Webhook.
Ein Webhook ist eine automatische Benachrichtigung, die ein System über das Internet an ein anderes schickt, sobald dort etwas passiert, etwa eine neue Bestellung oder eine bezahlte Rechnung. Statt ständig nachzufragen, ob es Neuigkeiten gibt, wird das empfangende System aktiv informiert und kann sofort reagieren.
Webhook — ausführlich erklärt
Ein Webhook ist im Kern eine einfache HTTP-Anfrage, meist ein POST mit einem JSON-Inhalt, die ein System an eine vorher hinterlegte Adresse schickt. Diese Adresse gehört dem empfangenden System und wird oft Endpoint genannt. Löst ein Ereignis den Webhook aus, etwa «Zahlung erfolgreich», «Formular abgeschickt» oder «Termin storniert», enthält die Nachricht die wichtigsten Daten dazu: was passiert ist, wann, und welche Datensätze betroffen sind.
Der Unterschied zu einer klassischen API-Schnittstelle liegt in der Richtung. Bei einer API fragt das eigene System aktiv nach: «Gibt es neue Bestellungen?» Wer das alle paar Minuten tut, nennt das Polling; es erzeugt viele leere Anfragen und Neuigkeiten kommen verspätet an. Ein Webhook dreht das Prinzip um: Das fremde System meldet sich, sobald es etwas zu berichten gibt. Webhooks und APIs ergänzen sich deshalb häufig: Der Webhook meldet, dass sich etwas geändert hat, und das empfangende System holt bei Bedarf die vollständigen Daten über die API nach.
Typische Einsatzorte sind Zahlungsanbieter, die einen Shop über erfolgreiche oder fehlgeschlagene Zahlungen informieren, Shopsysteme wie Shopify, die neue Bestellungen an eine Warenwirtschaft melden, Formulardienste, Kalender, E-Mail-Versanddienste mit Zustell- und Bounce-Meldungen sowie Versionskontrollen, die nach jedem Push ein Deployment anstossen. In der Automatisierung sind Webhooks oft der Auslöser, mit dem ein Ablauf überhaupt startet.
Weil ein Webhook-Endpoint eine öffentlich erreichbare Adresse ist, muss er abgesichert werden. Seriöse Anbieter signieren jede Nachricht mit einem geheimen Schlüssel; das empfangende System prüft diese Signatur und verwirft alles, was nicht passt. Ausserdem gilt: Webhooks können doppelt oder in falscher Reihenfolge ankommen, und sie können ausfallen, wenn der Empfänger gerade nicht erreichbar ist. Ein robuster Empfänger verarbeitet jede Nachricht deshalb so, dass eine Wiederholung keinen Schaden anrichtet, und gleicht wichtige Daten regelmässig zusätzlich über die API ab.
Worauf es bei der Umsetzung ankommt
Erstens die Signaturprüfung: Ohne sie kann jeder, der die Adresse kennt, gefälschte Ereignisse einschleusen, etwa eine angeblich bezahlte Bestellung. Zweitens eine schnelle Antwort: Der Empfänger sollte den Eingang sofort bestätigen und die eigentliche Arbeit danach im Hintergrund erledigen, sonst wertet der Absender die Zustellung als gescheitert und schickt sie erneut. Drittens Idempotenz: Jede Nachricht trägt eine eindeutige Kennung, und eine bereits verarbeitete Kennung wird kein zweites Mal ausgeführt.
Viertens Protokollierung: Eingehende Webhooks sollten mit Zeitpunkt, Inhalt und Ergebnis gespeichert werden, damit sich später nachvollziehen lässt, warum eine Bestellung nicht im System angekommen ist. Fünftens ein Abgleich als Sicherheitsnetz: Ein nächtlicher Vergleich über die API findet Ereignisse, die trotz Wiederholungen verloren gingen.
Beispiel: Vom Shop direkt ins CRM
Ein Beispiel: Ein Weinhändler aus dem Kanton Bern verkauft über einen Online-Shop und betreut Firmenkunden in einem CRM. Bisher überträgt eine Mitarbeiterin jede Firmenbestellung von Hand. Neu meldet der Shop jede Bestellung per Webhook an einen kleinen Dienst, der prüft, ob es sich um einen Firmenkunden handelt, den Kontakt im CRM anlegt oder ergänzt und eine Aufgabe für den Aussendienst erstellt.
Wird der Webhook zweimal zugestellt, erkennt der Dienst die Bestellnummer und legt nichts doppelt an. Fällt das CRM kurz aus, landen die Ereignisse in einer Warteschlange und werden nachgeholt. Solche Verbindungen sind ein typischer Baustein, wenn wir ein CRM entwickeln oder Abläufe mit KI-Automatisierung für KMU verbinden.
Weiterführende Seite
API-SchnittstelleHäufige Fragen zu Webhook
Bei einer API fragt Ihr System aktiv beim anderen nach Daten. Bei einem Webhook meldet sich das andere System von sich aus, sobald ein Ereignis eintritt. Oft werden beide kombiniert: Der Webhook signalisiert die Änderung, die API liefert danach die vollständigen Daten.
Sie sind so sicher, wie der Empfänger sie umsetzt. Pflicht sind HTTPS, die Prüfung der Signatur, die der Absender mitschickt, und das Verwerfen von Nachrichten mit ungültiger Signatur. Sensible Aktionen sollten zusätzlich über die API gegengeprüft werden, statt blind dem Inhalt der Nachricht zu vertrauen.
Die meisten Anbieter wiederholen die Zustellung mehrmals über einen gewissen Zeitraum. Ist der Empfänger länger nicht erreichbar, kann ein Ereignis trotzdem verloren gehen. Deshalb sollten wichtige Daten zusätzlich regelmässig über die API abgeglichen werden.
Weitere Begriffe mit „W“
WebMCP (Web Model Context Protocol)
WebMCP ist ein offener Standard-Entwurf, mit dem eine Website ihre Funktionen über die Browser-API n...
WebP (Bildformat)
WebP ist ein modernes Bildformat von Google, das JPEG- und PNG-Bilder um 25–50% in der Dateigrösse r...
Web3 Marketing
Web3 Marketing beschreibt Marketingstrategien, die auf dezentralen Technologien basieren: Blockchain...
Bereit für Ihr Projekt?
Wenden Sie dieses Wissen auf Ihre Website an — DLM Digital hilft Ihnen dabei.