Was ist ein Webhook? Der Unterschied zwischen APIs und Webhooks

Ein Webhook sendet bei einem Ereignis automatisch eine HTTP-Benachrichtigung an ein anderes System, etwa bei abgeschlossener Zahlung oder neuer Bestellung.

Gegenüber wiederholten API-Abfragen auf Änderungen kann dieses Modell schneller und ressourcenschonender sein.

Wie funktioniert ein Webhook?

Der Empfänger stellt eine Callback-URL bereit. Die Quelle sendet bei einem Ereignis die zugehörigen Daten dorthin.

Unterschied zum API-Polling

Beim Polling fragt der Client regelmäßig nach Änderungen. Bei Webhooks benachrichtigt das Quellsystem den Client, sobald eine Änderung eintritt.

Webhook Payload

Nutzdaten können Ereignistyp, Ressourcen-ID, Zeitstempel und zugehörige Daten enthalten. Häufig wird nur die Ressourcen-ID gesendet und der Rest per API abgerufen.

Signaturprüfung

Da ein Webhook-Endpunkt aus dem Internet erreichbar ist, muss die Herkunft vom erwarteten Anbieter geprüft werden. HMAC-Signaturen sind eine gängige Methode.

Wiederholungsmechanismus

Ist der Empfänger vorübergehend nicht erreichbar, kann die Quelle erneut senden. Dokumentieren Sie Wiederholungszahl und Backoff-Strategie.

Doppelte Ereignisse

Der gleiche Webhook kann mehr als einmal kommen. Eine Duplikate-Verarbeitung muss mittels Event-ID oder Business-Key verhindert werden.

Warteschlangen nutzen

Der Endpunkt kann Nutzdaten prüfen und einreihen, statt aufwendige Arbeit während der Anfrage auszuführen. Das ermöglicht eine schnelle Empfangsbestätigung.

Webhook-Überwachung

Anzahl der fehlgeschlagenen Ereignisse
Anzahl der Wiederholungen
Verarbeitungslatenz
Doppeltes Ereignis
Fehler bei der Signaturprüfung
Warteschlangenrückstand

Integrationscheckliste für den Produktivbetrieb

Im Produktivbetrieb gehören Webhook-Funktionsweise, Unterschiede zum API-Polling und Webhook-Nutzdaten zum Betriebsmodell, nicht nur zur Entwicklung. Definieren Sie pro Integration Quelle, Ziel, Datenverantwortliche, Authentifizierung, Mappingtabelle und Zuständigkeit für Fehler. Ein technisch funktionierender Endpunkt gilt nicht als erfolgreiche Integration, wenn er falsche Produkt-, Kunden- oder Bestelldaten aktualisiert.

Betrachten Sie Zeitüberschreitungen, Anfrageratenlimits, vorübergehende Netzwerkausfälle, doppelte Anfragen und unerwartete Antworten als normale Betriebsszenarien. Wiederholen Sie nur vorübergehend fehlgeschlagene Vorgänge. Nutzen Sie Idempotenz, wenn eine Wiederholung finanzielle oder operative Seiteneffekte haben kann. Lang laufende Aufgaben in einer Warteschlange entkoppeln Nutzeranfragen von der Leistung externer Dienste; fehlgeschlagene Aufgaben lassen sich kontrolliert erneut verarbeiten.

Überwachen Sie neben HTTP-Statuscodes auch fachliche Ergebnisse. Eine API kann HTTP 200 liefern, obwohl keine Bestellung im ERP ankommt. Zeigen Sie Anfrageanzahl, Fehlerrate, P95-Latenz, Wiederholungen, Warteschlangenrückstand und letzte erfolgreiche Synchronisierung zusammen mit übertragenen Bestell-, Bestands- oder Kundendaten. Korrelations-IDs und strukturierte Protokolle erleichtern es, einen Vorgang bei einem Vorfall über mehrere Dienste zu verfolgen.

Authentifizierung und Verwaltung von Zugangsdaten
Datenmapping und Schemavalidierung
Regeln für Zeitüberschreitungen und Wiederholungen
Idempotenz und Duplikatkontrolle
Verwaltung von Anfrageratenlimits
Strukturierte Protokolle und Korrelations-IDs
Abgleich fachlicher Daten
Alarm und Dashboard

API-Vertrag, Ausfallmodus und Datenkonsistenz

Planen Sie nicht nur erfolgreiche Anfrage-Antwort-Abläufe. Definieren Sie einen klaren API-Vertrag für Webhook-Funktionsweise, Unterschiede zum API-Polling und Webhook-Nutzdaten mit Pflichtfeldern, Datentypen, Enum-Werten, Authentifizierung, Zeitlimits, Fehlercodes und Umgang mit inkompatiblen Änderungen. Legen Sie vorab fest, welche Antworten Wiederholung, Abbruch oder menschliches Eingreifen erfordern. So wird das Verhalten vorhersehbarer.

Berücksichtigen Sie bei Fehlerszenarien neben vollständigen Ausfällen auch langsame Antworten, unvollständige Daten, doppelte oder falsch geordnete Ereignisse, Anfrageratenlimits und vorübergehende Authentifizierungsfehler. Wiederholungen können exponentielles Backoff und gegebenenfalls Jitter nutzen. Idempotenz oder eindeutige fachliche Schlüssel reduzieren Duplikate, wenn Bestell-, Zahlungs-, Bestands- oder Kundenvorgänge erneut verarbeitet werden.

Eine erfolgreiche API-Antwort belegt allein keine Datenkonsistenz. Gleichen Sie Quelle und Ziel regelmäßig anhand von Datensatzanzahl, Gesamtbetrag, letzter Synchronisierung oder fachlicher ID ab. Strukturierte Protokolle, Korrelations-IDs und zentrale Fehlerverfolgung helfen, den betroffenen Dienst schneller zu finden. So wird aus einer funktionierenden Verbindung eine prüfbare, nachhaltig betreibbare Komponente.

Schema-Prüfung für Anfragen und Antworten
Matrix für Zeitüberschreitungen und Wiederholungen
Idempotenz oder eindeutige fachliche Schlüssel
Anfrageratenlimits und Kapazitätsmanagement
Korrelations-IDs und strukturierte Protokollierung
Datenabgleich zwischen Quelle und Ziel
Regeln für inkompatible Änderungen und Versionierung

Der Integrationsansatz von B10 Digital Agency

B10 Digital Agency betrachtet Integration als Systemarchitektur statt nur als API-Verbindung: Datenverträge, Sicherheit, Wiederholungen, Warteschlangen, Observability, Datenabgleiche und Betriebsprozesse werden gemeinsam gestaltet.

Häufig gestellte Fragen

Ist Webhook in Echtzeit?

Die Zustellung erfolgt meist zeitnah, doch Netzwerklatenzen und Wiederholungen erlauben möglicherweise keine absolute Echtzeitgarantie.

Brauchen Sie eine API für Webhook?

Nicht immer. Oft wird zusätzlich eine API genutzt, um nach dem Ereignis Details abzurufen.

Wie Webhook sicher machen?

Nutzen Sie TLS, Signaturprüfung, Zeitstempelkontrolle und geeignete Autorisierung.

Kann Webhook zweimal kommen?

Ja. Das empfangende System muss deshalb idempotent verarbeiten.

Kombinieren Sie Ihre Systeme mit zuverlässigem Datenfluss

Entdecken Sie die API- und Systemintegrationen von B10 Digital Agency zur Planung der Architektur für ERP, CRM, Marktplätze, Individualsoftware und externe Dienste.

API- und Systemintegrationen entdecken →