Abgefangene E-Mails ermöglichen Scamming
e-Crime wird unterschätzt (KPMG)
Mail Server bzw. E-Mails sind das
bevorzugte technische Angriffsziel
Warnmeldungen des Landes-
kriminalamtes Baden-Württemberg
 Betrug-durch-Austausch-
der-Bankverbindung
 Unsichere Email Anhänge

Datenschutz – besonders wichtig für den Mittelstand!

Datenschutz – Datentransfer ist die Gefahrenquelle Nr.1

Datenschutz – Milliardenschäden durch Datendiebstahl
43 Milliarden Euro Schaden im 2-Jahres-Zeitraum
Bitte schätzen Sie den Schaden Ihres Unternehmens in Deutschland innerhalb der letzten zwei Jahre durch den jeweiligen aufgetretenen Delikttyp ein.
Basis: Alle befragten Industrieunternehmen, die in den letzten 2 Jahren von Datendiebstahl, Industriespionage oder Sabotage betroffen waren (n=343)
Quelle: Bitkom Research
Delikttyp
Schadenssummen innerhalb der letzten
2 Jahre in Mrd. Euro
Imageschaden bei Kunden oder Lieferanten / Negative Medienberichterstattung 8,8
Patentrechtsverletzungen (auch schon vor Anmeldung) 8,5
Ausfall, Diebstahl oder Schädigung von Informations- und Produktionssystemen oder
Betriebsabläufen
6,7
Kosten für Ermittlungen und Ersatzmaßnahmen 5,7
Umsatzeinbußen durch Verlust von Wettbewerbsvorteilen 4,0
Umsatzeinbußen durch nachgemachte Produkte (Plagiate) 3,7
Kosten für Rechtsstreitigkeiten 3,7
Datenschutzrechtliche Maßnahmen (z.B. Information von Kunden) 1,4
Erpressung mit gestohlenen Daten oder verschlüsselten Daten 0,3
Sonstige Schäden 0,6
Gesamtschaden innerhalb der letzten zwei Jahre 43,4

API Schnittstellen sind eine neue Gefahrenquelle
auch hier gibt es bereits viele warnende Beispiele
https://nakedsecurity.sophos.com/2019/03/25/thousands-of-coders-are-leaving-their-crown-jewels-exposed-on-github/
https://securityaffairs.co/wordpress/87259/digital-id/venmo-privacy-transactions.html

https://threatpost.com/critical-cisco-bug-remote-takeover-routers/147826/

https://threatpost.com/internal-accenture-data-customer-information-exposed-in-public-amazon-s3-bucket/128364/

API Schnittstellen als Gefahrenquelle
Welche Sicherheitslücken sind vor allem zu nennen?
Es ist aus den genannten Beispielen ohne Detailkenntnis schwer abzuleiten gegen welche
Sicherheitsstandards konkret verstoßen wurde. Aber typischerweise sind es die folgende Bereiche:
Excessive Data Exposure
Man spricht davon, wenn eine API Daten ausgibt, die für den Anwendungsfall eigentlich nicht benötigt
werden. Zwar kann der die Daten konsumierende Client diese filtern. Diese Filter sind jedoch
angreifbar bzw. können umgangen werden.
Lack of Resources & Rate Limiting
Fehlt die Möglichkeit die Anzahl paralleler Aufrufe einer API zu begrenzen, so kann dies zu einer
Überlastung des Backend und damit zu einer Beeinträchtigung der allgemeinen Funktion des Backend
Systems führen, bis hin zum Totalausfall. Eine solche Situation kann durch eine unbeabsichtigte
Fehlkonfiguration beim API Konsumenten entstehen oder aber auch durch eine bösartige Absicht
(DOS/DDOS Angriffe)
Authentication & Authorization
Ein ausgeklügeltes Berechtigungssystem ist Teil der Lösung, um Excessive Data Exposure zu
vermeiden. Die beste Implementierung hilft hier aber nicht, wenn die Lösung selbst Angriffspunkte für
Hacker auf Server und auf Client Seite bietet, z.B. wenn Authentifizierungstoken ungeschützt
gespeichert werden und somit in falsche Hände gelangen können.
Security Misconfiguration
Die besten Sicherheitsverfahren nützen nichts, wenn sie nicht aktiviert sind. Generell müssen bei der
Umsetzung alle Aspekte de IT- und Datensicherheit einbezogen werden.

API-basierte Digitalisierungsinitiativen
Wie gehen Sie die ersten Herausforderungen an?
Es gibt immer mehr Anwendungsszenarien,
die API-Schnittstellen mit sich bringen
 API-basierte B2B-Integration
 Daten-als-Service:
z.B. Informationen als „Abruf-Service“ bereitstellen
 Branchen-Initiativen wie Open Banking
 Integration interner und externer Applikationen
(z.B. Cloud-Applikationen wie SALESFORCE und
Services aus der Cloud wie GOOGLE Geo-Location)
 Bereitstellung von Services und Daten über
Mobile Apps
REST und alles ist erledigt?
API-Integration reicht von trivial bis anspruchsvoll.
Trivial
API-Integration Punkt-zu-Punkt
Standard
API-Integration mit mehreren Endpunkten
Anspruchsvoll
API-Integration mehrerer Systeme,
Applikationen, Services

Worauf läuft die erfolgreiche Umsetzung von API-Integration
aber schnell hinaus?

API Szenario “provide”
APIs intern oder extern zur Verfügung stellen (“provisioning”)
Internal API
Providing Systems
API consuming
Apps & Systems
Applications / System
offering REST / SOAP
APIs

Internal Systems &
Databases without APIs
BIS API Integration
Solution
API Integration
Internal API
Providing Systems
API consuming
Apps & Systems
APIs
3rd Party Solution
providing REST / SOAP
APIs for connected
Applications and
Systems
Unmanaged
APIs!
Internal Applications
providing data via an API
implemented by a BIS
API Integration service

Internal Systems &
BIS API Integration
Solution
API Integration
Internal API
Providing Systems
API consuming
Apps & Systems
App Developers &
App Owners
API Publishers &
API Admins
BIS API
Portal
BIS API
Gateway
API ManagementApplications / System
APIs
3rd Party Solution
providing REST / SOAP
APIs for connected
Applications and
Systems
Managed in regards to: Security, Compliance/Governance, Efficiency
providing data via an API
implemented by a BIS
API Integration service
Managed
APIs!
Managed
APIs!

API Admins &
API Consumers
BIS API
Portal
BIS API
Gateway
API Management
API Szenario “consume”
Zugang zu (“consumption of”) APIs von “externen Providern”
Internal Systems &
BIS API Integration
Solution
API Integration
Internal API
Consuming Systems
APIs provided by
external providers
Unmanaged
API consumption!
consuming externally
provided REST / SOAP
APIs
3rd Party Solution
consuming REST / SOAP
APIs of external
providers
Managed in regards to: Security, Compliance/Governance, Efficiency
consuming data
provided by BIS API
integration coming from
externally provided APIs
Managed API
consumption!

CRM-APPLIKATIONEN HR-APPLIKATIONEN E-BUSINESS-APPLIKATIONEN
z.B. Business-Apps werden zunehmend als Cloud Service gebucht

Management von Sicherheit, Compliance und Wirtschaftlichkeit?
Was trifft bei Ihnen zu?
Wirtschaftlichkeit? API-Anbindung "selbst" realisieren Zentrale API-Lösung einführen
Wenige API-Schnittstellen
„Das soll der Anbieter des Cloud-Dienstes
gleich mitmachen"
„Lohnt sich das?"
Viele API-Schnittstellen „Wir müssen den Wildwuchs beseitigen!" „Hätten wir von Anfang an so machen sollen!"
Nur wenige API-Schnittstellen API-Anbindung "selbst„ realisieren Zentrale API-Lösung einführen
Sicherheit „Ich hoffe mal das ist alles bedacht worden"
Zentrales API-Gateway sorgt für klare
Sicherheits-Standards
Compliance
"GDPR? Ich weiß nicht mal genau welche
Daten alles ausgetauscht werden. Hat der
Fachbereich abgestimmt"
Zentrale Dokumentation aller APIs im API-Portal.
Governance-Prozesse bei Einführung neuer APIs

Vorteile einer API-Management-Lösung
auch wenn es „nur“ um Anbindung („consume“) externer APIs geht
Zentraler API-Katalog schafft
Transparenz, Effizienz und reduziert Kosten
Alle haben Transparenz zu bestehenden APIs
was doppelte Entwicklung vermeidet
Audit Trail
Zentraler Nachweis zur API-Nutzung
“API-Mediation”
Ermöglicht die Entkoppelung der genutzten
externen APIs von den intern verwendeten
(API-) Schnittstellen.
Sicherheit
Ermöglicht die zentrale, einheitliche
Anwendung von festgelegten Sicherheits-
Policies. Zentraler Schutz für genutzte API-Keys
im API-Gateway statt dezentraler Ablage in
von Fachbereichen beauftragten “Lösungen”.
Data Leakage/Compliance
Unternehmen sind u.a. zum Schutz personen-
bezogener oder sensibler Daten gesetzlich
verpflichtet. Dies gilt auch für Daten die als
Payload in API-Calls an externe Dienste
gesendet werden.

Gesamtüberblick zur BIS API Management Solution
“Bereitstellung” & “Konsum” von APIs managen
Internal Systems &
Databases Providing &
Consuming data
BIS API Integration
Solution
API Integration
Internal Systems
Providing & Consuming data
via own APIs
App Developers &
App OwnersAPI Publishers &
API Admins
API providing
Services
Managed APIs: Security, Compliance/Governance, Efficiency
API consuming
Apps & Systems
EXTERNAL (INTERNET)INTERNAL (INTRANET)
API Integration
platform providing
and consuming APIs
BIS API
Portal
BIS API
Gateway
API Management

Überblick Sicherheitsarchitektur bei API Management
API Gateway schützt APIs – und ist auch selbst zu schützen
Internal Systems &
Consuming data
BIS API Integration
Solution
API Integration
Internal Systems
via own APIs
App Developers &
API Admins
API providing
Services
API consuming
Apps & Systems
API Integration
platform providing
and consuming APIs
Unmanaged
APIs!

Internal Systems &
Consuming data
BIS API Integration
Solution
API Integration
Internal Systems
via own APIs
App Developers &
API Admins
API providing
Services
API consuming
Apps & Systems
API Integration
platform providing
and consuming APIs
BIS API
Portal
BIS API
Gateway
API Management
Managed APIs

Internal Systems &
Consuming data
BIS API Integration
Solution
API Integration
Internal Systems
via own APIs
App Developers &
API Admins
API providing
Services
API consuming
Apps & Systems
API Integration
platform providing
and consuming APIs
BIS API
Portal
BIS API
Gateway
API Management
Anti-
DDoS
Bot
Mitigation
WAF
API Gateway
Protection

Erläuterungen zur dargestellten Folie:
 API Gateway schützt APIs wie folgt:
 Schutz vor unerlaubten Zugriffen Intern wie extern
 Schutz vor unerlaubten Inhalten (Eingehend und Ausgehend)
 Schutz vor übermäßigem und unerlaubtem Konsum
 Das API Gateway ist selbst auch zu schützen:
 Web Application Firewall: Analyse des Verkehrs zwischen den unterschiedlichen Komponenten
 Anti-DDoS: Schutz vor DDoS-Attacke, durch welche die Verfügbarkeit eingeschränkt wird
 Bot Mitigation: Schutz vor ungewollten und automatisierten Angriffen

API Management
Fazit
Die dargestellten Punkte lassen folgendes Fazit zu:
 Die Nutzung von APIs nimmt weiterhin stark zu – und damit auch die damit verbundenen Gefahren
 Aus Gründen der Sicherheit und der Compliance sollten API-Schnittstellen wie jeglicher sensibler
Filetransfer behandelt werden:
 Files managen: Managed File Transfer
 APIs managen: API Management
 Es empfiehlt sich dabei „früh“ zu beginnen und nicht erst wenn ein Wildwuchs bei der API-Nutzung
entstanden ist
 „Management“ Bedarf entsteht nicht erst beim Öffnen von eigenen APIs nach außen, sondern von
Beginn an beim „Konsum“ von API basierten Services
 Mit der SEEBURGER BIS Plattform sind Sie gerüstet, diese Herausforderungen erfolgreich anzugehen

Vielen Dank
Fragen oder Anmerkungen?
Wir sind für Sie da!
www.seeburger.de

© Copyright 2019 SEEBURGER AG. Alle Rechte vorbehalten
Weitergabe und Vervielfältigung dieser Publikation oder von Teilen daraus sind, zu welchem Zweck und in welcher Form auch immer, ohne die ausdrückliche schriftliche Genehmigung durch die
SEEBURGER AG nicht gestattet. In dieser Publikation enthaltene Informationen können ohne vorherige Ankündigung geändert werden. Die von der SEEBURGER AG verbundenen Unternehmen oder von
Partnern angebotenen Softwareprodukte, können Softwarekomponenten auch anderer Softwarehersteller enthalten.
SAP®, SAP® R/3®, SAP NetWeaver®, SAP Cloud Plattform & Cloud Plattform Integrator®, SAP Archive Link®, SAP S4/Hana®, SAP® GLOBAL TRADE Service® (SAP GTS), SAP Fiori ®, ABAP™ und SAP ARIBA® sind
eingetragene Marken der SAP AG. Microsoft, Windows, Windows Phone, Excel, Outlook, PowerPoint, Silverlight und Visual Studio sind eingetragene Marken der Microsoft Corporation in den USA und
anderen Ländern. Linux ist eine eingetragene Marke von Linus Torvalds in den USA und anderen Ländern. UNIX, X/Open, OSF/1 und Motif sind eingetragene Marken der Open Group. Adobe, das Adobe-
Logo, Acrobat, Flash, PostScript und Reader sind eingetragene Marken oder Marken von Adobe Systems Incorporated in den USA und/oder anderen Ländern. HTML, XML, XHTML und W3C sind Marken,
eingetragene Marken oder werden vom Massachusetts Institute of Technology (MIT), European Research Consortium for Informatics and Mathematics (ERCIM) oder der Keio University als nicht
geschützte Begriffe beansprucht. Oracle und Java sind eingetragene Marken von Oracle und ihrer Tochtergesellschaften.
Alle anderen Namen von Produkten und Dienstleistungen sind Marken der jeweiligen Firmen
4invoice®, iMartOne®, SEEBURGER®, SEEBURGER Business-Integration Server®, SEEBURGER Logistic Solution Professional®, SEEBURGER Web Supplier Hub®, WinELKE®, SEEBURGER File Exchange ®,
SEEBURGER Link ®, SMART E-Invoice ® und weitere im Text erwähnte SEEBURGER-Produkte und -Dienstleistungen sowie die entsprechenden Logos sind Marken oder eingetragene Marken
der SEEBURGER AG in Deutschland und anderen Ländern weltweit. Alle anderen Namen von Produkten und Dienstleistungen sind Marken der jeweiligen Firmen. Die Angaben im Text sind unverbindlich
und dienen lediglich zu Informationszwecken. Produkte und Dienstleistungen können länderspezifische Unterschiede aufweisen. Alle anderen erwähnten Firmen- und Softwarebezeichnungen sind
eingetragene Warenzeichen oder nicht eingetragene Warenzeichen der jeweiligen
Unternehmen und unterliegen als solche den gesetzlichen Bestimmungen.
 Die Information in diesem Dokument ist Eigentum von SEEBURGER und darf weder teils noch vollständig - und unabhängig von Absicht und Art - vervielfältigt
oder übertragen werden, ohne vorherige Zustimmung der SEEBURGER AG.
 Das vorliegende Geschäftsdokument ist eine Vorabversion und nicht Bestandteil Ihres Lizenz- oder anderweitigen Vertrags mit SEEBURGER. Es gibt allein Strategieabsichten, Entwicklungen und
Funktionalitäten des SEEBURGER-Produkts wieder und bindet SEEBURGER an keine bestimmte Geschäftsausrichtung, Produktstrategie und/oder Entwicklung. Dieses Dokument kann jederzeit und
ohne Vorankündigung von SEEBURGER geändert werden.
 SEEBURGER haftet nicht für Fehler bzw. Unterlassungen in diesem Dokument und übernimmt keine Gewähr für die Genauigkeit oder Vollständigkeit der Texte, Grafiken, Links oder andere Elemente
dieses Informationsträgers. Dieses Dokument wird ohne explizite oder implizite Gewährleistung jeglicher Art zur Verfügung gestellt, insbesondere was Mängelgewährleistung, Tauglichkeit zu jeglichem
Zweck und Rechtsverletzung angeht.
 SEEBURGER haftet für keinerlei direkte oder indirekte Schäden bzw. Folgeschäden, die sich aus der Verwendung dieses Dokuments ergeben. Ausgenommen
sind diejenigen, die sich aus grober Fahrlässigkeit oder Vorsatz ergeben.
 Die Haftpflicht für Personen- und Produktschäden ist hiervon nicht berührt. SEEBURGER hat keinerlei Kontrolle über die Information, zu denen Sie Zugang über
die hier beinhalteten Links haben und befürwortet weder deren Verwendung, noch haftet SEEBURGER in irgendeiner Weise für deren Inhalte.

Die Bedeutung von APIs und deren Management bei Digitalisierungsinitiativen

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie Die Bedeutung von APIs und deren Management bei Digitalisierungsinitiativen

Ähnlich wie Die Bedeutung von APIs und deren Management bei Digitalisierungsinitiativen (20)

Mehr von SEEBURGER

Mehr von SEEBURGER (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (6)

Die Bedeutung von APIs und deren Management bei Digitalisierungsinitiativen