WhatsApp Cloud API direkt anbinden: Grenzen, Fallen und die Preisumstellung

Was ein BSP macht — und was davon man wirklich braucht

Die Cloud API ist Metas eigene Schnittstelle für WhatsApp-Nachrichten. Man kann sie direkt ansprechen oder über einen Business Solution Provider, der eine Oberfläche, ein Postfach und eine monatliche Rechnung dazwischenschaltet. Für Unternehmen ohne Entwicklungsressourcen ist das sinnvoll. Wer bereits Systeme betreibt und anbinden will, zahlt beim Provider vor allem für eine Zwischenschicht, die er selbst schon hat.

Die Metas-Gebühren fallen in beiden Fällen an — der Provider legt seine Marge darauf. Der Unterschied liegt also nicht in den Nachrichtenkosten, sondern in der Grundgebühr und in der Frage, wem die Anbindung gehört.

Die Rufnummer: der Punkt, an dem Sprach-Projekte scheitern

Für die Cloud API wird eine Rufnummer einmalig per SMS oder Sprachanruf bestätigt. Eine Prepaid-Nummer genügt, eine Portierung ist nicht nötig — der bestehende Vertrag bleibt unangetastet. Das ist der entscheidende Unterschied zu Telefon-Agenten, bei denen genau diese Portierung zum Hindernis wird.

Was nach der Registrierung passiert, sollte man vorher wissen: Telefonie und SMS-Empfang auf der Nummer funktionieren weiter — die Zwei-Faktor-Anmeldung bleibt also intakt. Aber der normale WhatsApp-Messenger auf dieser Nummer ist dauerhaft gesperrt. Ein vorhandenes privates WhatsApp muss vorher gelöscht werden, Chatverlauf und Gruppen sind damit weg. Rückgängig machen lässt es sich über eine Abmelde-Schnittstelle; die Nummer ist also nicht verbrannt.

Ohne Business-Verifizierung startet man weiter, als man denkt

Der Chat-Fall ist nicht blockiert. App anlegen, Konto anlegen, Nummer registrieren, Webhooks einrichten, senden und empfangen — all das läuft ohne Business-Verifizierung. Die Grenzen sind zwei Rufnummern statt zwanzig und 250 Nachrichtenvorlagen.

Das oft zitierte 250er-Limit trifft das übliche Support-Modell praktisch nicht: Gezählt werden eindeutige Empfänger je rollende 24 Stunden, und nur Nachrichten außerhalb eines geöffneten Kundendienstfensters. Schreibt der Kunde zuerst, öffnet sich ein 24-Stunden-Fenster, in dem beliebig geantwortet werden darf.

Wer die Verifizierung doch braucht, stößt auf eine verwirrende Stelle: Im Sicherheitsbereich gibt es keinen Knopf dafür, dort steht stattdessen sinngemäß, die Organisation müsse nicht verifiziert werden. Meta schaltet den Vorgang erst frei, wenn eine Funktion ihn erzwingt. Die Reihenfolge lautet deshalb: Geschäftsdaten vollständig ausfüllen, Domain bestätigen, App und Konto anlegen — die Verifizierung erscheint dann von allein. Die Bestätigung über die eigene Domain funktioniert per DNS-Eintrag und ist der einzige Weg, der ohne erreichbares Telefon auskommt.

Eine harte Reihenfolge gibt es dabei: Firmenname, Adresse, Website und Steuernummer müssen stimmen, bevor das WhatsApp-Konto angelegt wird. Danach ist das Bearbeiten teilweise gesperrt, und jede spätere Änderung löst eine vollständige Neu-Verifizierung aus — mit bis zu vierzehn Werktagen je Durchgang.

Der Webhook: drei Fallen, die still scheitern

Meta schickt eingehende Nachrichten aktiv an einen dauerhaft erreichbaren Endpunkt und erwartet sofort eine Bestätigung. Es gibt keinen Endpunkt, den man in Ruhe abfragen könnte. Das schließt zeitgesteuerte Läufe als Architektur aus — kein Cron, keine geplanten Aufträge. Es braucht eine Funktion, die durchgehend erreichbar ist und sofort antwortet. Warum geplante Läufe auch sonst selten dort laufen sollten, wo man sie gerade einrichtet, steht im Beitrag über wiederkehrende Läufe im Betrieb.

• Die Adresse allein reicht nicht. Meta nimmt die Rückrufadresse an und meldet sie als aktiv — aber das Feld-Abonnement bleibt leer. Dann kommt nie etwas an, und die Oberfläche zeigt keinen Fehler. Das kostete uns drei Stunden. Prüfen und setzen lässt es sich nur über die Schnittstelle mit einem App-Token.
• Die App muss auf das Konto abonniert sein. Frisch angelegt hängt dort nur Metas eigene Testanwendung. Auch das ist ein eigener Aufruf.
• Das Token aus dem Testbereich lebt nur bis zur vollen Stunde, nicht 24 Stunden. Dauerhaft geht es nur über einen Systembenutzer. Beim Einfügen aufpassen: Diese Tokens sind lang und werden leicht abgeschnitten — der Fehler sieht dann aus wie ein falsches Token, ist aber ein halbes.

Zwei weitere Pflichten, die man erst im Betrieb merkt: Meta wiederholt unbestätigte Nachrichten bis zu sieben Tage lang, deshalb muss die Nachrichtenkennung gespeichert und doppelte Zustellung erkannt werden — sonst entstehen doppelte Vorgänge und ab Oktober doppelt bezahlte Antworten. Und die Adresse zum Herunterladen von Bildern ist nur wenige Minuten gültig: Kundenfotos werden sofort geholt, nie die Kennung für später geparkt.

Die Preisumstellung zum 1. Oktober 2026

Bis Ende September ist reiner eingehender Support bei Meta gebührenfrei: Eingehende Nachrichten kosten nie etwas, Antworten im 24-Stunden-Fenster bislang ebenfalls nicht. Ab dem 1. Oktober 2026 werden Service-Nachrichten pro Stück berechnet — auch Antworten im offenen Fenster. Mengenmäßig bleibt es unbegrenzt, aber nicht mehr kostenlos.

Daraus folgt eine Entwurfsregel, die mehr spart als jede Modellwahl: eine einzige, vollständige Antwort statt mehrerer Nachrichten hintereinander. Ein „Hallo", ein „einen Moment bitte" und dann der Inhalt kosten ab Oktober das Dreifache derselben Auskunft. Wer jetzt baut, sollte die Bündelung von Anfang an einbauen — sie nachträglich einzuziehen bedeutet, jede Antwortstrecke noch einmal anzufassen.

Für eine Wirtschaftlichkeitsrechnung heißt das: Das kostenlose Fenster bis September ist ein gutes Testfenster, aber eine Entscheidung über Ja oder Nein sollte ausschließlich mit den Oktober-Preisen gerechnet werden.

Anrufe über WhatsApp: was geht und was dauerhaft nicht

Die Cloud API kann auch Sprachanrufe, aber mit zwei Einschränkungen, die Projekte kippen. Vom Kunden ausgehende Anrufe an die Geschäftsnummer sind überall verfügbar, wo die Cloud API verfügbar ist. Vom Unternehmen ausgehende Anrufe sind für Geschäftsnummern aus einigen Ländern — darunter die USA und Kanada — dauerhaft gesperrt. „Der Assistent ruft zurück" ist mit einer solchen Nummer also nicht nur unbequem, sondern ausgeschlossen.

Zweitens klingelt bei einem eingehenden Anruf kein Telefon. Es kommt ein technischer Verbindungsvorschlag, auf den binnen 30 bis 60 Sekunden geantwortet werden muss — das setzt einen eigenen Sprach-Endpunkt voraus. Das ist ein eigenes Projekt, kein Häkchen. Wer Telefonie will, findet die Kostenseite davon im Beitrag zum KI-Telefonassistenten; zur Rufnummer selbst gibt es einen eigenen Beitrag über die Zuteilungsregeln in Deutschland.

Rechtliche Pflichten, die vor dem ersten Kunden stehen

• Kennzeichnung. Seit dem 2. August 2026 gilt die Kennzeichnungspflicht der KI-Verordnung. Die erste Zeile des Chats sagt, dass hier ein KI-Assistent schreibt — und wie man einen Menschen erreicht.
• Einwilligung. Die vorherrschende Linie der Aufsichtsbehörden verlangt für den Kanal eine Einwilligung und einen gleichwertigen Alternativweg ohne Nachteil. Dazu gehören Metas Auftragsverarbeitung, ein Eintrag im Verarbeitungsverzeichnis und eine ergänzte Datenschutzerklärung.
• Werbung. Proaktive Nachrichten brauchen ein dokumentiertes Opt-in. Ein einziger Rabattcode oder eine Bitte um Bewertung macht eine Servicenachricht zu Werbung — mit allen Folgen des Wettbewerbsrechts. Auf die Bestandskundenausnahme sollte man sich bei Messengern nicht verlassen.
• Richtlinie. Meta untersagt seit Januar 2026 Assistenten für beliebige Zwecke. Bots für Support, häufige Fragen und Sendungsverfolgung sind ausdrücklich weiter erlaubt — ein „frag mich alles" auf derselben Nummer wäre ein Verstoß.

Ein eleganter Ausweg beim Opt-in: Statt eine Vorlage an den Kunden zu senden, setzt man einen WhatsApp-Link in die bestehende Kommunikation. Der Empfänger schreibt dann zuerst — damit ist es eine von ihm eröffnete Unterhaltung, das 24-Stunden-Fenster ist offen, und es gibt weder einen Opt-in-Verstoß noch ein Sperrrisiko.

Wann sich der direkte Weg nicht lohnt

Wenn niemand da ist, der den Endpunkt betreibt. Ein Webhook ist kein Projekt mit Enddatum — Tokens laufen ab, Metas Schnittstelle ändert sich, Fehler beim Senden werden still verschluckt, wenn man sie nur protokolliert. Ohne jemanden, der das im Blick behält, ist die monatliche Grundgebühr eines Providers gut angelegtes Geld.

Und ganz grundsätzlich: WhatsApp ist ein zusätzlicher Kanal mit eigenem Prüfpfad, eigener Rufnummer und eigenem Datenschutzaufwand. Wenn dieselben Anfragen schon per E-Mail hereinkommen, ist die Automatisierung im vorhandenen Ticketsystem der kürzere Weg zum selben Ergebnis — ohne neue Nummer, ohne Meta-Konto, ohne neue Einwilligung.

Häufige Fragen