bexio API anbinden: was die Schnittstelle kann und wo sie endet

bexio ist in vielen Schweizer KMU das System, in dem Offerten, Rechnungen und die Buchhaltung liegen. Sobald daneben eine Website mit Anfrageformular, ein CRMEin CRM (Customer Relationship Management) ist eine Software, in der ein Unternehmen alle Informationen zu Kunden und Interessenten zentral verwaltet:…Mehr erfahren → oder eine eigene Web-AppEine Web-App ist eine Anwendung, die im Browser läuft und sich wie ein Programm bedienen lässt — mit Login, Eingaben, gespeicherten Daten und Abläufen. Anders…Mehr erfahren → laufen, stellt sich die Frage: Lassen sich die Systeme verbinden, damit niemand mehr Daten abtippt? Die Antwort ist meist ja, aber mit Grenzen, die man vor dem Projekt kennen sollte.

Dieser Artikel stützt sich ausschliesslich auf die öffentliche API-Dokumentation von bexio, abgerufen am 11. November 2026. Eine eigene, veröffentlichte bexio-Integration aus unseren Referenzen haben wir nicht; was hier steht, ist eine Einordnung der Dokumentation, kein Erfahrungsbericht aus einem Kundenprojekt. Was eine Schnittstelle grundsätzlich ist, erklärt der Beitrag API-Schnittstelle erklärt.

Was die Schnittstelle abdeckt

Laut Dokumentation ist die bexio APIEine API (Application Programming Interface) ist eine definierte Schnittstelle, über die zwei Programme miteinander Daten austauschen, ohne das Innenleben des…Mehr erfahren → eine REST-Schnittstelle über HTTPS, die JSON als Datenformat verwendet. Die Dokumentation führt die Version 3.0.0, die Endpunkte selbst liegen teils unter 2.0, teils unter 3.0 oder 4.0. Für eine Anbindung heisst das: Pro Bereich prüfen, welche Version der Endpunkt hat, und nicht davon ausgehen, dass alles unter derselben Adresse liegt.

Bereich	Was dazugehört (laut Dokumentation)	Typische Anbindung
Kontakte	Kontakte, Beziehungen, Gruppen, Branchen, Adressen	Anfrage von der Website als Kontakt anlegen
Verkauf	Offerten, Aufträge, Lieferungen, Rechnungen, Zahlungen, Mahnungen	Offerte aus einem Konfigurator vorbereiten
Einkauf	Lieferantenrechnungen, Ausgaben, Bestellungen	Belege aus einem anderen System übernehmen
Buchhaltung	Konten, Buchungen, Steuern, MWST-Perioden	Auswertungen in ein eigenes Reporting holen
Artikel	Artikel, Lagerorte, Lagerbereiche	Preise und Bestände mit einem Shop abgleichen
Projekte und Zeit	Projekte, Meilensteine, Arbeitspakete, Zeiterfassung	Einsatzzeiten aus einer Handwerker-App übernehmen

Anmelden: Personal Access Token oder OAuth 2.0

Die Dokumentation beschreibt zwei Wege. Welcher passt, hängt davon ab, wer die Anbindung nutzt.

Ein Personal Access TokenEin Token ist die kleinste Texteinheit, mit der ein KI-Sprachmodell arbeitet. Das Modell zerlegt jeden Text in Tokens, das sind ganze Wörter, Wortteile,…Mehr erfahren → wird auf developer.bexio.com erstellt. Laut Dokumentation ist er 60 Tage gültig, hat alle Standardrechte und damit vollen Zugriff auf die Daten der Firma. Er ist für den persönlichen Gebrauch gedacht und soll nicht weitergegeben werden. Widerrufen wird er durch Löschen; bexio schreibt, dass es im schlechtesten Fall bis zu einer Stunde dauern kann, bis der Widerruf vollständig wirkt.

Für Anwendungen, die eingeschränkte Rechte brauchen oder für mehrere Firmen laufen, verweist bexio auf OAuth 2.0OAuth 2.0 ist ein offener Standard, mit dem eine Anwendung im Namen einer Person auf deren Daten bei einem anderen Dienst zugreifen darf, ohne das Passwort zu…Mehr erfahren → mit dem «Authorization Code Grant». Weil dabei ein Client-Secret im Spiel ist, muss die Anwendung serverseitig laufen. Mit dem Recht offline_access erhält die Anwendung einen Refresh Token, mit dem die Verbindung bestehen bleibt, ohne dass sich jemand neu anmeldet. Die Rechte heissen Scopes, zum Beispiel contact_show zum Lesen und contact_edit zum Bearbeiten von Kontakten; laut Dokumentation erhält, wer ein Schreibrecht anfordert, das Leserecht automatisch dazu. bexio bittet ausdrücklich, nur die Scopes anzufordern, die eine Anwendung wirklich braucht.

Frage	Personal Access Token	OAuth 2.0
Gedacht für	eigene Skripte, eigener Gebrauch	Anwendungen, auch für mehrere Firmen
Rechte	alle Standardrechte	nur angeforderte Scopes
Gültigkeit	60 Tage	mit Refresh Token dauerhaft
Serverseitige Anwendung nötig	Nein	Ja
Für Kunden-Software geeignet	Nein	Ja

Ein Hinweis für ältere Anbindungen: Laut Dokumentation lautet der Aussteller für OpenID Connect https://auth.bexio.com/realms/bexio, die frühere Adresse idp.bexio.com wurde am 31. März 2025 abgeschaltet. Wer eine Anbindung aus der Zeit davor betreibt, sollte prüfen, ob sie umgestellt wurde.

Die Grenzen, die eine Anbindung prägen

Drei Angaben aus der Dokumentation bestimmen, wie eine Anbindung gebaut werden muss.

Das Rate Limit: bexio begrenzt die Zahl der Anfragen, die eine Firma pro Minute stellen kann. Wird das Limit erreicht, antwortet die Schnittstelle mit dem Statuscode 429. Die Header RateLimit-Limit, RateLimit-Remaining und RateLimit-Reset zeigen das aktuelle Limit, die verbleibenden Anfragen und die Sekunden bis zum nächsten Zeitfenster. Eine konkrete Zahl nennt der von uns gelesene Abschnitt nicht. Eine saubere Anbindung liest diese Header und wartet, statt Fehler zu produzieren.

Die Seitengrösse: Listen liefern standardmässig 500 Einträge, höchstens 2000 pro Abfrage, weitere Seiten werden über offset abgerufen. Wer alle Kontakte einer grösseren Firma abgleichen will, braucht also mehrere Abfragen, und das zählt aufs Rate Limit.

Die Benachrichtigung bei Änderungen: Einen Abschnitt zu Webhooks, also Meldungen von bexio an ein anderes System, wenn sich etwas ändert, haben wir in der öffentlichen Dokumentation nicht gefunden. Ohne Webhooks muss ein anderes System regelmässig nachfragen, ob sich etwas geändert hat. Ob es inzwischen eine andere Möglichkeit gibt, klärst du vor dem Projekt direkt mit bexio.

Ein konstruiertes Beispiel: Anfrage von der Website

Ein konstruiertes Beispiel, kein Kundenfall: Eine Muster Malerei bekommt Anfragen über ein Formular auf ihrer Website. Bisher tippt die Administration Name, Adresse und Wunsch in bexio ab, legt einen Kontakt an und schreibt später die Offerte. Mit einer Anbindung sieht der Ablauf so aus.

1. 01
   Website

   Formular

   Kunde gibt Name, E-Mail, Telefon und Auftrag ein.

2. 02
   Server

   Abgleich

   Existiert der Kontakt schon? Suche über E-Mail oder Telefon.

3. 03
   API

   Kontakt in bexio

   Neuer Kontakt wird angelegt oder der bestehende ergänzt.

4. 04
   bexio

   Offerte vorbereiten

   Administration prüft und ergänzt, statt abzutippen.

Der zweite Schritt ist der wichtigste: Ohne Abgleich legt jede Anfrage einen neuen Kontakt an, und nach einem Jahr steht dieselbe Kundin dreimal in bexio. Wie man Dubletten über E-Mail oder Telefon erkennt, zeigt CRM-Daten bereinigen. Dazu kommt der Datenschutz: Die Anfrage enthält Personendaten, die Anbindung läuft also über einen ServerEin Server ist ein Computer oder ein Programm, das anderen Geräten Dienste bereitstellt: Er liefert Websites aus, speichert Daten, verschickt E-Mails oder…Mehr erfahren →, der sicher betrieben wird, und das Token gehört nicht in den Browser.

Fragen vor dem Projekt

Die Frage nach dem führenden System klingt theoretisch, ist aber entscheidend. Wird eine Adresse in bexio geändert und gleichzeitig im CRM, welche gilt? Ohne Regel überschreiben sich die Systeme gegenseitig. Für die meisten KMU ist bexio führend für alles, was mit Geld zu tun hat, und ein CRM führend für Gespräche, Pipeline und Termine.

Fertige Verbinder oder eigene Anbindung?

Für einfache Abläufe gibt es fertige Verbinder in Automatisierungswerkzeugen wie Zapier, Make oder n8n. Welches Werkzeug wofür passt, vergleicht der Beitrag n8n, Make oder Zapier. Diese Werkzeuge sind schnell eingerichtet, stossen aber an Grenzen, wenn ein Abgleich gegen Dubletten nötig ist, viele Daten fliessen oder Fehler sauber behandelt werden müssen. Dann ist eine eigene Anbindung robuster.

Wie solche Automatisierungen entstehen, beschreibt unsere Seite KI-Automatisierung für KMU. Wenn bexio mit einer eigenen Web-App oder einem eigenen CRM verbunden werden soll, findest du den Rahmen unter Individualsoftware und Web-App entwickeln lassen. Für Handwerksbetriebe, die Anfrage, Einsatz und Rechnung verbinden wollen, lohnt ein Blick auf Handwerkersoftware. Und wer überlegt, ob die Kontakte in bexio genügen oder ein CRM nötig ist, findet die Kriterien in CRM für KMU auswählen.

Klein anfangen: zuerst lesen, dann schreiben

Die meisten Anbindungsprojekte, die scheitern, wollen zu viel auf einmal: Kontakte, Offerten, Rechnungen und Zahlungen in beide Richtungen, ab dem ersten Tag. Sicherer ist eine Reihenfolge, bei der die Anbindung zuerst nur liest. Ein Reporting, das offene Offerten und Rechnungen aus bexio holt und neben die Pipeline aus dem CRM stellt, verändert in bexio nichts. Wenn dabei ein Fehler passiert, ist eine Auswertung falsch, aber keine Buchung.

Erst wenn das Lesen stabil läuft, kommt das Schreiben dazu, und zwar zuerst dort, wo ein Mensch das Ergebnis ohnehin prüft: Ein Kontakt, der aus einer Website-Anfrage angelegt wird, landet bei der Administration, die ihn vor der Offerte ansieht. Offerten und Rechnungen automatisch zu erstellen und zu versenden, ist der letzte Schritt, nicht der erste.

Ob bexio eine eigene Testumgebung für Entwickler anbietet, haben wir in der öffentlichen Dokumentation nicht als eigenen Abschnitt gefunden. Klär das vor dem Start mit bexio, zusammen mit der Frage, ob euer Abonnement den API-Zugang ohne Zusatzkosten enthält; auch dazu haben wir im gelesenen Teil der Dokumentation keine Angabe gefunden. Ohne Testumgebung beginnst du mit Lesezugriffen und schreibst zuerst mit einem Testkontakt, den du danach wieder löschst.

Betrieb: die Arbeit nach dem Go-live

Eine Anbindung ist kein Projekt, das am Tag des Starts endet. Drei Aufgaben bleiben. Die erste ist die Überwachung: Wenn bexio mit einem Fehler antwortet, etwa weil das Rate Limit erreicht ist oder ein Pflichtfeld fehlt, muss jemand davon erfahren. Eine Anbindung, die still Anfragen verliert, ist schlimmer als gar keine. Die zweite ist die Pflege der Anmeldung: Personal Access Tokens laufen laut Dokumentation nach 60 Tagen ab, und wer dafür keine Erinnerung hat, merkt es erst, wenn die ersten Anfragen fehlen. Die dritte sind Änderungen bei bexio selbst. Die Dokumentation führt ein Änderungsprotokoll; die Umstellung des Anmeldedienstes im März 2025 zeigt, dass ältere Anbindungen angepasst werden müssen.

Dazu kommt der Datenschutz. Wer Kundendaten zwischen Systemen bewegt, schafft eine weitere Stelle, an der Personendaten bearbeitet werden. Sie gehört in die DatenschutzerklärungEine Datenschutzerklärung informiert Besucherinnen und Besucher einer Website darüber, welche Personendaten zu welchem Zweck bearbeitet werden, an wen sie…Mehr erfahren →, und die Anbindung selbst muss angemessen geschützt sein. Was das DatenschutzgesetzDas Datenschutzgesetz (DSG) regelt in der Schweiz, wie Unternehmen und Bundesorgane Personendaten bearbeiten dürfen. Die revidierte Fassung (revDSG) gilt seit…Mehr erfahren → für Kundendaten verlangt, steht in Kundendaten im CRM.

Fazit

Die bexio API ist eine solide Grundlage für Anbindungen: REST mit JSON, breite Abdeckung von Verkauf bis Buchhaltung, zwei klar beschriebene Anmeldewege. Planen musst du mit dem Rate Limit pro Firma, Seiten von höchstens 2000 Einträgen, Tokens mit Ablaufdatum und der offenen Frage nach Änderungsmeldungen. Wer diese Punkte vor dem Projekt klärt, bekommt eine Anbindung, die läuft, statt eine, die im ersten Monat an ihre Grenzen stösst.

Quellen

1. bexio API Documentation (3.0.0): Authentication, Personal Access Tokens, Rate Limiting, Paginationbexio AG · abgerufen am 11.11.2026