Was ist ein Webhook?
Stell dir vor, du wartest auf ein Paket. Du kannst alle fünf Minuten zur Haustür laufen und nachsehen. Oder du wartest, bis es klingelt. Ein Webhook ist die Klingel.
Technisch ist ein Webhook eine kleine Nachricht über das Internet (ein HTTP-Request), die ein Dienst automatisch an eine Adresse schickt, die du vorher hinterlegt hast. Ausgelöst wird sie durch ein Ereignis: eine neue Bestellung im Shop, eine bezahlte Rechnung, ein ausgefülltes Formular. Mit dabei sind die Daten dazu, meist im Format JSON.
GitHub beschreibt Webhooks ausdrücklich als Alternative dazu, eine API immer wieder abzufragen. Shopify nennt sie eine schnelle Alternative zum ständigen Nachfragen, die Daten nahezu in Echtzeit liefert.
Webhook, API oder Polling?
Weg
So funktioniert er
API
Du fragst aktiv nach, wann du willst
Polling
Du fragst in festen Abständen nach
Webhook
Der Dienst meldet sich von selbst
Der Unterschied zeigt sich in der Geschwindigkeit. Bei Zapier prüfen Trigger mit Polling je nach Tarif alle 1 bis 15 Minuten auf Neues. Trigger über Webhooks laufen dagegen nahezu in Echtzeit. Make nennt sie deshalb Instant-Trigger, im Gegensatz zu geplanten Triggern, die regelmäßig nachfragen.
Beispiele aus dem Marketing
- Shop → CRM: Eine neue Shopify-Bestellung löst einen Webhook aus, n8n oder Make legt den Kunden im CRM an und trägt ihn in die passende Newsletter-Liste ein.
- Formular → Vertrieb: Ein ausgefülltes Kontaktformular schickt einen Webhook, der Lead landet sofort im CRM und der Vertrieb bekommt eine Nachricht.
- CRM → Werkzeug: Ein HubSpot-Workflow kann selbst einen Webhook senden, etwa wenn ein Deal gewonnen ist, und damit ein anderes System anstoßen.
- Webhook → KI-Agent: Eine eingehende Anfrage startet einen n8n-Workflow mit KI-Agent, der einen Antwortentwurf schreibt.
In n8n übernimmt das der Webhook-Node. Er empfängt Daten, sobald ein Ereignis eintritt, und kann auch eine Antwort zurückschicken. Damit funktioniert er wie ein kleiner eigener API-Endpunkt.
Häufige Fehler
Fehler 1 · Erst arbeiten, dann antworten
Der Absender wartet nicht ewig. GitHub erwartet eine Antwort innerhalb von 10 Sekunden, Shopify und HubSpot bei ihren App-Webhooks innerhalb von 5 Sekunden. Kommt nichts, gilt die Zustellung als fehlgeschlagen und wird wiederholt. Shopify versucht es bis zu achtmal in vier Stunden. Deshalb: sofort bestätigen, dann im Hintergrund verarbeiten.
Fehler 2 · Davon ausgehen, dass alles genau einmal kommt
Wiederholungen bedeuten: Derselbe Webhook kann zweimal ankommen, und nicht unbedingt in der richtigen Reihenfolge. Ohne Prüfung legst du denselben Kunden doppelt an. Jede Nachricht trägt eine eindeutige Ereignis-ID — prüf sie, bevor du etwas anlegst.
Fehler 3 · Die Signatur nicht prüfen
Wer die Adresse kennt, kann Daten hineinschicken. Seriöse Absender signieren ihre Webhooks deshalb, Stripe zum Beispiel mit einem Zeitstempel und einer HMAC-SHA256-Signatur. Prüf die Signatur mit dem geheimen Schlüssel, und schreib Zugangsdaten nie in die URL.
Fehler 4 · Test-URL und Produktions-URL verwechseln
In n8n hört die Test-URL nur zu, solange im Editor auf ein Test-Ereignis gewartet wird. Live braucht es die Produktions-URL und einen veröffentlichten Workflow. Bei Make wird ein Webhook, der länger als fünf Tage mit keinem Szenario verbunden ist, deaktiviert.
So richtest du einen Webhook ein
- Empfänger anlegen: In n8n einen Webhook-Node, in Make einen Custom Webhook, in Zapier „Webhooks by Zapier“ (nur in den Bezahltarifen ab Professional). Das Tool gibt dir eine URL.
- Beim Absender eintragen: Im Shop, CRM oder Formular-Tool die URL hinterlegen und das Ereignis wählen, etwa „Bestellung erstellt“.
- Testen: Ein Test-Ereignis auslösen und prüfen, welche Daten ankommen. Stripe bringt dafür ein eigenes Kommandozeilen-Werkzeug mit.
- Absichern: Signatur prüfen, Ereignis-IDs gegen Dopplungen speichern, Fehler melden lassen.
Häufige Fragen
Was ist der Unterschied zwischen Webhook und API?
Über eine API fragst du aktiv nach Daten. Ein Webhook schickt dir Daten von selbst, sobald etwas passiert. In der Praxis arbeiten beide zusammen: Der Webhook meldet das Ereignis, die API liefert bei Bedarf die Details.
Webhook oder Polling — was ist besser?
Wenn der Dienst Webhooks anbietet, meist der Webhook. Er liefert nahezu in Echtzeit und erzeugt keine leeren Anfragen. Polling brauchst du, wenn ein Tool keine Webhooks kann. Bei Zapier prüft Polling je nach Tarif alle 1 bis 15 Minuten.
Wie sicher sind Webhooks?
So sicher, wie du sie baust. Prüf die Signatur, die der Absender mitschickt, nutze nur HTTPS und schreib keine Passwörter in die URL. GitHub empfiehlt außerdem, Signaturen mit einem Vergleich in konstanter Zeit zu prüfen.
Was passiert, wenn mein Server nicht erreichbar ist?
Die meisten Absender versuchen es erneut. Stripe wiederholt im Live-Betrieb bis zu drei Tage lang, Shopify bis zu achtmal in vier Stunden. Danach ist die Nachricht verloren oder das Abo wird entfernt. Plane deshalb einen Abgleich für verpasste Ereignisse ein.
Brauche ich zum Empfangen von Webhooks einen eigenen Server?
Nein. Automatisierungs-Tools wie n8n, Make oder Zapier geben dir eine fertige Webhook-Adresse. Du trägst sie beim Absender ein und baust dahinter deinen Ablauf.
