Neue Bestellung
Der Shop meldet den Eingang. Ein Agent prüft Bestelldaten und legt eine Auftragsbestätigung als Entwurf an.
Glossar
Webhook:
wenn ein System von selbst Bescheid gibt.
Ein Agent, der alle fünf Minuten nachfragt, ob etwas Neues da ist, verschwendet Aufrufe und reagiert verzögert. Ein Webhook dreht die Richtung um: Das System meldet sich, sobald etwas passiert.
Kurz gesagtEin Webhook ist eine automatische Benachrichtigung von einem System an eine vereinbarte Adresse, sobald ein bestimmtes Ereignis eintritt, etwa eine neue Bestellung oder eine eingegangene Mail. Er startet Abläufe ohne Nachfragen. Absicherung und Wiederholungsregeln sind Pflicht.
Was ein Webhook ist
Bei einer Schnittstelle fragt Ihr Programm aktiv an: „Gibt es neue Bestellungen?“ Das ist wie wiederholtes Nachsehen im Briefkasten. Ein Webhook funktioniert wie eine Benachrichtigung der Post: Sobald etwas ankommt, klingelt es. Technisch ruft das auslösende System eine Webadresse auf, die Sie vorher hinterlegt haben, und übergibt dabei die wichtigsten Angaben zum Ereignis.
Typische Ereignisse sind eine neue Bestellung, ein geänderter Status, ein bezahltes Ticket, ein hochgeladenes Dokument oder eine Terminbuchung. Auf der Empfängerseite wartet ein kleiner Dienst, der die Meldung annimmt, prüft und den passenden Ablauf anstößt: etwa einen Agenten, der die Bestellung prüft und einen Entwurf für die Auftragsbestätigung anlegt.
Der Vorteil liegt in Tempo und Sparsamkeit. Es wird nur gearbeitet, wenn etwas geschieht, und es entsteht keine Wartezeit bis zur nächsten Abfrage. Das macht Webhooks zum natürlichen Auslöser für Prozessautomatisierung.
Beispiel (Neue Reklamation im Ticketsystem)
Fiktives Beispiel, kein Kundenfall.
- EreignisIm Ticketsystem wird ein neues Ticket mit dem Stichwort Reklamation angelegt.
- MeldungDas System ruft per Webhook die hinterlegte Adresse auf und übergibt die Ticketnummer.
- PrüfungDer empfangende Dienst prüft die Signatur der Meldung und stellt sicher, dass sie echt und neu ist.
- BearbeitungEin Agent holt die Ticketdaten, fasst den Fall zusammen und legt einen Antwortentwurf als internen Vermerk an.
- FreigabeDas Serviceteam sieht den Vermerk, entscheidet und antwortet. Der Agent hat nichts versendet.
Webhook, API und Abfrage im Vergleich
| Merkmal | Regelmäßige Abfrage | Webhook |
|---|---|---|
| Wer beginnt? | Ihr Programm fragt | Das andere System meldet |
| Reaktionszeit | Bis zur nächsten Abfrage | Sofort nach dem Ereignis |
| Aufwand im Leerlauf | Dauernd Anfragen | Keiner |
| Ausfallverhalten | Nächste Abfrage holt Verpasstes nach | Meldung kann verloren gehen, daher Wiederholung nötig |
| Typischer Einsatz | Berichte, Abgleiche | Eingänge, Statuswechsel, Zahlungen |
In der Praxis kombiniert man beides. Der Webhook meldet das Ereignis, die Schnittstelle liefert die Details, und eine gelegentliche Gesamtabfrage fängt Meldungen auf, die unterwegs verloren gingen.
Sicherheit und Zuverlässigkeit
- Echtheit prüfen. Jeder kann eine Webadresse aufrufen. Seriöse Absender signieren ihre Meldungen, der Empfänger prüft die Signatur. Ohne diese Prüfung könnten Dritte Vorgänge auslösen.
- Doppelte Meldungen vertragen. Systeme wiederholen eine Meldung, wenn sie keine Bestätigung erhalten. Der Ablauf muss dieselbe Meldung zweimal verarbeiten können, ohne eine Aktion doppelt auszuführen.
- Wenig Daten übertragen. Meldungen sollten nur das Nötigste enthalten, etwa eine Kennung. Details holt der Agent bei Bedarf über die geschützte Schnittstelle. So bleiben personenbezogene Daten aus dem Meldeweg heraus.
- Reihenfolge nicht voraussetzen. Meldungen können in anderer Reihenfolge eintreffen. Der Ablauf prüft den aktuellen Stand, statt sich auf die Meldung zu verlassen.
- Ausfälle einplanen. Ist der Empfänger kurz nicht erreichbar, braucht es Wiederholung und eine Warteschlange. Eine tägliche Gesamtabfrage deckt Lücken auf.
Grenzen und Missverständnisse
Ein Webhook ist kein KI-Verfahren und kein eigenes Produkt, sondern ein Auslösemechanismus. Er sagt nichts darüber, was nach der Meldung passiert. Ob dort ein fester Ablauf, ein Agent oder eine Person übernimmt, ist eine getrennte Entscheidung.
Ebenfalls ein Irrtum: Webhooks seien automatisch sicher, weil sie nur eine Richtung nutzen. Die Adresse des Empfängers ist öffentlich erreichbar und damit ein Angriffsziel. Das BSI beschreibt zu generativen Modellen und deren Einbindung Sicherheitsrisiken und mögliche Gegenmaßnahmen. Für Webhooks gehören Signaturprüfung, Begrenzung der Aufrufe und Protokollierung dazu.
Und noch ein Punkt: Nicht jedes System bietet Webhooks an. Fehlen sie, hilft die regelmäßige Abfrage über die Schnittstelle als Ersatz, mit etwas Verzögerung.
Typische Auslöser im Büroalltag
Neues Dokument
Ein hochgeladener Beleg löst die Texterkennung und die Zuordnung zu Vorgängen aus.
Statuswechsel
Ein Paket gilt als zugestellt oder verzögert. Der Agent bereitet die passende Kundeninformation vor.
Termin gebucht oder abgesagt
Der Kalender meldet die Änderung. Der Agent informiert das Team und schlägt Ersatztermine vor.
Neues Ticket
Das Ticketsystem meldet den Eingang. Der Agent sortiert vor und fasst zusammen.
Zahlungseingang
Die Buchhaltung meldet eine Zahlung. Offene Posten werden abgeglichen und Erinnerungen gestoppt.
In allen Fällen startet der Webhook nur die Vorarbeit. Wirkung nach außen, etwa der Versand einer Nachricht, bleibt bei den vereinbarten Freigaben.
Fragen vor der Einrichtung
- Welches Ereignis soll den Ablauf starten, und wie wird es im Quellsystem definiert?
- Wer ist Empfänger, und wie wird die Echtheit der Meldung geprüft?
- Was passiert, wenn dieselbe Meldung zweimal kommt oder gar nicht?
- Welche Daten dürfen in der Meldung stehen, und welche holt der Agent später ab?
- Wer sieht Fehler, und wer reagiert darauf?
Diese Fragen klären wir im Projekt vor dem ersten Test. Bei der Einrichtung unterstützen wir im Rahmen der Prozess-Automatisierung. Wie Agenten auf Auslöser reagieren, erläutert auch der Eintrag Workflow.
Weitere Fragen aus der Praxis
Wie erkenne ich, ob mein System Webhooks anbietet?
Prüfen Sie die Einstellungen oder die Entwicklerdokumentation des Herstellers, etwa unter Begriffen wie Integrationen, Automatisierung oder Benachrichtigungen. Fragen Sie im Zweifel beim Anbieter nach. Bieten sie keine an, hilft die regelmäßige Abfrage über die Schnittstelle.
Wer sieht, welche Meldungen eingegangen sind?
Das Protokoll des Empfängers. Wir halten fest, wann welche Meldung eintraf, ob die Signatur stimmte und wie der Ablauf endete. So lassen sich Fehler später nachvollziehen, ohne dass personenbezogene Inhalte unnötig gespeichert werden.
Häufige Fragen
Was ist der Unterschied zwischen Webhook und API?
Eine API beantwortet Anfragen Ihres Programms. Ein Webhook ist die umgekehrte Richtung: Das fremde System ruft Ihr Programm auf, wenn etwas passiert ist.
Brauche ich einen eigenen Server dafür?
Sie brauchen eine erreichbare Adresse, die Meldungen annimmt. Das kann ein kleiner Dienst bei einem Cloud-Anbieter oder auf eigenen Servern sein. Wir wählen mit Ihnen anhand von Datenschutz und Betrieb.
Kann jemand fremde Meldungen an meine Adresse schicken?
Ohne Schutz ja. Deshalb prüfen wir die Signatur jeder Meldung, begrenzen die Aufrufe und protokollieren jeden Eingang.
Was, wenn eine Meldung verloren geht?
Sendende Systeme wiederholen den Versuch in der Regel. Zusätzlich gleichen wir den Bestand regelmäßig per Abfrage ab, damit nichts unbemerkt fehlt.
Löst ein Webhook automatisch eine Aktion beim Kunden aus?
Nein. Er startet nur den Ablauf im Hintergrund. Aktionen mit Wirkung nach außen laufen über die vereinbarten Freigaben.
Quellen und rechtlicher Rahmen
- BSI: Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden (21.1.2025): Das BSI beschreibt neben den Chancen neuartige IT-Sicherheitsrisiken generativer KI-Modelle sowie mögliche Gegenmaßnahmen. Es richtet sich an Unternehmen und Behörden, die den Einsatz in ihren Arbeitsabläufen erwägen. (abgerufen 21. Oktober 2026)
Die Zusammenfassungen sind sinngemäß; maßgeblich sind die verlinkten Originaltexte. Das ist ein allgemeiner Überblick zu Ihrem Umfeld, keine Rechtsberatung und keine Aussage zu Ihrem Einzelfall.
Autor: Melvin Mümken, Gründer & Technischer Leiter. Stand: 22.10.2026. Die Hinweise sind ein allgemeiner Überblick und keine Rechtsberatung.