So funktioniert Punchout

Irgendwo in Ihrem Posteingang liegt eine Nachricht Ihres größten Kunden, die ungefähr so klingt: „Unser Einkauf fragt, ob Sie einen Punchout-Katalog anbinden können. Haben Sie eine OCI-Schnittstelle oder einen cXML-Endpoint?“ Wenn Sie einen B2B-Shop auf Shopify betreiben und dieser Satz nach einer Fremdsprache klingt, ist dieser Leitfaden die ausführliche Antwort. Er erklärt, was Punchout eigentlich ist, den kompletten Roundtrip Schritt für Schritt, den Unterschied zwischen OCI und cXML, was Shopify bereits mitbringt, was die Einkaufsseite von Ihnen verlangen wird, und wo ein Connector ins Bild gehört.

Was Punchout ist

Punchout ist die Art, wie große Unternehmen bei Lieferanten einkaufen, ohne ihre eigene Einkaufssoftware zu verlassen. Ihr Kunde surft nicht im offenen Web. Er arbeitet in einem Beschaffungssystem: SAP SRM oder S/4HANA, Onventis, Ariba, Coupa, Jaggaer. Braucht er Ihre Produkte, klickt er Ihren Namen in diesem System an. Ihr Katalog öffnet sich in einem Fenster, er legt Artikel in den Warenkorb, und der Warenkorb wandert zurück in sein System, als Bestellanforderung. Er drückt nie einen Checkout-Knopf in Ihrem Shop, und über Ihren Shop fließt kein Geld. Die Bestellung kommt später, über einen eigenen Kanal.

Der ganze Aufwand existiert aus einem Grund: Kontrolle. Der Einkauf wird dafür bezahlt, Freigabeketten, Budgets und verhandelte Preise auf jeder einzelnen Bestellung durchzusetzen. Ein öffentlicher Webshop setzt nichts davon durch, also legt die Einkaufssoftware sich um Ihren Shop herum: Eingekauft wird bei Ihnen, bestellt wird bei ihnen.

Für Sie als Lieferant ist Punchout der Unterschied zwischen einem bevorzugten Lieferanten auf dem Papier und einem in der Praxis. Wenn Bestellen bei Ihnen bedeutet, das System zu verlassen, Artikelnummern in eine Maske zu kopieren und ein PDF anzuhängen, wandern Einkäufer zu dem Wettbewerber, der angebunden ist. Wenn Ihr Katalog einen Klick entfernt liegt, zu Vertragspreisen, ist Bei-Ihnen-Bleiben der Weg des geringsten Widerstands.

Der Roundtrip, Schritt für Schritt

Eine Punchout-Beziehung hat zwei Hälften: den Einkauf nach draußen und die Bestellung zurück. Sechs Schritte ergeben den kompletten Kreis.

1. Setup-Aufruf. Der Einkäufer klickt Ihren Katalog an. Sein System ruft Ihren Punchout-Endpoint mit einer authentifizierten Anfrage auf. Bei OCI ist das ein HTTP-Aufruf mit USERNAME, PASSWORD und einer HOOK_URL als Rücksprungadresse. Bei cXML ist es ein PunchOutSetupRequest-Dokument mit Netzwerk-Identitäten und Shared Secret.
2. Session-Start. Ihre Seite validiert die Credentials, stellt fest, welches Unternehmen und welche Vertragspreise gelten, und antwortet mit einer Start-URL. Der Browser des Einkäufers öffnet Ihren Katalog, bereits im richtigen Kundenkontext.
3. Einkauf. Der Einkäufer arbeitet in Ihrem echten Shop: Ihre Produktdaten, Ihre Bilder, Ihre Bestände. Die Preise sind seine verhandelten Vertragspreise, nicht die öffentliche Liste.
4. Warenkorb-Transfer. Statt eines Checkouts gibt es einen Transfer. Der Warenkorb geht als strukturierte Nachricht zurück, als NEW_ITEM-Formularfelder bei OCI oder als PunchOutOrderMessage bei cXML, und landet im System des Kunden als Entwurf einer Bestellanforderung.
5. Freigabe. Die Bestellanforderung, im SAP-Umfeld die BANF, läuft durch die Freigabekette des Kunden. Das dauert eine Stunde oder drei Wochen. Ihr Shop ist daran nicht beteiligt, und auf Ihrer Seite wartet nichts.
6. Bestellung. Aus der freigegebenen Bestellanforderung wird eine Bestellung (PO). Auf cXML-Netzwerken kann sie direkt an Ihren Endpoint zurückgeschickt werden, als OrderRequest-Dokument, und ohne menschliches Zutun zur Order in Ihrem Shop werden.

Die zwei Hälften sind deshalb wichtig, weil viele Integrationen nur die erste beherrschen. Der Warenkorb erreicht den Kunden elegant, und dann kommt die Bestellung als PDF, das jemand aus Ihrem Team am Freitagnachmittag abtippt. Wenn Sie ein Punchout-Setup bewerten, fragen Sie immer nach beiden Richtungen.

OCI versus cXML

Zwei Protokolle tragen fast den gesamten Punchout-Verkehr, und welches Sie brauchen, entscheiden allein Ihre Kunden.

OCI (Open Catalog Interface) ist SAPs bewusst einfacher Standard und im deutschsprachigen Raum der Default, überall dort, wo SAP SRM oder S/4HANA den Einkauf abwickelt. Auf dem Hinweg gibt es keine XML-Dokumente: Das ERP ruft Ihre Katalog-URL mit einer HOOK_URL auf, und der Warenkorb kehrt als indizierte NEW_ITEM-Formularfelder zurück. OCI bewegt Warenkörbe, keine Bestellungen; die PO kommt auf dem Kanal zurück, den das ERP beherrscht, vom sauberen cXML OrderRequest bis zum Ausdruck. Die praktische Komplexität steckt in Field-Dialekten: Mengeneinheiten, Warengruppen und custom NEW_ITEM-Erweiterungen unterscheiden sich je Installation. Details auf der OCI-Seite.

cXML (Commerce XML) ist der Standard der Ariba-Welt und nach Verbreitung der größere der beiden. Es ist dokumentbasiert: Vier XML-Dokumenttypen ergeben den vollen Zyklus (PunchOutSetupRequest, PunchOutSetupResponse, PunchOutOrderMessage, OrderRequest). Auch Coupa, Jaggaer, Oracle und Workday sprechen cXML. Seine Stärke ist der Rückweg: Bestellungen reisen über dasselbe Protokoll zurück, Vollautomatisierung in beide Richtungen ist der Normalfall. Die Netzwerke im Einzelnen: Ariba und Coupa.

Viele deutsche Lieferanten brauchen am Ende beides: ein Kunde auf selbst betriebenem SAP, der nächste auf Ariba oder Coupa. Das ist das Argument dafür, beide Protokolle in einem Connector zu behandeln statt in zwei Projekten. Eine praxisnahe Gegenüberstellung mit den Eigenheiten, die in echten Integrationen auffallen, steht (auf Englisch) unter cXML vs OCI, practically.

Was Shopify mitbringt, und was nicht

Die gute Nachricht zuerst. Shopify B2B deckt die kaufmännische Hälfte der Punchout-Checkliste bereits ab, also die Hälfte, die nachträglich wirklich schwer zu bauen ist: Firmenkonten mit mehreren Company Locations, Kataloge und Preislisten pro Location (das sind Ihre Vertragspreise), Mengenregeln wie Mindestmengen und Verpackungseinheiten, Zahlungsbedingungen. Wer heute über Shopify Großhandel betreibt, hat das Preis- und Berechtigungsmodell, das Punchout-Kunden verlangen, vermutlich schon konfiguriert.

Was Shopify auf keinem Plan hat, ist ein Punchout-Endpoint. Nichts nimmt einen OCI-Aufruf oder eine PunchOutSetupRequest entgegen, nichts validiert Shared Secrets, nichts rendert beim Transfer NEW_ITEM-Felder an eine HOOK_URL, nichts verarbeitet einen OrderRequest. Shopifys B2B-Funktionen enden an der Kante Ihres Shops; Punchout ist genau die Maschinerie, die über diese Kante hinaus in das System des Kunden reicht.

Diese Lücke füllt ein Connector: die Protokoll-Endpoints, die Credential-Validierung, die Session, die eine Netzwerk-Identität der richtigen Company Location zuordnet, die Warenkorb-Transformation auf dem Hinweg, die Bestellverarbeitung auf dem Rückweg, und die Logs, die das alles nachvollziehbar machen.

Was die Einkaufsseite von Lieferanten verlangt

Das Protokoll ist die schnelle Hälfte eines Punchout-Projekts. Die langsame Hälfte ist das Enablement: der Prozess, den jedes Netzwerk oder jeder Kunde durchläuft, bevor Ihre Anbindung live geht. Er unterscheidet sich drastisch, und Sie sollten ihn kennen, bevor Sie ein Go-live-Datum versprechen.

OCI-Kunden haben gar kein zentrales Netzwerk. Es gibt das ERP-Team Ihres Kunden, dessen Testkalender und dessen Feld-Anforderungen. Kurz, wenn beide Seiten liefern; zäh, wenn das Basis-Team ausgelastet ist. Klare Session-Logs, die Sie weiterreichen können, sind hier das wirksamste Werkzeug.

Ariba ist das Schwergewicht. Trading Relationship im SAP Business Network, Austausch von Identitäten und Shared Secret, Katalog-Indexdatei je Kunde zur Validierung, Tests im Test-Realm des Kunden. Punchout setzt realistisch einen Enterprise Account voraus, und Ariba ist das einzige große Netzwerk mit Lieferantengebühren: 0,155 % Transaktionsgebühr, gedeckelt bei 20.000 USD je Kundenbeziehung und Jahr, sobald Schwellen überschritten sind, plus Jahresstufen, bei denen cXML-Automatisierung Sie in Silver einsortiert, 750 USD pro Jahr. Echte Einkäuferdokumentation nennt 8 bis 12 Wochen Kalenderzeit, das meiste davon Koordination, nicht Technik.

Coupa ist das Leichtgewicht: Portal kostenlos, keine Lieferantengebühren, der Admin des Kunden konfiguriert die Anbindung selbst. Erste Anbindungen landen üblicherweise binnen ein bis zwei Wochen. Jaggaer, Oracle und Workday liegen dazwischen: cXML-basiert, ohne Lieferantengebühren, mit Enablement im Tempo des Kundenprojekts.

Über alle hinweg wiederholt sich ein Muster: Die Engineering-Stunden sind klein, die Koordinationswochen nicht. Der Hebel in Ihrer Hand ist die Dauer jeder Testschleife, und rohe Session-Logs, die die IT Ihres Kunden ohne Telefonat lesen kann, sind dafür das beste Werkzeug.

Zwei Dinge können Sie schon vor dem ersten Enablement in Ihrem eigenen Katalog vorbereiten. Erstens: stabile SKUs auf jeder Variante, die über Punchout verkauft wird. cXML identifiziert Artikel über die SupplierPartID, und was Sie dort einmal senden, landet dauerhaft im Artikelstamm Ihres Kunden; eine nackte Varianten-ID aus dem Shopsystem wollen Sie dort nicht verewigt sehen. Zweitens: ein Mapping für Mengeneinheiten. Beschaffungssysteme erwarten ISO-Einheiten wie EA, BX oder CS auf jeder Position, und Shopify kennt dieses Konzept schlicht nicht. Beides ist in einer Stunde gepflegt und erspart Ihnen die zwei klassischen Rückfragerunden, mit denen sonst fast jedes Enablement beginnt.

Wie PunchRelay hineinpasst

PunchRelay ist ein Punchout-Connector, gebaut ausschließlich für Shopify. Ihr Shop bekommt OCI- und cXML-Endpoints; PunchRelay validiert die Credentials jedes Kunden, öffnet Punchout-Sessions gegen die Shopify B2B Company Location, die Sie zuordnen, setzt Ihre Mengenregeln vor dem Transfer durch, liefert den Warenkorb im Dialekt des jeweiligen Kundensystems zurück und macht aus eingehenden cXML OrderRequests Shopify-Orders, bestätigt in unter 150 Millisekunden. Jede Nachricht in beide Richtungen wird roh geloggt, denn das Log ist es, was Enablement verkürzt.

Wir onboarden gerade Early-Access-Händler und bauen deren erste Kundenanbindungen gemeinsam mit ihnen auf. Wenn ein Kunde Sie gerade nach Punchout gefragt hat, starten Sie mit der Seite, die zu seinem System passt: OCI für SAP, Ariba oder Coupa. Oder lassen Sie unten Ihre E-Mail-Adresse da, und wir skizzieren den kürzesten Weg zu Ihrer ersten Live-Anbindung.