Integrationen mit Plattformen wie Stripe, Shopify und Salesforce sind oft die Stellen, an denen geschäftskritische Daten und Geld zwischen Systemen fließen. Dort sind auch Abkürzungen verbreitet: ein API-Schlüssel, der in Frontend-Code eingefügt wurde, ein Webhook-Endpunkt, der jede Anfrage annimmt, oder ein Synchronisationsjob, der unbemerkt fehlschlägt. Jeder Anbieter veröffentlicht ausführliche Sicherheitsleitlinien, doch der Integrationscode, den Ihr Team schreibt, bleibt Ihre Verantwortung. Dieser Leitfaden behandelt die praktischen Kontrollen, die Integrationen sicherer und zuverlässiger machen.
Was es ist
Eine sichere Integration schützt drei Dinge: die Zugangsdaten, die Zugriff gewähren, die Daten, die zwischen Systemen fließen, und die Integrität der Geschäftsereignisse, die Aktionen auslösen. Zu den Zugangsdaten gehören API-Schlüssel, OAuth-Token und Client Secrets; sie sollten nur auf dem Server liegen, in einem Secrets Manager oder einer geschützten Umgebungskonfiguration, mit den engsten Berechtigungen, die die Integration benötigt. Daten in der Übertragung nutzen HTTPS, und gespeicherte Daten beschränken sich auf das, was das Unternehmen tatsächlich speichern muss. Die Integrität von Ereignissen hängt davon ab, zu prüfen, dass eingehende Webhooks wirklich vom Anbieter stammen. Stripe etwa signiert Webhook-Ereignisse mit einem Signing Secret und stellt einen Signatur-Header bereit, den Ihr Endpunkt prüfen sollte; Shopify signiert Webhooks mit einem HMAC-Header; Salesforce-Integrationen stützen sich typischerweise auf OAuth über eine Connected App oder deren neueres Gegenstück, eine External Client App, mit eingeschränkten Berechtigungen. Auch Zuverlässigkeit zählt. Webhooks können verspätet, mehrfach oder in falscher Reihenfolge eintreffen; Handler sollten daher idempotent sein, und ausgehende Aufrufe sollten Rate Limits und Wiederholungen bewältigen, ohne Belastungen, Bestellungen oder Datensätze zu duplizieren. Stripe unterstützt aus diesem Grund Idempotency Keys.
Für wen es gedacht ist
Dieser Leitfaden richtet sich an:
- Teams, die Zahlungen, Abonnements oder Checkout-Abläufe mit eigenen Systemen verbinden
- E-Commerce-Unternehmen, die Bestellungen, Lagerbestände oder Kunden zwischen Shopify und anderen Plattformen synchronisieren
- Unternehmen, die CRM-Daten aus Salesforce mit internen Tools oder Kundenportalen integrieren
- Product Owner, die Integrationsarbeit einer Agentur oder eines Freelancers prüfen
Was es zu klären hilft
Die Arbeit mit den Kontrollen hilft zu klären:
- wo Zugangsdaten gespeichert sind, wer darauf zugreifen kann und wie sie rotiert werden
- ob Webhook-Endpunkte Signaturen prüfen und unsignierte oder wiederholt eingespielte Anfragen ablehnen
- wie Fehler, Wiederholungen und Duplikate behandelt werden, ohne Daten zu verfälschen
- welche Daten zwischen Systemen kopiert werden und ob dies überhaupt nötig ist
Was ist enthalten
- Geheime API-Schlüssel ausschließlich serverseitig halten; in Clients Publishable oder Public Keys verwenden, wo der Anbieter dies unterstützt
- Secrets in einem Secrets Manager oder einer geschützten Konfiguration speichern, niemals in Quellcode-Repositories
- Die engsten Scopes und Berechtigungen anfordern; getrennte Zugangsdaten je Umgebung verwenden
- Zugangsdaten planmäßig rotieren und sofort nach personellen Wechseln oder Wechseln bei Dienstleistern
- Webhook-Signaturen mit der dokumentierten Methode des Anbieters prüfen und fehlschlagende Anfragen ablehnen
- Zeitstempel von Ereignissen prüfen, um das Replay-Risiko zu senken, und verarbeitete Ereignis-IDs festhalten
- Handler idempotent gestalten, damit wiederholte Ereignisse keine doppelten Aktionen auslösen
- Bei ausgehenden Erstellvorgängen Idempotency Keys oder gleichwertige Schutzmechanismen verwenden, wo unterstützt
- Rate Limits mit Backoff behandeln und Arbeit in Warteschlangen stellen, statt sie zu verwerfen
- Integrationsereignisse protokollieren, ohne Secrets, Kartendaten oder unnötige personenbezogene Daten zu protokollieren
- Jemanden alarmieren, wenn Synchronisationsjobs oder Webhooks wiederholt fehlschlagen
- In Sandbox- oder Testmodi des Anbieters testen, bevor auf Live-Zugangsdaten umgestellt wird
Was nicht enthalten ist
- Validierung der PCI-DSS-Konformität oder Freigabe durch einen Zahlungsabwickler
- Betrugsbekämpfung oder Chargeback-Management
- Die Behauptung, dass die Einhaltung dieser Kontrollen jeden Integrationsvorfall verhindert
- Betrieb von Plattformen Dritter, die in der Verantwortung der Anbieter bleiben
Wann man es wählt
Nutzen Sie diese Checkliste beim Entwurf einer neuen Integration, vor dem Go-live, wenn Sie Integrationscode von einem anderen Team übernehmen, und nach jedem Vorfall mit doppelten Zahlungen, fehlenden Bestellungen oder unerwartetem Datenzugriff. Besonders wichtig ist sie, wenn eine Integration finanzielle Aktionen auslösen kann, etwa Belastungen, Erstattungen oder Abonnementänderungen, oder Kundendatensätze offenlegen kann.
Unser Ansatz
Behandeln Sie jede Integration als kleines Produkt mit eigener verantwortlicher Person, Dokumentation und Überwachung. Beginnen Sie mit einem Inventar der Integrationen, Zugangsdaten und Webhook-Endpunkte; viele Organisationen entdecken dabei Schlüssel, an deren Erstellung sich niemand erinnert. Wenden Sie dann die oben genannten Kontrollen in der Reihenfolge des Risikos an: zuerst Secrets und Signaturprüfung, dann Idempotenz und Fehlerbehandlung, dann Logging und Alarmierung. Unser Service Secure Backend & API Engineering konzipiert und liefert Backend- und Integrationsarbeit mit API-Vertrag, Testzusammenfassung und Betriebshandbuch, wobei Produktionszugang und Kundendaten nur mit ausdrücklicher schriftlicher Autorisierung genutzt werden. Geht es um Zahlungs- und Abonnementlogik, kann Subscription & Payment Infrastructure Security die vereinbarten Zahlungs- und Berechtigungspfade gesondert prüfen. Wünschen Sie eine unabhängige Prüfung bestehender Integrationsendpunkte, kann ein Anwendungssicherheits-Review diese in den Scope aufnehmen.
Häufig gestellte Fragen
Verwandte Artikel
Erste Schritte
Sie planen oder prüfen eine geschäftskritische Integration?
Nennen Sie uns die beteiligten Plattformen, die zwischen ihnen fließenden Daten und Ereignisse sowie aufgetretene Probleme. Wir schlagen einen schriftlichen Scope vor.
Schriftlichen Scope anfordern