Was ist ein Webhook? Unterschied zur API und Einsatz

01Was ist ein Webhook und wie funktioniert er?

Ein Webhook ist ein einfacher Mechanismus, über den zwei Softwaresysteme einander Ereignisse melden. Passiert in einem System etwas (zum Beispiel eine Zahlungsbestätigung), sendet es eine HTTP-Anfrage, meist eine POST-Anfrage, an eine von Ihnen festgelegte URL. Im Body der Anfrage stehen die Details des Ereignisses, in der Regel als JSON.

Man nennt dieses Prinzip manchmal auch umgekehrte API oder Ereignis-Trigger, denn die Kommunikation startet nicht derjenige, der Daten möchte, sondern das System, das sie erzeugt. Sie sagen nur einmal: »Wenn dieses Ereignis eintritt, melde dich unter dieser Adresse«; den Rest erledigt das System automatisch.

Um zu verstehen, wie ein Webhook funktioniert, hilft es, zuerst die Antwort auf die Frage Was ist eine API? zu kennen. Ein Webhook gehört zur Welt der APIs, nur dreht sich die Richtung um.

1. Das Ereignis tritt ein: neue Bestellung, Retourenanfrage, Lagerbestand erschöpft, Zahlung bestätigt.
2. Das Quellsystem sendet eine POST-Anfrage an die registrierte Webhook-Adresse.
3. Das empfangende System prüft die Anfrage, verarbeitet die Daten und antwortet mit einem 200-ähnlichen Statuscode.
4. Bleibt die Antwort aus, wiederholt das Quellsystem die Anfrage meist in bestimmten Abständen.

02Der Unterschied zwischen Webhook und API

Bei der klassischen API-Nutzung fragt der Client den Server in regelmäßigen Abständen: »Gibt es etwas Neues?« Diese Methode heißt Polling (Abfrage). Gibt es keine neuen Daten, ist jede Anfrage umsonst; gibt es welche, muss man bis zur nächsten Abfrage warten.

Hier zeigt sich der Unterschied zwischen Webhook und API: Beim Webhook fragt niemand, sondern einer meldet sich. Die Benachrichtigung kommt, sobald das Ereignis eintritt, und es entsteht kein unnötiger Datenverkehr. Ersetzen kann der Webhook die API aber nicht: Um frühere Daten aufzulisten, zu filtern oder Datensätze zu aktualisieren, braucht es weiterhin die API.

03Einsatzgebiete von Webhooks

Den Einsatz von Webhooks finden Sie in fast jedem digitalen Geschäft. Zahlungsanbieter, Versanddienstleister, Marktplätze, E-Mail-Dienste, Code-Repositories und Kommunikationstools melden Ereignisse meist per Webhook.

E-Commerce und Zahlung

Schließt ein Kunde seine Zahlung ab, sendet die Zahlungsplattform Ihrem Shop die Meldung »Zahlung erfolgreich«, und die Bestellung wird automatisch bestätigt. So geht eine Bestellung auch bei Zahlungen mit Weiterleitung wie 3D Secure nicht verloren, selbst wenn der Browser geschlossen wird. Der Bestellablauf steht im Zentrum jeder E-Commerce-Integration.

Versand und Marktplatz

Wird eine Sendung verschickt oder zugestellt, kann das Versandsystem den Status melden; der Kunde erhält automatisch eine SMS oder E-Mail. Ebenso werden in Projekten zur Versand-Anbindung und Marktplatz-Anbindung Ereignisse wie neue Bestellung, Stornierung und Retoure sofort verarbeitet.

Softwareentwicklung und Team-Tools

Typische Webhook-Szenarien sind: Tests und Deployment starten, wenn ein neuer Commit ins Code-Repository gelangt, eine Nachricht im Team-Chat auslösen, wenn ein Formular ausgefüllt wird, oder den Kalender aktualisieren, wenn eine Reservierung eingeht.

04Beispiel für eine Webhook-Anfrage

Eine Webhook-Anfrage enthält meist den Ereignistyp, den Zeitpunkt und die Daten des betreffenden Datensatzes. Das folgende Beispiel zeigt einen typischen Body, der beim Anlegen einer Bestellung gesendet werden kann. Die Feldnamen unterscheiden sich von Dienst zu Dienst; richten Sie sich nach der Dokumentation des jeweiligen Dienstes.

Auf der Empfängerseite genügt ein kleiner Endpunkt, der diese Anfrage entgegennimmt. Unten sehen Sie ein einfaches Beispiel mit Node.js und Express. In einem echten Projekt gehören unbedingt eine Signaturprüfung und eine Warteschlange dazu.

{
  "event": "order.created",
  "created_at": "2026-01-15T10:24:00Z",
  "data": {
    "order_id": "10458",
    "total": 1249.90,
    "currency": "TRY",
    "status": "paid"
  }
}

const express = require('express');
const app = express();

app.post('/webhooks/siparis', express.json(), (req, res) => {
  const olay = req.body;
  // 1) Signatur prüfen  2) In die Warteschlange stellen  3) Sofort antworten
  console.log('Gelen olay:', olay.event);
  res.sendStatus(200);
});

app.listen(3000);

05Wie sichert man Webhooks ab?

Eine Webhook-Adresse ist ein Endpunkt, der im Internet offen steht. Jeder, der die Adresse kennt, kann dorthin gefälschte Anfragen senden. Deshalb sollten Sie keiner Anfrage ohne Signaturprüfung vertrauen.

Die meisten seriösen Dienste signieren die Anfrage mit einem gemeinsamen geheimen Schlüssel und senden die Signatur in einem HTTP-Header. Das empfangende System führt dieselbe Berechnung durch und vergleicht die Signaturen; passt sie nicht, wird die Anfrage abgelehnt.

• Verwenden Sie nur HTTPS-Adressen; senden Sie keine Daten über reines HTTP.
• Setzen Sie unbedingt Prüfverfahren wie die HMAC-Signatur ein.
• Prüfen Sie den Zeitstempel der Anfrage, um das erneute Abspielen alter Anfragen zu verhindern.
• Schreiben Sie den geheimen Schlüssel nicht ins Code-Repository, sondern speichern Sie ihn in einer Umgebungsvariablen.
• Prüfen Sie das Schema der eingehenden Daten, bevor Sie sie direkt in die Datenbank schreiben.

06Häufige Fehler und ihre Lösungen

Einen Webhook einzurichten ist leicht, ihn robust zu betreiben erfordert Sorgfalt. Die häufigsten Probleme in Projekten sind wiederholt eintreffende Anfragen und langsame Antworten.

Doppelte Verarbeitung desselben Ereignisses

Erhält das Quellsystem keine Antwort, sendet es die Anfrage erneut; dieselbe Bestellung kann also zweimal eintreffen. Die Lösung ist ein idempotentes Verfahren: Speichern Sie die eindeutige ID jedes Ereignisses und antworten Sie bei einer bereits verarbeiteten ID nur mit Erfolg, ohne erneut zu verarbeiten.

Zeitüberschreitung

Versucht der Endpunkt beim Eingang der Anfrage gleichzeitig lange Aufgaben wie Rechnungsstellung oder E-Mail-Versand zu erledigen, verzögert sich die Antwort, und das Quellsystem zählt einen Fehler. Richtig ist, die Anfrage anzunehmen, in eine Job-Warteschlange zu legen und sofort zu antworten; schwere Aufgaben laufen im Hintergrund.

Vertauschte Reihenfolge

Ereignisse treffen nicht immer in der Reihenfolge ein, in der sie entstanden sind; die Meldung »versendet« kann vor der Meldung »bezahlt« ankommen. Speichern Sie den Ereigniszeitpunkt in Ihren Datensätzen und bewerten Sie Statuswechsel anhand dieser Zeit.

07Webhook oder fertiges Automatisierungstool?

In einfachen Szenarien können Automatisierungstools, die ohne Code auf Webhooks lauschen, ausreichen. Stärken und Schwächen solcher Tools haben wir im Beitrag Was ist Low-Code? ausführlich behandelt. Bei den Kernabläufen wie Bestellung, Zahlung und Lagerbestand sollten Sie jedoch selbst die Kontrolle behalten.

Sind Ihre Geschäftsregeln speziell, werden mehrere Systeme miteinander verbunden oder wächst das Datenvolumen, ist es verlässlicher, die Webhook-Architektur in Ihrer eigenen Software aufzubauen. Dabei verringert der Ansatz der individuellen Softwareentwicklung die Abhängigkeit von Zwischenschichten.

Auch Auroras Softwarelösungen und der Ansatz der integrierten Lösungen beruhen auf diesem Prinzip: Systeme sprechen direkt miteinander, unnötige Zwischenschichten entfallen.

08Checkliste vor dem Einrichten eines Webhooks

Bevor Sie eine automatische Benachrichtigungs-Infrastruktur aufbauen, vermeiden Sie mit den folgenden Fragen die meisten späteren Probleme.

1. Welche Ereignisse werden wirklich gebraucht? Jedes Ereignis zu abonnieren erzeugt unnötige Last.
2. Ist der Endpunkt über HTTPS erreichbar und prüft er Signaturen?
3. Wird für wiederholt eintreffende Ereignisse eine eindeutige ID protokolliert?
4. Werden fehlgeschlagene Anfragen aufgezeichnet und sind sie nachvollziehbar?
5. Gibt es eine Ersatzprüfung, die Daten per API nachholt, falls ein Webhook ausbleibt?
6. Wird bei kritischen Schritten wie Buchhaltung und Rechnungsstellung das Risiko doppelter Buchungen über die Buchhaltungs-Anbindung kontrolliert?