Eine API ist eine festgelegte Schnittstelle, über die zwei Softwaresysteme Daten austauschen, und eine API-Integration ist die Verbindung, die diese Schnittstelle nutzt, zum Beispiel zwischen einem Onlineshop und einer Buchhaltungssoftware. VirtuoLab nennt 2026 als Richtwert 1.500 € bis 4.000 € für eine einfache Anbindung, 5.000 € bis 15.000 € für eine individuelle REST API und 15.000 € bis 30.000 € für eine komplexe Integrationsschicht. Erstens nutzen die meisten geschäftlichen Anbindungen REST, Webhooks oder ein eigenes Format des Anbieters, etwa die Konnektoren von AFAS. Zweitens kommt Sicherheit vor Funktionen: Broken Object Level Authorization steht auf Platz 1 der OWASP API Security Top 10 von 2023. API-first ist außerdem verbreitet, denn laut Postman hatten 2025 82 % der Organisationen in gewissem Umfang einen API-first-Ansatz eingeführt. Schließlich entwickelt VirtuoLab jede Integration selbst mit Node.js und TypeScript, und der Code gehört dem Kunden.
Was ist eine API?
Eine API, kurz für Application Programming Interface, ist ein Vertrag, der festlegt, wie ein Programm ein anderes um Daten oder Aktionen bittet. Der Vertrag beschreibt Endpunkte, Methoden, Datenformat und Authentifizierung. Ein Onlineshop sendet zum Beispiel eine POST-Anfrage mit Bestelldaten, und die Buchhaltungssoftware antwortet mit einer Rechnungsnummer und dem HTTP-Status 201. Die OpenAPI Specification definiert eine standardisierte, sprachunabhängige Schnittstelle für HTTP-APIs und ist das gängige Format, um solche Verträge zu beschreiben. Mit einer guten OpenAPI-Datei versteht ein Entwickler, ein Testwerkzeug oder ein KI-Assistent eine API, ohne den Quellcode zu lesen. Im State of the API Report 2025 von Postman hatten 82 % der Organisationen in gewissem Umfang einen API-first-Ansatz eingeführt, auf Basis einer Umfrage unter mehr als 5.700 Personen. Außerdem bieten Exact Online, AFAS Profit, Mollie und Stripe jeweils eine API. In der Praxis kann ein Onlineshop mit Next.js mit allen vier Systemen sprechen.
Was ist der Unterschied zwischen API-Entwicklung und API-Integration?
API-Entwicklung bedeutet, eine neue API zu bauen, API-Integration bedeutet, vorhandene APIs miteinander zu verbinden. Erstens passt API-Entwicklung, wenn ein Unternehmen Daten besitzt, die andere Systeme brauchen, zum Beispiel einen Produktkatalog für eine mobile App, ein Partnerportal für 50 Unternehmen oder ein Frontend mit Next.js. Der Entwickler entwirft dann Endpunkte, Authentifizierung, Versionierung und Dokumentation. Zweitens passt API-Integration, wenn die Systeme schon existieren. Ein Onlineshop, ein CRM und eine Buchhaltungssoftware haben jeweils eine API, und die Integration bewegt Bestellungen, Kunden und Rechnungen zwischen den drei Systemen. Der schwierige Teil einer Integration ist selten der HTTP-Aufruf selbst, der meist einfach den Status 200 zurückgibt. Datenmapping, Dublettenerkennung, Fehlerbehandlung und Wiederholungsversuche kosten deutlich mehr Zeit. Schließlich brauchen viele Projekte 2026 beides: eine Integrationsschicht mit einer eigenen kleinen API, damit ein Dashboard in Power BI von Microsoft eine einheitliche Quelle liest statt fünf externer Systeme.
Welche Arten von APIs gibt es?
Die vier API-Stile, denen ein Unternehmen am häufigsten begegnet, sind REST, GraphQL, Webhooks und WebSockets, und jeder Stil passt zu einer anderen Aufgabe. REST ist der Standard für die meisten Web-APIs: Jede Ressource hat eine URL, und Standard-HTTP-Methoden wie GET, POST, PUT und DELETE lesen oder ändern Daten. Mit GraphQL fragt der Client in einer Anfrage genau die Felder ab, die eine Ansicht braucht. Außerdem kehren Webhooks die Richtung um: System A ruft eine URL bei System B auf, sobald ein Ereignis eintritt, zum Beispiel eine bezahlte Bestellung, und System B bestätigt den Empfang mit Status 200. Chat und Live-Dashboards bleiben über WebSockets aktuell, die eine Verbindung offen halten. In der Umfrage von Postman aus 2025 kamen Webhooks auf 50 % und WebSockets auf 35 %. Ältere Unternehmenssysteme nutzen noch SOAP mit XML-Nachrichten. In der Praxis kombiniert eine Integration oft mehrere Stile: Ein Zahlungs-Webhook von Mollie löst einen REST-Aufruf an Exact Online aus, das anschließend die Rechnung erstellt. Einheitliche Namen, klare Fehlermeldungen und Dokumentation sind wichtiger als der Stil.
Wie binden Sie Buchhaltungs- oder ERP-Software wie Exact Online oder AFAS an?
Exact Online oder AFAS Profit anzubinden beginnt mit einem genauen Blick in die Dokumentation des Anbieters, denn jedes System hat eigene Regeln. Exact Online bietet eine REST API, in der fast jede Ressourcen-URI einen Division-Parameter verlangt: die Administration innerhalb des Kontos. Laut Exact liefern die meisten Endpunkte 60 Datensätze pro Seite, Bulk- und Sync-Endpunkte dagegen bis zu 1.000. Das Einlesen von 3.000 Kunden braucht zum Beispiel 50 Aufrufe an einem Standard-Endpunkt und nur 3 an einem Sync-Endpunkt. Exact empfiehlt deshalb nach Möglichkeit die Sync-Endpunkte. AFAS Profit arbeitet mit Konnektoren: Ein GetConnector liest Daten, und ein UpdateConnector schreibt Daten. Jeder Konnektor muss zuerst im App-Connector aktiviert werden, und jeder Aufruf braucht eine Umgebungs-ID und ein Token. 2026 protokolliert eine zuverlässige Integration außerdem jeden Aufruf, wiederholt vorübergehende Fehler und erkennt Dubletten, damit aus einer Bestellung nie zwei Rechnungen werden. VirtuoLab entwickelt Integrationen mit Node.js, TypeScript und PostgreSQL, wo Protokolle und Synchronisationsstatus liegen.
Wie halten Sie eine API sicher?
Eine sichere API ist eine API, die bei jeder Anfrage prüft, wer der Aufrufer ist und welche Daten dieser Aufrufer sehen darf. Broken Object Level Authorization steht auf Platz 1 der API Security Top 10, die OWASP 2023 veröffentlicht hat. Ein Endpunkt nimmt zum Beispiel eine ID entgegen und liefert das Objekt, ohne den Besitz zu prüfen. Die allgemeinen OWASP Top 10:2025 bestätigen das Muster: Broken Access Control steht auf Platz eins und trat in 100 % der getesteten Anwendungen auf. Erstens sollte die Authentifizierung auf einem bewährten Standard beruhen. Mit OAuth 2.0, festgelegt in RFC 6749, erhält eine Anwendung begrenzten Zugriff auf einen HTTP-Dienst, ohne dass Passwörter geteilt werden. Zweitens validiert jeder Endpunkt die Eingaben und prüft Rechte pro Objekt, nicht nur pro Benutzer, etwa mit Middleware in Node.js. Drittens schützt Rate Limiting die API und das Budget. RFC 6585 definiert dafür den Statuscode 429 Too Many Requests, optional mit einem Retry-After-Header. Schließlich gehören Geheimnisse in Umgebungsvariablen oder einen Tresor, nie in den Quellcode.
Was kostet API-Entwicklung?
API-Entwicklung kostet bei VirtuoLab 2026 zwischen 1.500 € und 30.000 €, je nach Art der Arbeit. Eine einfache Anbindung zwischen zwei gut dokumentierten Systemen liegt bei 1.500 € bis 4.000 €. Shop-Bestellungen, die in eine Richtung an Exact Online gehen, passen zum Beispiel in diese einfache Stufe. Eine individuelle REST API mit Authentifizierung, Dokumentation und Tests liegt bei 5.000 € bis 15.000 €. Eine komplexe Integrationsschicht, die mehrere Systeme mit Warteschlangen, Monitoring und eigener API verbindet, liegt bei 15.000 € bis 30.000 €. Alle Beträge sind Richtwerte, und den genauen Festpreis erhalten Sie nach einem kostenlosen Erstgespräch. Die Qualität der Dokumentation ist ein echter Kostenfaktor. Laut Postman kämpfen 55 % der Befragten mit uneinheitlicher Dokumentation, und jedes unklare Feld kostet zusätzliche Testzeit. Außerdem beeinflussen Datenvolumen, Echtzeitanforderungen und die Zahl der Systeme den Preis. VirtuoLab entwickelt jede Integration selbst mit Node.js und TypeScript, sodass Kunden direkt mit dem Entwickler sprechen. Nach der Übergabe gehören Quellcode und Daten dem Kunden.
Häufig gestellte Fragen
Sollten Sie REST oder GraphQL wählen?
REST ist für die meisten geschäftlichen APIs die bessere Standardwahl, und GraphQL ist die bessere Wahl, wenn eine Ansicht Daten aus vielen zusammenhängenden Objekten braucht. Die Verbreitung zeigt den Unterschied: In der Umfrage von Postman aus 2025 nutzten 93 % der Befragten REST und 33 % GraphQL. Erstens nutzt REST eine URL pro Ressource und Standard-HTTP-Caching. Dadurch ist die API einfach zu bauen, zu testen und zu überwachen. Zweitens nutzt GraphQL einen einzigen Endpunkt und ein starkes Typsystem, und der Client fragt genau die Felder ab, die eine Ansicht braucht. Eine mobile App, die eine Bestellung mit Kunde, Produkten und Lieferstatus zeigt, holt zum Beispiel alles mit einer GraphQL-Abfrage statt mit vier REST-Aufrufen. GraphQL bedeutet allerdings mehr Arbeit auf dem Server: Grenzen für Abfragetiefe und Abfragekosten sowie Caching brauchen zusätzliche Aufmerksamkeit. Laut OWASP ist Unrestricted Resource Consumption API-Risiko Nummer 4. In der Praxis bleibt ein Projekt mit einer REST API und einer Beschreibung in OpenAPI schlank, und GraphQL kann folgen, sobald das Frontend klar davon profitiert.
Was passiert, wenn sich eine externe API ändert?
Wenn sich eine externe API ändert, kann eine Integration unbemerkt ausfallen, deshalb gehören Versionierung und Monitoring zu jeder ernsthaften Integration. Den Zeitpunkt einer Änderung beim Anbieter haben Sie nie selbst in der Hand. Laut Postman versionieren in der Umfrage von 2025 nur 60 % der Befragten ihre APIs, und 17 % nutzen überhaupt keine Monitoring-Tools. Erstens legt eine Integration die API-Version fest, wo der Anbieter das erlaubt. Zweitens laufen automatische Tests gegen eine Sandbox oder eine Testadministration. Drittens warnt das Monitoring bei steigenden Fehlerraten, zum Beispiel bei einem plötzlichen Anstieg von Antworten mit Status 500. Schließlich sorgt eine Wartungsvereinbarung dafür, dass jemand innerhalb von Tagen statt Wochen reagiert. Eine Anbindung an Exact Online oder AFAS Profit verdient 4 Mal pro Jahr einen Blick in die Release Notes des Anbieters. In der Praxis kostet eine solche Kontrolle weit weniger Zeit, als eine Woche fehlender Bestellungen in der Buchhaltung nachzutragen.
Reicht ein No-Code-Tool wie Zapier?
Ein No-Code-Tool wie Zapier oder Make reicht für einfache Abläufe mit geringem Volumen, und eine individuelle Integration ist die bessere Wahl, sobald Volumen, Logik oder Datenschutzanforderungen wachsen. No-Code-Tools verbinden populäre Apps schnell und brauchen für eine erste Version keinen Entwickler. Ein neues Formular aus Google Forms an ein CRM weiterzuleiten ist zum Beispiel eine typische No-Code-Aufgabe. Grenzen zeigen sich an drei Stellen. Erstens wird komplexes Datenmapping, etwa mit Sachkonten, Kostenstellen oder Produktvarianten, in einem visuellen Editor schwer wartbar. Zweitens wächst der nutzungsabhängige Preis mit der Zahl der Aufgaben: Ein Ablauf, der 500 Mal pro Tag läuft, kommt auf 15.000 Aufgaben pro Monat. Drittens laufen die Daten über die Plattform eines Dritten, was unter der DSGVO zählt. Eine individuelle Integration mit Node.js läuft auf einer Infrastruktur, die das Unternehmen selbst wählt, protokolliert jeden Schritt und gehört dem Unternehmen. In der Praxis ist ein No-Code-Prototyp ein guter Weg, einen Ablauf zu testen, bevor Sie in eine individuelle Anbindung investieren.