WhatsApp Cloud API: was sie kann und was nicht

Die Cloud API ist der Teil der WhatsApp Business Platform, über den Software auf WhatsApp Nachrichten sendet und Anrufe führt. Meta hostet sie, in deinem Nachrichtenweg steht also kein eigener Server. Sie sitzt auf der Graph API und spricht gewöhnliches HTTPS: Du schickst JSON raus, Meta schickt JSON an eine URL von dir zurück, sobald etwas passiert. Meta dokumentiert drei Fähigkeiten darunter — Nachrichten, Anrufe und Gruppen (Meta, About the WhatsApp Business Platform, 2026, abgerufen 19.10.2026).

Eine Sache lohnt sich früh zu klären, weil ältere Ratgeber noch darüber streiten. Stand 19.10.2026 listet Metas eigene Plattform-Übersicht drei APIs — die Cloud API, die Business Management API und die Marketing Messages API für WhatsApp — und dokumentiert daneben keine selbst gehostete Messaging-Variante. Welches Hosting-Modell du nimmst, ist damit keine Entscheidung mehr. Wenn ein Vergleich, den du liest, die halbe Länge darauf verwendet, ist die Seite älter als sie aussieht.

Verschlüsselung gibst du durch Metas Server nicht auf. Nachrichten sind weiterhin durch die Signal-Protokoll-Verschlüsselung geschützt, bevor sie das Gerät verlassen, und der API-Verkehr selbst läuft über HTTPS mit TLS. Wenn dich die Ebene darüber interessiert — wofür die Plattform da ist und welche Shops sie überhaupt brauchen — steht das in WhatsApp Business API: Was ist das? Dieser Beitrag setzt dort an, wo der andere aufhört: beim Betrieb.

Vier Meta-Objekte plus Zugangsdaten. Keines ist für sich schwierig; teuer wird, dass sie in verschiedenen Ecken von Metas Verwaltung liegen und zueinander passen müssen.

1. Ein Business-Portfolio. Der Container für alles andere. Ohne geht es nicht, und sein Verifizierungsstatus wirkt sich direkt darauf aus, wie viel du senden darfst.
2. Ein WhatsApp-Konto. Deine Präsenz auf WhatsApp: Telefonnummern, Display Name, Benutzernamen und die Partner-Zugriffskonfiguration.
3. Ein Messaging-Konto. Davon getrennt, und das ist das Konto mit deinen Templates, der Abrechnung und der Zahlungsmethode. Die beiden zu verwechseln ist die häufigste Ursache für ein Setup, das fertig aussieht und nicht senden kann.
4. Eine Business-App. Mit dem Portfolio verknüpft; sie hält die Access Tokens und Berechtigungen, mit denen dein Code sich authentifiziert.

Zwei Regeln gelten ab der ersten Nachricht, nicht erst ab der ersten Kampagne. Vor dem Senden eines Templates brauchst du ein Opt-in, und dieses Opt-in muss dein Unternehmen benennen und den Zweck nennen. Und jedes Template braucht vorher eine Freigabe. Ein Pilot verdeckt beides, weil Meta dir automatisch Testkonten und eine Test-Business-Nummer anlegt — mit gelockerten Sendelimits und ohne hinterlegte Zahlungsmethode. Zum Kennenlernen der API ist das sinnvoll, zur Aufwandsschätzung irreführend.

Wie dieselbe Abfolge aussieht, wenn ein Provider sie übernimmt, dokumentiert unser Hilfe-Center Schritt für Schritt unter WhatsApp-Account verbinden — rund fünfzehn Minuten aktive Arbeit, plus bis zu zwei Werktage, solange Meta dein Unternehmen prüft.

Drei verschiedene Decken, und Shops stoßen in einer vorhersehbaren Reihenfolge dagegen.

Das Sendelimit kommt zuerst. Es ist die Zahl eindeutiger WhatsApp-Nutzer, die du außerhalb eines offenen Customer-Service-Fensters in einem gleitenden 24-Stunden-Zeitraum anschreiben darfst. Neue Business-Portfolios starten bei 250. Über einen Scaling-Pfad steigt es auf 2.000, danach automatisch auf 10.000, 100.000 und schließlich unbegrenzt. Es hängt am Portfolio und wird von allen Business-Nummern darin geteilt — eine Nummer kann also das ganze Kontingent aufbrauchen (Meta, Messaging Limits, 2026, abgerufen 19.10.2026).

Meta dokumentiert drei Wege auf 2.000, und du brauchst nur einen davon.

• Verifiziere dein Unternehmen selbst.
• Lass den Partner, der dich onboardet hat, die Verifizierung für dich übernehmen.
• Stelle innerhalb von 30 gleitenden Tagen 2.000 Nachrichten an eindeutige Empfänger außerhalb von Customer-Service-Fenstern zu, mit Templates in hoher Qualitätsbewertung.

Der dritte Weg hat für einen Shop, der bei 250 pro Tag startet, einen offensichtlichen Haken. Deshalb lohnt sich die Verifizierung am ersten Tag und nicht an dem Tag, an dem eine Kampagne hängt.

Durchsatz und Paar-Limits kommen als Zweites. Eine Business-Nummer sendet standardmäßig bis zu 80 Nachrichten pro Sekunde, Kapazitätserhöhungen sind möglich. Gegenüber einer einzelnen Person ist das Limit deutlich enger: eine Nachricht alle sechs Sekunden, also etwa zehn pro Minute. Bis zu 45 Nachrichten in sechs Sekunden sind als Burst möglich, aber der Burst leiht sich vom künftigen Kontingent, und danach musst du die Zeit abwarten. Wer die Rate überschreitet, bekommt von Meta einen Throttling-Fehler, bis er wieder darunter liegt.

API-Anfragelimits kommen als Drittes. Verwaltungsaufrufe sind standardmäßig auf 200 Anfragen pro Stunde je App und Messaging-Konto begrenzt; bei aktiven Konten mit registrierter Telefonnummer steigt das auf 5.000 pro Stunde. Fürs Senden ist das großzügig, für alles, was pollt, knapp.

Tarife, der aktuelle Stand des 24-Stunden-Fensters und jede Zahl von oben stehen mit Abrufdatum auf einer Seite: WhatsApp Business Platform: Preise, Limits und Regeln. Preise wiederholen wir in Artikeln bewusst nicht — Meta ändert sie zu Quartalsbeginn, und eine Kopie im Blogbeitrag veraltet, ohne jemandem Bescheid zu sagen.

Dieser Abschnitt entscheidet das Projekt — und genau er fehlt in den meisten Cloud-API-Erklärungen. Die API bewegt Nachrichten. Alles, womit ein Mensch oder ein Shop tatsächlich arbeitet, baust du selbst.

• Es gibt kein Postfach. Jede eingehende Nachricht kommt als JSON-Webhook an einer URL an, die du hostest. Speichern, zu einem Gesprächsverlauf zusammenfassen, jemandem zuweisen, Gelesen-Status führen und in einer brauchbaren Oberfläche anzeigen — alles deins. Ebenso die Erreichbarkeit um drei Uhr nachts, denn ein ausgefallener Endpunkt verliert Nachrichten, die Kundinnen für zugestellt halten.
• Es gibt keine Kontaktdatenbank. Keine Segmente, kein Lebenszyklus, keine Sperrliste. Eine Telefonnummer im Webhook ist eine Zeichenkette, kein Kunde.
• Es gibt kein Opt-in-Protokoll. Meta verlangt ein Opt-in, speichert es aber nicht für dich. Festzuhalten, wann und wie jemand zugestimmt hat, und diesen Nachweis später vorlegen zu können, ist Aufgabe deines Systems.
• Es gibt keine Shopify-Anbindung. Ein abgebrochener Checkout, ein Fulfillment-Ereignis oder ein Bestellstatus muss von deinem Shop zum Sender verdrahtet werden — mit eigener Warteschlange, eigener Idempotenz und eigener Fehlerbehandlung.
• Es gibt keine Template-Verwaltung. Templates müssen eingereicht, freigegeben, je Sprache versioniert und beobachtet werden, denn Meta prüft die Kategorisierung nach und kann ein Template kurzfristig von Utility auf Marketing umstufen. Eine Kampagne, die still die Kategorie wechselt, wechselt den Preis.
• Es gibt keine Wiederholungslogik. Metas Empfehlung bei einem gedrosselten Versand ist exponentielles Zurückweichen und ein neuer Versuch. Das muss jemand schreiben — und jemand muss sicherstellen, dass dieselbe Bestellbestätigung nicht zweimal rausgeht.

Eine Einschränkung verengt die Möglichkeiten weiter: Metas Bedingungen untersagen die Nutzung nicht autorisierter Drittanbieter-Tools. Die Schicht über der API muss also von dir kommen oder über einen Weg, den Meta zulässt. Irgendetwas Günstiges von einem Marktplatz ist keine dritte Option. Die Keaz-Funktionsübersicht ist ein brauchbarer Weg, den Umfang dieser Schicht abzuschätzen — unabhängig davon, ob du sie am Ende selbst baust.

Direkt ist in einer engen Menge von Fällen richtig: Du betreibst ohnehin Messaging-Infrastruktur, du hast Entwicklerinnen, deren Aufgabe das ist, und WhatsApp steckt so tief in deinem Produkt, dass die eigene Integration ein Feature ist und keine Kostenstelle. Trifft das zu, ist die Dokumentation gut und der Weg kurz.

Für einen Shopify-Shop mit einer bis zehn Personen geht die Rechnung selten auf. Teuer ist nicht die API, teuer sind das Postfach, das Opt-in-Protokoll, die Shopify-Verdrahtung und die Person, die das pflegt. Ein Provider hat diese Schicht einmal gebaut und auf viele Kunden verteilt — das ist das gesamte wirtschaftliche Argument, nicht etwa, dass die API schwer aufzurufen wäre.

Dazu gehört Offenheit darüber, wo wir stehen: Keaz sitzt auf der Provider-Seite dieser Entscheidung, unser WhatsApp-Zugang läuft über 360dialog in Berlin. Der Vergleich oben ist also nicht neutral — behandle ihn als Argument, das du prüfst, nicht als Urteil. Wer Kriterien für die Provider-Auswahl sucht statt der Begründung, überhaupt einen zu nehmen, findet sie hier: WhatsApp-API-Anbieter: worauf achten?

Ein Hinweis für Agenturen, weil Meta das ausdrücklich dokumentiert und es leicht schiefgeht. Wer für Kundinnen arbeitet, kann entweder das bereitgestellte geteilte Messaging-Konto nutzen oder ein eigenes anlegen und mit dem geteilten WhatsApp-Konto der Kundin verknüpfen. Variante zwei hält Templates und Abrechnung bei dir, Variante eins bei ihr. Entscheide das vor dem Onboarding — es nachträglich zu entflechten ist echte Arbeit.

Fünf, die echte Zeit kosten, grob danach sortiert, wie teuer sie rückgängig zu machen sind.

• Den Aufwand am Testkonto schätzen. Testressourcen haben gelockerte Limits und brauchen keine Zahlungsmethode. Ein Prototyp, der an einem Nachmittag lief, sagt nichts über Sendelimit, Template-Freigabe oder den Webhook-Endpunkt, den du jetzt am Leben halten musst.
• Die Launch-Kampagne vor der Limit-Anhebung planen. Eine Liste mit 4.000 Abonnenten trifft auf eine Decke von 250 Empfängern, und die Lösung ist eine Unternehmensverifizierung, die Tage dauert, die du nicht eingeplant hast.
• Eine zweite Nummer anlegen, um mehr senden zu dürfen. Das Sendelimit hängt am Portfolio und wird von dessen Nummern geteilt. Eine zweite Nummer teilt dasselbe Kontingent, sie verdoppelt es nicht.
• Templates als Text behandeln statt als Asset. Sie werden freigegeben, kategorisiert, nach Kategorie bepreist und nachgeprüft. Ein Rabattcode in einer Versandbenachrichtigung macht aus einer Utility- eine Marketing-Nachricht, und Meta merkt das.
• Opt-ins erst nach der fertigen Integration sammeln. Die Cloud API kommt ohne Publikum. Nummern entstehen am Checkout, über Chat-in-Links und in Pop-ups — und diese Arbeit gewinnt nichts dadurch, dass sie auf das technische Setup wartet.