REST-API-Benutzer-Enumeration: Ein Leitfaden 2026 für britische Unternehmen
16. August 2026
Erfahren Sie, was REST-API-User-Enumeration ist, wie sie britische Unternehmen betrifft und wie Sie sie verhindern können. Unverzichtbar für die DSGVO-Konformität und Cyber Essentials.
Was ist REST-API-Benutzer-Enumeration?
REST-API-Benutzerenumeration ist eine Art von Sicherheitslücke, bei der ein Angreifer feststellen kann, ob ein bestimmter Benutzername oder eine E-Mail-Adresse in Ihrem System registriert ist. Dies geschieht, wenn die API unterschiedliche Antworten für gültige und ungültige Benutzer zurückgibt. Beispielsweise könnte ein Login-Endpunkt bei bestehenden Konten mit „ungültiges Passwort" und bei nicht vorhandenen Konten mit „Benutzer nicht gefunden" antworten. Durch die Automatisierung von Anfragen kann ein Angreifer eine Liste gültiger Benutzernamen sammeln. Im Jahr 2026, wenn APIs zum Rückgrat britischer digitaler Dienste werden, ist dies ein wachsendes Problem. Selbst geringfügige Unterschiede bei Antwortstatuscodes, Headern oder Zeitabläufen können Benutzerinformationen preisgeben, was dies zu einem kritischen Thema für jede britische Organisation macht.
Wie Angreifer die Benutzeraufzählung in britischen Anwendungen ausnutzen
Angreifer zielen typischerweise auf REST-APIs ab, die mobile Apps, Webportale oder kundenorientierte Dienste betreiben. Sie verwenden Tools wie Burp Suite, OWASP ZAP oder eigene Skripte, um Tausende von Anfragen zu senden und dabei nach subtilen Unterschieden zu suchen. So könnte eine API etwa bei einem Passwort-Reset für einen gültigen Benutzer HTTP 200 mit einem 'success'-Flag zurückgeben, während ein ungültiger Benutzer einen generischen Fehler erhält. Im Vereinigten Königreich sind Sektoren wie Fintech, Gesundheitswesen und E-Commerce Hauptziele. Sobald gültige Benutzernamen bestätigt sind, können Angreifer Phishing-Kampagnen oder Brute-Force-Angriffe starten. Mit dem Aufstieg der API-first-Entwicklung im Vereinigten Königreich vergrößert sich die Angriffsfläche. Das Verständnis dieser Methoden ist der erste Schritt zum Aufbau robuster Abwehrmaßnahmen.
UK-rechtliche und regulatorische Auswirkungen
Unter der britischen DSGVO (UK GDPR) und dem Data Protection Act 2018 kann Benutzeraufzählung (User Enumeration) als eine Verletzung des Schutzes personenbezogener Daten betrachtet werden. Namen und E-Mail-Adressen sind personenbezogene Daten, und die Offenlegung ihrer Gültigkeit gegenüber unbefugten Parteien gefährdet Integrität und Vertraulichkeit. Das Information Commissioner's Office (ICO) kann bei schwerwiegenden Verstößen Geldstrafen von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes verhängen. Darüber hinaus verlangt Cyber Essentials – ein von der britischen Regierung unterstütztes Programm – grundlegende Sicherheitskontrollen, doch Benutzeraufzählung wird dabei oft übersehen. Organisationen, die dieses Problem nicht angehen, könnten zudem gegen die Vorschriften zum Schutz der Privatsphäre in der elektronischen Kommunikation (Privacy and Electronic Communications Regulations, PECR) verstoßen. Im Jahr 2026 halten die britischen Gerichte Unternehmen zunehmend für unsichere APIs haftbar, daher ist es keine tragfähige Option, diese Schwachstelle zu ignorieren.
So erkennen Sie Benutzer-Enumeration in Ihrer REST-API
Um Benutzer-Enumeration zu erkennen, sollten Sie regelmäßige API-Sicherheitstests durchführen, einschließlich sowohl automatisierter Scans als auch manueller Penetrationstests. Achten Sie auf Endpunkt-Antworten, die sich zwischen gültigen und ungültigen Benutzern unterscheiden – nicht nur im Body, sondern auch in Headern, Statuscodes und Timing. Verwenden Sie Tools wie OWASP ZAP oder führen Sie Skripte aus, um Antworten zu vergleichen. Senden Sie beispielsweise eine Anfrage mit einer bekannten E-Mail und einer zufälligen E-Mail; wenn sich die Antwort unterscheidet, liegt möglicherweise eine Schwachstelle vor. In Großbritannien beauftragen viele Unternehmen zertifizierte Penetrationstester (z. B. CHECK- oder CREST-zugelassene), um ihre APIs zu bewerten. Auch die Überwachung von Protokollen auf ungewöhnliche Muster, wie wiederholte Versuche, auf Benutzerdaten zuzugreifen, kann helfen, Angriffe zu erkennen, bevor sie Schaden anrichten.
Best Practices zur Vermeidung von User Enumeration
Um User Enumeration zu verhindern, sind konsistente, generische Antworten über alle API-Endpunkte hinweg erforderlich. Verwenden Sie denselben Statuscode, dieselbe Meldung und dieselbe Antwortzeit sowohl für gültige als auch für ungültige Benutzer. Beispielsweise sollte ein Login-Endpunkt immer „Ungültige Anmeldedaten" zurückgeben, unabhängig davon, ob der Benutzer existiert. Ratenbegrenzung und CAPTCHA können automatisierte Angriffe verlangsamen. Vermeiden Sie außerdem ausführliche Fehlermeldungen bei Passwortzurücksetzungen oder der Kontoregistrierung. Implementieren Sie die Multi-Faktor-Authentifizierung (MFA), um eine zusätzliche Sicherheitsebene zu schaffen, selbst wenn Benutzernamen offengelegt werden. Für Unternehmen im Vereinigten Königreich ist die Ausrichtung an den NCSC-Richtlinien und dem OWASP API Security Top 10 unerlässlich. Regelmäßige Code-Reviews und Sicherheitsschulungen für Entwickler können ebenfalls verhindern, dass dieses Problem überhaupt erst eingeführt wird.
FAQ
Senden Sie eine Anfrage an einen Login- oder Passwort-Reset-Endpunkt mit einer gültigen und einer ungültigen E-Mail-Adresse. Wenn sich die Antworten in Statuscode, Nachricht oder Antwortzeit unterscheiden, ist Ihre API wahrscheinlich verwundbar. Tools wie Burp Suite können diesen Vergleich automatisieren.