Was ist eine API? Wie APIs funktionieren und wo sie versagen

Eine API ist eine festgelegte Methode, mit der eine Softwareanwendung eine Anfrage an eine andere stellt und eine vorhersehbare Antwort erhält. In diesem Leitfaden erfährst du, was eine API eigentlich ist, wie eine Anfrage abläuft, was API-Aufrufe im Jahr 2026 kosten, wie Schlüssel und Authentifizierung funktionieren, welche Serverressourcen Integrationen beanspruchen und wo du deine eigene API entwickeln und testen kannst, ohne eine Produktionsseite zu beeinträchtigen.

Was ist eine API, ganz einfach erklärt?

API steht für „Application Programming Interface“ (Anwendungsprogrammierschnittstelle). Es handelt sich um einen Vertrag. Ein System veröffentlicht eine Reihe von Operationen, die es akzeptiert, legt genau fest, wie diese anzufordern sind, und gibt genau an, welche Ergebnisse zurückgegeben werden. Ein anderes System nutzt diesen Vertrag, ohne etwas darüber zu wissen, wie das erste System intern aufgebaut ist.

Es hilft, zu erklären, was eine API nicht ist:

• Keine Datenbank, auch wenn sie oft vor einer steht
• Keine Programmiersprache, obwohl jede größere Sprache über integrierte APIs verfügt
• Kein eigenständiges Programm, das von selbst läuft

Ein WooCommerce-Shop, der eine Kreditkarte belastet, ist das anschaulichste Beispiel. Deine Website sendet die Zahlungsdaten an die API des Zahlungsgateways. Das Gateway antwortet mit „genehmigt“, „abgelehnt“ oder einem Fehlercode. Dein Shop hat keinerlei Kontakt zu den Systemen der Bank, und das Gateway hat keinerlei Zugriff auf deinen Produktkatalog. Nur der Vertrag wird dabei ausgetauscht.

Wie funktioniert eine API-Anfrage eigentlich?

Die meisten Web-APIs laufen über HTTP, was bedeutet, dass eine Anfrage aus vier Teilen besteht: einer URL (dem Endpunkt), einer Methode, Headern und meist einem Body.

Die Methode drückt eine Absicht aus. GET ruft ab, POST erstellt, PUT oder PATCH Aktualisierungen, DELETE entfernt. Header enthalten Authentifizierungsdaten und teilen dem Server mit, welches Format du sendest. Der Body enthält die Nutzdaten, fast immer im JSON-Format.

Der Server antwortet mit einem Statuscode und einer Antwort. Ein paar, die du dir merken solltest, bevor du Integrationscode schreibst:

• „200 OK“ bedeutet, dass die Anfrage erfolgreich war
• 401 „Unauthorized“ bedeutet, dass deine Anmeldedaten falsch sind oder fehlen
• „403 Forbidden“ bedeutet, dass deine Anmeldedaten zwar gültig sind, dir aber die Berechtigung fehlt
• 429 „Too Many Requests“ bedeutet, dass du das Ratenlimit erreicht hast
• Die Fehlercodes 500 und 503 bedeuten, dass der Fehler bei ihnen liegt, nicht bei dir

Das vollständige Verhalten der einzelnen Codes ist in RFC 9110 definiert, und die MDN-Referenz zu den Statuscodes ist während der Entwicklung die schnellere Nachschlagequelle.

Das ist der Punkt, der oft übersehen wird, bis eine Website langsamer wird. Wenn deine PHP-Seite eine Remote-API aufruft und 800 Millisekunden auf die Antwort wartet, fließen diese 800 Millisekunden in deine „Time to First Byte“ ein. Der Besucher wartet. Googles Crawler wartet. Dein Server hält die ganze Zeit über einen Worker-Prozess offen.

Was sind die wichtigsten Arten von APIs, auf die du stoßen wirst?

Typ	Wie es funktioniert	Typische Anwendung	Auswirkungen auf den Server
REST	Ressourcen-URLs sowie HTTP-Methoden, JSON-Antworten	Die Standardeinstellung für die meisten öffentlichen APIs	Geringe Kosten pro Anruf, summieren sich bei hohem Aufkommen
GraphQL	Ein Endpunkt: Der Client gibt genau an, welche Felder er haben möchte	Komplexe Datenanforderungen, mobile Apps	Weniger Hin- und Rückläufe, aufwendigere Abfrageauswertung
SOAP	XML-Umschläge über HTTP, striktes Schema	Traditionelle Unternehmenssoftware, Bankwesen, Logistik	Umfangreiche Payloads, mehr Speicher zum Parsen
Webhooks	Der Anbieter ruft deine URL auf, wenn ein Ereignis eintritt	Zahlungsbestätigungen, Formularübermittlungen	Erfordert einen Listener, der immer erreichbar ist
WebSocket	Dauerhafte bidirektionale Verbindung	Live-Chat, Dashboards, Benachrichtigungen	Erfordert einen lang laufenden Prozess, kein Standard-PHP

Webhooks verdienen besondere Beachtung, weil sie die Richtung umkehren. Anstatt dass deine Website alle fünf Minuten fragt: „Hat sich etwas geändert?“, informiert dich der Anbieter sofort, sobald sich etwas ändert. Allein durch diese eine Designentscheidung lassen sich die meisten Kosten für Abfragen einsparen.

Warum ist die API-Dokumentation wichtiger als der Code?

Eine nicht dokumentierte API ist keine API. Es ist eine private Funktion, auf die sonst niemand zugreifen kann.

Normale Software kann auch ohne Dokumentation funktionieren. Du hast sie geschrieben, du kennst sie, du führst sie aus. Eine API gibt es genau dafür, dass andere Leute sie aufrufen können – daher ist die Dokumentation das eigentliche Produkt. Wenn in der Dokumentation der Endpunkt, die erforderlichen Parameter, die Authentifizierungsmethode, die Ratenbegrenzungen und die Fehlercodes nicht angegeben sind, kann niemand darauf aufbauen.

Deshalb hat sich die OpenAPI-Spezifikation als Standard durchgesetzt. Sie beschreibt eine API in einem maschinenlesbaren Format, wodurch Tools automatisch Client-Bibliotheken, Testsuiten und interaktive Dokumentationen aus einer einzigen Quelle generieren können. Bevor du dich für eine API eines Drittanbieters entscheidest, lies dir deren Versions- und Auslaufrichtlinien durch. Eine API, die sich ohne Vorankündigung ändert, wird deine Website an einem Dienstagnachmittag aus Gründen, auf die du keinen Einfluss hast, lahmlegen.

Was ist ein API-Aufruf und warum summieren sich die Kosten?

Ein API-Aufruf ist eine einzelne Anfrage an eine API. Aufrufe an eine in deiner Programmiersprache integrierte Bibliothek sind kostenlos, da sie nur die Ressourcen deines eigenen Servers beanspruchen. Aufrufe an einen Remote-Dienst funktionieren nach anderen Kostenmodellen, da sie von der Infrastruktur eines Drittanbieters beantwortet werden.

Google Maps ist das beste Beispiel dafür, wie schnell sich die Lage ändert. Im März 2025 hat Google das pauschale monatliche Guthaben von 200 Dollar durch einen kostenlosen monatlichen Nutzungsfreiraum ersetzt, der für jede Core-Services-SKU gilt – unterteilt in die Kategorien „Essentials“, „Pro“ und „Enterprise“ – und die Places-API, die Directions-API sowie die Distance-Matrix-API in den „Legacy“-Status versetzt. Die kostenlose Nutzung wird nicht mehr API-übergreifend gebündelt. Ein Store Locator, der vier „Essentials“-Endpunkte aufruft, erhält daher für jeden Endpunkt ein separates Limit statt eines gemeinsamen Budgets, und die Abrechnung beginnt bei dem Endpunkt, dessen Limit zuerst aufgebraucht ist. Google veröffentlicht die aktuellen Limits in seinem Leitfaden zu den Abrechnungsänderungen vom März 2025.

Soziale Plattformen sind denselben Weg gegangen. X hat im Februar 2026 das nutzungsabhängige Bezahlmodell zur Standardeinstellung für neue Entwickler gemacht, die kostenlose Stufe abgeschafft und die alten „Basic“- und „Pro“-Abonnements für Neuanmeldungen geschlossen. Alles, was du liest, in dem diese APIs als kostenlos beschrieben werden, bezieht sich auf eine Version des Internets, die es nicht mehr gibt.

Ein API-Schlüssel ist kein Passwort, das du im Team weitergibst. Es handelt sich um ein Kontingentkonto, bei dem dein Firmenname auf der Rechnung steht.

Drei Gewohnheiten sorgen für eine faire Abrechnung: Speichere Antworten im Cache, die sich nicht jede Sekunde ändern, verwende separate Schlüssel für Entwicklung und Produktion, damit Testverkehr niemals auf die Produktionsquote angerechnet wird, und richte gleich am ersten Tag eine Budgetwarnung ein, statt erst an dem Tag, an dem die Rechnung eintrifft.

Wie funktionieren API-Schlüssel und Authentifizierung?

Die meisten APIs nutzen einen von drei Ansätzen.

API-Schlüssel sind eine einzelne Zeichenfolge, die in einem Header gesendet wird. Ganz einfach – und leicht zu offenlegen. Schränke ihren Zugriff über IP-Adresse oder Referrer ein, wo immer der Anbieter das zulässt.

OAuth 2.0 vergibt im Namen eines Nutzers kurzlebige Zugriffstoken, sodass deine App niemals mit dessen Passwort in Berührung kommt. Genau das passiert, wenn eine App um die Erlaubnis bittet, in deinem Namen Beiträge zu veröffentlichen. Das OAuth 2.0-Framework ist der Standard für alles, was mit Nutzerdaten zu tun hat.

Bei signierten Anfragen wird mithilfe eines gemeinsamen Geheimschlüssels pro Anfrage eine HMAC-Signatur generiert, die belegt, dass die Nutzdaten während der Übertragung nicht manipuliert wurden. Zahlungsgateways und Webhook-Absender stützen sich darauf.

Egal, wofür du dich entscheidest: Das Geheimnis gehört in eine Umgebungsvariable oder eine Datei außerhalb des Web-Stammverzeichnisses mit streng eingeschränkten Zugriffsrechten. Nicht in dein Repository. Bots, die Zugangsdaten scannen, finden festgeschriebene Schlüssel innerhalb von Minuten nach einem Push, und ein durchgesickerter Schlüssel für eine kostenpflichtige API ist wie eine durchgesickerte Kreditkartennummer.

Wie sehen APIs in realen Website-Szenarien aus?

E-Commerce-Kasse. Ein einziger Kassenvorgang kann Aufrufe an ein Zahlungsgateway, einen Steuerrechner, einen Anbieter für Versandkosten und ein Lagerverwaltungssystem auslösen. Vier Abhängigkeiten, vier Möglichkeiten, dass ein Timeout einen Kunden mitten im Kaufvorgang im Stich lässt.

WordPress . Die WordPress stellt Beiträge, Seiten, Medien und benutzerdefinierte Typen als JSON-Endpunkte bereit. Sie bildet die Grundlage für den Block-Editor, Headless-Frontends, mobile Apps und die meisten modernen Plugin-Integrationen. Jede WordPress nutzt bereits eine API, ob der Betreiber das nun weiß oder nicht.

Berichterstattung durch die Agentur. Ein Studio, das 30 Kundenwebsites betreut, ruft regelmäßig Daten aus Analytics, der Search Console und zur Verfügbarkeit ab und trägt sie in ein Dashboard ein. Niemand muss sich in 90 verschiedene Konsolen einloggen.

SaaS-Webhook-Listener. Deine App stellt einen Endpunkt bereit, den ein CRM oder eine Abrechnungsplattform aufruft, sobald sich ein Datensatz ändert. Dieser muss erreichbar und schnell sein, sonst stauen sich die Ereignisse und werden schließlich verworfen.

Unterscheidet sich eine KI-API von einer normalen API?

Nein, und genau das bringt die Leute mehr als alles andere aus der Bahn.

Wenn ein Entwickler sagt, er rufe die Claude-API oder die OpenAI-API auf, dann beschreibt er genau das, worüber du gerade gelesen hast. Eine HTTP-Anfrage an einen Endpunkt. Ein Schlüssel im Header. JSON im Body. Ein Statuscode als Antwort. Der gleiche 401, wenn der Schlüssel falsch ist, der gleiche 429, wenn du es übertreibst. Wenn du Stripe aufrufen kannst, kannst du auch einen Modellanbieter aufrufen.

Es gibt drei Unterschiede, die du unbedingt kennen solltest, bevor du die erste Zeile schreibst:

Die Abrechnungseinheit ist nicht der Aufruf. Klassische APIs berechnen pro Anfrage. Modell-APIs berechnen pro Token – ein Textabschnitt, der ungefähr so groß ist wie ein kurzes Wort – und zwar sowohl für das, was du sendest, als auch für das, was zurückkommt. Ein einziger Aufruf mit einem langen angehängten Dokument kann mehr kosten als tausend Aufrufe an eine Wetter-API. Hier ist es falsch, die Anzahl der Aufrufe zu optimieren. Achte lieber auf die Größe der Nutzdaten.

Die Antworten kommen langsam und unregelmäßig. Ein REST-Endpunkt antwortet in etwa 100 Millisekunden. Eine Modell-API kann mehrere Sekunden dauern, und die Wartezeit variiert von Anfrage zu Anfrage. Das gehört in einen Hintergrundjob, auf keinen Fall in die Seitenrenderung.

Ein und dieselbe Anfrage kann eine unterschiedliche Antwort zurückgeben. Das widerspricht den Annahmen zum Caching, die sonst überall in diesem Artikel gelten, und deine Fehlerbehandlung darf nicht von einer festen Antwortstruktur ausgehen, es sei denn, du fragst explizit danach.

Die meisten Unklarheiten betreffen noch den Wortschatz:

Begriff	Was es eigentlich ist
API	Der Vertrag. Eine festgelegte Anfrage rein, eine festgelegte Antwort raus.
SDK	Eine Bibliothek, die eine API in deiner Sprache umsetzt, damit du HTTP-Anfragen nicht manuell erstellen musst. Im Hintergrund sind es dieselben Endpunkte.
Endpunkt	Eine bestimmte URL innerhalb einer API.
Modell	Software, die der Anbieter auf seiner eigenen Infrastruktur betreibt. Du greifst über eine API darauf zu.
Token	Die Abrechnungs- und Ratenbegrenzungseinheit für Modell-APIs. Kein Aufruf.
Funktionsaufruf	Das Modell gibt eine strukturierte Anfrage zurück, die dein Code ausführen soll. Den eigentlichen API-Aufruf führt dein Code weiterhin selbst durch.
MCP	Das Model Context Protocol ist ein offener Standard, mit dem sich Werkzeuge für ein Modell in einem einheitlichen Format beschreiben lassen. Es wird zusätzlich zu APIs eingesetzt und ersetzt diese nicht.
Agent	Ein Programm, das entscheidet, welche API-Aufrufe in welcher Reihenfolge ausgeführt werden sollen. Die zugrunde liegenden API-Aufrufe.

MCP ist der einzige Begriff hier, den du dir richtig aneignen solltest, anstatt nur mit dem Kopf zu nicken. Anthropic hat ihn im November 2024 veröffentlicht und im Dezember 2025 der „Agentic AI Foundation“ der Linux Foundation gespendet, wobei OpenAI, Google und Microsoft Unterstützung zugesagt haben – was ihn zu einem herstellerübergreifenden Standard macht und nicht zum Format eines einzelnen Unternehmens. Technisch gesehen handelt es sich um JSON-RPC über Standard-Ein-/Ausgabe oder HTTP. Der für diesen Artikel relevante Teil: Ein MCP-Server ist etwas, das du betreibst, was bedeutet, dass du ihn hostest.

Genau hier kommen KI-Integrationen wieder in die Infrastruktur ins Spiel. Das Modell läuft auf der Hardware des Anbieters. Was du betreibst, ist alles drum herum: die Agent-Schleife, der MCP-Server, der deine eigenen Daten bereitstellt, der Queue-Worker, der Wartezeiten von mehreren Sekunden auffängt, und der Cache, der die Ergebnisse speichert. Lang andauernde Prozesse mit unvorhersehbarer Dauer – genau das ist das Profil, für das Shared Hosting nicht ausgelegt ist.

Welche Serverressourcen beanspruchen API-Integrationen?

An dieser Stelle hören die meisten Tutorials auf und die meisten Probleme in der Praxis fangen an.

Jeder ausgehende API-Aufruf, der während einer Seitenanfrage erfolgt, hält einen PHP-Worker offen, bis der Remote-Server antwortet. Wenn ein Aufruf 2 Sekunden dauert und 20 Besucher gleichzeitig auf diese Seite zugreifen, sind 20 Worker damit beschäftigt, nichts anderes zu tun als zu warten. Speicher wird für das Parsen der zurückgesendeten JSON-Daten benötigt, und eine umfangreiche Antwort, die bei jeder Anfrage geparst wird, summiert sich schnell.

Für geplante Synchronisierungen braucht man Cron. Die Verarbeitung der Warteschlange erfordert einen persistenten Worker und etwas wie Redis, um die Warteschlange zu verwalten. Webhook-Listener müssen eine Anfrage annehmen, sie innerhalb von Millisekunden bestätigen und erst danach die eigentliche Arbeit erledigen – was wiederum einen Hintergrundprozess bedeutet.

Das ist alles nichts Besonderes. Es ist einfach Arbeit, die irgendwo anders erledigt werden muss als während des Ladens der Seite für den Besucher.

Warum schränkt Shared Hosting die API-Entwicklung ein?

Shared Hosting ist darauf ausgelegt, Webseiten zuverlässig für viele Accounts auf einem Server bereitzustellen, und das macht es gut. Die API-Entwicklung stellt jedoch Anforderungen, die dieses Modell nicht erfüllt.

Du erhältst keine Root-Rechte, daher kannst du weder Redis noch Node.js, PostgreSQL oder eine Container-Laufzeitumgebung installieren. Die Ressourcenbeschränkungen werden pro Konto durchgesetzt, in der Regel über CloudLinux LVE, sodass ein ressourcenintensiver Synchronisierungsjob mit den Seitenanfragen deiner eigenen Website um die gleichen Ressourcen konkurriert. Lang laufende Prozesse sind nicht erlaubt, was Queue-Worker und WebSocket-Server ausschließt. Die Cron-Häufigkeit ist begrenzt.

Für eine Website, die eine API nur ein paar Mal am Tag aufruft, spielt das alles keine Rolle. Für einen Entwickler, der Integrationen erstellt und testet, ist das alles aber wichtig.

Wann solltest du deine API-Anwendungen auf einen VPS verlagern?

Verlass dich lieber auf messbare Signale als auf dein Bauchgefühl:

• Ausgehende API-Aufrufe innerhalb des Anforderungszyklus treiben die TTFB auf über etwa 600 ms
• Du brauchst Redis oder Memcached für einen Antwort-Cache oder eine Job-Warteschlange
• Für dein Stack benötigst du Node.js, Python, PostgreSQL, MongoDB oder Docker
• Du brauchst eine Staging-Umgebung, die der Produktionsumgebung entspricht, und keine Kopie, die sich anders verhält
• Cron muss jede Minute laufen, um eine Warteschlange zu leeren
• Ressourcenbeschränkungen bremsen dein Konto während der geplanten Synchronisierungen

Wenn keiner dieser Punkte auf deine Situation zutrifft, bleib einfach, wo du bist. Für Kapazitätsreserven zu bezahlen, die du gar nicht nutzt, ist keine Optimierung.

Wie richtet man einen VPS für die API-Entwicklung und -Tests ein?

VPS-Hosting bietet dir Root-Zugriff auf isolierte Ressourcen – genau das, was du für API-Anwendungen brauchst. Der Einstiegstarif für Managed VPS InMotion Hostingumfasst 4 vCPU-Kerne, 8 GB RAM, 160 GBSSD und 2 dedizierte IP-Adressen, wobei der Tarif mit 16 vCPU als Docker-kompatibel ausgewiesen ist. Die Tarife unterstützen Redis, Memcached, Node.js, Python, Django, Laravel, PostgreSQL, MongoDB, ElasticSearch und NGINX Haus NGINX .

Eine praktikable Vorgehensweise:

1. Wähle deine Verwaltungsstufe aus. Der verwaltete VPS enthält cPanel Control Web Panel die Installation von Betriebssystem-Patches und die Aktualisierung des Panels von internen Systemadministratoren übernommen werden. Der selbstverwaltete Cloud-VPS ist nur über SSH zugänglich und setzt voraus, dass du die Konsole nutzen möchtest.
2. Erstelle ein separates Staging-Konto auf einer eigenen Subdomain mit eigenen API-Schlüsseln.
3. Installiere deine Cache-Ebene. Redis für das Caching von Antworten und Warteschlangen.
4. Speichere die Anmeldedaten in Umgebungsvariablen außerhalb des Web-Stammverzeichnisses.
5. Die Synchronisierung erfolgt über Cron und nicht beim Laden der Seite.
6. Aktiviere die Protokollierung der Anfragen, damit du das Anrufaufkommen schon sehen kannst, bevor du die Rechnung vom Anbieter bekommst.
7. Teste mit curl anhand der Staging-Schlüssel, bevor irgendetwas in die Produktion gelangt.

Die Managed-VPS-Pakete beinhalten „Launch Assist“, bei dem dir ein Systemadministrator zwei Stunden lang bei der Server-Einrichtung oder bei Migrationsarbeiten zur Seite steht.

Was sind die häufigsten API-Fehler, die Geld kosten?

• Kein Caching. Bei jedem Seitenaufruf wird dieselbe Anfrage neu bearbeitet und jedes Mal abgerechnet.
• Blockiere Aufrufe während des Seitenrenderings. Verschiebe alles, was nicht unbedingt nötig ist, in einen Hintergrundauftrag.
• Es ist keine Zeitüberschreitung festgelegt. Ein hängender Remote-Server sollte deine Website nicht lahmlegen. Fünf bis zehn Sekunden sind eine angemessene Obergrenze.
• Fehler 429. Versuch es noch einmal mit exponentiellem Backoff, statt einer sofortigen Schleife, die die Drosselung noch verschlimmert.
• Schlüssel in der Versionsverwaltung. Das ist nach wie vor der Hauptgrund für unerwartete API-Rechnungen.
• Ein Schlüssel für jede Umgebung. Testverkehr verbraucht das Produktionskontingent und verfälscht die Produktionsdaten.
• Abfragen, ob Webhooks vorhanden sind. Jede Minute nach etwas zu suchen, das sich zweimal am Tag ändert, bedeutet 1.438 verschwendete Aufrufe.
• Keine Protokollierung. Man kann das Anrufaufkommen nicht optimieren, das man nicht sieht.

Welche Umgebung passt zu deiner API-Arbeit?

Passe die Umgebung an die Arbeitslast an, nicht an deine Ambitionen:

Deine Situation	Passform
Ein paar API-Aufrufe pro Tag, keine eigene Software	Shared Hosting
WordPress mit Plugin-basierten Integrationen und Besucherzahlen	Hosting für WordPress
Zum Erstellen oder Testen von Integrationen brauchst du Redis, Node oder Docker	VPS-Hosting
Anhaltend hoher API-Datenverkehr mit hoher Parallelität, große Datenbanken	Dedizierte Server

Wenn du Integrationen für APIs entwickelst und diese an einem Ort testest, an dem du nicht installieren kannst, was du brauchst, ist ein VPS die Umgebung, die dir keine Steine in den Weg legt. Die VPS-Tarife InMotion Hostinglaufen in Rechenzentren in Virginia, Kalifornien und Amsterdam, beinhalten einen 24/7-Support durch hauseigene Techniker und sind durch eine bis zu 90-tägige Geld-zurück-Garantie abgesichert.

Bist du bereit, irgendwo mit Root-Zugriff zu entwickeln? Vergleiche unsere VPS-Hosting-Pakete oder sprich mit unserem Vertriebsteam darüber, was dein Stack benötigt.