Was sind Webhooks?

Ein Webhook ist eine automatische Benachrichtigung, die eine Anwendung an eine andere sendet, sobald ein bestimmtes Ereignis eintritt. Technisch handelt es sich um einen HTTP-Request, meist vom Typ POST, der an eine vorher festgelegte URL geht. Die Daten zum Ereignis liegen im Anfragekörper, in der Regel im JSON-Format.

Ein Zahlungsdienstleister meldet Ihrem Shop-System per Webhook, dass eine Zahlung eingegangen ist. Ihr System muss nicht selbst nachfragen, sondern wird informiert. Webhooks kehren damit die übliche Richtung einer API-Abfrage um: Statt "Frag mich, wenn du etwas wissen willst" gilt "Ich melde mich, wenn etwas passiert".

So funktionieren Webhooks technisch

An einem Webhook sind immer zwei Seiten beteiligt. Der Sender ist die Anwendung, in der das Ereignis stattfindet, etwa ein Git-Repository, ein Formular-Tool oder ein Bezahldienst. Der Empfänger ist ein Endpoint: eine öffentlich erreichbare URL auf Ihrem Server, hinter der ein Skript die eingehenden Daten verarbeitet.

Der Ablauf folgt einem festen Muster. Tritt das Ereignis ein, baut der Sender eine HTTP-Anfrage mit den Ereignisdaten (Payload) und schickt sie an die hinterlegte URL. Ihr Endpoint nimmt die Anfrage entgegen, prüft sie und antwortet mit einem Statuscode der 2xx-Klasse, in der Regel 200. Bleibt diese Antwort aus, wiederholen viele Dienste die Zustellung nach einem festen Zeitplan.

Webhooks oder API-Polling: der Unterschied

Ohne Webhooks bleibt nur das Polling: Ihr System fragt eine API in kurzen Abständen, ob es Neuigkeiten gibt. Das funktioniert, erzeugt aber viele Anfragen ohne Ergebnis und verzögert die Information bis zur nächsten Abfrage.

Kriterium	Webhooks	API-Polling
Datenfluss	Sender meldet sich aktiv	Empfänger fragt wiederholt an
Aktualität	Nahezu in Echtzeit	Abhängig vom Abfrageintervall
Serverlast	Nur bei echten Ereignissen	Dauerhaft, auch ohne Änderungen
Aufwand	Endpoint einrichten und absichern	Abfragelogik und Intervalle pflegen

Sobald es um unregelmäßig auftretende Ereignisse geht, sind Webhooks die effizientere Wahl. Polling bleibt sinnvoll, wenn die Gegenseite keine Webhooks anbietet oder Sie vollständige Datenbestände abgleichen müssen.

Typische Einsatzszenarien für Webhooks

In der Praxis begegnen Ihnen Webhooks an vielen Stellen, oft ohne dass Sie es merken:

• Zahlungen: Ein Bezahldienst meldet erfolgreiche oder fehlgeschlagene Transaktionen an Ihren Shop.
• Entwicklung: Ein Push in ein Git-Repository startet automatisch einen Build oder ein Deployment.
• Formulare: Eine neue Anfrage über Ihr Kontaktformular landet direkt im CRM oder in einem Team-Chat.
• Monitoring: Ein Überwachungsdienst schickt Alarme bei Ausfällen an Ihren Messenger.
• Automatisierung: Plattformen wie n8n starten ganze Workflows, sobald ein Webhook eintrifft.

Webhooks erstellen: Schritt für Schritt

Wer Webhooks erstellen möchte, braucht keine komplexe Infrastruktur. Ein Server mit öffentlich erreichbarer URL und ein kleines Skript genügen für den Anfang. So gehen Sie vor:

1. Endpoint festlegen: Definieren Sie eine URL auf Ihrem Server, zum Beispiel https://ihre-domain.de/webhook/zahlung. Der Pfad sollte nicht erratbar sein.
2. Empfänger-Skript schreiben: Das Skript nimmt den POST-Request entgegen, liest die JSON-Daten aus und antwortet mit Statuscode 200. Mit Node.js und dem Framework Express ist ein solcher Endpoint in wenigen Zeilen umgesetzt, PHP oder Python funktionieren genauso gut.
3. Webhook beim Sender registrieren: Tragen Sie die URL in den Einstellungen des sendenden Dienstes ein und wählen Sie die Ereignisse aus, über die Sie informiert werden wollen. Hinterlegen Sie dort auch ein Secret, falls der Dienst es anbietet.
4. Zustellung testen: Viele Dienste bieten Test-Events an. Alternativ simulieren Sie den Sender selbst, etwa mit curl -X POST -H "Content-Type: application/json" -d '{"test": true}' https://ihre-domain.de/webhook/zahlung.
5. Protokollieren und Fehler behandeln: Schreiben Sie jede eingehende Anfrage in ein Log. So erkennen Sie ausbleibende Zustellungen und können fehlgeschlagene Verarbeitungen nachholen.

Webhooks absichern

Ein Webhook-Endpoint ist eine öffentlich erreichbare Schnittstelle: Jeder, der die URL kennt, kann Anfragen schicken. Sichern Sie den Empfänger deshalb von Anfang an ab:

• HTTPS verwenden: Verschlüsseln Sie die Übertragung, damit Payloads und Secrets nicht mitgelesen werden können.
• Signaturen prüfen: Viele Dienste signieren jede Anfrage mit einem HMAC-Verfahren und übermitteln die Signatur im Header. Ihr Skript berechnet die Signatur mit dem gemeinsamen Secret nach und verwirft Anfragen, bei denen sie nicht übereinstimmt.
• Zeitstempel auswerten: Lehnen Sie Anfragen ab, deren Zeitstempel zu alt ist. Das verhindert sogenannte Replay-Angriffe mit abgefangenen Anfragen.
• Eingaben validieren: Behandeln Sie jede Payload als nicht vertrauenswürdig und prüfen Sie Struktur und Inhalte, bevor Ihr System darauf reagiert.

Webhooks auf dem eigenen Server hosten

Ein Webhook-Empfänger muss durchgehend laufen und aus dem Internet erreichbar sein. Klassisches Webhosting reicht für einfache PHP-Endpoints, stößt aber an Grenzen, sobald eigene Dienste wie ein Node.js-Prozess oder eine Automatisierungsplattform dauerhaft laufen sollen. Für solche Anforderungen eignet sich ein eigener Server.

Mit einem VPS von STRATO richten Sie Ihre Webhook-Umgebung genau so ein, wie Ihr Projekt es verlangt: Laufzeitumgebung installieren, Endpoint hinter einem Reverse Proxy betreiben, Zertifikat einbinden. Ein Linux Server eignet sich dafür besonders, weil Werkzeuge wie nginx, Node.js oder Python dort zum Standardrepertoire gehören. Wenn Sie Webhooks ohne eigenen Code verarbeiten möchten, betreiben Sie auf dem Server n8n self-hosted und bauen Ihre Workflows per Oberfläche zusammen.

Das bietet der STRATO VPS für Ihren Webhook-Betrieb:

• Volle Root-Rechte für die eigene Konfiguration
• SSL-Zertifikat inklusive
• Unlimitierter Traffic
• Wählbarer Serverstandort, auf Wunsch Deutschland

Fragen & Antworten

Was kostet die Nutzung von Webhooks?

Die Technik selbst kostet nichts, denn Webhooks sind ein Konzept und kein Produkt. Kosten entstehen nur für die Infrastruktur des Empfängers, also für Server und Domain. Manche Dienste begrenzen allerdings die Anzahl der Webhook-Zustellungen je nach Tarif.

Worin unterscheiden sich Webhooks und WebSockets?

Ein Webhook ist eine einzelne HTTP-Anfrage pro Ereignis, die Verbindung endet nach der Antwort. WebSockets halten dagegen eine dauerhafte Verbindung offen, über die beide Seiten jederzeit Daten senden können. Für gelegentliche Ereignisse sind Webhooks die einfachere Lösung, für laufende Datenströme wie Chats sind WebSockets geeigneter.

Was passiert, wenn mein Empfänger offline ist?

Das hängt vom sendenden Dienst ab. Viele wiederholen die Zustellung mehrfach mit wachsenden Abständen, andere verwerfen das Ereignis nach dem ersten Fehlversuch. Prüfen Sie die Dokumentation des Dienstes und planen Sie für wichtige Daten einen Abgleich per API als Rückfalllösung ein.

Kann ich Webhooks ohne Programmierkenntnisse nutzen?

Ja. Automatisierungsplattformen wie n8n, Zapier oder Make stellen fertige Webhook-Module bereit, mit denen Sie eingehende Daten per Oberfläche weiterverarbeiten und per Mausklick mit Folgeaktionen wie E-Mail-Versand oder Tabellen-Einträgen verbinden. Der Unterschied liegt im Betrieb: Cloud-Dienste wie Zapier oder Make laufen auf der Infrastruktur des Anbieters, n8n betreiben Sie wahlweise auch auf dem eigenen Server.

Passende Server-Angebote von STRATO