API-Anbindung: neun Fragen, die vor dem Angebot geklärt sein müssen

Die meisten Anbindungen scheitern nicht an der Programmierung. Sie scheitern an Annahmen, die im Angebot niemand aufgeschrieben hat und die sich in Woche drei als falsch herausstellen.

Eine API — eine Schnittstelle, über die ein Programm ein anderes abfragt — ist technisch selten das Problem. Das Problem sind die Bedingungen um sie herum: Rechte, Limits, Schlüssel, Sonderfälle. Diese neun Fragen decken die Punkte ab, an denen wir in der Praxis am häufigsten stolpern. Sie sind bewusst so formuliert, dass Sie sie jedem Anbieter vorlegen können, nicht nur uns.

Die neun Fragen im Überblick

#	Frage	Was passiert, wenn sie offen bleibt
1	Ist der Zugriff rechtlich und vertraglich gedeckt?	Die Anbindung wird gebaut und darf nicht in Betrieb gehen
2	Gibt es eine aktuelle Dokumentation und eine Testumgebung?	Jedes Feld wird durch Versuch bestimmt, im Echtsystem
3	Wie meldet sich die Anbindung an, und wer verwaltet die Zugänge?	Ein abgelaufener Schlüssel legt alles still, ohne Vorwarnung
4	Welche Grenzen setzt die Gegenstelle?	Der erste Vollabgleich läuft in eine Sperre
5	Welcher Datensatz ist führend?	Zwei Systeme überschreiben sich gegenseitig
6	Woran erkennen beide Seiten denselben Datensatz?	Dubletten, falsche Zuordnungen, stille Datenfehler
7	Welche Felder gibt es auf der Gegenseite nicht?	Daten gehen bei der Übertragung verloren, unbemerkt
8	Wie kommt der Altbestand hinüber?	Ein eigenes Projekt taucht kurz vor dem Start auf
9	Wer pflegt die Anbindung, wenn sich die Gegenstelle ändert?	Ein Update der Gegenseite bricht die Verbindung, und niemand ist zuständig

1. Ist der Zugriff rechtlich und vertraglich gedeckt?

Zwei getrennte Prüfungen. Die erste betrifft den Hersteller der Gegenstelle: Erlaubt Ihr Lizenz- oder Wartungsvertrag den Zugriff von außen? Manche Hersteller verlangen dafür ein kostenpflichtiges Zusatzmodul, manche eine schriftliche Freigabe, manche schließen den direkten Datenbankzugriff ausdrücklich aus und verweigern danach den Support.

Die zweite betrifft die Daten selbst. Sobald personenbezogene Daten fließen — Kunden, Mitarbeiter, Ansprechpartner — brauchen Sie eine Rechtsgrundlage, eine Zweckbindung und, wenn ein Dienstleister beteiligt ist, einen Vertrag zur Auftragsverarbeitung. Das ist kein Papierkram am Ende, sondern eine Vorbedingung.

Wenn die Frage offen bleibt: Die Anbindung ist fertig und darf nicht produktiv gehen. Wir haben diese Klärung deshalb vor die Entwicklung gezogen, nicht dahinter.

2. Gibt es eine aktuelle Dokumentation und eine Testumgebung?

„Das System hat eine API” ist keine Antwort auf diese Frage. Brauchbar ist die Kombination aus drei Dingen: eine Beschreibung der verfügbaren Aufrufe, eine Beschreibung der Felder samt Datentypen, und eine Umgebung, in der man Fehler machen darf.

Fehlt die Testumgebung, verschiebt sich der gesamte Charakter des Projekts. Jeder Versuch findet dann im laufenden Betrieb statt. Das bedeutet: Arbeit außerhalb der Geschäftszeiten, Rücksprache vor jedem Schreibzugriff, und ein Rückweg für den Fall, dass etwas falsch ankommt.

Wenn die Frage offen bleibt: Der Aufwand für dieselbe fachliche Aufgabe steigt spürbar — nicht wegen der Technik, sondern wegen der Vorsicht.

Ein Prüfschritt, den Sie selbst machen können

Fordern Sie beim Hersteller der Gegenstelle die Dokumentation an, bevor Sie ein Angebot einholen. Schon die Antwortzeit ist eine Information. Wer drei Wochen für ein PDF braucht, wird auch bei einer Rückfrage im Projekt drei Wochen brauchen.

3. Wie meldet sich die Anbindung an, und wer verwaltet die Zugänge?

Zugangsdaten für Schnittstellen haben die unangenehme Eigenschaft, dass sie ablaufen. Zugriffstoken werden ungültig, Zertifikate laufen aus, Passwörter fallen unter eine Wechselrichtlinie. Und weil kein Mensch sich anmeldet, merkt es niemand — bis Daten fehlen.

Zu klären ist deshalb nicht nur, wie sich die Anbindung anmeldet, sondern auch: Auf welches Konto läuft der Zugang? Was passiert, wenn der Kollege, auf dessen Namen er angelegt wurde, das Unternehmen verlässt? Wer erneuert das Zertifikat, und wann?

Wenn die Frage offen bleibt: Die Anbindung steht irgendwann still, ohne Fehlermeldung an jemanden, der zuständig ist. Ein technischer Zugang gehört auf ein eigenes Dienstkonto, nie auf einen Personennamen.

4. Welche Grenzen setzt die Gegenstelle?

Fast jede Schnittstelle hat Grenzen, und fast keine nennt sie in der Übersicht. Die vier, die im Alltag zuschlagen:

• Anfragelimit — wie viele Aufrufe pro Minute, Stunde oder Tag sind erlaubt?
• Seitengröße — wie viele Datensätze liefert ein Aufruf, und wie blättert man weiter?
• Massenverarbeitung — kann man 500 Datensätze in einem Aufruf schreiben, oder braucht es 500 Aufrufe?
• Wartungsfenster — wann ist die Gegenstelle planmäßig nicht erreichbar?

Rechnen Sie das einmal durch, bevor Sie beauftragen. Wenn Ihr Bestand 60.000 Datensätze umfasst, die Seitengröße bei 100 liegt und das Limit bei 60 Aufrufen pro Minute, dauert ein Vollabgleich rund 10 Stunden. Das ist kein Fehler, das ist Arithmetik — aber es entscheidet darüber, ob ein nächtlicher Lauf überhaupt möglich ist.

Wenn die Frage offen bleibt: Der erste Vollabgleich läuft in eine Sperre. Im schlechteren Fall sperrt die Gegenstelle den Zugang für 24 Stunden.

5. Welcher Datensatz ist führend?

Die teuerste Frage der Liste, und die einzige, die niemand außer Ihnen beantworten kann. Sobald beide Seiten denselben Datensatz ändern dürfen, brauchen Sie eine Regel für den Widerspruch: Ein Kunde ändert seine Adresse im einen System, jemand anderes ändert sie im anderen. Was gilt?

Mögliche Regeln: Ein System gewinnt immer. Der jüngere Zeitstempel gewinnt. Feldweise Zuständigkeit — Stammdaten hier, Zahlungsdaten dort. Oder: Widersprüche werden nicht automatisch aufgelöst, sondern in eine Liste geschrieben, die ein Mensch prüft.

Alle vier sind vertretbar. Keine Regel zu haben ist die einzige Variante, die nicht funktioniert.

Wenn die Frage offen bleibt: Der Aufwand steigt in die Größenordnung eines Abgleichs in beide Richtungen, ohne dass jemand die Entscheidung getroffen hat. Die Auswirkung auf den Preis steht in der Kostenmatrix unter Was kostet eine Schnittstelle.

6. Woran erkennen beide Seiten denselben Datensatz?

Die Anbindung muss bei jedem Lauf entscheiden: Ist das ein neuer Kunde oder ein vorhandener? Dafür braucht sie einen Schlüssel, der auf beiden Seiten gilt und sich nicht ändert.

Im guten Fall existiert eine gemeinsame Nummer. Im häufigen Fall nicht — dann wird über Name, Adresse oder E-Mail zugeordnet. Das funktioniert für die große Mehrzahl der Datensätze und erzeugt im Rest genau die Fehler, die später niemand mehr zuordnen kann: „Müller GmbH” und „Mueller GmbH”, zwei Standorte unter einer Adresse, eine Sammel-E-Mail für drei Ansprechpartner.

Der saubere Weg ist eine Zuordnungstabelle, die beide Kennungen dauerhaft speichert. Sie kostet einmal Aufwand und spart ihn dauerhaft.

Wenn die Frage offen bleibt: Dubletten und Fehlzuordnungen, die erst auffallen, wenn eine Rechnung an den falschen Empfänger geht.

7. Welche Felder gibt es auf der Gegenseite nicht?

Zwei Systeme bilden dieselbe Wirklichkeit unterschiedlich ab. Das eine kennt drei Adressen pro Kunde, das andere eine. Das eine hat ein Feld für den Bearbeitungsstand mit sieben Werten, das andere mit vier. Das eine erlaubt 80 Zeichen im Namen, das andere 40.

Für jeden dieser Fälle braucht es eine Entscheidung: abschneiden, ablehnen, in ein Sammelfeld schreiben, oder auf beiden Seiten ein Feld ergänzen. Diese Entscheidungen gehören in ein Dokument, das die Feldabbildung beschreibt — nicht in den Kopf des Entwicklers.

Wenn die Frage offen bleibt: Daten gehen bei der Übertragung verloren, und zwar leise. Niemand sieht dem Zielsystem an, dass drüben mehr stand.

8. Wie kommt der Altbestand hinüber?

Fast jede Anbindung hat zwei Teile: den laufenden Betrieb und die einmalige Übernahme dessen, was schon da ist. Der zweite Teil wird regelmäßig vergessen und ist häufig der größere.

Zu klären: Wie viele Datensätze sind es? In welchem Zustand? Wird alles übernommen oder nur ab einem Stichtag? Was passiert mit Datensätzen, die die Prüfung nicht bestehen — abbrechen, überspringen, protokollieren? Und: Lässt sich die Übernahme wiederholen, wenn sie beim ersten Mal nicht sauber durchläuft?

Wenn die Frage offen bleibt: Kurz vor dem geplanten Start taucht ein eigenes Vorhaben auf, das im Angebot nicht steht.

9. Wer pflegt die Anbindung, wenn sich die Gegenstelle ändert?

Eine Schnittstelle ist fertig, aber nie abgeschlossen. Die Gegenstelle bekommt Updates. Felder kommen dazu, Aufrufe werden abgekündigt, Zertifikate wechseln. Irgendwann ändert sich etwas, das Sie nicht beeinflussen können.

Klären Sie deshalb drei Dinge: Kündigt der Hersteller Änderungen an, und mit welcher Frist? Wer beobachtet diese Ankündigungen? Und wer setzt die Anpassung um — mit welcher Reaktionszeit und zu welchem Preis?

Wenn die Frage offen bleibt: Die Anbindung bricht an einem Dienstagmorgen, und die Zuständigkeit wird erst geklärt, während das Problem bereits läuft. Was zu einem tragfähigen Betrieb gehört, steht in Schnittstellen im Betrieb.

Was Sie mit dieser Liste tun können

Sie können die neun Fragen selbst durchgehen. Wenn Sie alle beantworten können, brauchen Sie für die Anfrage keine Vorstudie mehr — dann liegt genug vor, damit ein Anbieter einen belastbaren Festpreis rechnen kann.

Wenn Sie bei drei oder mehr Fragen passen müssen, ist das ebenfalls ein Ergebnis. Es bedeutet nicht, dass das Projekt schwierig ist. Es bedeutet, dass der erste Schritt eine Prüfung der Gegenstelle ist und nicht ein Angebot. Bei uns ist das die Machbarkeits-Analyse für 490 € netto, die bei Beauftragung angerechnet wird.

Ein Anbieter, der Ihnen ohne diese Klärung einen Festpreis nennt, hat entweder einen Risikoaufschlag eingerechnet oder eine Nachforderung eingeplant. Beides erfahren Sie später.

Wie wir Projekte aufsetzen, steht unter Wie wir arbeiten. Welche Wege es technisch überhaupt gibt, wenn die Gegenstelle keine Schnittstelle hat, steht in Zwei Systeme verbinden. Und was wir konkret übernehmen, auf der Seite Schnittstellen.