API einfach erklärt: Funk­ti­ons­wei­se, Arten und Beispiele

Wie ein Graphical User Interface (GUI) die Kom­mu­ni­ka­ti­on zwischen Mensch und Maschine er­mög­licht, so erlaubt eine API die Kom­mu­ni­ka­ti­on zwischen ver­schie­de­nen Software-An­wen­dun­gen. Über die Pro­gram­mier­schnitt­stel­le tauschen Programme Daten und Befehle nach festen Regeln aus – auch dann, wenn sie von un­ter­schied­li­chen Her­stel­lern stammen und in ver­schie­de­nen Pro­gram­mier­spra­chen ge­schrie­ben wurden.

Was ist eine API?

Eine API (Ap­pli­ca­ti­on Pro­gramming Interface, deutsch: Pro­gram­mier­schnitt­stel­le) ist eine de­fi­nier­te Schnitt­stel­le, über die ein Programm bestimmte Funk­tio­nen und Daten für andere Programme be­reit­stellt. Die API legt fest, welche Anfragen erlaubt sind, wie sie for­mu­liert werden müssen und in welcher Form die Antwort zu­rück­kommt. Wie die Funk­tio­nen intern umgesetzt sind, bleibt dabei verborgen: Die auf­ru­fen­de Software muss nur die Schnitt­stel­le kennen, nicht den Quellcode dahinter.

APIs gibt es auf vielen Ebenen. Be­triebs­sys­te­me stellen Pro­gram­men Schnitt­stel­len für den Zugriff auf Dateien, Netzwerk oder Hardware bereit, Pro­gramm­bi­blio­the­ken bieten Funk­tio­nen über ihre API an, und Web­diens­te lassen sich über das Internet an­spre­chen. Auch innerhalb einer einzelnen Anwendung kom­mu­ni­zie­ren einzelne Module häufig über klar de­fi­nier­te Schnitt­stel­len mit­ein­an­der. Im all­ge­mei­nen Sprach­ge­brauch ist mit „API“ heute meist eine Web-API gemeint, die über HTTP er­reich­bar ist.

Wozu braucht man APIs?

Software-Her­stel­ler stellen APIs bereit, damit andere Ent­wick­le­rin­nen und Ent­wick­ler auf aus­ge­wähl­te Funk­tio­nen und Daten zugreifen können, ohne diese selbst nachbauen zu müssen. Anbieter wie SAP, Amazon oder Google bieten APIs für ver­schie­de­ne An­wen­dungs­be­rei­che an, von Zah­lungs­ab­wick­lung über Cloud-Res­sour­cen bis hin zu Kar­ten­diens­ten. Typische Aufgaben, die sich über APIs erledigen lassen:

• Anfragen an eine andere Software senden und deren Antwort wei­ter­ver­ar­bei­ten
• Inhalte und Funk­tio­nen externer Dienste in eigene Websites oder Apps einbinden, etwa Karten, Zahlungen oder Logins
• Be­stehen­de Funk­tio­nen wie­der­ver­wen­den, statt sie neu zu pro­gram­mie­ren
• Kon­trol­lie­ren, wer in welchem Umfang auf Daten und Funk­tio­nen zugreifen darf
• Abläufe au­to­ma­ti­sie­ren, zum Beispiel das Anlegen von Servern oder das Syn­chro­ni­sie­ren von Daten zwischen Systemen

Im Alltag begegnen Ihnen APIs vor allem bei Web­diens­ten. Ein Beispiel ist die Flugsuche: Geben Sie auf einem Ver­gleichs­por­tal Ziel und Datum ein und klicken auf „Suchen“, fragt das Portal über Schnitt­stel­len die Angebote von Flug­ge­sell­schaf­ten und Bu­chungs­sys­te­men ab. Innerhalb weniger Sekunden erhalten Sie eine Übersicht buchbarer Flüge, obwohl die Daten aus vielen un­ter­schied­li­chen Systemen stammen.

Auch KI-An­wen­dun­gen sind stark auf APIs an­ge­wie­sen: Große Sprach­mo­del­le werden in der Regel per API in eigene An­wen­dun­gen ein­ge­bun­den, und KI-As­sis­ten­ten greifen wiederum über Schnitt­stel­len auf externe Daten und Werkzeuge zu. Für diese Anbindung hat sich mit dem Model Context Protocol (MCP) ein offener Standard etabliert.

Wie funk­tio­nie­ren APIs?

Eine API wird in der Regel von den Ent­wick­lern einer Software be­reit­ge­stellt, damit andere Programme sie nutzen können. Sie dient damit in erster Linie Pro­gram­mie­rern, kommt am Ende aber den End­nut­zern zugute. Die Schnitt­stel­le legt fest, wie Anfragen ent­ge­gen­ge­nom­men und Daten zu­rück­ge­sen­det werden. Bei einer Web-API läuft das meist nach dem Prinzip von Anfrage und Antwort (Request und Response) ab:

1. Der Client (etwa eine App oder ein Skript) sendet eine Anfrage an einen be­stimm­ten Endpunkt der API, also eine de­fi­nier­te Adresse wie https://api.example.com/v1/users/42.
2. Die Anfrage enthält die ge­wünsch­te Aktion, ge­ge­be­nen­falls Parameter oder Daten sowie Angaben zur Au­then­ti­fi­zie­rung, zum Beispiel einen API-Schlüssel oder ein Token.
3. Der Server prüft die Be­rech­ti­gung, ver­ar­bei­tet die Anfrage und schickt eine Antwort zurück – meist im Da­ten­for­mat JSON, seltener in XML – zusammen mit einem Sta­tus­code, der den Erfolg oder Fehler anzeigt.

Sehr ver­brei­tet für Web-APIs ist der Ar­chi­tek­tur­stil REST. Eine REST-API nutzt die Methoden des HTTP-Pro­to­kolls: GET ruft Daten ab, POST legt neue Daten an, PUT oder PATCH ändern be­stehen­de Daten und DELETE löscht sie. Weil REST auf bekannten Web­stan­dards aufbaut, lassen sich solche APIs ver­gleichs­wei­se einfach anbinden. Eine Anfrage an eine REST-API kann bei­spiels­wei­se so aussehen:

curl -X GET "https://api.example.com/v1/users/42" \
  -H "Accept: application/json" \
  -H "Authorization: Bearer IHR_TOKEN"

Der Server antwortet dann etwa mit dem Sta­tus­code 200 (OK) und den an­ge­for­der­ten Daten im JSON-Format:

{
  "id": 42,
  "name": "Max Mustermann",
  "email": "max@example.com"
}

Damit andere Programme eine API korrekt nutzen können, braucht es vor allem zwei Dinge: einen ver­bind­li­chen Standard für Anfragen und Antworten und eine gute Do­ku­men­ta­ti­on der Endpunkte, Parameter und Feh­ler­codes. Für Web-APIs hat sich dafür die OpenAPI-Spe­zi­fi­ka­ti­on etabliert, mit der sich eine Schnitt­stel­le ma­schi­nen­les­bar be­schrei­ben lässt. Viele Anbieter begrenzen zudem die Zahl der Anfragen pro Zeit­ein­heit (Rate Limiting) und ver­sio­nie­ren ihre APIs, damit Än­de­run­gen be­stehen­de An­wen­dun­gen nicht unbemerkt be­ein­träch­ti­gen.

Zur Anzeige dieses Videos sind Cookies von Dritt­an­bie­tern er­for­der­lich. Ihre Cookie-Ein­stel­lun­gen können Sie hier aufrufen und ändern.

API, SDK und Web­ser­vice: Was ist der Un­ter­schied?

Die Begriffe werden oft im selben Zu­sam­men­hang genannt, be­zeich­nen aber Ver­schie­de­nes:

Kurz gesagt: Jeder Web­ser­vice hat eine API, aber nicht jede API ist ein Web­ser­vice – auch eine Pro­gramm­bi­blio­thek oder ein Be­triebs­sys­tem stellt eine API bereit. Ein SDK wiederum er­leich­tert die Arbeit mit einer oder mehreren APIs.

Welche Arten von APIs gibt es?

APIs lassen sich nach ver­schie­de­nen Kriterien einteilen. In der Praxis sind vor allem zwei Per­spek­ti­ven wichtig: wer auf die Schnitt­stel­le zugreifen darf und welche Ar­chi­tek­tur bzw. welches Protokoll sie verwendet.

Ein­tei­lung nach Zugriff: private, Partner- und öf­fent­li­che APIs

• Private (interne) APIs stehen nur innerhalb eines Un­ter­neh­mens zur Verfügung. Sie verbinden fir­men­ei­ge­ne Systeme und Dienste mit­ein­an­der, etwa in einer Mi­cro­ser­vice-Ar­chi­tek­tur.
• Partner-APIs sind für aus­ge­wähl­te Ge­schäfts­part­ner frei­ge­ge­ben, die dafür in der Regel eine ge­son­der­te Zu­gangs­be­rech­ti­gung erhalten, zum Beispiel Händler, die an eine Lo­gis­tik­platt­form an­ge­bun­den werden.
• Öf­fent­li­che (offene) APIs stehen grund­sätz­lich allen Ent­wick­lern zur Verfügung, meist nach einer Re­gis­trie­rung und mit einem API-Schlüssel. Beispiele sind die APIs von Google, Amazon, eBay, Meta (Facebook), X (ehemals Twitter) und PayPal. „Öf­fent­lich“ bedeutet dabei nicht au­to­ma­tisch kostenlos: Viele Anbieter rechnen die Nutzung nach Volumen ab oder bieten nur ein be­grenz­tes Gra­tis­kon­tin­gent.

Ein­tei­lung nach Ar­chi­tek­tur und Protokoll

Bei Web-APIs un­ter­schei­det man vor allem nach dem zugrunde liegenden Ar­chi­tek­tur­stil oder Protokoll:

Ein­tei­lung nach Pro­gram­mier­mo­dell

Un­ab­hän­gig vom Web un­ter­schei­det die In­for­ma­tik klassisch vier Arten von Pro­gram­mier­schnitt­stel­len:

• Funk­ti­ons­ori­en­tier­te APIs stellen aus­schließ­lich Funk­tio­nen bereit, die mit oder ohne Rück­ga­be­wert auf­ge­ru­fen werden. Häufig erhält das auf­ru­fen­de Programm zunächst ein so­ge­nann­tes Handle, mit dem es weitere Funk­tio­nen aufruft. Ein Beispiel sind Pro­gramm­bi­blio­the­ken wie DLLs unter Windows.
• Da­tei­ori­en­tier­te APIs werden über ge­wöhn­li­che Da­tei­ope­ra­tio­nen wie Öffnen, Lesen, Schreiben und Schließen an­ge­spro­chen. Ein bekanntes Beispiel sind Ge­rä­te­da­tei­en unter Unix und Linux, über die Programme auf Hardware zugreifen.
• Ob­jekt­ori­en­tier­te APIs arbeiten mit Objekten und Schnitt­stel­len­zei­gern. Dadurch sind sie flexibler als funk­ti­ons­ori­en­tier­te APIs.
• Pro­to­koll­ori­en­tier­te APIs sind un­ab­hän­gig von Be­triebs­sys­tem und Hardware, da die Kom­mu­ni­ka­ti­on über ein fest­ge­leg­tes Protokoll wie SOAP oder SMTP erfolgt. Das Protokoll muss al­ler­dings von jeder be­tei­lig­ten Anwendung umgesetzt werden.

Welche Vor- und Nachteile haben APIs?

Von APIs pro­fi­tie­ren mehrere Seiten: die Anbieter einer Software, externe Ent­wick­ler und letztlich die Nut­ze­rin­nen und Nutzer.

Vorteile:

• Ver­brei­tung: Software mit einer gut do­ku­men­tier­ten API lässt sich leichter in andere An­wen­dun­gen in­te­grie­ren und wird dadurch häufiger genutzt.
• Funk­ti­ons­um­fang: Externe Ent­wick­ler können ihre An­wen­dun­gen um Funk­tio­nen anderer Dienste erweitern, ohne diese selbst zu ent­wi­ckeln.
• Effizienz: Be­stehen­de Bausteine wie­der­zu­ver­wen­den spart Ent­wick­lungs­zeit und Kosten.
• Komfort: Nutzer können ver­schie­de­ne Programme und Dienste mit­ein­an­der kom­bi­nie­ren und Daten ohne manuelles Über­tra­gen aus­tau­schen.
• Kon­trol­lier­ter Zugriff: Der Anbieter legt genau fest, welche Daten und Funk­tio­nen nach außen sichtbar sind.

Nachteile und Grenzen:

• Ab­hän­gig­keit: Wer eine fremde API nutzt, ist auf deren Ver­füg­bar­keit an­ge­wie­sen. Ändert der Anbieter die Schnitt­stel­le, die Preise oder die Nut­zungs­be­din­gun­gen oder stellt er sie ein, müssen Sie Ihre Anwendung anpassen.
• Kosten und Limits: Viele kom­mer­zi­el­le APIs rechnen nach Anfragen oder Volumen ab und begrenzen die Zahl der Aufrufe.
• Si­cher­heit: Jede öf­fent­lich er­reich­ba­re Schnitt­stel­le ist ein möglicher An­griffs­punkt. Typische Risiken sind feh­ler­haf­te Zu­griffs­kon­trol­len, schwache Au­then­ti­fi­zie­rung oder of­fen­ge­leg­te API-Schlüssel. Abhilfe schaffen unter anderem ver­schlüs­sel­te Ver­bin­dun­gen per HTTPS, Au­to­ri­sie­rungs­ver­fah­ren wie OAuth 2.0, Rate Limiting und eine re­gel­mä­ßi­ge Über­prü­fung, etwa anhand der OWASP API Security Top 10.
• Pfle­ge­auf­wand: Für Anbieter bedeutet eine API dau­er­haf­ten Aufwand für Do­ku­men­ta­ti­on, Ver­sio­nie­rung, Support und Ab­wärts­kom­pa­ti­bi­li­tät.

Beispiel: APIs und SDKs für Google Maps

Google Maps ist ein sehr bekanntes Beispiel für die In­te­gra­ti­on von APIs. Der Kar­ten­dienst wurde im Februar 2005 vor­ge­stellt und ist seitdem für viele Menschen kaum noch weg­zu­den­ken – ob im Browser oder als App auf dem Smart­phone.

Auf der Google Maps Platform finden Ent­wick­ler APIs und SDKs, mit denen sich Karten, Rou­ten­pla­nung oder Orts­in­for­ma­tio­nen in eigene Apps, Programme und Websites einbinden lassen. Mit der Maps Ja­va­Script API bei­spiels­wei­se können Website-Betreiber in­ter­ak­ti­ve Karten hin­zu­fü­gen. Das ist besonders für Geschäfte oder Re­stau­rants in­ter­es­sant, deren Erfolg davon abhängt, dass Kunden sie finden. Für die Nutzung benötigen Sie einen API-Schlüssel und ein Rech­nungs­kon­to in der Google Cloud. Seit März 2025 gibt es für die Core Services je SKU ein kos­ten­lo­ses mo­nat­li­ches Kon­tin­gent an Aufrufen, darüber hinaus fallen nut­zungs­ab­hän­gi­ge Gebühren an.

Zur Anzeige dieses Videos sind Cookies von Dritt­an­bie­tern er­for­der­lich. Ihre Cookie-Ein­stel­lun­gen können Sie hier aufrufen und ändern.

Wie kann man APIs testen?

Wer APIs in eigene Programme in­te­griert, sollte sie zunächst testen: Liefert die Schnitt­stel­le die er­war­te­ten Daten, reagiert sie korrekt auf feh­ler­haf­te Anfragen und antwortet sie schnell genug? Auch wer selbst eine API ent­wi­ckelt, sollte sie vor der Ver­öf­fent­li­chung gründlich prüfen. Zwei ver­brei­te­te Werkzeuge dafür sind Postman und cURL.

Mit Postman lassen sich API-Anfragen über eine grafische Ober­flä­che zu­sam­men­stel­len, ab­schi­cken und auswerten. Anfragen können in Samm­lun­gen (Coll­ec­tions) ge­spei­chert, au­to­ma­ti­siert getestet und mit anderen geteilt werden. Ent­wick­ler können außerdem API-Spe­zi­fi­ka­tio­nen im­por­tie­ren, unter anderem in den Formaten OpenAPI, AsyncAPI, GraphQL und Protocol Buffers. So lassen sich APIs sowohl in frühen Ent­wick­lungs­pha­sen als auch kurz vor der Ver­öf­fent­li­chung testen. Postman ist als Desktop-App und im Browser verfügbar. Der kos­ten­lo­se Free-Tarif ist seit März 2026 auf einen Nutzer be­schränkt. Kos­ten­pflich­tig sind der Tarif Solo (9 US-Dollar pro Monat) und der Tarif Team (19 US-Dollar pro Nutzer und Monat bei jähr­li­cher Ab­rech­nung). Für größere Or­ga­ni­sa­tio­nen gibt es einen En­ter­pri­se-Tarif auf Anfrage.

cURL ist ein Kom­man­do­zei­len­werk­zeug, mit dem sich Daten über zahl­rei­che Pro­to­kol­le über­tra­gen und damit auch APIs testen lassen. Die Bedienung erfordert etwas Erfahrung mit der Kom­man­do­zei­le und ist weniger kom­for­ta­bel als in Postman, da es keine grafische Ober­flä­che gibt. Dafür ist cURL kostenlos und Open Source, auf vielen Systemen bereits vor­in­stal­liert und lässt sich leicht in Skripte einbinden. Die Do­ku­men­ta­ti­on finden Sie auf der cURL-Pro­jekt­sei­te.