Was ist API-Missbrauch?

Was ist API-Missbrauch?

API-Missbrauch ist die Nutzung einer funktionierenden API auf eine Weise, die ihr Betreiber nicht wollte: Scraping, Credential Stuffing, bot-gesteuerte Käufe oder schiere Masse. Nichts ist kaputt. Jede Anfrage kann ein gültiges Token tragen und mit 200 OK antworten. Das Problem ist, wer aufruft, wie oft und warum, und das zeigt sich erst in der Summe vieler Anfragen, Konten oder IP-Adressen.

OWASP behandelt die geschäftliche Seite als API6:2023 Unrestricted Access to Sensitive Business Flows.

API-Missbrauch im Vergleich zu Angriffen und Schwachstellen

Eine Schwachstelle ist ein Fehler in der API, etwa eine fehlende Autorisierungsprüfung. Ein API-Angriff nutzt einen solchen Fehler aus, um das System zu brechen. Missbrauch ist anders: Der Täter hält sich an den dokumentierten Vertrag, aber in einem Umfang oder mit einer Absicht, die das Unternehmen nie wollte. Der Schutz vor Fehlern ist Thema von API-Sicherheit. Der Schutz vor Missbrauch betrifft Verhalten und Volumen, nicht das Patchen von Code, auch wenn Täter oft zusätzlich nach Schwachstellen suchen.

Typische Arten von API-Missbrauch

• Scraping: Automatisierte Clients ziehen große Mengen an Preisen, Angeboten oder Profilen über öffentliche oder authentifizierte Endpunkte.
• Credential Stuffing: Bots spielen anderswo erbeutete Kombinationen aus Benutzername und Passwort gegen einen Login-Endpunkt ab. Selbst eine niedrige Erfolgsquote ergibt bei dieser Menge übernommene Konten.
• Bot-Automatisierung: Skripte legen Fake-Konten an, posten Spam oder lösen Aktionen ein, weit schneller als ein Mensch.
• Umgehen von Limits: Wechsel von IP-Adressen, API-Schlüsseln oder Konten, um unter den Limits pro Client zu bleiben.
• Missbrauch der Geschäftslogik: Ein Ablauf wird wie vorgesehen genutzt, aber für ein unerwünschtes Ergebnis. Die Beispiele von OWASP: den Großteil eines limitierten Produkts aufkaufen, um es weiterzuverkaufen, und per Skript Fake-Registrierungen für Empfehlungsguthaben anlegen.
• Zahlungs- und Treuebetrug: Kartentests über einen Zahlungs-Endpunkt oder das Erraten von Gutscheinnummern.
• Denial of Wallet: Ein kostenpflichtiger oder aufwendiger Endpunkt wird überflutet, damit die Rechnung des Anbieters wächst, ohne dass der Dienst ausfällt.

Ein Beispiel: der SMS-Endpunkt

Ein Endpunkt zum Zurücksetzen von Passwörtern versendet eine SMS über einen Anbieter, der pro Nachricht abrechnet. Ein Skript ruft ihn in einer Schleife mit wechselnden Telefonnummern auf. Jeder Aufruf liefert ein normales 200, die Latenz wirkt unauffällig und kein Fehler wird protokolliert, doch die SMS-Rechnung steigt. OWASP nutzt dieses Szenario für API4:2023 Unrestricted Resource Consumption. Die Lösung ist ein Limit pro Telefonnummer und pro Client an diesem Endpunkt, dazu ein Ausgabenlimit oder ein Abrechnungsalarm beim Anbieter.

So erkennen Sie API-Missbrauch

Einzelne Anfragen wirken legitim, daher vergleicht die Erkennung das Verhalten mit einer Baseline.

• Volumen und Geschwindigkeit: Anfragen pro Konto, Schlüssel und IP im Zeitverlauf sowie viele Konten mit demselben Geräte-Fingerabdruck.
• Verhalten: Menschen pausieren und variieren. Bots zeigen Maschinentempo und identische Abläufe.
• Verkehrsmischung: Ein Login- oder Reset-Endpunkt mit dem Vielfachen des üblichen Volumens oder ein plötzlicher Wechsel bei Herkunftsland oder User-Agent.
• Monitoring: API-Monitoring führt einen Verlauf von Antwortzeit und Fehlern, sodass eine schleichende Verlangsamung im Diagramm sichtbar wird. LoadFocus API Monitoring prüft Statuscode, Response-Body, Header und Antwortzeit (kostenlose Checks alle 5 Minuten). Es erkennt oder blockiert Missbrauch nicht selbst, kombinieren Sie es also mit Logs und einer WAF oder einem Bot-Werkzeug.

So verhindern Sie API-Missbrauch

• Starke Authentifizierung: kurzlebige Tokens, Multi-Faktor-Authentifizierung beim Login und sorgfältiger Umgang mit API-Schlüsseln, die sich leicht teilen und abgreifen lassen.
• Rate Limits und Kontingente: pro Nutzer, Schlüssel und IP, so gestaltet, dass der Wechsel eines Merkmals nicht alles zurücksetzt. Wie Clients auf ein 429 reagieren sollten, steht in API Rate Limiting vermeiden.
• Bot-Management: Fingerprinting, Challenges zur Erkennung von Menschen und Reputationsbewertung. OWASP nennt Geräte-Fingerprinting, CAPTCHA und die Erkennung von Aktionen, die schneller sind, als ein Mensch sie ausführen könnte. Setzen Sie Hürden nur bei verdächtigen Sitzungen ein.
• Limits für Geschäftsabläufe: Kaufgrenzen pro Konto, Geschwindigkeitslimits für Belohnungen und Checkout.
• Ausgabenlimits: Obergrenzen oder Abrechnungsalarme für jede kostenpflichtige Drittanbieter-Integration.
• Limits unter Last testen: Ein Rate Limit ist erst bewiesen, wenn Anfragen es tatsächlich erreichen. Ein Cloud-Lasttest zeigt, ob das Throttling bei der gewünschten Rate auslöst und ob die API bei einem Ansturm kontrolliert langsamer wird.

Häufige Fehler

• Nur nach IP begrenzen. Täter verteilen Anfragen auf viele Adressen. Kombinieren Sie es mit Limits pro Konto und Schlüssel.
• Den Login schützen, die Nachbarn nicht. Passwort-Reset, OTP und Registrierung werden genauso oft missbraucht.
• 200 für gesund halten. Eine Flut gültig aussehender Aufrufe sieht auf einem Status-Dashboard wie Erfolg aus.
• Alle herausfordern. CAPTCHA bei jeder Anfrage bestraft echte Nutzer. Reservieren Sie es für verdächtigen Traffic.
• Limits nie testen. Eine Regel, die unter Last nie getroffen wurde, ist eine Annahme.

Häufige Fragen zu API-Missbrauch

Ist API-Missbrauch dasselbe wie ein API-Angriff?

Nein. Ein API-Angriff nutzt einen Fehler aus, um das System zu brechen. API-Missbrauch zweckentfremdet Funktionen, die wie vorgesehen arbeiten, mit Automatisierung, gestohlenen Zugangsdaten oder übermäßigem Volumen, um Werte abzuschöpfen, die das Unternehmen nie hergeben wollte.

Worin unterscheidet sich API-Missbrauch von einem DDoS-Angriff?

Ein DDoS will einen Dienst lahmlegen. API-Missbrauch will meist, dass der Dienst läuft, damit er weiter Werte abschöpfen kann, und ist oft langsam und leise, um unter den Erkennungsschwellen zu bleiben. Zu Flood-Angriffen siehe DDoS-Angriffe stoppen.

Kann Rate Limiting allein API-Missbrauch stoppen?

Nein. Täter wechseln IP-Adressen, Schlüssel und Konten, um unter den Limits pro Client zu bleiben. Rate Limiting wirkt als eine Schicht neben Authentifizierung, Bot-Management, Verhaltensanalyse und Limits für Geschäftsabläufe.

Was ist Denial of Wallet?

Missbrauch, der auf Kosten statt auf Verfügbarkeit zielt. Bei nutzungsbasierten APIs löst ein Angreifer kostenpflichtige oder aufwendige Vorgänge aus, etwa SMS oder Rechenaufrufe, sodass die Rechnung des Anbieters wächst, während der Dienst läuft.

Wie hilft LoadFocus bei API-Missbrauch?

LoadFocus blockiert keinen Missbrauch. API-Monitoring führt einen Verlauf von Antwortzeit und Status, sodass Verlangsamungen auffallen, und Lasttests mit k6 oder JMeter zeigen, ob Ihre Rate Limits und Ihr Throttling bei hohem Traffic halten.