API-Key
Kurz gesagtEin API-Key ist ein geheimer Code, mit dem ein Programm einen KI-Dienst auf deinem Konto aufruft; die Nutzung wird dir verrechnet.
Einfach erklärt
Ein API-Key ist eine lange Folge aus Buchstaben und Ziffern. Sendet ein Programm eine Anfrage an einen KI-Dienst, fügt es den Key bei. Der Anbieter liest ihn, weiss, welches Konto oder Projekt er belasten muss, und antwortet. Der Key wirkt wie Passwort und Kreditkarte in einem: Wer ihn hat, kann dein Kontingent nutzen und deine Rechnung hochtreiben.
Ein API-Key ist nicht dasselbe wie ein Chat-Abo. Ein bezahlter Chat-Tarif und ein API-Konto werden getrennt abgerechnet. Die Seite Abo oder API erklärt den Unterschied, die KI-Abos listen die Tarife auf.
Warum es wichtig ist
- Geld: Fremde können einen durchgesickerten Key nutzen. Die Kosten landen auf deinem Konto, bis du es stoppst.
- Daten: Wer den Key hat, kann in deinem Namen Anfragen senden, was Projekte und Einstellungen berühren kann.
- Grundregeln der Anbieter: Die Hinweise von OpenAI sagen, man solle Keys nicht in Code oder öffentlichen Repositories offenlegen, sondern an einem sicheren Ort speichern. Die Gemini-Doku von Google hat einen Abschnitt zu Sicherheit und Umgang mit Geheimnissen mit demselben Ziel.
Das tust du:
- Halte den Key aus Code, Screenshots, Chats und öffentlichen Repositories heraus. Nimm eine Umgebungsvariable oder einen Secret-Manager.
- Nimm einen Key pro Projekt, dann kannst du einen sperren, ohne den Rest zu stören.
- Setze nie einen Key in eine Webseite oder mobile App, die Nutzer untersuchen können. Rufe den KI-Dienst von deinem eigenen Server aus auf.
- Setze ein Ausgabelimit. Anthropic etwa lässt dich ein eigenes monatliches Limit unter dem Maximum deiner Stufe setzen; ist es erreicht, schlagen Anfragen fehl, bis du das Limit hebst oder der Monat wechselt. Siehe API-Key mit Ausgabelimit erstellen.
- Ist ein Key durchgesickert, sperre ihn sofort, erstelle einen neuen und prüfe die Nutzung.
Beispiel
Ein Entwickler lädt ein kleines Skript auf eine öffentliche Code-Seite. Im Skript steht der Key im Klartext. Nach wenigen Stunden finden ihn automatische Suchprogramme und nutzen ihn. Der Entwickler sieht eine unerwartete Rechnung. Ein Key aus einer Umgebungsvariablen und ein tiefes Ausgabelimit hätten den Schaden begrenzt.
Häufige Irrtümer
- «Ein privates Repository ist sicher genug.» Repositories können öffentlich werden, kopiert oder geteilt werden. Lass Keys trotzdem draussen.
- «Der Anbieter erstattet jeden Missbrauch.» Die Regeln sind verschieden. Verlass dich nicht darauf.
- «Ein Key ist ein Login.» Hinter ihm steht keine Person, und kein zweiter Faktor schützt ihn. Behandle ihn wie ein Geheimnis.
Fragen und Antworten
Wofür dient ein API-Key?
Er weist dein Konto gegenüber einem KI-Dienst aus, damit Software Anfragen senden kann und der Anbieter die Nutzung dir verrechnet.
Was tue ich, wenn mein API-Key durchgesickert ist?
Sperre ihn sofort in der Konsole des Anbieters, erstelle einen neuen, aktualisiere deine Apps und prüfe die letzte Nutzung auf Kosten, die nicht von dir stammen.
Wie begrenze ich, was ein API-Key kosten darf?
Setze in den Abrechnungseinstellungen des Anbieters ein Ausgabelimit, nimm einen Key pro Projekt und beobachte die Nutzungsseite. Siehe die verlinkte Anleitung.
Weiterlesen
- Ratenlimit
Ein Ratenlimit begrenzt, wie viele Anfragen oder Token du in einer Zeitspanne an eine KI-API senden darfst; darüber kommt ein Fehler, meist HTTP 429.
- Preis pro Million Token
Der Preis pro Million Token ist die übliche Preisangabe von KI-APIs: was du für je eine Million gesendete oder erzeugte Token zahlst.
- API-Key erstellen und Ausgabenlimit setzen
Key erstellen, aus dem Code heraushalten, Monatsausgaben deckeln und bei Bedarf abschalten, mit Schritten für OpenAI, Anthropic und Google.
- Abo oder API: was ist für dich günstiger?
Pauschal 20 Dollar im Monat oder zahlen pro Token: Eine Formel und drei Beispiele zeigen, wo was gewinnt, dazu Limits und Datenschutz.
- Was nicht in KI-Chatbots gehört
Passwörter, Kundendaten, Ausweise und Geheimnisse gehören nicht in einen Chatbot: Ampel-Checkliste, Datenregeln der Anbieter, CH- und EU-Grundlagen, sichere Wege.