API-Sicherheit: OAuth 2.0, Tokens, Rate Limits und Autorisierung

APIs können direkten Zugriff auf Unternehmensdaten und kritische Funktionen geben. Sicherheit gehört deshalb in die Architektur und darf nicht erst nachträglich hinzugefügt werden.

Authentifizierung allein reicht nicht aus. Die Überprüfung der Identität eines Benutzers bedeutet nicht, dass er auf jede Ressource zugreifen darf.

TLS muss verpflichtend sein

Produktiver API-Verkehr muss TLS nutzen, damit Zugangsdaten und Tokens nicht unverschlüsselt übertragen werden.

OAuth 2.0

OAuth 2.0 bietet einen Standardrahmen für Client-Typen und Autorisierungsszenarien. Wählen Sie den Flow nach Anwendungsfall.

Gültigkeitsdauer von Access Tokens

Ein kompromittierter langlebiger Access Token erhöht das Risiko. Bei Bedarf können kurzlebige Access Tokens und kontrollierte Refresh Tokens genutzt werden.

Autorisierung

Prüfen Sie Endpunktzugriff nach Rolle oder Berechtigung und zusätzlich auf Objektebene. Geänderte IDs dürfen keinen Zugriff auf fremde Kundendaten ermöglichen.

Scopes nutzen

Token-Berechtigungen nur für nötige Ressourcen und Vorgänge unterstützen das Prinzip minimaler Rechte.

Begrenzung der Anfragerate

Limits je Nutzer, Client oder IP können Missbrauch, Brute-Force und fehlerhafte Client-Schleifen begrenzen.

Verwaltung von Zugangsdaten

API-Schlüssel und Client Secrets gehören nicht ins Git-Repository. Umgebungsvariablen oder Secret Vaults sind mögliche Alternativen.

Eingabevalidierung

Behandeln Sie alle API-Eingaben als nicht vertrauenswürdige Daten. Prüfen Sie Schema, Typ, Länge und Geschäftsregeln.

Audit-Protokoll

Wer führte den Vorgang aus?
Auf welche Ressource wurde zugegriffen?
Welcher Vorgang wurde ausgeführt?
Wann wurde der Vorgang ausgeführt?
War die Transaktion erfolgreich?

Integrationscheckliste für den Produktivbetrieb

Im Produktivbetrieb gehören verpflichtendes TLS, OAuth 2.0 und Access-Token-Laufzeiten zum Betriebsmodell, nicht nur zur Entwicklung. Definieren Sie pro Integration Quelle, Ziel, Datenverantwortliche, Authentifizierung, Mappingtabelle und Zuständigkeit für Fehler. Ein technisch funktionierender Endpunkt gilt nicht als erfolgreiche Integration, wenn er falsche Produkt-, Kunden- oder Bestelldaten aktualisiert.

Betrachten Sie Zeitüberschreitungen, Anfrageratenlimits, vorübergehende Netzwerkausfälle, doppelte Anfragen und unerwartete Antworten als normale Betriebsszenarien. Wiederholen Sie nur vorübergehend fehlgeschlagene Vorgänge. Nutzen Sie Idempotenz, wenn eine Wiederholung finanzielle oder operative Seiteneffekte haben kann. Lang laufende Aufgaben in einer Warteschlange entkoppeln Nutzeranfragen von der Leistung externer Dienste; fehlgeschlagene Aufgaben lassen sich kontrolliert erneut verarbeiten.

Überwachen Sie neben HTTP-Statuscodes auch fachliche Ergebnisse. Eine API kann HTTP 200 liefern, obwohl keine Bestellung im ERP ankommt. Zeigen Sie Anfrageanzahl, Fehlerrate, P95-Latenz, Wiederholungen, Warteschlangenrückstand und letzte erfolgreiche Synchronisierung zusammen mit übertragenen Bestell-, Bestands- oder Kundendaten. Korrelations-IDs und strukturierte Protokolle erleichtern es, einen Vorgang bei einem Vorfall über mehrere Dienste zu verfolgen.

Authentifizierung und Verwaltung von Zugangsdaten
Datenmapping und Schemavalidierung
Regeln für Zeitüberschreitungen und Wiederholungen
Idempotenz und Duplikatkontrolle
Verwaltung von Anfrageratenlimits
Strukturierte Protokolle und Korrelations-IDs
Abgleich fachlicher Daten
Alarm und Dashboard

API-Vertrag, Ausfallmodus und Datenkonsistenz

Planen Sie nicht nur erfolgreiche Anfrage-Antwort-Abläufe. Definieren Sie einen klaren API-Vertrag für verpflichtendes TLS, OAuth 2.0 und Access-Token-Laufzeiten mit Pflichtfeldern, Datentypen, Enum-Werten, Authentifizierung, Zeitlimits, Fehlercodes und Umgang mit inkompatiblen Änderungen. Legen Sie vorab fest, welche Antworten Wiederholung, Abbruch oder menschliches Eingreifen erfordern. So wird das Verhalten vorhersehbarer.

Berücksichtigen Sie bei Fehlerszenarien neben vollständigen Ausfällen auch langsame Antworten, unvollständige Daten, doppelte oder falsch geordnete Ereignisse, Anfrageratenlimits und vorübergehende Authentifizierungsfehler. Wiederholungen können exponentielles Backoff und gegebenenfalls Jitter nutzen. Idempotenz oder eindeutige fachliche Schlüssel reduzieren Duplikate, wenn Bestell-, Zahlungs-, Bestands- oder Kundenvorgänge erneut verarbeitet werden.

Eine erfolgreiche API-Antwort belegt allein keine Datenkonsistenz. Gleichen Sie Quelle und Ziel regelmäßig anhand von Datensatzanzahl, Gesamtbetrag, letzter Synchronisierung oder fachlicher ID ab. Strukturierte Protokolle, Korrelations-IDs und zentrale Fehlerverfolgung helfen, den betroffenen Dienst schneller zu finden. So wird aus einer funktionierenden Verbindung eine prüfbare, nachhaltig betreibbare Komponente.

Schema-Prüfung für Anfragen und Antworten
Matrix für Zeitüberschreitungen und Wiederholungen
Idempotenz oder eindeutige fachliche Schlüssel
Anfrageratenlimits und Kapazitätsmanagement
Korrelations-IDs und strukturierte Protokollierung
Datenabgleich zwischen Quelle und Ziel
Regeln für inkompatible Änderungen und Versionierung

Der Integrationsansatz von B10 Digital Agency

B10 Digital Agency betrachtet Integration als Systemarchitektur statt nur als API-Verbindung: Datenverträge, Sicherheit, Wiederholungen, Warteschlangen, Observability, Datenabgleiche und Betriebsprozesse werden gemeinsam gestaltet.

Häufig gestellte Fragen

Ist OAuth 2.0 das Authentifizierungsprotokoll?

OAuth ist primär ein Autorisierungsframework. Zur Authentifizierung kann es mit Schichten wie OpenID Connect kombiniert werden.

Ist JWT für jede API erforderlich?

Nein. Wählen Sie das Token-Format nach Architekturbedarf.

Reicht Anfrageratenbegrenzung für Sicherheit aus?

Nein. Es ist nur eine Schutzschicht.

Kann API-Schlüssel im Quellcode gehalten werden?

Produktionsgeheimnisse müssen außerhalb des Quellcodes und des Repositorys verwaltet werden.

Kombinieren Sie Ihre Systeme mit zuverlässigem Datenfluss

Entdecken Sie die API- und Systemintegrationen von B10 Digital Agency zur Planung der Architektur für ERP, CRM, Marktplätze, Individualsoftware und externe Dienste.

API- und Systemintegrationen entdecken →