Ein Rate Limit legt fest, wie viele Anfragen ein Nutzer, ein Dienst oder eine IP-Adresse in einem bestimmten Zeitfenster an eine Programmierschnittstelle (API) senden darf. Ein typisches Beispiel ist eine Grenze von 10 Anfragen pro Sekunde.
Zweck
Rate Limits dienen drei Zielen: Sicherheit, Kostenkontrolle und Fairness. Das Limit schützt Server vor Lastspitzen und Angriffen wie Denial of Service (DoS). Gleichzeitig steuert es die Betriebskosten. Außerdem verhindert es, dass ein einzelner Akteur die Kapazität des Systems allein belegt. Anbieter setzen Kontingente auch für andere Regeln ein, etwa für die Monetarisierung. Ein Rate Limit eignet sich dort, wo Nutzer das Tempo ihrer Anfragen ändern können, ohne dass sich das Ergebnis ändert.
Rückmeldung an den Client
Überschreitet ein Client das Limit, kann der Server mit dem HTTP-Statuscode 429 antworten (festgelegt in RFC 6585). Die Antwort soll den Grund erklären und kann im Feld Retry-After angeben, wie lange der Client warten soll. Server müssen 429 allerdings nicht verwenden. Bei sehr vielen Anfragen kann es sinnvoller sein, Verbindungen zu trennen. Ein IETF-Entwurf (noch kein verabschiedeter Standard) beschreibt zusätzlich die Felder RateLimit-Policy für die Regel und RateLimit für das aktuell verfügbare Kontingent. Ein positives Restkontingent garantiert laut Entwurf nicht, dass der Server weitere Anfragen bedient.
Verfahren
Der Token Bucket füllt einen Eimer mit Tokens nach und erlaubt kurze Lastspitzen. Der Fixed Window Counter zählt Anfragen je festem Zeitfenster. An den Fenstergrenzen kann dabei bis zum doppelten Limit durchgehen. Das Rolling Window arbeitet mit einem gleitenden Fenster: Es ist präziser, braucht aber mehr Speicher.
Beispiel SAP Business One
Die Editionen des SAP-B1-MCP begrenzen die Abfragen je Nutzer und Stunde (BASIC 60, PRO 600, ENTERPRISE unbegrenzt, Stand Oktober 2026). Der Tarif Kompakt der Versino Skills erlaubt bis zu 50 Abfragen pro Tag und Firma, der Tarif Unbegrenzt hat kein Tageslimit.
Abgrenzung
Eine Grenze für die Zeilen je Abfrage ist kein Rate Limit. Sie begrenzt die Ergebnismenge einer einzelnen Abfrage, nicht die Zahl der Anfragen pro Zeitfenster. Ein Concurrent Request Limiter begrenzt ebenfalls nicht die Anfragen pro Zeit, sondern die Zahl gleichzeitig aktiver Anfragen.
Verwandte Einträge: API; REST-API; SAP-B1-MCP (Versino); Versino Skills; Zugriffstoken (Access Token).
Shopware 6 für SAP Business One
SAP Business One und DATEV – Synchron
DATEV und SAP Business One Export & Import
Elektronische Rechnungen an Behörden
SAP Business One Connect für Frachtführer
