Application Programming Interface (API)

Eine Application Programming Interface (API) legt fest, welche Anfragen ein System annimmt, in welchem Format Daten übergeben werden und was es zurückliefert. Man kann sie sich wie einen Vertrag zwischen zwei Programmen vorstellen: Das eine verspricht, auf eine bestimmte Anfrage eine bestimmte Antwort zu geben, das andere muss nur diesen Vertrag kennen, nicht den inneren Aufbau. Im Gespräch mit IT oder Dienstleistern geht es heute meist um Web-APIs, die über das Internet-Protokoll HTTP angesprochen werden. Ein Shop fragt darüber Lagerbestände im Warenwirtschaftssystem ab, eine Buchhaltungssoftware holt Kontoumsätze von der Bank, ein Personalsystem legt Benutzerkonten im Verzeichnisdienst an.

Damit eine API nutzbar ist, braucht sie eine Beschreibung: welche Endpunkte es gibt, welche Felder Pflicht sind, wie sich ein Programm anmeldet und welche Fehlermeldungen vorkommen. Verbreitet ist dafür die OpenAPI Specification, ein offener Standard, den die OpenAPI Initiative unter dem Dach der Linux Foundation pflegt. Sie beschreibt HTTP-APIs unabhängig von der Programmiersprache, sodass sich Dokumentation, Tests und Teile des Programmcodes daraus erzeugen lassen.

Warum APIs für die Führung zählen

APIs entscheiden darüber, wie gut sich Systeme verbinden und wie leicht sie sich später austauschen lassen. Eine Software ohne brauchbare Schnittstellen wird zur Insel: Daten müssen von Hand übertragen oder über teure Sonderlösungen verbunden werden. Eine Software mit gut dokumentierten, stabilen APIs lässt sich in Abläufe einbinden und automatisieren. Das wirkt direkt auf Betriebskosten, Fehlerquoten und die Geschwindigkeit, mit der sich Prozesse ändern lassen.

Noch wichtiger ist der Souveränitätsaspekt. Wer Daten nur über die Bedienoberfläche eines Anbieters erreicht, ist auf dessen Werkzeuge angewiesen. Wer sie über offene, vollständige APIs auslesen kann, behält die Möglichkeit, sie in ein anderes System zu überführen. Der EU Data Act greift genau hier an: Nach Art. 30 Abs. 2 müssen Anbieter von Cloud-Diensten oberhalb der reinen Infrastrukturebene offene Schnittstellen allen Kunden und den Zielanbietern gleichermaßen und kostenlos bereitstellen, um einen Wechsel zu erleichtern. Umgekehrt entsteht Abhängigkeit, wenn eigene Abläufe tief auf proprietäre Schnittstellen eines einzelnen Anbieters gebaut werden, die es anderswo nicht gibt.

Wie APIs in der Praxis zum Thema werden

Häufig zeigt sich die Bedeutung einer API erst, wenn sie sich ändert. Anbieter kündigen alte Versionen ab, stellen auf neue Anmeldeverfahren um, begrenzen die Zahl der Abfragen pro Minute oder machen den Zugang kostenpflichtig. Jede dieser Änderungen kann Verbindungen unterbrechen, die jahrelang unbemerkt gelaufen sind. Eine Übersicht, welche Systeme über welche APIs miteinander sprechen, gehört deshalb zur Grundausstattung jeder IT-Landschaft.

Ein denkbares Szenario: Ein mittelständisches Unternehmen hat seinen Kundenservice an eine cloudbasierte Plattform angebunden. Nach einigen Jahren soll ein günstigerer Anbieter übernehmen. Erst jetzt fällt auf, dass sich Tickets zwar über die API exportieren lassen, Anhänge und Gesprächsverläufe aber nur eingeschränkt und mit einer niedrigen Abfragegrenze. Der Umzug dauert Wochen statt Tage. Eine Prüfung der Exportmöglichkeiten bei der Auswahl hätte die Lücke früh gezeigt und Verhandlungsspielraum geschaffen.

Worauf es in Angeboten und Verträgen ankommt

• Vollständigkeit: Prüfen, ob alle wichtigen Daten und Funktionen über die API erreichbar sind, nicht nur ein Ausschnitt. Besonders der vollständige Export gehört dazu.
• Offene Beschreibung: Eine öffentlich zugängliche Dokumentation, idealerweise in einem offenen Format wie der OpenAPI Specification, erleichtert Anbindung und späteren Wechsel.
• Stabilität und Fristen: Versionierung, Ankündigungsfristen vor dem Abschalten alter Versionen und Informationspflichten bei Änderungen vertraglich festhalten.
• Grenzen und Kosten: Abfragegrenzen, Gebühren pro Aufruf und Preisänderungen für den Zugang kennen, bevor Abläufe darauf aufbauen.
• Sicherheit: Anmeldeverfahren, Rechtevergabe und Protokollierung der Zugriffe klären. Jede API ist auch ein möglicher Zugang für Angreifer.

Abgrenzung zu verwandten Begriffen

Quellen

• OpenAPI Initiative: OpenAPI Specification (Repository und Spezifikation)
• EUR-Lex: Verordnung (EU) 2023/2854 (Data Act), Art. 30

*** Keine Rechtsberatung. Dieser Eintrag ordnet rechtliche Rahmenbedingungen strategisch ein und ersetzt keine Rechtsberatung im Einzelfall.