Webhook
Was ist ein Webhook?
Ein Webhook ist eine HTTP-basierte Schnittstelle, über die eine Anwendung bei einem festgelegten Ereignis automatisch Daten an eine andere Anwendung sendet. Statt regelmäßig nach Änderungen zu fragen, erhält das Zielsystem unmittelbar eine Nachricht, etwa nach einer Bestellung, Zahlung oder Formularübermittlung.
Ein Webhook, deutsch sinngemäß Ereignisbenachrichtigung, verbindet Systeme ereignisgesteuert. Sobald im sendenden System ein definiertes Ereignis eintritt, übermittelt das System eine HTTP-Anfrage an eine hinterlegte Zieladresse. Diese Adresse heißt Webhook-Endpunkt und wird von der empfangenden Anwendung bereitgestellt.
Wie funktioniert ein Webhook?
Ein Webhook folgt einem einfachen Ablauf: Das empfangende System registriert eine URL beim Absender. Tritt das ausgewählte Ereignis ein, sendet der Absender die zugehörigen Daten an diese URL. Häufig verwendet ein Webhook dafür die HTTP-Methode POST und ein maschinenlesbares Datenformat wie JSON.
Ein erfolgreicher HTTP-Statuscode aus der Klasse 2xx bestätigt normalerweise, dass der Endpunkt die Anfrage angenommen hat. Ein Statuscode aus der Klasse 4xx weist auf ein Problem mit der Anfrage hin, während 5xx einen serverseitigen Fehler meldet. Die genaue Reaktion, etwa ein erneuter Zustellversuch, hängt vom jeweiligen Anbieter ab.
order.created eine JSON-Nachricht an ein Warenwirtschaftssystem senden. Der Datensatz enthält beispielsweise Bestellnummer, Zeitpunkt und Positionen. Das Warenwirtschaftssystem bestätigt den Empfang mit Statuscode 200 und stößt anschließend die interne Bearbeitung an. Webhook in der Webentwicklung
In der Webentwicklung dient ein Webhook dazu, voneinander getrennte Anwendungen ohne dauernde Abfragen zu verbinden. Typische Kombinationen sind Onlineshop und Warenwirtschaft, Website und CRM, Zahlungsdienst und Buchhaltung oder Formular und Benachrichtigungssystem. Die Integration benötigt mindestens einen erreichbaren Endpunkt, eine definierte Datenstruktur und Regeln zur Fehlerbehandlung.
Der Webhook-Endpunkt muss Anfragen schnell bestätigen. Eine aufwendige Folgeaufgabe sollte nach Möglichkeit in eine Warteschlange verschoben und asynchron verarbeitet werden. Läuft die Verarbeitung vollständig innerhalb der HTTP-Anfrage, können Zeitüberschreitungen entstehen. Der Absender bewertet die Zustellung dann möglicherweise als fehlgeschlagen, obwohl ein Teil der Aufgabe bereits ausgeführt wurde.
Bei einer Website-Entwicklung mit angebundenen Drittsystemen gehört deshalb nicht nur der Endpunkt zur Umsetzung. Datenformat, Authentifizierung, Protokollierung, Wiederholungslogik und der Umgang mit doppelten Nachrichten müssen ebenfalls festgelegt werden.
Webhook oder API?
Der Unterschied zwischen Webhook und API liegt vor allem darin, wer die Kommunikation auslöst. Bei einer klassischen API fragt ein Client Daten gezielt ab oder übermittelt einen Auftrag. Bei einem Webhook startet das sendende System die Übertragung selbst, sobald ein Ereignis eintritt. Ein Webhook ergänzt eine API häufig, ersetzt sie aber nicht vollständig.
| Merkmal | Webhook | Klassische API-Abfrage |
|---|---|---|
| Auslöser | Ein Ereignis im sendenden System | Eine Anfrage des Clients |
| Datenfluss | Automatische Zustellung an eine URL | Abruf oder Übermittlung auf Anforderung |
| Zeitpunkt | Meist kurz nach dem Ereignis | Nach Zeitplan oder konkretem Bedarf |
| Typischer Zweck | Benachrichtigungen und Folgeprozesse | Daten lesen, ändern oder verwalten |
Polling bezeichnet das wiederholte Abfragen einer API in festen Abständen. Bei einem Intervall von fünf Minuten kann eine Änderung bis zu fünf Minuten unentdeckt bleiben. Zusätzlich entstehen auch dann Anfragen, wenn keine neuen Daten vorliegen. Ein Webhook sendet dagegen nur dann eine Nachricht, wenn das konfigurierte Ereignis tatsächlich eintritt.
Sicherheit bei Webhooks
Eine geheime URL allein reicht als Schutz eines Webhooks nicht aus. Ein sicherer Endpunkt verwendet HTTPS, prüft die Herkunft der Nachricht und verarbeitet nur erwartete Datenfelder. Viele Systeme signieren den Inhalt mit einem Secret, häufig über einen Hash-based Message Authentication Code, kurz HMAC. Das Zielsystem berechnet die Signatur selbst und vergleicht beide Werte.
Ein Zeitstempel begrenzt zusätzlich, wie lange eine signierte Nachricht gültig bleibt. Damit lassen sich Replay-Angriffe erschweren, bei denen ein Angreifer eine zuvor gültige Anfrage erneut sendet. Zugangsdaten, vollständige Zahlungsinformationen oder andere vertrauliche Inhalte sollten nur übertragen werden, wenn der Prozess diese Daten tatsächlich benötigt.
Fehler zuverlässig behandeln
Webhook-Nachrichten können verspätet, mehrfach oder in einer unerwarteten Reihenfolge eintreffen. Ein belastbarer Empfänger arbeitet deshalb idempotent. Idempotenz bedeutet, dass dieselbe Nachricht auch bei wiederholter Verarbeitung nicht mehrfach dieselbe Wirkung auslöst. Eine eindeutige Ereignis-ID kann beispielsweise verhindern, dass eine Bestellung zweimal angelegt wird.
Der Absender sollte fehlgeschlagene Zustellungen erneut versuchen und die Abstände zwischen den Versuchen schrittweise erhöhen. Der Empfänger benötigt dafür ein Protokoll mit Ereignis-ID, Empfangszeit, Statuscode und Verarbeitungsergebnis. Messbar ist die Zuverlässigkeit zum Beispiel über die Zustellquote: erfolgreich bestätigte Nachrichten geteilt durch alle Zustellversuche, multipliziert mit 100.
Serverfehler können nicht nur Integrationen unterbrechen, sondern auch die Erreichbarkeit einer Website beeinträchtigen. Ein regelmäßiges Monitoring und strukturierte technische SEO-Prüfungen helfen dabei, wiederkehrende 4xx- und 5xx-Fehler früh zu erkennen.
Webhooks im Online-Marketing
Im Online-Marketing übertragen Webhooks Leads, Bestellungen, Zahlungen oder Statusänderungen zwischen Website, CRM und Analysesystemen. Ein Formular kann beispielsweise einen Datensatz an das CRM senden, während ein erfolgreicher Zahlungsstatus einen internen Umsatzprozess auslöst. Die Systeme arbeiten dadurch mit demselben Ereignis, ohne dass Daten manuell exportiert werden müssen.
Für SEA können Webhooks bestätigte Leads oder Käufe an nachgelagerte Systeme übergeben. Die fachliche Zuordnung muss dabei eindeutig bleiben: Ein abgesendetes Formular ist nicht automatisch ein qualifizierter Lead. Technische Fehler auf Landingpages lassen sich zusätzlich durch Technik-Checks für Google Ads kontrollieren.
Für SEO und GEO, also Generative Engine Optimization, wirken Webhooks meist indirekt. Sie können nach einer Veröffentlichung Cache-Prozesse, interne Prüfungen oder Aktualisierungen in verbundenen Systemen anstoßen. Ein Webhook fordert jedoch keine Indexierung und keine Aufnahme in eine KI-Antwort an. Suchmaschinen und KI-Systeme entscheiden weiterhin anhand ihrer eigenen Crawling-, Qualitäts- und Auswahlprozesse.
Häufige Fragen zu Webhooks
Wofür braucht man einen Webhook?
Ein Webhook übermittelt Ereignisse automatisch zwischen Anwendungen. Typische Einsätze sind neue Bestellungen, erfolgreiche Zahlungen, Formularübermittlungen, Statusänderungen oder Veröffentlichungen.
Ist ein Webhook eine API?
Ein Webhook ist eine Form der Systemkommunikation über HTTP, wird aber anders ausgelöst als eine typische API-Abfrage. Der Absender verschickt die Nachricht aufgrund eines Ereignisses, während eine API meist auf eine konkrete Anfrage reagiert.
Welche Daten sendet ein Webhook?
Ein Webhook sendet die im Ereignisschema definierten Daten, häufig als JSON. Der Inhalt kann eine Ereignis-ID, einen Zeitstempel, den Ereignistyp und fachliche Angaben wie eine Bestellnummer enthalten.
Kann ein Webhook mehrfach ausgelöst werden?
Ja, dieselbe Nachricht kann wegen Wiederholungsversuchen mehrfach eintreffen. Der empfangende Endpunkt sollte Ereignis-IDs speichern und idempotent arbeiten, damit eine wiederholte Zustellung keine doppelte Buchung oder Bestellung erzeugt.
Was passiert, wenn ein Webhook nicht erreichbar ist?
Der Absender erhält einen Fehler oder keine rechtzeitige Antwort. Viele Dienste wiederholen die Zustellung nach eigenen Regeln, weshalb Fehlerprotokolle, Warteschlangen und eine dokumentierte Wiederholungslogik erforderlich sind.
Wie testet man einen Webhook?
Ein Webhook lässt sich mit einem Testereignis und einer kontrollierten Zieladresse prüfen. Kontrolliere Anfragekopf, Signatur, JSON-Struktur, HTTP-Statuscode, Verarbeitungsdauer und das Verhalten bei doppelten oder fehlerhaften Nachrichten.
Wenn du Webhooks im Rahmen einer neuen Website oder Systemintegration planst, sollte die technische Konzeption Datenflüsse, Fehlerfälle und Zuständigkeiten von Anfang an abbilden.
Sie haben noch Fragen?
