API-Integration für Unternehmen: ERP, CRM, Webshop und Excel verbinden

In vielen Mittelstandsunternehmen sieht Integration so aus: Eine Bestellung kommt im Webshop an, wird in eine Excel-Liste übertragen, von dort ins ERP getippt und der Kunde manuell ins CRM gepflegt. Vier Systeme, dieselbe Information, dreimal abgetippt — und jeder Tippfehler ist jetzt offiziell.

Das ist kein Personalproblem. Es ist ein Integrationsproblem. Und es löst sich nicht durch mehr Disziplin, sondern durch saubere Schnittstellen.

Warum Datensilos teurer sind, als sie aussehen

Die Kosten doppelter Datenpflege stehen nirgends auf einer Rechnung. Sie verstecken sich in Tippfehlern, in „welche Zahl stimmt jetzt", in Stunden, die niemand bucht, und in Entscheidungen auf Basis veralteter Exporte. Genau weil die Kosten unsichtbar sind, werden sie jahrelang getragen.

Der Accelerate State of DevOps Report 2024 von DORA zeigt, was gute Integration bewirkt: kürzere Durchlaufzeiten und stabilere Abläufe entstehen, wenn Information ohne manuelle Brüche fließt — nicht durch mehr Personen, die zwischen Systemen vermitteln.

Die Excel-Brücke ist eine API — nur eine schlechte

Der Excel-Export, der per Mail durchs Haus geht, ist die aktuelle Schnittstelle zwischen Ihren Systemen. Sie ist nur manuell, unversioniert, fehleranfällig und nachts um zwei nicht verfügbar. Integration ersetzt diese Brücke nicht durch etwas Neues — sie ersetzt eine schlechte Schnittstelle durch eine verlässliche.

Vier Prinzipien sauberer Integration

1. Eine Quelle der Wahrheit pro Datenart

Vor jeder Schnittstelle steht eine Entscheidung: Welches System „besitzt" den Kunden, welches die Bestellung, welches den Artikel? Ohne diese Festlegung synchronisiert man Konflikte, keine Daten.

2. Schnittstelle statt Punkt-zu-Punkt-Wildwuchs

Vier Systeme direkt zu verdrahten ergibt zwölf brüchige Verbindungen. Eine zentrale API-Schicht, an der alle hängen, ergibt vier — und genau dieselbe Schicht trägt später Modernisierung (siehe Legacy-Modernisierung ohne Big Bang).

3. Fehler einplanen, nicht wegwünschen

Ein Zielsystem ist irgendwann nicht erreichbar — das ist sicher, nicht unwahrscheinlich. Gute Integration hat Wiederholung, Reihenfolge und ein sichtbares Protokoll. Schlechte Integration verliert die Bestellung still.

4. Sicherheit ist Teil der Schnittstelle, nicht ein Zusatz

APIs verbinden Systeme — und öffnen sie. Die OWASP API Security Top 10 führt fehlerhafte Objekt-Zugriffsrechte (BOLA) als Risiko Nummer eins; ein großer Teil der API-Angriffe zielt genau darauf. Wer Schnittstellen ohne Berechtigungsmodell baut, integriert Systeme und ihre Angriffsfläche gleich mit.

Echtzeit ist nicht immer das Ziel

Nicht jede Verbindung muss in Millisekunden synchron sein. Ein nächtlicher, verlässlicher Abgleich ist oft besser als eine fragile Echtzeit-Kopplung, die bei jedem Schluckauf eines Systems den ganzen Prozess blockiert. Die richtige Frage ist nicht „wie schnell", sondern „wie verlässlich und wie aktuell muss es wirklich sein".

Sicherheit endet nicht an der API

Eine verbundene Systemlandschaft ist nur so sicher wie ihre schwächste Schnittstelle. Wer Systeme integriert, sollte die Angriffsfläche bewusst prüfen lassen, statt sie zu vererben (siehe Penetrationstest für Web-Anwendungen). Der BSI-Lagebericht ordnet ungeprüfte Schnittstellen und Abhängigkeiten als anhaltendes Risiko ein.

Checkliste vor der Integration

• Ist pro Datenart eine Quelle der Wahrheit festgelegt?
• Bauen wir eine zentrale Schnittstelle statt Punkt-zu-Punkt-Wildwuchs?
• Sind Fehlerfall, Wiederholung und Protokoll eingeplant?
• Ist ein Berechtigungsmodell Teil der API, nicht Nachgedanke?
• Ist geklärt, wie aktuell Daten wirklich sein müssen?
• Wird die Angriffsfläche der Integration geprüft?
• Trägt die Schnittstelle später auch Modernisierung?

Häufige Fragen

Müssen wir unsere Altsysteme ablösen, um zu integrieren? Nein. Eine API-Schicht legt sich vor das Altsystem. Integration und spätere Modernisierung nutzen dieselbe Schicht — ohne Stillstand.

Reicht nicht ein nächtlicher Excel-Export? Als bewusst gewählter, protokollierter Batch: manchmal ja. Als unkontrollierte Mail mit Anhang: nein — das ist die unsichere Variante derselben Idee.

Was kostet eine Integration? Weniger als die unsichtbaren Kosten doppelter Datenpflege über zwei Jahre — aber nur, wenn die Quelle der Wahrheit vorher geklärt ist. Sonst integriert man Chaos schneller.

Brauchen wir Echtzeit? Selten überall. Meist reicht „verlässlich und aktuell genug". Echtzeit dort, wo eine Entscheidung wirklich davon abhängt.

Fazit

API-Integration ist kein Technikprojekt, sondern eine Entscheidung über Wahrheit, Verlässlichkeit und Sicherheit. Wer eine Quelle der Wahrheit festlegt, eine zentrale Schnittstelle baut, Fehler einplant und Berechtigungen ernst nimmt, ersetzt die Excel-Brücke durch ein System, das nachts um zwei auch funktioniert.

Weiterlesen

• Web-App mit Next.js: B2B-Portal entwickeln — wo Integrationen sichtbar zusammenlaufen.
• Penetrationstest für Web-Anwendungen: Ablauf und Nutzen — die Angriffsfläche verbundener Systeme prüfen.

Nächster Schritt

Bei Ihnen wird dieselbe Information mehrfach abgetippt? Beginnen Sie mit einer kurzen Einschätzung Ihrer Anforderungen. Wir klären die Quelle der Wahrheit und schneiden eine erste, verlässliche Schnittstelle.

Quellen

• DORA, Accelerate State of DevOps Report 2024 — dora.dev
• OWASP, API Security Top 10 (2023) — owasp.org
• BSI, Die Lage der IT-Sicherheit in Deutschland — bsi.bund.de