Ein neuer Auftrag im Onlineshop landet automatisch in der Buchhaltung, der Kunde erscheint im CRM, und das Lager bekommt einen Pickauftrag. Dass dabei niemand Daten abtippt, liegt an API-Integrationen. Dieser Leitfaden erklärt, was eine API ist, wie eine API-Integration technisch funktioniert, welche Arten und Protokolle es gibt und worauf Sie bei Planung, Sicherheit und Betrieb achten sollten.
Was ist eine API? Einfach erklärt
API steht für Application Programming Interface, auf Deutsch Programmierschnittstelle. Eine API legt fest, wie ein Programm bei einem anderen Programm Daten abfragen oder Aktionen auslösen kann. Sie beschreibt, welche Anfragen erlaubt sind, welche Angaben dafür nötig sind und in welcher Form die Antwort kommt.
Ein Vergleich aus dem Alltag: In einem Restaurant gehen Sie nicht selbst in die Küche. Sie bestellen bei der Bedienung nach der Speisekarte, und die Bedienung bringt das Essen. Die Speisekarte ist die Dokumentation der API, die Bedienung ist die Schnittstelle, die Küche ist das System dahinter. Sie müssen nicht wissen, wie gekocht wird. Sie müssen nur wissen, was Sie bestellen können und wie.
Genau das macht APIs so nützlich. Ein Shopsystem muss nicht wissen, wie die Datenbank der Buchhaltungssoftware aufgebaut ist. Es reicht, dass die Buchhaltung eine API anbietet, über die sich Rechnungen anlegen lassen. Fast jede moderne Software, von Salesforce über ERP-Systeme bis zu kleinen Cloud-Apps, stellt heute solche Schnittstellen bereit.
Was bedeutet API-Integration?
API-Integration bedeutet, zwei oder mehr Systeme über ihre APIs so zu verbinden, dass sie automatisch Daten austauschen und Abläufe gemeinsam abwickeln. Die einzelne API ist dabei nur das Werkzeug. Die Integration ist die konkrete Verbindung: welche Daten wann von welchem System in welches fließen, wie sie unterwegs umgewandelt werden und was bei Fehlern passiert.
Ein Beispiel: Ihr CRM und Ihr Newsletter-Tool haben jeweils eine API. Erst eine API-Integration sorgt dafür, dass ein neuer Kontakt im CRM mit den richtigen Feldern und der Einwilligung im Newsletter-Tool ankommt und eine Abmeldung dort wieder im CRM vermerkt wird.
API, API-Anbindung, API-Integration – die Begriffe
Im Alltag werden die Begriffe oft vermischt. Eine saubere Trennung hilft bei Gesprächen mit Dienstleistern und Entwicklern:
- API: die Schnittstelle eines einzelnen Systems, also das Angebot „so können andere Programme mit mir sprechen“.
- API-Anbindung: meist die technische Verbindung eines Systems an eine bestimmte API, etwa „unser Shop ist an die API des Zahlungsanbieters angebunden“.
- API-Integration: das Zusammenspiel mehrerer Systeme über ihre APIs, einschließlich Datenabgleich, Regeln und Fehlerbehandlung. Oft ist damit ein ganzer Geschäftsprozess gemeint.
- Konnektor: ein vorgefertigter Baustein in einer Integrationsplattform, der die API eines bestimmten Produkts bereits kennt und die Anbindung vereinfacht.
Wie funktioniert eine API-Integration?
Technisch besteht jede API-Integration aus vielen kleinen Nachrichten zwischen Systemen. Das Grundmuster ist immer gleich: Ein System fragt, das andere antwortet. Dazu kommen zwei Fragen, die über den Erfolg entscheiden. Wer darf fragen? Und woher weiß ein System, dass es etwas Neues gibt?
Anfrage, Antwort, Authentifizierung
Bei den meisten Web-APIs läuft die Kommunikation über HTTP, dasselbe Protokoll, das Ihr Browser nutzt. Eine Anfrage (Request) besteht aus:
- einer Adresse (Endpunkt), zum Beispiel /kunden/4711,
- einer Methode: GET zum Lesen, POST zum Anlegen, PUT oder PATCH zum Ändern, DELETE zum Löschen,
- Kopfzeilen (Header) mit Zusatzangaben wie dem Zugangsschlüssel,
- bei Bedarf einem Inhalt (Body), meist im Format JSON.
Die Antwort (Response) enthält einen Statuscode und die angefragten Daten. 200 bedeutet Erfolg, 401 fehlende Berechtigung, 404 „nicht gefunden“, 429 zu viele Anfragen in kurzer Zeit, Codes ab 500 einen Fehler auf der Serverseite. Eine gute Integration wertet diese Codes aus, statt sich blind auf Erfolg zu verlassen.
Vor dem Datenaustausch steht die Authentifizierung. Einfache APIs arbeiten mit einem API-Schlüssel, der bei jeder Anfrage mitgeschickt wird. Verbreiteter bei Cloud-Diensten ist OAuth 2.0: Das anfragende System erhält nach einer Freigabe ein zeitlich begrenztes Zugriffstoken mit genau definierten Rechten. So kann ein Workflow-Tool etwa Kalendereinträge lesen, ohne das Passwort des Nutzers zu kennen.
Webhooks und Echtzeit-Daten
Bei einer reinen Abfrage muss das eine System immer wieder nachfragen, ob es Neues gibt. Das nennt man Polling. Es funktioniert, erzeugt aber viele leere Anfragen und liefert Änderungen nur mit Verzögerung.
Webhooks drehen die Richtung um. Das Quellsystem meldet sich von selbst, sobald ein Ereignis eintritt, und schickt die Daten an eine vorher hinterlegte Adresse. Beispiel: Der Zahlungsanbieter ruft Ihren Webhook auf, sobald eine Zahlung eingegangen ist, und Ihr Shop gibt die Bestellung sofort frei. Webhooks sind die Grundlage für Integrationen in nahezu Echtzeit. Damit niemand gefälschte Meldungen einschleusen kann, sollten sie signiert und auf der Empfängerseite geprüft werden.
API-Arten und Protokolle
APIs lassen sich auf zwei Arten unterscheiden: nach dem technischen Stil, in dem sie arbeiten, und nach dem Kreis der Nutzer, für den sie gedacht sind.
REST, SOAP, GraphQL
REST (Representational State Transfer) ist der heute verbreitetste Stil für Web-APIs. Jede Ressource, etwa ein Kunde oder eine Bestellung, hat eine eigene Adresse, und die HTTP-Methoden bestimmen, was damit geschieht. Die Daten kommen meist als JSON. REST-APIs sind leicht zu verstehen und lassen sich mit einfachen Mitteln testen. Viele werden mit der OpenAPI-Spezifikation beschrieben, aus der sich Dokumentation und Programmcode erzeugen lassen.
SOAP (ursprünglich Simple Object Access Protocol) ist älter und strenger. Nachrichten sind in XML verpackt, der Aufbau ist in einer WSDL-Datei genau festgelegt. SOAP findet sich noch häufig in Banken, Versicherungen, Behörden und älteren ERP-Landschaften, wo feste Verträge zwischen Systemen wichtiger sind als Einfachheit.
GraphQL wurde bei Facebook entwickelt und 2015 veröffentlicht. Statt vieler fester Endpunkte gibt es einen einzigen, und der Client beschreibt in der Anfrage genau, welche Felder er braucht. Das vermeidet zu viele oder zu wenige Daten pro Anfrage, verlagert aber mehr Verantwortung auf den Server, etwa beim Schutz vor sehr teuren Abfragen.
Daneben gibt es weitere Formen, etwa gRPC für schnelle Kommunikation zwischen Diensten oder ereignisbasierte Schnittstellen über Nachrichtensysteme.
| Merkmal | REST | SOAP | GraphQL |
|---|---|---|---|
| Datenformat | meist JSON | XML | JSON |
| Endpunkte | einer je Ressource | festgelegte Operationen | ein zentraler Endpunkt |
| Beschreibung | oft OpenAPI | WSDL | Schema |
| Typischer Einsatz | Web- und Cloud-Dienste | Finanzwesen, Behörden, ältere ERP | Apps mit flexiblem Datenbedarf |
Offene, interne und Partner-APIs
Nach dem Nutzerkreis unterscheidet man drei Gruppen:
- Offene (öffentliche) APIs stehen allen Entwicklern zur Verfügung, oft nach einer Registrierung. Beispiele sind Karten-, Wetter- oder Zahlungsdienste.
- Interne APIs verbinden Systeme innerhalb eines Unternehmens. Sie erlauben es, eine Anwendung in kleinere Dienste zu zerlegen und Daten zwischen Abteilungen bereitzustellen, ohne direkte Datenbankzugriffe zu öffnen.
- Partner-APIs sind für ausgewählte Geschäftspartner freigeschaltet, etwa für Lieferanten, die Bestände abfragen, oder Händler, die Aufträge einspielen.
Werden mehrere APIs zu einer neuen Funktion zusammengefasst, spricht man von zusammengesetzten (Composite) APIs.
API vs. EDI: Was ist der Unterschied?
EDI (Electronic Data Interchange) ist der ältere Weg, Geschäftsdokumente zwischen Unternehmen elektronisch auszutauschen. Bestellungen, Lieferavis und Rechnungen werden in standardisierten Formaten wie EDIFACT oder ANSI X12 übertragen, oft über spezielle Netze oder Protokolle wie AS2 und SFTP. Im Handel, in der Automobilindustrie und in der Logistik ist EDI fest etabliert.
Die Unterschiede liegen vor allem in Tempo und Flexibilität:
| Merkmal | EDI | API |
|---|---|---|
| Übertragung | ganze Dokumente, häufig gebündelt | einzelne Anfragen, bei Bedarf sofort |
| Format | streng genormt (EDIFACT, X12) | vom Anbieter festgelegt, meist JSON |
| Richtung | Dokument wird gesendet | Daten werden gezielt abgefragt oder geändert |
| Stärke | verbindlicher Standard zwischen vielen Partnern | Echtzeit, Abfragen, einfache Anbindung neuer Dienste |
In der Praxis ist es selten ein Entweder-oder. Viele Unternehmen behalten EDI für den bewährten Belegaustausch mit großen Handelspartnern und nutzen APIs für Statusabfragen, Bestandsinformationen oder die Anbindung neuer Plattformen. Integrationsplattformen können beide Welten verbinden, etwa indem sie eine EDI-Bestellung empfangen und die Daten per API an das ERP weiterreichen.
Vorteile der API-Integration
- Weniger Handarbeit: Daten werden nicht mehr abgetippt oder per Tabelle übertragen. Das spart Zeit und beseitigt eine häufige Fehlerquelle.
- Aktuelle Daten: Änderungen kommen in Minuten oder Sekunden im Zielsystem an, nicht erst beim nächsten Export.
- Durchgängige Workflows: Ein Vorgang läuft über Abteilungsgrenzen hinweg, vom Auftrag bis zur Rechnung, ohne Medienbruch.
- Flexibel erweiterbar: Neue Anwendungen lassen sich anbinden, ohne bestehende Systeme umzubauen. Das macht Software austauschbarer.
- Bessere Kundenerfahrung: Kunden sehen Lieferstatus, Verfügbarkeit oder Vertragsdaten, weil die Systeme im Hintergrund zusammenarbeiten.
- Grundlage für Automatisierung und KI: Ohne Schnittstellen bleibt jede Automatisierung an der Systemgrenze stehen.
Für die digitale Transformation eines Unternehmens ist die API-Integration damit keine Nebensache. Sie entscheidet darüber, ob neue Werkzeuge mit dem Bestand zusammenarbeiten oder als Insel danebenstehen.
Anwendungsfälle und Beispiele
API-Integrationen finden sich in fast jeder Abteilung. Einige typische Beispiele:
- Vertrieb: Anfragen aus dem Webformular landen als Lead im CRM, inklusive Quelle und Kampagne.
- Personal: Beim Onboarding eines neuen Mitarbeiters legt die Integration aus dem HR-System heraus E-Mail-Konto, Zugänge und Hardware-Bestellung an.
- Logistik: Das Transportmanagementsystem holt Sendungsnummern beim Paketdienst ab und schreibt sie in die Bestellung.
- Finanzen: Kontoumsätze werden per Schnittstelle abgerufen und offenen Rechnungen zugeordnet.
- Service: Tickets aus dem Helpdesk werden mit Vertrags- und Bestelldaten aus dem ERP angereichert.
CRM, Shop und Buchhaltung verbinden
Ein durchgespieltes Beispiel zeigt, wie mehrere APIs zusammenwirken. Ein kleiner Händler verkauft über einen Onlineshop, führt Kunden in einem CRM und bucht in einer Cloud-Buchhaltung.
- Ein Kunde bestellt. Der Shop löst einen Webhook aus und übergibt die Bestelldaten an die Integration.
- Die Integration sucht über die CRM-API nach der E-Mail-Adresse. Gibt es den Kunden, wird die Bestellung zugeordnet. Sonst wird ein neuer Kontakt angelegt.
- Über die API der Buchhaltung entsteht eine Rechnung. Artikelnummern und Steuersätze werden dabei in das Format der Buchhaltung umgewandelt.
- Die Rechnungsnummer wird per API zurück in den Shop geschrieben, damit der Kunde sie in seinem Konto sieht.
- Schlägt ein Schritt fehl, etwa weil die Buchhaltung gerade nicht erreichbar ist, versucht die Integration es später erneut und meldet sich nach mehreren Fehlversuchen bei einer zuständigen Person.
Vorher hat jemand diese Schritte jeden Tag von Hand erledigt. Nachher prüft er nur noch die Ausnahmen.
KI-Agenten über APIs handeln lassen
Sprachmodelle können Texte verstehen und formulieren. Handeln können sie erst, wenn sie Zugriff auf Werkzeuge bekommen, und diese Werkzeuge sind fast immer APIs. Ein KI-Agent im Kundenservice liest etwa eine Anfrage, ruft über die API des Shops den Bestellstatus ab, prüft im ERP den Lagerbestand und formuliert eine Antwort.
Damit Agenten Schnittstellen einheitlich nutzen können, sind Standards wie das Model Context Protocol (MCP) entstanden, die Werkzeuge für KI-Modelle beschreiben. Für die Sicherheit gilt dasselbe wie bei jeder Integration, nur strenger: Ein Agent sollte nur die Rechte bekommen, die er für seine Aufgabe braucht. Schreibende oder löschende Aktionen gehören hinter eine Freigabe durch einen Menschen.
API-Integrationsplattformen (iPaaS) und Workflow-Tools
Man kann jede Integration selbst programmieren. Bei wenigen, stabilen Verbindungen ist das oft der direkte Weg. Mit jeder weiteren Verbindung wächst aber der Aufwand für Wartung, Überwachung und Anpassungen an neue API-Versionen. Hier setzen Integrationsplattformen an.
Eine Integration Platform as a Service (iPaaS) ist eine Cloud-Plattform, die Integrationen zentral baut, betreibt und überwacht. Typische Merkmale einer API-Integrationsplattform sind:
- vorgefertigte Konnektoren für verbreitete Anwendungen wie CRM, ERP, Shops und Office-Dienste,
- grafische Werkzeuge zur Transformation und Zuordnung von Datenfeldern,
- zentrale Verwaltung von Zugangsdaten,
- Protokolle, Wiederholungen bei Fehlern und Alarmierung,
- oft auch Funktionen für API-Management und EDI.
Bekannte Anbieter im Unternehmensumfeld sind etwa MuleSoft, Boomi, SAP Integration Suite, Jitterbit oder Workato. Für kleinere Teams und Fachabteilungen gibt es Workflow-Tools wie Zapier, Make oder n8n, die ebenfalls viele Apps über fertige Bausteine verbinden. Wer nach Alternativen sucht, findet im Vergleich der Zapier-Alternativen eine Übersicht. Grundsätzliches zur Automatisierung von Abläufen erklärt der Beitrag zur Workflow-Automatisierung.
Die Wahl hängt von Datenmenge, Sicherheitsanforderungen und dem eigenen Know-how ab. Ein Workflow-Tool ist schnell eingerichtet. Eine iPaaS lohnt sich eher, wenn viele Systeme, strenge Vorgaben zu Datenschutz und Nachvollziehbarkeit oder hohe Volumen zusammenkommen.
API-Management und Sicherheit
Wer selbst APIs anbietet oder viele fremde APIs nutzt, braucht ein Konzept für deren Verwaltung. API-Management umfasst Dokumentation, Zugangsverwaltung, Versionierung, Nutzungsgrenzen und Auswertung. Ein API-Gateway bündelt diese Aufgaben an einer Stelle: Es nimmt alle Anfragen an, prüft die Berechtigung, begrenzt die Anfragen pro Zeiteinheit und leitet sie an die Dienste dahinter weiter.
Für die Sicherheit einer API-Integration gelten einige Grundregeln:
- Verschlüsselt übertragen: Nur HTTPS verwenden, nie unverschlüsselte Verbindungen.
- Geringste Rechte: Zugangsschlüssel und Tokens nur mit den Berechtigungen ausstatten, die die Integration wirklich braucht.
- Geheimnisse schützen: API-Schlüssel gehören in einen geschützten Speicher, nicht in Quellcode, Tabellen oder E-Mails.
- Schlüssel wechseln: Zugänge regelmäßig erneuern und bei Personalwechsel oder Verdacht sofort sperren.
- Eingaben prüfen: Auch Daten aus Partnersystemen können fehlerhaft oder manipuliert sein.
- Protokollieren: Nachvollziehen, welches System wann welche Daten gelesen oder geändert hat. Bei personenbezogenen Daten ist das auch für die DSGVO wichtig.
Herausforderungen und Best Practices
Die meisten Probleme entstehen nicht beim ersten Aufruf, sondern im Betrieb. Typische Herausforderungen sind:
- Unterschiedliche Datenmodelle: Ein „Kunde“ ist im CRM etwas anderes als im ERP. Felder, Pflichtangaben und Schreibweisen weichen voneinander ab.
- Nutzungsgrenzen: Viele APIs erlauben nur eine bestimmte Zahl von Anfragen pro Minute oder Tag. Wer sie überschreitet, bekommt den Statuscode 429.
- Versionswechsel: Anbieter ändern ihre APIs und schalten alte Versionen irgendwann ab.
- Fehler und Ausfälle: Netzwerke sind unzuverlässig, Gegenstellen sind zeitweise nicht erreichbar.
- Abhängigkeiten: Je mehr Integrationen, desto schwerer der Überblick darüber, was woran hängt.
Bewährt haben sich diese Best Practices:
- Mit dem Prozess beginnen, nicht mit der Technik. Erst aufschreiben, welcher Ablauf automatisiert werden soll und welches System für welche Daten führend ist.
- Dokumentation lesen und testen. Eine Testumgebung (Sandbox) des Anbieters nutzen, bevor echte Daten fließen.
- Felder sauber zuordnen. Eine Tabelle mit Quellfeld, Zielfeld und Umwandlungsregel verhindert viele spätere Fehler. Hier hilft auch ein Blick auf die Datenqualität der Quellsysteme.
- Wiederholungen einplanen. Fehlgeschlagene Aufrufe mit wachsender Wartezeit erneut versuchen und Aktionen so gestalten, dass eine Wiederholung keine doppelten Datensätze erzeugt.
- Nutzungsgrenzen respektieren. Anfragen bündeln, Ergebnisse seitenweise abrufen und Webhooks statt ständiger Abfragen nutzen.
- Überwachen und alarmieren. Jede Integration braucht eine Stelle, die merkt, wenn sie ausfällt, und eine Person, die zuständig ist.
- Versionen im Blick behalten. Ankündigungen der Anbieter verfolgen und Umstellungen rechtzeitig einplanen.
- Dokumentieren. Festhalten, welche Integration welche Systeme verbindet, mit welchen Zugängen und welcher Logik.
Wer mehrere Integrationen plant, sollte sie nicht als Einzelprojekte betrachten, sondern als Teil der Prozessautomatisierung im ganzen Unternehmen. Das verhindert, dass jede Abteilung eigene, schwer wartbare Verbindungen baut. Für große Datenmengen, die regelmäßig für Auswertungen bewegt werden, ist dagegen oft eine Datenpipeline das passendere Werkzeug.
Häufige Fragen zur API-Integration
Was bedeutet API-Integration?
Die Verbindung von zwei oder mehr Softwaresystemen über ihre Programmierschnittstellen, sodass sie automatisch Daten austauschen und gemeinsam Abläufe abwickeln. Beispiel: Eine Bestellung im Shop erzeugt automatisch eine Rechnung in der Buchhaltung.
Was ist eine API einfach erklärt?
Eine Vereinbarung darüber, wie ein Programm ein anderes nach Daten fragen oder um eine Aktion bitten kann. Sie funktioniert wie eine Speisekarte: Sie sehen, was Sie bestellen können, ohne zu wissen, wie die Küche arbeitet.
Was ist der Unterschied zwischen EDI und API?
EDI tauscht ganze Geschäftsdokumente in streng genormten Formaten aus, oft gebündelt. Eine API erlaubt gezielte Einzelabfragen und Änderungen in Echtzeit. Viele Unternehmen nutzen beides nebeneinander.
Was ist eine API-Anbindung?
Die technische Verbindung eines Systems an die Schnittstelle eines anderen, etwa eines Shops an einen Zahlungsdienst. Der Begriff wird oft gleichbedeutend mit API-Integration verwendet, meint aber meist nur eine einzelne Verbindung.
Brauche ich Entwickler für eine API-Integration?
Für Standardverbindungen zwischen verbreiteten Apps nicht unbedingt. Workflow-Tools und Low-Code-Plattformen bieten fertige Konnektoren. Bei eigenen Systemen, komplexen Regeln oder hohen Anforderungen an Sicherheit und Datenmengen sind Entwickler aber sinnvoll.
Was kostet eine API-Integration?
Dafür gibt es keinen festen Preis. Der Aufwand hängt davon ab, wie viele Systeme beteiligt sind, ob es fertige Konnektoren gibt, wie gut die APIs dokumentiert sind und wie viele Sonderfälle der Prozess enthält. Hinzu kommen laufende Kosten für Plattform-Lizenzen, Überwachung und Anpassungen, wenn Anbieter ihre Schnittstellen ändern. Planen Sie den Betrieb deshalb von Anfang an mit ein.
Ist eine API-Integration sicher?
Das hängt von der Umsetzung ab. Mit verschlüsselter Übertragung, eng begrenzten Rechten, geschützten Zugangsdaten und Protokollierung lässt sich eine API-Integration sicher betreiben. Schwachstellen entstehen meist durch offen abgelegte Schlüssel oder zu weit gefasste Berechtigungen.