Webhook

Viele Automatisierungen folgen dem Muster „Wenn X eintritt, folgt Y“. Ein System könnte dazu laufend nachfragen, ob sich etwas geändert hat. Dieses sogenannte Polling kostet Ressourcen und reagiert verzögert. Webhooks drehen das Prinzip um: Das Quellsystem meldet sich von selbst, sobald ein Ereignis eintritt. Abläufe starten dadurch nahezu in Echtzeit und ohne unnötige Abfragen. Webhooks sind deshalb ein Grundbaustein vieler Integrationen zwischen Cloud-Diensten.

Wie funktioniert ein Webhook?

1. Das empfangende System stellt einen Endpunkt bereit, also eine per HTTPS erreichbare Adresse.
2. Im Quellsystem wird diese Adresse für bestimmte Ereignisse hinterlegt, etwa „Bestellung eingegangen“.
3. Tritt das Ereignis ein, sendet das Quellsystem eine HTTP-Anfrage, meist per POST mit den Ereignisdaten im JSON-Format.
4. Das empfangende System bestätigt den Eingang mit einem Statuscode und verarbeitet die Daten.

Bleibt die Bestätigung aus, versuchen viele Systeme die Zustellung später erneut. Dieselbe Nachricht kann daher mehrfach ankommen, was auf der Empfangsseite berücksichtigt werden muss.

Typische Beispiele

• Ein Zahlungsdienst meldet eine erfolgreiche Zahlung, der Webshop gibt daraufhin die Bestellung frei.
• Ein Kontaktformular auf der Website überträgt Anfragen direkt ins CRM.
• Eine Monitoring-Warnung erscheint als Nachricht in einem Kanal in Microsoft Teams.
• Eine Änderung im Code-Repository startet automatisch Tests und Bereitstellung.
• Ein Signaturdienst meldet einen unterschriebenen Vertrag, der anschließend automatisch abgelegt wird.

Worauf Unternehmen achten sollten

• Den Absender prüfen: Viele Dienste signieren Webhooks mit einem gemeinsamen Geheimnis. Diese Signatur sollte geprüft werden, denn eine schwer zu erratende Adresse allein ist kein Schutz.
• Nur HTTPS verwenden und eingehende Daten vor der Verarbeitung validieren.
• Schnell antworten und aufwendige Verarbeitung in eine Warteschlange auslagern, um Zeitüberschreitungen zu vermeiden.
• Doppelte Zustellungen und abweichende Reihenfolgen technisch abfangen.
• Fehlgeschlagene Zustellungen über IT-Monitoring sichtbar machen, sonst bleiben Lücken unbemerkt.

Abgrenzung

Bei einer klassischen API-Abfrage holt sich ein System Daten aktiv ab. Ein Webhook liefert sie ereignisgesteuert. Häufig werden beide kombiniert: Der Webhook meldet, dass sich etwas geändert hat, die Details werden anschließend über die API abgerufen. In der Prozessautomatisierung sind Webhooks ein typischer Auslöser.