Über das neue CPSA® – Advanced Level Modul API: Appli­cation Programming Interfaces

Am 17. März 2025 hat das iSAQB das neue Advanced Level Modul Appli­cation Programming Inter­faces eingeführt.

Das Modul „API: Appli­cation Programming Inter­faces“ lehrt Software­ar­chi­tekten, wie man APIs effektiv entwirft und verwaltet, um eine nahtlose Kommu­ni­kation zwischen Kompo­nenten zu gewähr­leisten. APIs sind für die Erstellung wieder­ver­wend­barer Software und die Verbindung verschie­dener Systeme unerlässlich und treiben die digitale Trans­for­mation von Unter­nehmen voran. Dieses Modul deckt Schlüs­sel­themen wie API-Design, Sicherheit, Lebens­zy­klus­ma­nagement und API-Wertschöpfung ab und stattet Archi­tekten mit den Fähig­keiten aus, APIs für skalierbare und effiziente Software­ar­chi­tek­turen zu nutzen.

Wir haben ein Interview mit den Kuratoren Erik Wilde, Falk Sippach und Thilo Frotscher geführt, in dem sie tiefere Einblicke in das Modul geben.

Warum hat sich das iSAQB entschieden, ein eigenes Advanced-Level-Modul zum Thema APIs in das Programm aufzu­nehmen? Welche Lücke in der Ausbildung soll es schließen?

Appli­cation Programming Inter­faces (APIs) spielen eine zentrale Rolle in modernen Software- und Unter­neh­mens­ar­chi­tek­turen. Sie sind nicht nur technische Schnitt­stellen, sondern auch strate­gische Bausteine für Skalier­barkeit, Wieder­ver­wend­barkeit und digitale Geschäfts­mo­delle. Wir fassen alle Aspekte rund um das Thema zusammen und disku­tieren sie in diesem größeren Rahmen.

Viele Entwickler:innen sehen sich heute nicht als primär verant­wortlich für die strate­gische Verwendung von APIs in ihrer Organi­sation. Mit steigender Größe einer Organi­sation führt dies zu Schwie­rig­keiten und ungenutztem Potenzial. Das neue Modul versetzt Archi­tekten und Entwickler in die Lage, APIs nicht nur zu imple­men­tieren, sondern sie als essen­zi­ellen Teil der Archi­tek­tur­stra­tegie zu verstehen und bewusst zu gestalten.

Welche konkreten Fähig­keiten und Kompe­tenzen erwerben Teilnehmer nach dem Abschluss des API-Moduls, und wie können sie diese in ihren Projekten gewinn­bringend einsetzen?

Am wichtigsten war uns das “Big Picture” von APIs. Deswegen schauen wir auf Geschäfts­mo­delle, verschiedene Stile und damit verbundene Techno­logien, den Design-Prozess, Unter­stützung bei der Entwicklung, Sicher­heits­aspekte und auch Fragen des Manage­ments von ganzen API-Landschaften in Organi­sa­tionen. Das Thema APIs geht weit über die rein techni­schen Aspekte hinaus und diese breite Sicht hilft dabei, das Potential von IT-Inves­ti­tionen am besten auszu­schöpfen. APIs sind essen­ziell, um eine Organi­sation wandel­barer und anpass­barer zu machen. Sie sind deswegen eine wichtige Inves­tition in die Zukunft. Die Teilnehmer:innen sind nach dem Abschluss des Moduls in der Lage, APIs strate­gisch zu entwerfen, technisch solide umzusetzen und langfristig zu managen – ein entschei­dender Vorteil für moderne Software­ent­wick­lungs­pro­jekte und eine nachhaltige IT-Architektur.

Wie beein­flussen verschiedene API-Stile wie REST, GraphQL und gRPC die Flexi­bi­lität und Skalier­barkeit von Softwarearchitekturen?

Wie so häufig ist die Antwort auf die Frage nach “dem besten API-Stil“ oder “der besten API-Techno­logie” ein abwägendes “It depends”. Wir können keine einfachen pauschalen Lösungen bieten. Man muss sich statt­dessen die Natur einer Schnitt­stelle anschauen: Ist sie primär trans­ak­tional, veröf­fent­licht sie Ereig­nisse, oder lässt sie Abfragen zu? Oft sind APIs ein Mix dieser Aspekte und dann ist die Wahl des am besten geeig­neten Stils weniger eindeutig.

Wichtig ist zudem, welche bestehenden APIs man bereits hat und ob man sich dort integrieren möchte. Ebenfalls relevant ist die Frage, inwieweit man Annahmen über Konsument:innen machen kann, also welche Stile dort bekannt sind oder bevorzugt werden. Es kommt, wie so oft in Software-Archi­tektur, eben auf den konkreten Kontext an. Genau dies ist der Grund, weshalb man eine breite Perspektive haben sollte, um eine gute Entscheidung treffen zu können. Und in modernen Archi­tek­turen werden oft mehrere API-Stile kombi­niert, um die jewei­ligen Stärken optimal zu nutzen.

Welche Best Practices sollten beim Design von APIs beachtet werden, um eine hohe Benut­zer­freund­lichkeit und Wartbarkeit sicherzustellen?

Ganz oben stehen da zwei Dinge. Einer­seits muss das Design immer “outside-in” erfolgen: man orien­tiert sich bei seinen Überle­gungen an den Bedürf­nissen der Konsu­menten und nicht an internen Daten­mo­dellen. Auf der anderen Seite ist Rückwärts- und Vorwärts­kom­pa­ti­bi­lität sehr wichtig, damit man APIs verbessern und weiter­ent­wi­ckeln kann, ohne bestehende Konsu­menten zu Anpas­sungen zu zwingen. Neben diesen beiden Prinzipien hilft zudem eine klare und vollständige API-Dokumen­tation. Damit hat man gute Chancen, nützliche und gut nutzbare APIs zu entwi­ckeln, die sowohl Entwickler:innen als auch dem Business langfristig nutzen.

Welche Sicher­heits­aspekte müssen beim Entwurf und der Imple­men­tierung von APIs berück­sichtigt werden?

APIs müssen von Anfang an sicher gestaltet werden. Die Kombi­nation aus starker Authen­ti­fi­zierung, Schutz vor Angriffen, sicheren Kommu­ni­ka­ti­ons­wegen und Monitoring sorgt für robuste APIs. Denn APIs leben natur­gemäß in einem Spannungsfeld. Es werden gewisse Aspekte einer Organi­sation zugänglich gemacht und dabei Risiken eingegangen.

Betrachtet man die typischen Sicher­heits­pro­bleme von APIs in der Praxis, so lassen sich diese (wie bei IT-Sicherheit im Allge­meinen) aber meist recht einfach bewäl­tigen. So schauen wir unter anderem auf die etablierten OWASP API Security Top Ten, welche die häufigsten Probleme aufzeigen. Neben dem Entwurf, der Imple­men­tierung und der Absicherung von APIs betrachten wir auch API Gover­nance. Sie vermeidet die unkon­trol­lierte Entwicklung und ist ein essen­zi­eller Teil des Blicks auf die Sicher­heits­aspekte von APIs. Und Sicherheit ist kein einma­liges Thema – regel­mäßige Security Audits, Penetration Tests und Updates gehören natürlich ebenso dazu.

Wie unter­scheidet sich API-Gover­nance von API-Management, und warum ist dies ein Aspekt, der in vielen Organi­sa­tionen noch nicht sehr ausge­prägt verfolgt wird?

API-Management ist das technische Management, die operative Verwaltung und Steuerung von APIs. Das ist notwendig, aber auch eine recht gut verstandene Aufgabe. API-Gover­nance dreht sich dagegen um die Frage, wie die gesamte API-Landschaft einer Organi­sation gepflegt wird. Das beginnt bei einer Übersicht über die existie­renden APIs, enthält Richt­linien und prüft deren Einhaltung und beschreibt eine Strategie zum Auffinden der APIs. Diese Aspekte werden typischer­weise erst dann angegangen, wenn der strate­gische Wert von APIs erkannt wird. In vielen Organi­sa­tionen befindet sich diese Entwicklung noch im Aufbau.