@davidschilling sagte in Abfrage bzw. setzen der Permissions per API:
schau am besten mal in eurem ChurchTools Log nach ob dort ein Fehler sichtbar ist.
warum bin ich auf die Idee nicht selbst gekommen? Da stand die Lösung: Der will als data echt einen json-String sehen, der dann nochmal beim Senden nochmal mit http_build_query verpackt werden muss.
vielen Dank für den Hinweis.