Diese Seite ist auch verfügbar in:
API MANAGEMENT
Gravitee: Event-natives API Management für den Schweizer Finanzplatz
APIs sind das Rückgrat der digitalen Bank – und mit KI-Agenten kommt gerade eine völlig neue Klasse von API-Konsumenten hinzu. Gravitee hat sich vom Open-Source-Gateway zur führenden Plattform für API-, Event- und AI-Agent-Governance entwickelt. Wir zeigen, was die Plattform technisch auszeichnet und warum sie für den Schweizer Finanzplatz besonders interessant ist.
Gartner Leader
Magic Quadrant API Management, 2. Jahr in Folge
350+ Kunden
Enterprise-Kunden in über 30 Ländern, stark im Finanzsektor
Version 4.12
Release, Juni 2026
Open Source
Apache-lizenzierter Kern, volle Souveränität
Was ist Gravitee?
Gravitee ist eine event-native API-Management-Plattform mit Open-Source-Kern. Anders als klassische Gateways, die primär für REST gebaut wurden, behandelt Gravitee synchrone und asynchrone Kommunikation als gleichwertige Bürger: REST, SOAP, GraphQL und gRPC laufen über dasselbe Gateway wie Kafka, MQTT, WebSocket, Server-Sent Events und Webhooks. Das Gateway selbst ist in Java auf einem reaktiven Stack implementiert – leichtgewichtig, horizontal skalierbar und laut Hersteller bis zu 4x schneller als vergleichbare Lösungen.
Die Plattform besteht aus vier integrierten Produktlinien, die über eine gemeinsame Control Plane gesteuert werden:
Die Plattform besteht aus vier integrierten Produktlinien, die über eine gemeinsame Control Plane gesteuert werden:
API Management
Voller Lifecycle für REST, GraphQL, gRPC & WebSocket: Design, Policies, Deployment, Developer Portal, Analytics – inkl. Föderation von AWS-, Azure-, Apigee-, MuleSoft- und IBM-Gateways.
Event Management
Kafka-, MQTT- und JMS-Streams (ActiveMQ, IBM MQ, Solace) absichern und als Produkte exponieren – ohne Broker oder Clients anzufassen. Inkl. Kafka Gateway und governed Kafka Console.
Access Management
Vollwertiges IAM: OAuth2/OIDC, MFA, Biometrie, FAPI-Konformität, mTLS-Pläne und seit 4.11 RFC-8693-Token-Exchange für delegierte KI-Agenten.
AI Agent Management
Governance für LLM-Zugriffe, MCP-Tool-Ausführung und Agent-to-Agent-Traffic: Prompt Guard Rails, PII-Filtering, Token-Budgets und vollständige Lineage.
Die Architektur im Detail
Ein Gravitee-Deployment besteht im Kern aus vier Komponenten: dem Gateway (Data Plane), der Management API, der Console (Admin-UI) und dem Developer Portal. Als Backend dienen MongoDB oder ein RDBMS (PostgreSQL, Oracle) für die Konfiguration sowie Elasticsearch oder OpenSearch für Analytics – seit 4.9 mit Unterstützung für Elasticsearch 9.x.
APIs werden deklarativ als v4-API-Definition beschrieben – ein JSON-Modell, das Entrypoints (wie Konsumenten zugreifen: HTTP-Proxy, WebSocket, SSE, Webhook) von Endpoints (wo das Backend liegt: HTTP, Kafka, MQTT, JMS) entkoppelt. Genau diese Protokoll-Mediation macht das «event-native» Konzept aus: Ein Kafka-Topic lässt sich z. B. als WebSocket- oder SSE-API exponieren, ohne dass der Konsument je einen Kafka-Client braucht.
APIs werden deklarativ als v4-API-Definition beschrieben – ein JSON-Modell, das Entrypoints (wie Konsumenten zugreifen: HTTP-Proxy, WebSocket, SSE, Webhook) von Endpoints (wo das Backend liegt: HTTP, Kafka, MQTT, JMS) entkoppelt. Genau diese Protokoll-Mediation macht das «event-native» Konzept aus: Ein Kafka-Topic lässt sich z. B. als WebSocket- oder SSE-API exponieren, ohne dass der Konsument je einen Kafka-Client braucht.
Kubernetes-nativ mit dem Gravitee Kubernetes Operator (GKO)
Für Umgebungen wie OpenShift oder AKS lassen sich APIs vollständig als Custom Resources verwalten – GitOps inklusive. Eine minimale v4-API als CRD sieht so aus:
# ApiV4Definition als Kubernetes Custom Resource (GitOps-ready)
apiVersion: gravitee.io/v1alpha1
kind: ApiV4Definition
metadata:
name: payments-api
spec:
name: "Payments API"
version: "1.0"
type: PROXY
listeners:
- type: HTTP
paths:
- path: /payments
entrypoints:
- type: http-proxy
endpointGroups:
- name: core-banking
type: http-proxy
endpoints:
- name: avaloq-adapter
configuration:
target: https://core.internal.bank/payments
flows:
- name: rate-limit
request:
- policy: rate-limit
configuration:
rate:
limit: 100
periodTimeUnit: SECONDS
Über 50 vorgefertigte Policies (Rate Limiting, Transformation, Message Filtering, JSON/XML-Threat-Protection, IP-Filtering u. v. m.) werden im Policy Studio visuell orchestriert. Dynamische Logik läuft über die Gravitee Expression Language (EL) – etwa
{#request.headers['X-Client-Id'] != null} als Flow-Bedingung. Seit 4.9 gibt es dafür sogar einen KI-Assistenten, der EL-Ausdrücke aus natürlicher Sprache generiert. Was ist neu? Die Releases 4.9 bis 4.11
Gravitee liefert in hohem Tempo. Die letzten beiden grossen Releases zeigen klar, wohin die Reise geht: Kafka-Governance, Observability – und vor allem die Absicherung von KI-Workloads.
4.9 Oktober 2025
- Gravitee MCP Server: Die Management-Plattform selbst wird per Model Context Protocol steuerbar – KI-Assistenten wie Claude oder Cursor können APIs auditieren, Logs analysieren und Subscriptions verwalten, mit Berechtigungen über Service Accounts gescoped.
- Kafka Console: Governed UI für Topics, Partitionen und Consumer Groups – jede Aktion läuft über die zentralen Gateway-Policies, ohne direkten Produktionszugriff oder exponierte Credentials.
- v2-zu-v4-Migration per Klick: Automatische Kompatibilitätsprüfung und sicheres Rollback – wichtig, da v1-APIs ab 4.12 nicht mehr unterstützt werden.
- EL-Assistent (KI-gestützt), Execution-Transparency-Analytics und ein neues API-Traffic-Dashboard für v4-Proxies.
- Multi-Cloud: SaaS-Gateways neu auch auf GCP – damit deckt Gravitee Cloud alle drei Hyperscaler mit regionaler Datenresidenz ab.
4.11 April 2026 – aktuelles Release
- AI-gestütztes PII-Filtering: Eine neue Gateway-Policy erkennt und schwärzt personenbezogene Daten in Prompts und Responses automatisch, bevor sie einen LLM-Provider erreichen – zentral für DSG/DSGVO-konforme GenAI-Nutzung in Banken.
- RFC 8693 Token Exchange: KI-Agenten agieren delegiert im Namen eines Users – ohne Impersonation. Der delegierte Token trägt
act-Claims, ist eng gescoped, kurzlebig und wird bei Rechteentzug automatisch invalidiert. Die komplette Delegationskette bleibt auditierbar. - A2A Proxy: Dedizierter v4-API-Typ für Agent-to-Agent-Kommunikation, inkl. Policies wie Prompt Guard Rails, Rate Limiting und IP-Filtering.
- Semantic Caching: LLM-Antworten werden nach semantischer Ähnlichkeit statt exaktem Text-Match gecacht – reduziert Token-Kosten und Latenz messbar.
- LLM-Observability: Dashboards für Prompt-/Completion-Tokens, Token-Verbrauch pro Request und Traffic-Muster direkt in der APIM Console.
- API Products: Mehrere APIs als ein Produkt bündeln – eine Subscription, Zugriff auf alle enthaltenen APIs. Ideal für ein «Open Banking»-Paket als Geschäftsangebot.
- JMS-Support & Kafka Policy Rules: Anbindung von ActiveMQ, IBM MQ und Solace; Governance-Regeln direkt auf Kafka-Protokollebene (Replikationsfaktor, Compression, Batch Size) mit Enforce/Override/Throttle-Aktionen. Dazu dynamisches mTLS für Kafka-Subscriptions ohne Gateway-Neustart.
Einordnung: Mit 4.11 positioniert sich Gravitee klar als Governance-Schicht für das agentische Zeitalter. Wer heute API-Governance sauber aufsetzt, hat morgen die Infrastruktur, um KI-Agenten kontrolliert auf Kernsysteme zugreifen zu lassen – mit Identität, Audit-Trail und Kostenkontrolle ab dem ersten Request.
Warum das für Schweizer Banken relevant ist
Der Schweizer Finanzplatz steht vor einer doppelten Anforderung: Schnittstellen öffnen (Open Banking, Partnernetzwerke, Behördenprozesse) und gleichzeitig strengste Vorgaben an Datenschutz, Nachvollziehbarkeit und Auditierbarkeit erfüllen. Gravitee adressiert beide Seiten:
| Anforderung | Gravitee-Antwort |
|---|---|
| Datensouveränität | Open-Source-Kern, vollständig on-premises oder in einer Schweizer Cloud betreibbar – auf OpenShift/Kubernetes via GKO deklarativ verwaltet. Kein Vendor-Lock-in. |
| Financial-grade Security | FAPI-konforme Plattform, mTLS-Pläne mit Client-Zertifikaten pro Subscription, OAuth2/OIDC, MFA – Anforderungen, die im Open-Banking-Kontext zunehmend Pflicht sind. |
| Auditierbarkeit | Lückenlose Analytics, Execution-Transparency-Diagnostik, zentrale Policy-Durchsetzung über Shared Policy Groups und automatisiertes API-Scoring – Governance als Eigenschaft der Infrastruktur. |
| Gewachsene Landschaften | Federated API Management bindet bestehende AWS-, Azure-, Apigee-, MuleSoft- oder IBM-Gateways in einen Katalog, eine Policy-Ebene und ein Portal ein – ohne Migration, schrittweise einführbar. |
| Event-getriebene Prozesse | Kafka-Streams (z. B. aus Kernbanken-Eventing) lassen sich als governed APIs produktisieren – mit denselben Plänen, Quotas und Subscriptions wie klassische REST-APIs. |
| GenAI unter Kontrolle | PII-Redaction am Gateway, Token-Budgets, Semantic Caching und delegierte Agent-Identitäten (RFC 8693) machen KI-Anwendungsfälle regulatorisch tragfähig. |
Besonders spannend ist die Kombination mit Prozessautomatisierung: In BPM-getriebenen Abläufen – etwa Zahlungsfreigaben, Onboarding oder regulatorischen Meldeprozessen – orchestriert die Process Engine die Fachlogik, während Gravitee die Schnittstellen dazu absichert, drosselt, versioniert und beobachtbar macht. API-Governance und Prozessautomatisierung sind zwei Seiten derselben Medaille.
Unser Fazit
Gravitee vereint die Offenheit einer Open-Source-Lösung mit der Governance-Tiefe einer Enterprise-Plattform – und ist den meisten Wettbewerbern beim Thema Event-Streaming und AI-Agent-Governance derzeit einen Schritt voraus. Die native Kafka-Unterstützung, die FAPI-Konformität, der föderative Ansatz und das hohe Release-Tempo machen die Plattform zu einer der interessantesten Optionen für Finanzinstitute, die ihre Integrationslandschaft zukunftssicher aufstellen wollen.
Gravitee evaluieren – mit ONLU
Wir begleiten Banken und Finanzdienstleister bei der Evaluation, Einführung und dem Betrieb moderner Integrations- und Automatisierungsplattformen – von der Architekturberatung über das Deployment auf Kubernetes und OpenShift bis zur Anbindung an Kernbankensysteme. Gerne zeigen wir Ihnen in einem unverbindlichen Gespräch, wie eine schrittweise Einführung in Ihrer Systemlandschaft aussehen könnte.
ONLU AG ist eine Schweizer IT-Consulting, spezialisiert auf Prozessautomatisierung, Cloud-Lösungen und KI im Finanzsektor. Stand der Produktinformationen: Juli 2026 (Gravitee Platform 4.11).
