API Gateway: Zentrale Steuerung für Ihre Microservices

Was ist ein API Gateway?

Ein API Gateway ist ein Server, der als einziger Eintrittspunkt für alle API-Anfragen einer Anwendung dient. Es sitzt zwischen Clients und Backend-Services, routet Anfragen an die richtigen Services und kann dabei zusätzliche Funktionen wie Authentifizierung, Rate Limiting und Monitoring übernehmen. In modernen Microservices-Architekturen ist ein API Gateway ein unverzichtbares Element, das Komplexität reduziert und die Sicherheit erhöht.

Warum Sie ein API Gateway brauchen

Stellen Sie sich vor, Ihre Anwendung besteht aus 20 Microservices. Ohne API Gateway müsste jeder Client wissen, wo sich jeder Service befindet, sich bei jedem Service separat authentifizieren und unterschiedliche Protokolle und Datenformate handhaben. Das API Gateway abstrahiert diese Komplexität: Der Client kommuniziert nur mit einem einzigen Endpunkt, der sich um alles Weitere kümmert.

Kernfunktionen eines API Gateways

Die zentrale Aufgabe eines API Gateways ist das Request Routing, also das Weiterleiten eingehender Anfragen an den korrekten Backend-Service. Damit eng verbunden ist die Authentifizierung: Das Gateway prüft zentral API-Keys, OAuth-Tokens oder JWTs, sodass sich Backend-Services nicht mehr selbst um diese Aufgabe kümmern müssen.

Um die Backend-Services vor Überlastung zu schützen, implementiert ein API Gateway Rate Limiting. Diese Funktion begrenzt die Anzahl der Anfragen pro Zeiteinheit und verhindert so Missbrauch oder unbeabsichtigte Überlastungen. Ergänzend dazu sorgt Load Balancing für die intelligente Verteilung der Last auf mehrere Instanzen desselben Services.

Für eine bessere Performance bietet ein API Gateway Caching-Funktionen, die häufig angefragte Antworten zwischenspeichern. Die Request/Response Transformation ermöglicht die Anpassung von Datenformaten zwischen Client und Backend, etwa wenn ein Legacy-Service XML liefert, der Client aber JSON erwartet.

Nicht zuletzt übernimmt das Gateway wichtige Querschnittsfunktionen wie Monitoring und Logging für das zentrale Tracking aller API-Aufrufe sowie Circuit Breaker-Mechanismen für die automatische Fehlerbehandlung bei Service-Ausfällen.

API Gateway Architekturmuster

Es gibt verschiedene Ansätze, wie ein API Gateway in die Systemarchitektur integriert werden kann. Die Wahl hängt von der Größe des Systems, den Anforderungen und der Team-Struktur ab.

Single Gateway Pattern

Das einfachste Muster: Ein zentrales Gateway für alle Clients und Services. Es eignet sich für kleinere bis mittelgroße Systeme mit überschaubarer Komplexität. Der Vorteil ist die einfache Verwaltung, der Nachteil potenzielle Bottlenecks bei hoher Last.

Backend for Frontend (BFF)

Bei diesem Muster erhält jeder Client-Typ sein eigenes Gateway. Eine mobile App kommuniziert mit einem Mobile-BFF, die Webanwendung mit einem Web-BFF. Jedes BFF kann die Antworten optimal für seinen Client aufbereiten. Dieses Muster empfiehlt sich, wenn verschiedene Clients sehr unterschiedliche Anforderungen haben.

Federated Gateway

In großen Organisationen mit vielen Teams kann ein föderiertes Gateway sinnvoll sein. Jedes Team verwaltet seinen eigenen Gateway-Teil, ein übergeordnetes Gateway orchestriert die Kommunikation. Dieses Muster ermöglicht autonome Teams bei gleichzeitiger zentraler Steuerung.

Populäre API Gateway Lösungen im Vergleich

Der Markt bietet zahlreiche API Gateway Lösungen, von Open-Source-Projekten bis zu vollständig verwalteten Cloud-Services. Die Wahl hängt von Budget, Anforderungen und vorhandener Infrastruktur ab.

Lösung	Typ	Stärken	Einsatzgebiet
Kong	Open Source / Enterprise	Plugin-Ökosystem, Kubernetes-native	Universell, On-Premise und Cloud
AWS API Gateway	Managed Service	AWS-Integration, Serverless	AWS-Workloads, Lambda
Azure API Management	Managed Service	Developer Portal, Policies	Azure-Umgebungen, Enterprise
NGINX Plus	Commercial	Performance, Stabilität	Hochlast, etablierte Infrastruktur
Traefik	Open Source	Auto-Discovery, Let’s Encrypt	Docker, Kubernetes
Apigee	Managed (Google)	Analytics, Monetarisierung	API-as-a-Product

Kong Gateway: Das Open-Source-Flaggschiff

Kong ist eines der beliebtesten API Gateways und wird von Unternehmen wie Nasdaq, Honeywell und Cisco eingesetzt. Die Open-Source-Version bietet bereits einen beeindruckenden Funktionsumfang, die Enterprise-Version erweitert diesen um Support, erweiterte Plugins und Admin-Tools.

Eine minimale Kong-Konfiguration mit Docker Compose sieht so aus:

version: '3.8'
services:
  kong-database:
    image: postgres:15
    environment:
      POSTGRES_USER: kong
      POSTGRES_DB: kong
      POSTGRES_PASSWORD: kongpass
    volumes:
      - kong_data:/var/lib/postgresql/data

  kong-migration:
    image: kong:3.4
    command: kong migrations bootstrap
    environment:
      KONG_DATABASE: postgres
      KONG_PG_HOST: kong-database
      KONG_PG_PASSWORD: kongpass
    depends_on:
      - kong-database

  kong:
    image: kong:3.4
    environment:
      KONG_DATABASE: postgres
      KONG_PG_HOST: kong-database
      KONG_PG_PASSWORD: kongpass
      KONG_PROXY_ACCESS_LOG: /dev/stdout
      KONG_ADMIN_ACCESS_LOG: /dev/stdout
      KONG_PROXY_ERROR_LOG: /dev/stderr
      KONG_ADMIN_ERROR_LOG: /dev/stderr
      KONG_ADMIN_LISTEN: 0.0.0.0:8001
    ports:
      - "8000:8000"
      - "8001:8001"
    depends_on:
      - kong-migration

volumes:
  kong_data:

Service und Route konfigurieren

Nach dem Start von Kong können Services und Routen über die Admin-API konfiguriert werden:

# Service registrieren
curl -i -X POST http://localhost:8001/services \
  --data name=user-service \
  --data url='http://user-api:3000'

# Route für den Service anlegen
curl -i -X POST http://localhost:8001/services/user-service/routes \
  --data 'paths[]=/api/users' \
  --data name=user-route

# Rate Limiting aktivieren
curl -i -X POST http://localhost:8001/services/user-service/plugins \
  --data "name=rate-limiting" \
  --data "config.minute=100" \
  --data "config.policy=local"

AWS API Gateway: Serverless Integration

AWS API Gateway ist die naheliegende Wahl für AWS-basierte Architekturen. Es integriert sich nahtlos mit Lambda, Cognito, CloudWatch und anderen AWS-Services. Die Abrechnung erfolgt pro Anfrage, was es für variable Lasten kosteneffizient macht.

Eine typische AWS CDK-Definition für ein API Gateway mit Lambda-Integration:

import * as cdk from 'aws-cdk-lib';
import * as apigateway from 'aws-cdk-lib/aws-apigateway';
import * as lambda from 'aws-cdk-lib/aws-lambda';

export class ApiStack extends cdk.Stack {
  constructor(scope: cdk.App, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // Lambda-Funktion
    const handler = new lambda.Function(this, 'UserHandler', {
      runtime: lambda.Runtime.NODEJS_18_X,
      code: lambda.Code.fromAsset('lambda'),
      handler: 'users.handler',
    });

    // API Gateway
    const api = new apigateway.RestApi(this, 'UserApi', {
      restApiName: 'User Service',
      description: 'API für Benutzerverwaltung',
    });

    // Resource und Methode
    const users = api.root.addResource('users');
    users.addMethod('GET', new apigateway.LambdaIntegration(handler));
    users.addMethod('POST', new apigateway.LambdaIntegration(handler));
  }
}

Authentifizierung am API Gateway

Ein zentraler Vorteil des API Gateways ist die einheitliche Authentifizierung. Anstatt in jedem Microservice eigene Auth-Logik zu implementieren, prüft das Gateway alle eingehenden Anfragen. Die gängigsten Methoden sind:

Methode	Anwendungsfall	Sicherheitsniveau
API Keys	Server-zu-Server, interne APIs	Mittel
JWT Tokens	Web- und Mobile-Apps	Hoch
OAuth 2.0	Third-Party-Integrationen	Hoch
mTLS	Service-zu-Service, Zero Trust	Sehr hoch
Basic Auth	Entwicklung, interne Tools	Niedrig

Rate Limiting: Schutz vor Überlastung

Rate Limiting schützt Backend-Services vor Überlastung und verhindert Missbrauch. Das API Gateway kann verschiedene Strategien anwenden: Limits pro Client, pro IP, pro Endpunkt oder global. Moderne Gateways unterstützen auch Throttling mit Sliding Windows oder Token Buckets.

Eine typische Rate-Limiting-Strategie staffelt die Limits nach Tarifstufen. Im Free Tier sind beispielsweise 100 Requests pro Minute erlaubt, während der Basic Plan bereits 1.000 Requests pro Minute ermöglicht. Pro-Kunden erhalten mit 10.000 Requests pro Minute deutlich mehr Spielraum, und Enterprise-Kunden profitieren von unbegrenztem Zugriff unter Fair-Use-Bedingungen. Diese Staffelung ermöglicht es, verschiedene Kundensegmente bedienen zu können und gleichzeitig die Backend-Infrastruktur vor Überlastung zu schützen.

Best Practices für API Gateways

Ein erfolgreiches API Gateway folgt einigen bewährten Grundsätzen. Am wichtigsten ist die Trennung von Verantwortlichkeiten: Das Gateway sollte ausschließlich Routing und Cross-Cutting Concerns übernehmen, während Business-Logik strikt in den Backend-Services verbleibt. Ein Gateway, das zu viel Logik enthält, wird schnell zum Flaschenhals und Wartungsalptraum.

Für die Stabilität des Systems sind Health Checks unverzichtbar. Das Gateway sollte regelmäßig prüfen, ob Backend-Services erreichbar sind, und in Kombination mit einem Circuit Breaker automatisch auf ausgefallene Services reagieren. So werden Anfragen nicht an defekte Services weitergeleitet, sondern erhalten schnell eine kontrollierte Fehlermeldung.

Da das API Gateway ein kritischer Infrastrukturbaustein ist, muss die Hochverfügbarkeit von Anfang an eingeplant werden. Mehrere Gateway-Instanzen hinter einem Load Balancer garantieren, dass der Ausfall einer Instanz nicht zum Stillstand des gesamten Systems führt.

Für die Fehlersuche in verteilten Systemen ist eine durchgängige Nachverfolgbarkeit entscheidend. Durch die Vergabe eindeutiger Request IDs am Gateway können Anfragen über alle beteiligten Services hinweg verfolgt werden. Ebenso sollte API Versioning von Anfang an über das Gateway gesteuert werden, um spätere Breaking Changes elegant handhaben zu können. Abgerundet wird eine robuste Gateway-Konfiguration durch angemessene Timeouts für verschiedene Operationen, die verhindern, dass langsame Backend-Responses das gesamte System blockieren.

Kosten und Preismodelle

Die Kosten für ein API Gateway variieren stark je nach gewählter Lösung und Nutzungsumfang. Bei Self-Hosted-Lösungen fallen hauptsächlich Infrastrukturkosten an, während Managed Services nach Anzahl der Requests abrechnen.

Lösung	Kosten	Preismodell
Kong Open Source	0 EUR (+ Infrastruktur)	Self-Hosted
Kong Enterprise	Ab ca. 30.000 EUR/Jahr	Lizenz + Support
AWS API Gateway	3,50 EUR pro Million Requests	Pay-per-Use
Azure API Management	Ab ca. 45 EUR/Monat	Tier-basiert
Traefik	0 EUR (+ Infrastruktur)	Self-Hosted