API einfach erklärt
Programme sind für Menschen gebaut: mit Eingabemasken, Schaltflächen und Menüs. Soll ein anderes Programm mit ihnen arbeiten, braucht es einen eigenen Eingang ohne Oberfläche. Diesen Eingang bildet die API. Sie legt fest, welche Anfragen erlaubt sind, welche Angaben dafür nötig sind und in welcher Form die Antwort zurückkommt.
Vorstellen können Sie sich eine API wie einen Vordruck mit festen Feldern, der zwischen zwei Abteilungen hin- und hergeht. Wer etwas braucht, füllt die vorgesehenen Felder aus; wer antwortet, hält sich an ein vereinbartes Schema. Solange beide Seiten den Vordruck einhalten, müssen sie nichts über die interne Arbeitsweise der anderen wissen. Ein Hersteller kann sein Programm deshalb umbauen, ohne dass angebundene Anwendungen etwas davon merken, solange die Schnittstelle gleich bleibt.
So läuft ein Aufruf ab
Bei webbasierten Schnittstellen, wie sie Cloud-Dienste und viele Fachanwendungen anbieten, schickt ein Programm eine Anfrage an eine bestimmte Adresse, den sogenannten Endpunkt. Die Anfrage sagt, was geschehen soll: Daten lesen, einen Eintrag anlegen, etwas ändern oder löschen. Zurück kommen die gewünschten Daten oder eine Fehlermeldung, zum Beispiel im Textformat JSON, das Maschinen leicht verarbeiten und Menschen noch lesen können.
Daneben gibt es den umgekehrten Weg. Bei einem Webhook meldet sich das andere System von selbst, sobald etwas passiert, etwa wenn ein neuer Auftrag eingegangen ist. So muss kein Programm ständig nachfragen, ob es Neuigkeiten gibt.
Was eine API kann, steht in ihrer Dokumentation. Sie beschreibt Endpunkte, Felder, Fehlercodes und Grenzen, zum Beispiel wie viele Anfragen in einer Minute erlaubt sind. Ob Ihr Unternehmen eine Schnittstelle nutzen darf, regeln die Lizenzbedingungen des Herstellers; manche Schnittstellen sind nur in bestimmten Vertragsvarianten freigeschaltet.
Wer darf was? Zugriffe absichern
Eine API öffnet einen Weg zu Ihren Daten, deshalb gehört die Absicherung zum Kern jeder Anbindung. Der Zugriff läuft in der Regel über API-Schlüssel oder Tokens, also digitale Berechtigungsnachweise, die das aufrufende Programm bei jeder Anfrage mitschickt. Beim Verfahren OAuth 2.0, einem Standard der Internet Engineering Task Force, steht ein Token für eine Berechtigung mit festgelegtem Umfang und begrenzter Gültigkeit. Für Unternehmen empfehlen sich diese Grundregeln:
- eigene Zugänge für jede Verbindung statt eines gemeinsamen Administratorkontos
- nur die Rechte, die eine Verbindung braucht, zum Beispiel reines Lesen
- Schlüssel in einem geschützten Speicher statt im Programmcode, mit regelmäßiger Erneuerung
- verschlüsselte Übertragung zwischen den Systemen
- Protokolle, aus denen hervorgeht, welcher Zugang wann etwas abgerufen oder geändert hat
Versand ohne Abtippen
Angenommen, ein Händler für Ersatzteile mit acht Mitarbeitenden verschickt jeden Tag mehrere Dutzend Sendungen. Bisher kopiert das Lager Name und Anschrift jeder Bestellung aus dem Onlineshop in das Portal des Versanddienstleisters. Dort erzeugt es das Versandlabel und trägt die Sendungsnummer von Hand in die Bestellung zurück. Ein Zahlendreher in der Hausnummer bedeutet eine Sendung, die zurückkommt.
Beide Systeme bieten eine API, und eine kleine Integration verbindet sie. Sobald eine Bestellung als versandbereit markiert ist, übergibt sie Anschrift und Gewicht an die Versandschnittstelle und erhält Label und Sendungsnummer zurück. Die Nummer landet automatisch in der Bestellung, der Shop informiert die Kundschaft. Lehnt die Versandschnittstelle eine unvollständige Adresse ab, stoppt der Vorgang mit einem Hinweis für das Lager, bevor die Ware auf die Reise geht.
APIs im Büroalltag
Viele Verbindungen, die selbstverständlich wirken, beruhen auf APIs. Beispiele sind der Kalender, der Termine mit dem Smartphone abgleicht, das Webformular, dessen Angaben im Ticketsystem landen, und die Anmeldung mit dem Firmenkonto bei einem Cloud-Dienst. Auch Workflow-Automatisierung nutzt Schnittstellen, um zwischen Programmen zu vermitteln. KI-Assistenten greifen ebenfalls über APIs auf Unternehmensdaten zu; das Model Context Protocol beschreibt dafür einen einheitlichen Weg.
Bei der Auswahl neuer Software lohnt deshalb die Frage an den Anbieter, ob es eine dokumentierte API gibt und was sich darüber lesen und schreiben lässt. Ohne Schnittstelle wird eine Anwendung leicht zur Insel, deren Daten nur über Exporte oder von Hand hinein- und herauskommen.
Wie ProNet unterstützt
Wir prüfen, welche Schnittstellen Ihre Programme mitbringen, planen den Datenfluss und entwickeln Verbindungen mit eigenen Zugängen, knappen Rechten und Protokollen. Wie ein solches Projekt abläuft, erfahren Sie unter API-Integration für KMU. Einblick in unsere eigene Arbeit mit Programmierschnittstellen geben unsere eigenen Open-Source-Projekte, darunter Programmbibliotheken für die Schnittstelle unseres Ticketsystems.