ESAPI 2019

Ausgelöst durch eine zunehmende Industrialisierung von Projekten zur Softwareentwicklung, gilt es massiven Veränderungen bei eingesetzten Entwicklungsmethoden und -techniken Rechnung zu tragen. Entsprechend den klassischen Merkmalen einer industriellen Fertigung finden sich beim Einsatz von webbasierten APIs Aspekte der Modularisierung, Wiederverwendung, Standardisierung, Arbeitsteilung und Automation. Darüber hinaus bedarf es im Diskurs der Industrialisierung einer maßorientierten Bewertung korrespondierender Entwicklungs- und Betriebsprozesse, eingesetzter Ressourcen und schließlich der API selbst. Im Sinne der Wirtschaftswissenschaften lassen sich weltweit angebotene APIs als potentielle Bestandteile global verfügbarer und somit virtualisierter Lieferantenketten interpretierten. Diese gilt es über den gesamten Lebenszyklus entsprechend zu managen, wobei in Abhängigkeit der Art angebotener APIs (shared, public, open) z.B. eine agil einzugehende Vertragsgestaltung gehört.

Waren Entwickler in den vergangenen Jahrzehnten bestrebt, möglichst viele Bestandteile der späteren Lösung in eigener Regie zu entwickeln, gilt diese Tugend im Zeitalter der Globalisierung, Agilität und zunehmenden Kostendrücken nichts mehr. Auch wenn damit das Ende der „klassischen Softwareentwicklung“ eingeläutet wird, geht damit keineswegs eine Reduktion der benötigten Fähigkeiten im Umgang mit Algorithmen und service- bzw. komponentenorientierten Programmiersprachen einher. Aus Sicht des Autors werden diese Kompetenzen auf einem höheren und zumeist modellbasierten Abstraktionsniveau auch weiterhin benötigt! Bezüglich der benötigten Kompetenzprofile ist darüber hinaus die Sicht der Anbieter, Vermarkter und Nutzer von webbasierten APIs zu unterscheiden.

Im Sinne des Investitionsschutzes sind z.B. Altsysteme zu berücksichtigen, diese sind über entsprechende Schnittstellen für die Beteiligung an der „neuen Welt“ zu öffnen. Ebenso gilt es webbasierte APIs im Diskurs des „Internets der Dinge“, bei „KI-Services“, im „Telematikbereich“ oder aber bei Anwendungen des „Data Science“ zu etablieren. Auf dieser Grundlage angebotene „public“ bzw. „open“ APIs gelten als ein massiver Treiber der Digitalisierung. Nur so lassen sich innovative Integrationslösungen über System-, Unternehmens-, Behörden- und schließlich auch Ländergrenzen hinweg ermöglichen. Eine massive Herausforderung stellen dabei die Anforderungen an die Qualität angebotener und konsumierter APIs dar. Mit Sicherheits- und Complianceaspekten als einem Qualitätsaspekt von APIs wollen wir in diesem Jahr für den Workshop einen korrespondierenden Themenschwerpunkt setzen:
− API Sicherheit aus Entwicklungssicht (Anbieter/Nutzer),
− Aspekte der API-Sicherheit im API-Management,
− Empirische Analysen (best practices) zur API-Sicherheit,
− Brachenspezifische Aspekte sicherer APIs (z.B. Banken),
− Bewertung der Compliance bei angebotenen/genutzten APIs,
− Erfolgskriterien für die „API-fizierung“ von Altanwendungen,
− Vor- und Nachteile branchenorientierter API-Spezifikationen,
− Virtualisierung der Softwareentwicklung mit Hilfe von APIs,
− Wirtschaftlichkeits- und Risikobewertungen von APIs.

Die im Workshop berücksichtigten Beiträge reflektieren die vorgenannten Schwerpunkte und vermitteln sowohl praxisorientierte Erfahrungen als auch forschungsbezogene Ergebnisse.

Auch beim diesjährigen Workshop bietet sich mit dem World Cafe die Möglichkeit einer interaktiven Zusammenarbeit zwischen allen am Workshop beteiligten Teilnehmern. Im Vorfeld wurden die folgenden Themenbereiche als initiale Diskussionsgrundlage zur Verfügung gestellt:
– Identitäts- und Zugriffsmanagement bei APIs,
– “Security by Design” Ansätze für APIs,
– Möglichkeiten von KI-Algorithmen für die API-Security.

Die aus dem Diskurs der Software-Messung und –Bewertung hervorgegangene ESAPI-Initiative widmet sich multidimensionalen Bewertungsaspekten der vielfältig im Web angebotenen Service-APIs. Aus technologischer Sicht handelt es sich bei diesen Service-APIs um Web-Services, Web-APIs, Microservices und Angebote, die unter dem Begriff Public-API bzw. Open-API subsumiert werden.

Dresden, November 2019
Andreas Schmietendorf