Kurzantwort: Was ist ein Webhook?
Ein Webhook ist eine Art Rückruf zwischen Programmen. Sie hinterlegen in System A eine Internetadresse von System B und legen fest, bei welchem Ereignis A sich melden soll. Tritt es ein, schickt A eine Nachricht an diese Adresse. System B reagiert: legt einen Datensatz an, verschickt eine E-Mail oder startet einen Ablauf. Laut GitHub-Dokumentation muss man sein Interesse an einem Ereignis dafür nur einmal bekunden, beim Anlegen des Webhooks.
Technisch ist die Nachricht eine gewöhnliche Webanfrage (HTTP, meist POST) mit den Angaben zum Ereignis, oft im Format JSON. Der Empfänger bestätigt den Eingang mit einer kurzen Antwort, etwa dem Statuscode 200.
Webhook oder API-Abfrage (Polling)?
Es gibt zwei Wege, wie ein Programm von Änderungen in einem anderen erfährt. Beim Abfragen (Polling) fragt es in festen Abständen über die Programmierschnittstelle (API) nach: „Gibt es etwas Neues?“ Beim Webhook meldet sich das andere System von selbst.
| Merkmal | API-Abfrage (Polling) | Webhook |
|---|---|---|
| Wer wird aktiv? | der Empfänger, immer wieder | der Absender, nur bei einem Ereignis |
| Verzögerung | bis zur nächsten Abfrage | nahezu sofort |
| Aufwand | viele Anfragen ohne Ergebnis, Abfragegrenzen schnell erreicht | eine Nachricht je Ereignis |
| Gut für | seltene Abfragen, kleine Datenmengen, Abgleich | Abläufe, die sofort starten sollen |
In der Praxis arbeiten beide zusammen: Der Webhook meldet das Ereignis, die API holt Einzelheiten ab oder schreibt das Ergebnis weiter.
Beispiel: Anruf beendet, Aufgabe im Projektwerkzeug angelegt
So läuft es bei der Telefon-KI von GrisaKI, Stand Oktober 2026:
- Ein Anrufer spricht mit der KI-Telefonassistenz, deren Sprach-KI von ElevenLabs kommt.
- Nach dem Gespräch schickt ElevenLabs einen signierten Webhook mit Mitschrift und Auswertung an GrisaKI (Post-Call-Webhook).
- GrisaKI prüft die Signatur, erstellt die Zusammenfassung und legt das Gespräch im Kundenportal ab.
- Enthält das Gespräch ein echtes Anliegen, legt GrisaKI über die API des Projektwerkzeugs awork eine Aufgabe an. Ist awork gerade nicht erreichbar, kommt der Auftrag in eine Warteschlange und wird später erneut versucht.
Der Webhook ist der Auslöser, die API-Anfrage die Folgehandlung. Früher lief dieser Weg über einen n8n-Ablauf, heute nimmt GrisaKI den Webhook direkt an.
Beispiel: Kontaktformular ins CRM
- Ein Interessent füllt auf Ihrer Website ein Kontaktformular aus.
- Das Formular-Werkzeug schickt die Angaben per Webhook an eine Automatisierung, etwa an n8n.
- Die Automatisierung prüft, ob der Kontakt im CRM schon existiert, legt ihn sonst neu an und hängt die Anfrage an.
- Vertrieb und Interessent erhalten eine kurze Nachricht.
Ohne Webhook überträgt jemand die Formular-E-Mail von Hand, und Anfragen gehen im Postfach unter.
Sicherheit: Signatur prüfen, Wiederholungen abfangen
Eine Webhook-Adresse ist öffentlich erreichbar. Deshalb signieren seriöse Absender jede Nachricht, und der Empfänger prüft die Signatur, bevor er handelt. So beschreiben es Stripe und GitHub:
- Signatur (HMAC): Beim Anlegen des Webhooks entsteht ein geheimer Schlüssel, den nur Absender und Empfänger kennen. Der Absender berechnet aus Nachricht und Schlüssel einen Prüfwert (HMAC mit SHA-256) und schickt ihn mit. Der Empfänger rechnet nach und verwirft die Nachricht bei Abweichung. GitHub rät zu einem Vergleich mit konstanter Laufzeit.
- Zeitstempel gegen Wiederholung: Ein Angreifer könnte eine abgefangene echte Nachricht erneut senden (Replay-Angriff). Stripe nimmt deshalb einen Zeitstempel in die Signatur auf. Die Stripe-Bibliotheken lehnen standardmäßig Nachrichten ab, die älter als 5 Minuten sind.
- Doppelte Zustellung einplanen: Schlägt die Zustellung fehl, versucht Stripe es im Live-Betrieb bis zu drei Tage lang erneut. Merken Sie sich die Kennung jedes Ereignisses und verarbeiten Sie es nur einmal.
- Schnell antworten: Bestätigen Sie den Eingang sofort und erledigen Sie aufwendige Arbeit danach.
- Sparsam mit Daten: Die Webhooks unserer Firmenwissensdatenbank tragen nur Kennungen, nie Inhalte. Einzelheiten holt der Empfänger mit eigenem Zugang über die API ab.
Webhooks in n8n
n8n ist ein Werkzeug für automatische Abläufe (Workflows). Ein Ablauf beginnt dort oft mit dem Baustein Webhook (Webhook-Knoten). Er erzeugt eine Empfangsadresse und startet den Ablauf, sobald dort Daten ankommen. Laut n8n-Dokumentation gilt:
- Test- und Produktiv-Adresse: Die Test-Adresse gilt nur, solange Sie im Editor auf ein Testereignis warten, die Daten erscheinen direkt im Editor. Die Produktiv-Adresse gilt, sobald der Ablauf veröffentlicht ist.
- Methoden und Größe: GET, POST, PUT, PATCH, DELETE und HEAD, standardmäßig bis 16 MB je Nachricht.
- Absicherung: Basic Auth, Header Auth, JWT oder keine, dazu optional eine Liste erlaubter IP-Adressen.
- Antwort: sofort, nach dem letzten Schritt oder über den Baustein „Respond to Webhook“.
Signiert der Absender mit HMAC, gehört an den Anfang des Ablaufs ein Schritt, der die Signatur nachrechnet. Die eingebauten Verfahren prüfen nur Passwort, Kopfzeile oder Token. GrisaKI betreibt n8n auch für Kunden.
Was das für Ihr Unternehmen heißt
Wo jemand Daten von einem Programm ins nächste abtippt, lässt sich der Schritt oft per Webhook automatisieren. Typische Stellen:
- Telefon-KI: Nach jedem Anruf entsteht eine Aufgabe oder ein Eintrag im CRM, statt dass jemand die Gesprächsnotiz abschreibt.
- Web- und WhatsApp-Chat: Eine Anfrage aus dem Chat landet als Kontakt mit Gesprächsverlauf in Ihrem System.
- E-Mail-Postfach: Eine erkannte Bestellung oder Bewerbung startet den passenden Ablauf.
- Firmenwissen: Ändert sich ein Eintrag in der Wissensdatenbank, erfahren angebundene Systeme davon.
Welche Größenordnung das haben kann, zeigt unsere Fallstudie aus dem B2B-Vertrieb: Leads werden automatisch angereichert, einer Phase der Vertriebspipeline zugeordnet und nachgefasst. Ausgewiesen sind ein jährlicher Netto-Effekt von 46.200 € bei einer einmaligen Investition von 20.000 €, Amortisation nach ca. 5 Monaten. Die Fallstudie nennt die Technik dahinter nicht im Einzelnen.
Fragen Sie vor dem Kauf einer Software nach Webhooks und danach, ob die Nachrichten signiert sind.
Verwandte Begriffe
- MCP (Model Context Protocol): KI-Assistenten rufen Werkzeuge und Daten selbst ab.
- LLM (großes Sprachmodell): wertet in vielen Abläufen Texte aus.
- KI-Halluzination: warum Abläufe mit KI-Auswertung Prüfschritte brauchen.
- Vektordatenbank: Ablage für Firmenwissen, das eine KI finden soll.
- Ratgeber: alle Beiträge
Häufige Fragen
Was ist ein Webhook einfach erklärt?
Ein Webhook ist eine automatische Nachricht von einem Programm an ein anderes. Sie wird verschickt, sobald ein festgelegtes Ereignis eintritt, zum Beispiel ein abgeschlossener Anruf oder ein abgeschicktes Formular. Das empfangende Programm muss deshalb nicht ständig nachfragen, ob es etwas Neues gibt.
Was ist der Unterschied zwischen Webhook und API?
Über eine API fragt Ihr Programm aktiv bei einem anderen System nach oder schreibt dort Daten hinein. Bei einem Webhook meldet sich das andere System von selbst, sobald etwas passiert. Oft arbeiten beide zusammen: Der Webhook löst aus, die API erledigt den Rest.
Sind Webhooks sicher?
Nur, wenn der Empfänger jede Nachricht prüft. Üblich ist eine Signatur mit einem gemeinsamen geheimen Schlüssel (HMAC), dazu ein Zeitstempel gegen das erneute Einspielen alter Nachrichten und eine verschlüsselte Verbindung über HTTPS. Ohne Prüfung kann jeder, der die Adresse kennt, Daten einschleusen.
Was passiert, wenn der Empfänger gerade nicht erreichbar ist?
Viele Absender versuchen es später erneut, Stripe zum Beispiel im Live-Betrieb bis zu drei Tage lang. Dieselbe Nachricht kann deshalb mehrfach ankommen. Der Empfänger sollte jedes Ereignis anhand seiner Kennung nur einmal verarbeiten.
Wie richte ich einen Webhook in n8n ein?
Sie setzen den Baustein Webhook an den Anfang eines Ablaufs. n8n erzeugt eine Test-Adresse für den Editor und eine Produktiv-Adresse für den veröffentlichten Ablauf. Die Produktiv-Adresse tragen Sie beim Absender ein und sichern sie zum Beispiel mit Header Auth ab.
Über den Autor
Sandro Griesing
Gründer von GrisaKI und Geschäftsführer der new face Media GmbH in Sangerhausen
Sandro Griesing hat über zehn Jahre Agenturerfahrung. Mit GrisaKI richtet er KI-Assistenten für Telefon, Chat, E-Mail und interne Abläufe in mittelständischen Unternehmen ein, vor allem in Mitteldeutschland.
Mehr über GrisaKIQuellen
- GitHub Docs: About webhooks: docs.github.com/en/webhooks/about-webhooks, abgerufen am 16.10.2026
- Stripe: Registrieren Sie Stripe-Ereignisse in Ihrem Webhook-Endpoint (Signaturprüfung, Replay-Angriffe, Wiederholungsversuche, doppelte Ereignisse): docs.stripe.com/webhooks, abgerufen am 16.10.2026
- GitHub Docs: Validating webhook deliveries: docs.github.com/en/webhooks/using-webhooks/validating-webhook-deliveries, abgerufen am 16.10.2026
- n8n Docs: Webhook node: docs.n8n.io/integrations/builtin/core-nodes/n8n-nodes-base.webhook/, abgerufen am 16.10.2026
- ElevenLabs Docs: Post-call webhooks: elevenlabs.io/docs/agents-platform/workflows/post-call-webhooks, abgerufen am 16.10.2026
- GrisaKI: Fallstudie KI-Pipeline-Management im B2B-Vertrieb: grisaki.de/cases/b2b-vertrieb-pipeline/, abgerufen am 16.10.2026
Stand der Angaben: 16.10.2026. Funktionen und Grenzwerte der genannten Werkzeuge ändern sich, maßgeblich ist deren aktuelle Dokumentation.