API-Gateway

Große Online-Dienste bestehen nicht aus einem einzigen Programm. Hinter einer App wie einem Online-Shop stecken oft dutzende kleine Programme: eines für die Anmeldung, eines für die Suche, eines für die Bezahlung. Damit diese Programme Daten austauschen können, haben sie festgelegte Zugänge, über die andere Software Anfragen stellen darf. Ein solcher Zugang heißt Schnittstelle, auf Englisch API. Ein API-Gateway ist die eine Tür, durch die alle diese Anfragen von außen zuerst hindurchmüssen. Es nimmt jede Anfrage an, prüft sie und leitet sie an das richtige Programm im Hintergrund weiter.

Eine Tür statt fünfzig Hintereingänge

Ohne eine solche zentrale Stelle müsste jedes einzelne Hintergrundprogramm selbst prüfen, wer da anfragt und ob die Person dazu berechtigt ist. Dieselbe Prüfung wäre also dutzende Male programmiert, in dutzenden Varianten. Sobald sich eine Regel ändert, müsste ein Team alle Programme anfassen. Genau daran scheitern Sicherheitsupdates in der Praxis oft: eines wird vergessen.

Das Gateway zieht diese Aufgaben an eine Stelle. Anmeldung, Berechtigungen, Protokollierung und Zählung der Anfragen passieren dort einmal für alle. Die Hintergrundprogramme werden dadurch einfacher, weil sie sich nur noch um ihre eigentliche Aufgabe kümmern. Für Betreiber ist das auch eine Frage des Geldes: Wer den Zugang zu seinen Diensten verkauft, muss zuverlässig zählen, wer wie viel nutzt.

Bei KI-Diensten kommt ein weiterer Grund hinzu. Eine einzelne Anfrage an ein großes Sprachmodell kostet echte Rechenzeit auf teuren Grafikkarten. Betreiber müssen deshalb sehr genau steuern, wer wie viele Anfragen pro Minute schicken darf. Diese Bremse sitzt üblicherweise im Gateway.

Was mit einer Anfrage im Gateway passiert

Eine Anfrage kommt als Nachricht aus dem Internet an. Das Gateway liest zuerst die Adresse, an die sie gerichtet ist. Anhand einer Regelliste entscheidet es, welches Hintergrundprogramm zuständig ist. Dieses Weiterleiten nennt man Routing.

Vorher laufen aber mehrere Kontrollen ab. Das Gateway prüft den mitgeschickten Ausweis der Anfrage, meist einen langen Zeichenschlüssel, den ein Nutzer beim Anmelden erhalten hat. Es schaut nach, ob dieser Nutzer sein Anfragekontingent schon aufgebraucht hat. Passt etwas nicht, antwortet das Gateway selbst mit einer Fehlermeldung, und das Hintergrundprogramm merkt von der Anfrage nie etwas.

Zusätzlich kann ein Gateway Antworten kurz zwischenspeichern. Fragen hundert Nutzer dasselbe ab, muss die Antwort nur einmal berechnet werden. Und es kann Anfragen gleichmäßig auf mehrere gleiche Kopien eines Programms verteilen, damit keine davon überlastet. Man verwechselt ein API-Gateway deshalb leicht mit einem reinen Lastverteiler. Der Unterschied: Ein Lastverteiler schaut kaum in die Anfrage hinein, ein Gateway versteht ihren Inhalt und ihre Berechtigung.

Wo API-Gateways im Alltag auftauchen

Jedes Mal, wenn eine Handy-App Daten nachlädt, läuft die Anfrage sehr wahrscheinlich durch ein Gateway. Sichtbar wird das selten, spürbar aber schon. Meldungen wie „Zu viele Anfragen, bitte später erneut versuchen“ kommen typischerweise nicht vom eigentlichen Dienst, sondern von seinem Gateway.

In der Tech-Branche ist der Begriff außerdem ein Produktname. Amazon, Google und Microsoft verkaufen fertige Gateways als Mietdienst in ihren Rechenzentren. Daneben gibt es freie Programme wie Kong oder Nginx, die Firmen selbst betreiben. In Stellenanzeigen und Konferenzvorträgen taucht das Wort deshalb ständig auf.

Besonders viel diskutiert wird das Thema derzeit rund um KI. Firmen, die mehrere Sprachmodelle verschiedener Anbieter nutzen, schalten ein Gateway davor. Es entscheidet dann, welche Anfrage an welches Modell geht, zählt die Kosten mit und filtert heikle Eingaben heraus. Solche Aufbauten laufen unter dem Schlagwort „AI Gateway“ und sind ein direkter Nachfahre der klassischen API-Gateways.