Was ist ein API-Key?

Um über eine Programmierschnittstelle auf ein Programm oder eine Anwendung zuzugreifen, braucht es einen API-Key. Beim API-Key handelt es sich um einen einmaligen Schlüssel bestehend aus einer geheimen Zeichenfolge, die den Zugriff berechtigt. Mit einem Schlüssel erkennt die API berechtigte Nutzerinnen und Nutzer und schützt Programme und Systeme vor Fremdzugriff.

API-Key: Definition

Zur Verbindung und zum Austausch von Funktionalitäten zwischen zwei Programmen kommen Programmierschnittstellen, besser bekannt als API (Application Programming Interface), zum Einsatz. Eine API bietet Programmierinnen und Programmierer, Anwendungen, Apps oder Projekten die Möglichkeit, mit einem anderen Dienst oder Programm zu interagieren. Auf diese Weise lässt sich über eine API kontrollieren, wer Anfragen zwischen APIs stellen darf, wer eine Berechtigung erhält und welche Datenformate zum Einsatz kommen.

Die Kontrolle von Zugriffen erfolgt über einmalige und einzigartige Authentifizierungsschlüssel namens API-Keys. API-Keys lassen sich unter anderem über entsprechende API-Betreiber anfordern. Verfügen Nutzerinnen und Nutzer oder Anwendungen über den entsprechenden Schlüssel, so gewährt der API-Server den Zugriff.

Wie funktioniert ein API-Key?

API-Keys funktionieren ähnlich wie Passwörter. Sobald eine API eine andere API „anruft“ und Zugriff anfordert, wird die Zugriffsberechtigung durch den Austausch des API-Keys gestattet. Der API-Key wird dem anrufenden Dienst oder Programm zugewiesen und an den API-Server übertragen. Bestätigt der API-Server die Echtheit des API-Keys, so wird der Zugriff auf das Programm oder bestimmte Funktionalitäten gewährt. Zudem lassen sich durch API-Keys anwendungsübergreifende Aktionen über die API-Schnittstellen durchführen.

Die Regeln für Zugriffe, Datenformate oder den Umfang von Aktionen legen API-Betreiber fest. So lässt sich genau bestimmen, welche Art von Nutzerinnen und Nutzer oder Projekten Zugriffsberechtigungen erhalten und welche Aktionen über die Programmierschnittstellen erlaubt sind. API-Keys lassen sich auch direkt in Programmiersprachen wie JavaScript oder Python verankern. Nutzerinnen und Nutzer oder Dienste müssen somit den Schlüssel in JavaScript vom zugehörigen API-Server anfordern.

Wofür kommen API-Keys zum Einsatz?

API-Keys kommen vor allem für folgende Funktionen zum Einsatz:

• Identifizierung: Ein API-Key kann „anrufende“ APIs, Projekte oder Dienste für den API-Server identifizieren. So lässt sich protokollieren, wer Zugriffe anforderte, Zugriff erhielt oder abgelehnt wurde.
• Authentifizierung: Durch den Austausch des API-Keys lässt sich überprüfen, ob Clients tatsächlich zugriffsberechtigt sind. Zudem wird überprüft, ob die angeforderte API aktiv ist.
• Autorisierung: Nach Identifizierung des Projekts oder Dienstes bestimmen die Zugriffsregeln des API-Servers, in welchem Umfang Zugriff gewährt wird.

Wie lassen sich API-Keys anfordern?

Wie Sie API-Keys anfordern oder zugewiesen bekommen, hängt von der API ab, mit der Sie sich verbinden möchten. Die Zugriffsregeln variieren je nach Art der API-Betreiber. In der Regel erfolgt die Zuordnung von API-Keys jedoch nach diesem Muster:

• Sie rufen die Seite des Providers auf, über dessen API der Zugriff erfolgen soll und loggen sich auf der Entwickler-Seite ein.
• Sie wählen API-Keys für bestehende Projekte oder für die Erstellung neuer Projekte aus.
• Für den API-Key lässt sich ein Name zur besseren Zuordnung vergeben.
• Nach Erstellung und Vergabe des API-Keys kann dieser in die Website oder App für den späteren Zugriff und Datentransfer eingefügt werden. Bei weiteren Aufrufen erkennt der API-Server nun die anrufende Anwendung über den API-Key.

Vorteile von API-Keys

Die Vorteile von API-Keys liegen in einer einfachen und schnellen Authentifizierung von Zugriffsrechten für Nutzerinnen und Nutzer, Diensten oder Programmen. Das gilt vor allem, wenn verschiedene Anwendungen verbunden werden, um Daten auszutauschen oder programmübergreifende Aktionen auszuführen. Auch im Fall von Programmierern und Programmiererinnen, die eine App erstellen und hierzu per API auf ein Programm zugreifen, bieten Authentifizierungsschlüssel Vorteile. API-Server können über die passwortähnlichen Schlüssel sicherstellen, dass böswilligen Akteure keinen Zugriff auf das System erhalten.

Folgende Funktionen bieten API-Keys für verbesserte, komplexere Authentifizierungsprozesse:

• Registrierung von APIs, Programmen, Diensten oder Projekten, die auf bestimmte API zugreifen möchten
• API-Server und API-Betreiber definieren Zugriffsrechte, um zu bestimmen, welche APIs welche Art von Aktionen und Zugriff autorisieren darf
• Übersicht über zurückliegende gestattete oder abgelehnte Zugriffe
• API-Keys bieten als einmalige, einzigartige und geheime Schlüssel zusätzliche Sicherheit
• Ermöglichen die Blockierung von nicht identifizierbarem Traffic im Netzwerk
• Können die Anzahl an Anrufen an eine API beschränken und somit die Auslastung kontrollieren
• Bestimmte Zugriffsarten oder -muster lassen sich besser filtern und speziellen API-Keys zuordnen

Welche Rolle spielen API-Keys für die Sicherheit?

API-Keys allein stellen keine ausreichende Sicherheitsmaßnahme dar, sondern bieten vielmehr einen zusätzliches Level an Zugriffssicherheit. Da sich API-Keys ähnlich wie Passwörter im Besitz von Clients befinden, besteht die Gefahr, dass sie von Hackern gestohlen werden. Unverschlüsselte gestohlene API-Keys können ähnlich wie ein gestohlenes Passwort schnell zu Fremdzugriffen auf ein System führen. API-Keys bleiben in der Regel in den Protokollen von Servern sichtbar und können Hackern unter dem Mantel eines vermeintlich berechtigten Zugriffs Zutritt verschaffen. Sie spielen häufig eine Rolle, wenn es um Cyberangriffe wie DDoS-Attacken, Man-in-the-middle-Attacken oder Injections geht.

Folgende Sicherheitsaspekte sind bei API-Keys zu beachten:

• API-Keys identifizieren nicht konkrete Nutzerinnen und Nutzer, sondern nur APIs oder Programme, die Zugriff anfordern.
• Im Gegensatz zu Passwörtern werden API-Keys meist clientseitig nicht verschlüsselt gespeichert und bleiben in Serverprotokollen sichtbar.
• API-Keys bieten die Möglichkeit wie unsichere Passwörter von Hackern gestohlen zu werden, um sich Zugriff zu einer Anwendung zu verschaffen.

Wie lassen sich API-Keys sicher nutzen?

Da Programme über APIs sensible Daten austauschen und den Zugriff auf interne Anwendungen gewähren, kommt es auf zuverlässige API-Sicherheit an. Zu Sicherheitsmaßnahmen, die den Schutz von APIs verstärken, zählen:

• Der Zugriff auf clientseitig hinterlegte API-Keys sollte beschränkt und geschützt bleiben.
• Für jedes Projekt und jede Anwendung sollten Sie einen eigenen API-Key verwenden.
• Nicht mehr benötigte API-Keys gilt es zu löschen.
• Gespeicherte API-Keys sollten Sie als Credentials-at-Rest verschlüsseln, um den Diebstahl von Schlüsseln vorzubeugen.
• API-Keys sollten Sie nicht klar lesbar in Code integrieren oder in der Quellstruktur speichern
• Die Nutzung und Verwendung von API-Keys gilt es zu überwachen, beispielsweise wenn mehrere Programmiererinnen und Programmierer Rest APIs per Open API verwenden.

API-Keys und Datenschutz

Ein weiterer wichtiger Aspekt von API-Keys ist der Datenschutz. Dieser beginnt bereits, wenn Sie eine neue App auf dem Handy installieren, die nach zusätzlichen Berechtigungen fragt. So kann es passieren, dass Sie nicht genau prüfen, welche Berechtigungen eine App anfordert. Im Fall fragwürdiger Dienste könnten Sie ungewollt den Zugriff auf alle Ihre Facebook-Daten, Fotos oder den Handy-Speicher erlauben. Die Folge: Ein umfassendes Sammeln von Daten oder im Ernstfall sogar die Übernahme des Systems. Achten Sie daher darauf, nur vertrauenswürdigen Apps per API-Key Zugriff zu gestatten, um Datenmissbrauch vorzubeugen.