API-Schnittstellen und individuelle APIs entwickeln lassen

Eine sichere API-Schnittstelle ist eine Schnittstelle, bei der jede Anfrage authentifiziert, jeder Objektzugriff geprüft und kein Geheimnis im Code gespeichert ist. Laut OWASP ist Broken Object Level Authorization das größte Risiko in den API Security Top 10 von 2023. Dabei ändert ein Nutzer eine ID in der Anfrage und sieht plötzlich Daten eines anderen Kunden. In der Liste für Webanwendungen hatten 100 % der getesteten Anwendungen eine Form von Broken Access Control, Platz 1 in den OWASP Top 10 von 2025. VirtuoLab prüft deshalb bei jedem Objekt, wem es gehört, und zwar bei jeder Anfrage, nicht nur beim Login. Ein Nutzer eines Kundenportals sieht so zum Beispiel nur die Bestellungen des eigenen Unternehmens. Dazu kommen OAuth 2.0 oder API-Schlüssel, Rate Limiting, Eingabevalidierung und HTTPS. Geheimnisse liegen in Umgebungsvariablen oder einem Secrets Manager, niemals in Git. Eingehende Webhooks werden zuerst geprüft, per Signatur oder indem das System den Status über Mollie abruft. Schließlich halten Logs fest, welches System welchen Datensatz wann geändert hat, ohne Passwörter zu speichern.

REST ist ein API-Stil, bei dem jede URL eine Ressource darstellt, etwa eine Bestellung oder einen Kunden. Standardisierte HTTP-Methoden lesen, erstellen oder ändern diese Ressource. GraphQL ist eine Abfragesprache für APIs: Der Client fragt in einer einzigen Anfrage genau die Felder ab, die er braucht. Ein Webhook funktioniert umgekehrt: Das Quellsystem schickt selbst eine Nachricht, sobald etwas passiert, etwa wenn eine Rechnung bezahlt wurde. Erstens bleibt REST die Grundlage: Postman zählte im State of the API Report 2025 für REST 93 %. Zweitens kommen Webhooks im selben Bericht von Postman auf 50 % und GraphQL auf 33 %. Die meisten Schnittstellen kombinieren alle drei, jeweils für eine eigene Aufgabe. Ein Onlineshop mit WooCommerce empfängt zum Beispiel einen Webhook von Mollie und holt danach die Zahlungsdetails über die Mollie-API ab. VirtuoLab entwickelt beide API-Stile mit Node.js und TypeScript. Die Wahl fällt je Verbindung, je nachdem, was das andere System unterstützt und wie viele Daten täglich fließen.

Eine API-Änderung ist ein normaler Moment im Leben einer Schnittstelle, denn Anbieter veröffentlichen neue Versionen und schalten alte Endpunkte ab. Shopify hat zum Beispiel die REST Admin API am 1. Oktober 2024 als Legacy eingestuft. Seit April 2025 verlangt Shopify, dass jede neue öffentliche App mit GraphQL arbeitet, über die GraphQL Admin API. Versionierung ist längst nicht selbstverständlich: Laut dem State of the API Report (Postman 2025) versionieren nur 60 % der Befragten ihre APIs. Erstens legt VirtuoLab den Code je Anbieter in ein eigenes Modul, sodass eine Änderung nur einen Teil betrifft statt der gesamten Schnittstelle. Zweitens zeigen automatisierte Tests für das Feld-Mapping schnell, ob eine neue Version eine Bestellung, eine Rechnung oder einen Lagerabgleich kaputt macht. Nach dem Livegang wählen Sie zwischen Anpassungen auf Anfrage und laufendem Support. Da der Code Ihnen gehört, kann später auch ein anderer Entwickler übernehmen. VirtuoLab dokumentiert deshalb jeden Datenfluss, das Feld-Mapping und die Fehlerbehandlung.

Ein System ohne öffentliche API lässt sich oft trotzdem anbinden, nur ist der Weg weniger direkt. Die erste Option ist ein geplanter Export: Viele Programme schreiben eine CSV- oder XML-Datei, zum Beispiel einmal pro Nacht oder 4 Mal am Tag, die die Schnittstelle per SFTP oder aus Google Drive abholt. Die zweite Option ist eine Datenbankverbindung mit reinen Leserechten, sofern Anbieter und Lizenz das erlauben. Die dritte Option ist eine Anfrage nach Partnerzugang, denn manche APIs gibt es nur auf Anfrage. Screen Scraping ist der letzte Ausweg, weil schon eine kleine Layoutänderung die Verbindung zerstört. In der Praxis bestimmt der gewählte Weg einen großen Teil des Budgets. Ein nächtlicher CSV-Import aus einem älteren ERP-System, etwa jede Nacht um 02:00 Uhr, kostet weniger als eine Echtzeitverbindung. Der Nachteil: Die Daten sind dann bis zu einen Tag alt. Das kostenlose Kennenlerngespräch mit VirtuoLab vergleicht die Optionen, bevor ein Preis feststeht.

Ein No-Code-Tool wie Zapier oder Make ist für einen einzelnen, einfachen Datenfluss oft die schnellere und günstigere Wahl, und VirtuoLab sagt das im Kennenlerngespräch auch offen. Ein neuer Eintrag im Kontaktformular, der direkt im CRM landet, ist zum Beispiel typische Arbeit, die sich mit Zapier bauen lässt. Individueller Code wird in drei Situationen zur besseren Wahl. Erstens werden die Geschäftsregeln komplex. Zweitens müssen Datensätze systemübergreifend abgeglichen und validiert werden. Drittens wachsen die Mengen, etwa bei einem nächtlichen Abgleich von 5.000 Kunden, und jeder Fehlversuch braucht eine verlässliche Wiederholung. Auch Eigentum zählt. No-Code-Plattformen berechnen ein laufendes Abonnement, und die Logik liegt auf der Plattform des Anbieters. Eine individuelle Schnittstelle von VirtuoLab hat 2026 Hostingkosten plus einen einmaligen Festpreis ab 1.500 €. Der Code gehört Ihnen, Sie können die Schnittstelle also zu einem anderen Server oder Entwickler mitnehmen. VirtuoLab vergleicht beide Wege im kostenlosen Kennenlerngespräch, bevor ein Angebot entsteht.