- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
API: Programmierschnittstellen kontrolliert bereitstellen und nutzen
Eine API (Application Programming Interface) ist eine definierte Programmierschnittstelle, über die ein System anderen Systemen festgelegte Daten und Funktionen zugänglich macht. Aus Sicht der Governance ist jede Web-API zugleich ein Zugangspunkt zu Informationen, der wie ein Benutzerkonto berechtigt, überwacht und dokumentiert werden muss.
In vielen Unternehmen laufen wesentliche Datenflüsse nicht mehr über Benutzeroberflächen, sondern über Schnittstellen. Personaldaten wandern vom HR-System ins Verzeichnis, Kundendaten vom CRM ins Ticketsystem, Kennzahlen in die BI-Plattform. Wer gegenüber Revision, Aufsicht oder betroffenen Personen belegen muss, wer wann welche Daten bearbeitet hat, braucht deshalb auch die Schnittstellen unter Kontrolle.
Das Wichtigste in Kürze
- Definition: Eine API ist ein Vertrag zwischen Programmen über Aufrufe, Datenformate und Antworten. Bibliotheks- und Betriebssystem-APIs wirken innerhalb eines Rechners, Web-APIs über das Netz.
- Risiko: Die OWASP API Security Top 10 führen fehlerhafte Berechtigungsprüfungen auf Objektebene an erster Stelle, gefolgt von mangelhafter Authentisierung.
- Regulierung: Das Datenschutzgesetz verlangt eine dem Risiko angemessene Datensicherheit. Das FINMA-Rundschreiben 2023/1 verlangt von Banken ein IKT-Inventar, das auch Schnittstellen zu wesentlichen externen Dienstleistern berücksichtigt.
- Steuerung: Inventar, Freigabe neuer Schnittstellen als Change, technische Identitäten mit minimalen Rechten und Protokollierung machen APIs prüfbar.
Stand: November 2026 · Abgeglichen mit DSG und DSV (Fedlex), dem FINMA-Rundschreiben 2023/1, den Informationen des BACS, der OWASP API Security Top 10, RFC 9700 und Microsoft Learn (Quellen am Ende des Artikels)
Aufbau und Arten von APIs aus Kontrollsicht
Für die Kontrolle einer Schnittstelle sind drei Bestandteile massgeblich:
- Vertrag: die Beschreibung der Aufrufe, Parameter und Antworten, bei HTTP-Schnittstellen meist im Format der OpenAPI Specification. Sie zeigt, welche Datenfelder eine Schnittstelle überhaupt herausgeben kann, und eignet sich deshalb als Grundlage für die Prüfung durch Datenschutz und Informationssicherheit.
- Identität: das Konto, der Schlüssel oder das Zertifikat, mit dem sich ein aufrufendes System ausweist. Sie entscheidet, welche Rechte gelten und wem ein Aufruf im Protokoll zugeordnet wird.
- Datenfluss: welche Informationen tatsächlich übertragen werden, wohin, wie oft und auf welchem Weg.
Drei technische Ebenen
Bibliotheks-APIs verbinden Bausteine innerhalb eines Programms. Betriebssystem-APIs wie die Windows-API oder POSIX geben Programmen Zugriff auf Dateien, Prozesse und Netzwerk. Beide wirken innerhalb eines Rechners. Ihr Risiko liegt vor allem in der Software-Lieferkette, also in den eingebundenen Komponenten. Web-APIs werden dagegen über das Netz aufgerufen, oft über Organisationsgrenzen hinweg. Vor allem bei ihnen stellen sich die Fragen nach Datenabfluss, Auftragsbearbeitung und Datenstandort.
Nutzerkreis und Schutzbedarf
Interne APIs, Partner-APIs und öffentliche APIs unterscheiden sich darin, wer zugreifen darf. Der Schutzbedarf hängt aber nicht nur am Nutzerkreis, sondern an den Daten: Eine interne Schnittstelle mit Lohndaten verlangt strengere Kontrollen als eine öffentliche mit Produktinformationen. Die Einstufung gehört deshalb zu jeder Schnittstelle ins Inventar.
Architekturstile und ihre Kontrollpunkte
Der Architekturstil bestimmt, wo sich Zugriffe prüfen und protokollieren lassen. Die Übersicht ordnet die verbreiteten Stile aus Sicht von Informationssicherheit und Revision ein:
| Merkmal | Kontrollpunkt |
|---|---|
| REST | |
| Ressourcen über HTTP, meist JSON | Rechte je Datensatz prüfen, nicht nur je Endpunkt |
| SOAP | |
| XML-Nachrichten, Vertrag per WSDL | Nachrichten gegen das Schema prüfen |
| GraphQL | |
| Frei kombinierbare Abfragen | Tiefe und Umfang von Abfragen begrenzen |
| gRPC | |
| Binär, Protocol Buffers | Protokollierung braucht passende Werkzeuge |
| Webhook | |
| Dienst sendet Ereignisse aktiv | Absender und Signatur prüfen |
REST ist bei Web-APIs weit verbreitet. Methoden, Statuscodes und Versionierung erläutert der Artikel REST API. Webhooks bilden das Gegenstück für Benachrichtigungen, siehe Webhook.
Die übrigen Stile im Kurzporträt
- SOAP ist ein W3C-Standard (Version 1.2) für den Austausch strukturierter XML-Nachrichten. Er findet sich in vielen gewachsenen Fachanwendungen. Der strenge Vertrag erleichtert die Prüfung, macht Änderungen aber aufwendiger.
- GraphQL folgt einer eigenen Spezifikation, deren aktuelle Ausgabe vom September 2025 stammt. Weil Clients Abfragen frei zusammenstellen, empfiehlt das OWASP-Cheat-Sheet zu GraphQL, Tiefe und Anzahl verschachtelter Abfragen zu begrenzen und Ergebnisse seitenweise auszuliefern.
- gRPC ist ein Open-Source-Framework für entfernte Funktionsaufrufe, das standardmässig Protocol Buffers nutzt. Die Nachrichten sind binär kodiert. Für Protokollierung und Kontrolle braucht es deshalb Werkzeuge, die das Format lesen können.
Schnittstellen-Governance: Inventar, Freigabe und Nachweise
In regulierten Branchen genügt es nicht, dass eine Schnittstelle funktioniert. Es muss belegbar sein, warum sie existiert, wer sie verantwortet und welche Daten sie überträgt. Mehrere Vorgaben verlangen das ausdrücklich oder der Sache nach:
- DSG Art. 8: Verantwortliche und Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Ein API-Zugang mit zu weiten Rechten steht dem entgegen.
- DSG Art. 9: Wer einen Dienstleister über eine Schnittstelle Personendaten bearbeiten lässt, muss sich vergewissern, dass dieser die Datensicherheit gewährleisten kann.
- DSV Art. 4: Werden etwa besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet und reichen präventive Massnahmen nicht aus, sind unter anderem das Lesen, Bekanntgeben, Verändern und Löschen zu protokollieren.
- FINMA-RS 2023/1: Banken führen ein Inventar der IKT-Bestandteile, das Abhängigkeiten und Schnittstellen zu wesentlichen externen Dienstleistern berücksichtigt und regelmässig auf Vollständigkeit und Richtigkeit geprüft wird.
- Meldepflicht: Betreiberinnen und Betreiber kritischer Infrastrukturen müssen dem BACS Cyberangriffe seit dem 1. April 2025 innerhalb von 24 Stunden nach Entdeckung melden. Ein missbrauchter API-Schlüssel kann der Ausgangspunkt eines solchen Angriffs sein.
Lebenszyklus einer Schnittstelle
- Antrag: Zweck, Datenkategorien, Richtung, Nutzerkreis und Verantwortliche festhalten.
- Prüfung: Informationssicherheit und Datenschutz bewerten den Vertrag, etwa die OpenAPI-Beschreibung, und die benötigten Rechte. Bei Dienstleistern kommt die Auftragsbearbeitung dazu.
- Freigabe als Change: Inbetriebnahme, neue Felder und Rechteänderungen laufen über das Change Management mit Vier-Augen-Prinzip.
- Betrieb: technische Identität mit minimalen Rechten, Protokollierung, Überwachung von Fehlern und ungewöhnlichem Volumen.
- Rezertifizierung: regelmässig prüfen, ob Zweck, Rechte und Verantwortliche noch stimmen.
- Stilllegung: Zugänge entziehen, Schlüssel widerrufen, Inventar nachführen.
Beispiele aus der Praxis
Die Libera AG, ein Beratungsunternehmen für berufliche Vorsorge mit Standorten in Zürich und Basel, hat ky2help® laut Referenzbericht unter anderem mit Vertec, PK/S, Azure AD (heute Microsoft Entra ID) und Power BI verbunden. Den On- und Offboarding-Prozess für das HR hat das Unternehmen mit dem Prozessdesigner in Eigenregie gebaut. Gerade bei solchen Fachanwendungen lohnt es sich, jede Anbindung mit Zweck und Datenkategorien im Inventar zu führen.
Angenommen, eine Regionalbank bindet ihr Ticketsystem an Kernbankensystem, Verzeichnisdienst und einen externen Druckdienstleister an. Im IKT-Inventar steht für jede dieser drei Schnittstellen, welche Daten fliessen, welches technische Konto sie nutzt und wer sie verantwortet. Bei der jährlichen Rezertifizierung zeigt sich, dass das Konto des Druckdienstleisters noch Leserechte auf Kundendaten hat, die seit einer Prozessänderung niemand mehr braucht. Der Entzug läuft als Change mit Vier-Augen-Freigabe und ist damit für die Revision belegt.
Risiken nach Priorität
Die OWASP API Security Top 10 (Ausgabe 2023) ordnen die wichtigsten API-Risiken. Für Organisationen, die Schnittstellen vor allem anbinden und betreiben, ergibt sich daraus diese Reihenfolge:
- Objektberechtigungen (API1): Eine API prüft, ob der Aufrufer zugreifen darf, aber nicht, ob er genau diesen Datensatz sehen darf. Die Prüfung gehört auf jeden einzelnen Datensatz.
- Authentisierung (API2): Statische Kennwörter und Schlüssel ohne Ablaufdatum ablösen. RFC 9700 schliesst den Resource Owner Password Credentials Grant von OAuth 2.0 aus und empfiehlt, Token an den jeweiligen Client zu binden. Für App-Registrierungen in Microsoft Entra ID rät Microsoft zu verwalteten Identitäten oder Zertifikaten statt geheimer Clientschlüssel.
- Inventar (API9): Vergessene Test- und Altversionen sind Zugänge ohne Kontrolle. Das Inventar aus dem Lebenszyklus ist die Gegenmassnahme.
- Ressourcenverbrauch (API4): Ohne Begrenzung von Aufrufen und Datenmengen kann eine einzelne Integration einen Dienst überlasten oder Kosten verursachen. Microsoft Graph etwa schränkt überlastende Anwendungen für einige Zeit ein und nennt eine Wartezeit.
- Unsichere Nutzung fremder APIs (API10): Daten von Drittanbietern werden validiert wie Benutzereingaben, bevor sie in Prozesse einfliessen.
Wo Personendaten betroffen sind, gehört zur Bewertung auch der Datenstandort: Wo läuft die API, wo liegen die Protokolle, welche Unterauftragsbearbeiter sind beteiligt? ky2help® lässt sich als SaaS oder On-Premises betreiben, mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland.
Häufige Fragen zu API-Governance
Was versteht man unter einer API?
Eine API (Application Programming Interface) ist eine definierte Programmierschnittstelle, über die ein System anderen Systemen festgelegte Daten und Funktionen zugänglich macht. Sie regelt Aufrufe, Datenformate und Antworten. Wird sie über das Netz angeboten, ist sie zugleich ein Zugangspunkt, der berechtigt und überwacht werden muss.
Welche Risiken bergen APIs?
Die OWASP API Security Top 10 nennen an erster Stelle fehlerhafte Berechtigungsprüfungen auf Objektebene, danach mangelhafte Authentisierung. Weitere Risiken sind unbegrenzter Ressourcenverbrauch, vergessene Schnittstellen ohne Inventar und die ungeprüfte Übernahme von Daten aus fremden APIs.
Was ist API-Governance?
API-Governance umfasst die Regeln und Kontrollen über den gesamten Lebenszyklus einer Schnittstelle: Antrag mit Zweck und Datenkategorien, Prüfung durch Informationssicherheit und Datenschutz, Freigabe als Change, Betrieb mit minimalen Rechten und Protokollierung, regelmässige Rezertifizierung und geordnete Stilllegung.
Gehören Schnittstellen ins IKT-Inventar?
Für Banken und Wertpapierhäuser ja: Das FINMA-Rundschreiben 2023/1 verlangt ein Inventar der IKT-Bestandteile, das Abhängigkeiten und Schnittstellen zu wesentlichen externen Dienstleistern berücksichtigt. Für andere Unternehmen ist ein solches Inventar eine solide Grundlage für Risikobeurteilung und Change Management.
Wo werden die Daten bei ky2help® gehalten?
ky2help® lässt sich als SaaS oder On-Premises betreiben. Als SaaS läuft eine eigene Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland. Der Hersteller KYBERNA ist nach ISO/IEC 27001 zertifiziert.
Welche Schnittstellen bietet ky2help® im Standard?
Im Standard bietet ky2help® Schnittstellen zu Active Directory (AD/LDAP), Azure AD (heute Microsoft Entra ID) inklusive Single Sign-on, E-Mail, MS Teams, Telefonanlage (CTI), Jira, ServiceNow, LOGINventory, Baramundi und Chatbot. Weitere Systeme werden über die REST-API (Webservices) angebunden, das Reporting lässt sich an SAP oder Power BI anbinden.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
- Fedlex: Verordnung über den Datenschutz (DSV)
- FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken»
- BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
- OWASP: API Security Top 10 – 2023
- OWASP: GraphQL Cheat Sheet
- IETF: RFC 9700 – Best Current Practice for OAuth 2.0 Security
- OpenAPI Initiative: OpenAPI Specification
- W3C: SOAP Version 1.2
- Microsoft Learn: Bewährte Sicherheitsmethoden für App-Registrierungen und Microsoft Graph-Drosselungsleitfaden
Weiterlesen im Glossar und auf kyberna.ch
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
