API-Key
Ein API-Key, deutsch API-Schlüssel, ist eine geheim zu haltende Zeichenfolge, mit der sich eine Anwendung beim Zugriff auf eine Programmierschnittstelle identifiziert und autorisiert. Er wird mit jeder Anfrage übermittelt und ist häufig mit bestimmten Rechten, Nutzungsgrenzen oder Projekten verknüpft.
Wer den Schlüssel besitzt, kann in dessen Rahmen zugreifen. API-Keys gehören daher nicht in öffentliche Inhalte oder geteilte Dokumente, sollten nur die nötigen Rechte haben und bei Bedarf austauschbar sein.
Worauf achtet ihr beim Umgang mit einem API-Key?
Ein API-Key ist wie ein Passwort zu behandeln, mit dem Unterschied, dass er meist ohne zusätzliche Anmeldung Zugriff gewährt. Diese Regeln helfen im Alltag:
- Sicher aufbewahren: Schlüssel gehören in einen Passwortmanager oder eine dafür vorgesehene Konfiguration, nicht in E-Mails, Chats, Tabellen oder Präsentationen.
- Rechte begrenzen: Jede Integration erhält einen eigenen Schlüssel mit nur den Rechten, die sie braucht.
- Zuständigkeit klären: Für jeden Schlüssel ist bekannt, wer ihn angelegt hat, wofür er dient und wer ihn verwaltet.
- Regelmäßig erneuern: Schlüssel werden in festen Abständen und sofort bei Personalwechseln oder Verdacht auf Missbrauch ausgetauscht.
- Nutzung beobachten: Wer Zugriffe und Kosten überwacht, bemerkt Missbrauch früh, etwa bei KI-Schnittstellen mit nutzungsabhängiger Abrechnung.
Wie gut ein API-Key schützt, hängt von der Umsetzung beim Anbieter ab. Fragt bei der Toolauswahl nach Rechtestufen, Ablaufdaten und Protokollen.
Eine Integration verwendet einen geschützten Schlüssel, der bei Bedarf ausgetauscht werden kann.
Häufige Fragen
API-Key oder OAuth: Was ist der Unterschied?
Ein API-Key ist ein fester Schlüssel, der einer Anwendung Zugriff gibt, bis er widerrufen wird. Bei OAuth meldet sich eine Person an und erlaubt einer Anwendung gezielt bestimmte Zugriffe, die Anwendung erhält dafür zeitlich begrenzte Zugangstoken. OAuth ist dadurch feiner steuerbar und an Personen gebunden, ein API-Key einfacher einzurichten, aber riskanter bei Verlust.
Was tun, wenn ein API-Key veröffentlicht wurde?
Sperrt oder erneuert den API-Key sofort beim Anbieter, auch wenn er nur kurz sichtbar war. Ersetzt ihn danach in allen Integrationen, die ihn genutzt haben. Prüft anschließend Protokolle und Abrechnung auf ungewöhnliche Zugriffe und informiert IT-Sicherheit oder Datenschutz, falls personenbezogene Daten betroffen sein könnten. Nur die Fundstelle zu löschen reicht nicht.
Dürfen API-Keys in Automatisierungstools hinterlegt werden?
Ja, wenn das Tool Zugangsdaten verschlüsselt speichert und nur berechtigte Personen sie nutzen oder einsehen können. Prüft vorab, wer im Tool Zugriff auf hinterlegte Schlüssel hat, ob Workflows mit Dritten geteilt werden und ob eure IT das Tool freigegeben hat. Hinterlegt dort nur API-Keys mit eng begrenzten Rechten.
Kostet ein API-Key Geld?
Der API-Key selbst kostet nichts, abgerechnet wird die Nutzung, die über ihn läuft. Bei vielen KI-Diensten bezahlt ihr nach Menge der verarbeiteten Daten, etwa nach Token. Ein unbemerkt geteilter oder missbrauchter Schlüssel kann deshalb hohe Kosten verursachen. Setzt Budgetgrenzen und Warnungen beim Anbieter, sofern diese Funktion angeboten wird.