OWASP API Security Top 10: Die kritischsten Risiken für Ihre APIs

APIs sind das Rückgrat moderner Anwendungen — und damit ein bevorzugtes Angriffsziel. Die OWASP API Security Top 10 identifiziert die häufigsten und gefährlichsten Schwachstellen in APIs. Dieser Leitfaden erklärt jede Schwachstelle mit Praxisbeispielen und zeigt konkrete Gegenmaßnahmen.

API1:2023 — Broken Object Level Authorization (BOLA)

Das Problem

Die häufigste API-Schwachstelle: Ein Benutzer kann auf Objekte anderer Benutzer zugreifen, indem er einfach die ID in der URL ändert.

Beispiel

GET /api/users/123/orders     ← Eigene Bestellungen (erlaubt)
GET /api/users/456/orders     ← Fremde Bestellungen (sollte verboten sein)

Schutzmaßnahmen

• Autorisierungsprüfung bei jedem einzelnen Objektzugriff
• Nie nur auf Client-seitige IDs vertrauen
• Eigene User-ID aus dem Token/Session ableiten, nicht aus der URL

API2:2023 — Broken Authentication

Das Problem

Schwachstellen in der Authentifizierung: Schwache Tokens, fehlende Rate-Limits bei Login, Token-Leaking.

Typische Schwachstellen

| Schwachstelle | Risiko | |---|---| | Kein Rate-Limiting bei Login | Brute-Force-Angriff auf Passwörter | | Token in URL-Parametern | Token in Logs und Referrer-Headern sichtbar | | Lange Token-Gültigkeit ohne Refresh | Gestohlener Token langfristig nutzbar | | Keine Validierung der Token-Signatur | Token-Fälschung möglich |

Schutzmaßnahmen

• Rate-Limiting bei Login und Token-Erneuerung
• Tokens nur in HTTP-Headers oder HttpOnly Cookies
• Kurze Token-Gültigkeit + Refresh-Token-Mechanismus
• MFA für kritische Operationen

API3:2023 — Broken Object Property Level Authorization

Das Problem

Die API gibt mehr Daten zurück als nötig oder erlaubt die Änderung geschützter Felder.

Beispiel

// GET /api/users/me — Gibt zurück:
{
  "name": "Max",
  "email": "[email protected]",
  "role": "user",           // ← Sollte nicht sichtbar sein
  "internalScore": 850      // ← Internes Feld exponiert
}

// PUT /api/users/me — Angreifer sendet:
{ "role": "admin" }         // ← Mass Assignment

Schutzmaßnahmen

• Explizite Serialisierung — Nur freigegebene Felder zurückgeben
• Allowlist für aktualisierbare Felder (nie Blocklist)
• Schema-Validierung für alle Eingaben (Zod, JSON Schema)

API4:2023 — Unrestricted Resource Consumption

Das Problem

APIs ohne Limits für Anfragen, Datenmengen oder Rechenzeit.

Risiken

• DoS-Angriffe durch Massenanfragen
• Kostenlawine bei Cloud-APIs (z.B. KI-Aufrufe ohne Limit)
• Datenbanküberlastung durch ungebremste Queries

Schutzmaßnahmen

• Rate Limiting pro Benutzer und IP
• Pagination mit maximaler Seitengröße
• Request-Size-Limits für Upload und Body
• Timeout für langlaufende Operationen
• Kostenüberwachung bei externen API-Diensten

API5:2023 — Broken Function Level Authorization

Das Problem

Benutzer können administrative Funktionen aufrufen, weil die Autorisierung auf Funktionsebene fehlt.

Beispiel

POST /api/users           ← Normaler Benutzer darf keinen User anlegen
DELETE /api/users/456     ← Nur Admin darf User löschen
GET /api/admin/reports    ← Admin-Endpunkt erreichbar ohne Prüfung

Schutzmaßnahmen

• Rollenbasierte Zugriffskontrolle (RBAC) auf jedem Endpunkt
• Admin-Endpunkte separat absichern (eigener Router/Middleware)
• Deny by Default — Alles verbieten, explizit erlauben

API6:2023 — Unrestricted Access to Sensitive Business Flows

Das Problem

Automatisierter Missbrauch von Geschäftsprozessen: Bots kaufen Tickets auf, erstellen Fake-Accounts, scrapen Inhalte.

Schutzmaßnahmen

• CAPTCHA bei kritischen Flows (Registrierung, Kauf)
• Gerätefingerprinting zur Bot-Erkennung
• Business-Logic-Limits (max. 5 Käufe pro Stunde)
• Verhaltensanalyse (ungewöhnliche Muster erkennen)

API7:2023 — Server-Side Request Forgery (SSRF)

Das Problem

Die API ruft externe URLs auf Basis von Benutzereingaben ab — ein Angreifer kann interne Dienste erreichen.

Beispiel

POST /api/preview
{ "url": "http://169.254.169.254/meta-data/" }  ← Cloud-Metadaten

Schutzmaßnahmen

• URL-Validierung mit Allowlist für erlaubte Domains
• Interne Netzwerke und Metadata-Endpunkte blockieren
• DNS-Rebinding verhindern
• Ausgehende Verbindungen über Proxy leiten

API8:2023 — Security Misconfiguration

Das Problem

Fehlkonfiguration: Standard-Credentials, unnötige HTTP-Methoden, fehlende Security-Header, detaillierte Fehlermeldungen.

Häufige Fehlkonfigurationen

| Problem | Lösung | |---|---| | CORS erlaubt * | Nur erlaubte Origins | | Debug-Modus in Produktion | Explizit deaktivieren | | Standard-API-Keys nicht geändert | Individuelle Keys generieren | | Unnötige HTTP-Methoden aktiv | Nur benötigte Methoden erlauben | | Fehlende Security-Header | HSTS, CSP, X-Content-Type-Options |

API9:2023 — Improper Inventory Management

Das Problem

Vergessene API-Versionen, undokumentierte Endpunkte, Test-APIs in Produktion.

Schutzmaßnahmen

• API-Inventar pflegen (alle Versionen, alle Umgebungen)
• Automatische API-Discovery einsetzen
• Alte API-Versionen aktiv stilllegen (Sunset-Header)
• OpenAPI-Spezifikation als Single Source of Truth

API10:2023 — Unsafe Consumption of APIs

Das Problem

Ihre API vertraut blind Daten von Drittanbieter-APIs — ohne Validierung.

Beispiel

Ihre API ruft einen externen Dienst auf und gibt dessen Antwort an den Benutzer weiter — inklusive möglicherweise schädlicher Inhalte.

Schutzmaßnahmen

• Validierung aller Antworten von Drittanbieter-APIs
• Timeout und Fehlerbehandlung für externe Aufrufe
• Minimale Berechtigungen bei API-Keys für Drittdienste
• Monitoring von Drittanbieter-APIs auf unerwartetes Verhalten

Zusammenfassung: Die 5 wichtigsten Sofortmaßnahmen

| Priorität | Maßnahme | Deckt ab | |---|---|---| | 1 | Autorisierung auf Objektebene bei jedem Endpunkt | API1, API3, API5 | | 2 | Rate Limiting und Pagination implementieren | API2, API4, API6 | | 3 | Input-Validierung mit Schema (Zod, JSON Schema) | API3, API8, API10 | | 4 | Security-Header und CORS korrekt konfigurieren | API7, API8 | | 5 | API-Inventar erstellen und pflegen | API9 |

API-Sicherheit testen

| Tool | Typ | Kosten | |---|---|---| | OWASP ZAP | Dynamischer Scanner | Kostenlos | | Burp Suite | Proxy & Scanner | Community: kostenlos | | Postman | API-Testing mit Security-Checks | Freemium | | Nuclei | Template-basierter Scanner | Kostenlos |

Fazit

API-Sicherheit ist kein optionales Feature, sondern eine Grundvoraussetzung. Die OWASP API Security Top 10 bietet einen strukturierten Rahmen, um die häufigsten Schwachstellen systematisch zu adressieren. Beginnen Sie mit Autorisierung und Rate Limiting — diese beiden Maßnahmen decken bereits die Hälfte der Top-10-Risiken ab.

Scannen Sie Ihre Website kostenlos mit WarDek — OWASP, NIS2, DSGVO, AI Act Compliance in einem Scan.