Moderne IT-Landschaften bestehen aus vielen spezialisierten Systemen: Warenwirtschaft, CRM, Webshop, Buchhaltung, Microsoft 365. Damit Daten nicht von Hand übertragen werden müssen, sprechen diese Systeme über APIs miteinander. Eine API legt fest, welche Anfragen ein System annimmt und was es zurückliefert, ohne dass die Gegenseite dessen Innenleben kennen muss.
Wie funktioniert eine API?
Eine API ist eine Art Vertrag: Sie beschreibt verfügbare Funktionen, Datenformate und Antworten. Im Unternehmensumfeld am häufigsten sind Web-APIs, die über HTTP erreichbar sind und oft dem REST-Prinzip folgen:
- Daten werden als Ressourcen über Adressen angesprochen, etwa ein Kundendatensatz über eine eigene URL.
- HTTP-Methoden bestimmen die Aktion: GET liest, POST legt an, PUT oder PATCH ändert, DELETE löscht.
- Daten werden meist im JSON-Format übertragen.
- Statuscodes melden Erfolg oder Fehler, etwa 200 für „OK“ oder 404 für „nicht gefunden“.
Der Zugriff wird über API-Schlüssel oder Tokens abgesichert, häufig nach dem Standard OAuth 2.0. Viele Anbieter dokumentieren ihre Schnittstellen im OpenAPI-Format und begrenzen die Zahl der Anfragen pro Zeitraum. Neben REST gibt es weitere Formen wie GraphQL oder SOAP sowie Programmierschnittstellen von Betriebssystemen und Softwarebibliotheken.
Typische Beispiele
- Ein Webshop übergibt Bestellungen automatisch an die Warenwirtschaft.
- Die Buchhaltungssoftware ruft Kontobewegungen der Bank ab.
- Über Microsoft Graph lassen sich Benutzerkonten, Kalender oder Dateien in Microsoft 365 automatisiert verwalten.
- Ein Monitoring-System legt bei einer Störung selbstständig ein Ticket an.
- KI-Anwendungen greifen über APIs oder das Model Context Protocol auf Unternehmensdaten zu.
Worauf Unternehmen achten sollten
- API-Schlüssel wie Passwörter behandeln: nicht im Quellcode oder per E-Mail weitergeben, sicher speichern und regelmäßig erneuern.
- Jeder Anbindung nur die Berechtigungen geben, die sie wirklich braucht.
- Bei der Softwareauswahl auf offene, dokumentierte Schnittstellen achten. Geschlossene Systeme erschweren die Prozessautomatisierung.
- Versionswechsel, abgekündigte Funktionen und Anfragelimits einplanen und Schnittstellen überwachen.
Abgrenzung
Bei einer API fragt ein System aktiv nach Daten. Bei einem Webhook meldet sich das Quellsystem von selbst, sobald ein Ereignis eintritt.
Bezug zu TOMORIS
Zugangsdaten wie API-Schlüssel lassen sich mit GRID.WHISPER über begrenzte, im Browser verschlüsselte Links teilen statt per E-Mail.
Automatisierung ansehen