API-Key

Viele Programme holen sich Daten oder Rechenleistung von einem fremden Anbieter im Internet. Eine Wetter-App fragt zum Beispiel bei einem Wetterdienst nach der Temperatur, statt sie selbst zu messen. Damit der Anbieter weiß, wer da anfragt, verlangt er einen API-Key. Das ist eine lange, zufällig aussehende Zeichenfolge, etwa sk-3f9a2b7c4e81d05a. Sie wird bei jeder Anfrage mitgeschickt und funktioniert wie ein persönlicher Zugangscode. Die Abkürzung API steht für Programmierschnittstelle: eine feste Adresse mit klaren Regeln, über die zwei Programme miteinander sprechen.

Der Schlüssel entscheidet, wer zahlt

Fast jeder KI-Dienst rechnet nach Nutzung ab. Wer über die Schnittstelle von OpenAI, Anthropic oder Google Texte erzeugen lässt, zahlt pro verarbeitetem Textbaustein. Der API-Key ist dabei die Rechnungsadresse. Jede Anfrage mit diesem Schlüssel landet auf demselben Konto.

Deshalb ist ein gestohlener Schlüssel ein echtes finanzielles Risiko. Es gibt regelmäßig Fälle, in denen Entwickler ihren Schlüssel versehentlich in öffentlich einsehbaren Programmcode geschrieben haben. Automatische Suchprogramme finden solche Schlüssel innerhalb von Minuten. Fremde nutzen sie dann für eigene Anfragen, und die Rechnung von mehreren tausend Euro geht an den ursprünglichen Besitzer.

Ein API-Key regelt außerdem, was erlaubt ist. Anbieter hängen an jeden Schlüssel ein Limit, etwa hundert Anfragen pro Minute. So verhindern sie, dass ein einzelner Nutzer die Server überlastet. Manche Schlüssel dürfen nur lesen, andere auch Daten verändern. Unternehmen vergeben deshalb pro Projekt einen eigenen Schlüssel, um im Ernstfall nur diesen einen sperren zu müssen.

Vom Erzeugen bis zum Widerrufen

Man erzeugt einen API-Key auf der Website des Anbieters, meist mit einem Klick im eigenen Konto. Der Dienst würfelt dann eine lange zufällige Zeichenfolge und speichert sie in seiner Datenbank. Danach wird der Schlüssel oft nur ein einziges Mal vollständig angezeigt. Wer ihn nicht sofort sichert, muss einen neuen erzeugen.

Bei jeder Anfrage schickt das Programm den Schlüssel im Kopfbereich der Nachricht mit, also in einem Zusatzfeld neben der eigentlichen Frage. Der Anbieter schlägt nach, ob der Schlüssel existiert, ob er noch gültig ist und ob das Konto gedeckt ist. Passt alles, kommt die Antwort zurück. Sonst antwortet der Server mit einer Fehlermeldung, oft der Nummer 401 für nicht autorisiert.

Wichtig ist die Abgrenzung zum Passwort. Ein Passwort gehört zu einem Menschen, ein API-Key zu einem Programm. Ein Passwort lässt sich mit einer zweiten Bestätigung per Handy absichern, ein API-Key nicht, denn dahinter sitzt niemand, der etwas bestätigen könnte. Dafür lässt sich ein Schlüssel jederzeit widerrufen, ohne dass das Nutzerkonto betroffen ist. Genau deshalb tauscht man Schlüssel regelmäßig aus, oft alle paar Monate.

Wo API-Keys im Alltag auftauchen

Sichtbar wird das Thema, sobald man selbst etwas baut. Wer eine Karte auf einer eigenen Website einbindet, braucht einen Schlüssel von Google Maps. Wer ein kleines Programm schreibt, das ein Sprachmodell befragt, hinterlegt dort seinen Schlüssel. Auch fertige Werkzeuge fragen danach: Manche Schreib- oder Programmier-Erweiterungen wollen den eigenen KI-Schlüssel, damit die Kosten beim Nutzer landen.

In den Wirtschaftsnachrichten steckt der API-Key hinter dem Begriff Plattformgeschäft. KI-Anbieter verdienen einen großen Teil ihres Geldes nicht mit Abos für Endnutzer, sondern mit Schnittstellenzugängen für Firmen. Jeder ausgegebene Schlüssel ist ein Kunde, dessen Verbrauch sich messen lässt. Ändert ein Anbieter seine Preise pro Anfrage, betrifft das sofort tausende Unternehmen.

Ein verbreiteter Irrtum ist, ein API-Key sei eine Verschlüsselung. Das stimmt nicht. Er verbirgt nichts, er identifiziert nur. Wer ihn liest, kann ihn sofort benutzen. Deshalb gehören Schlüssel nie in den sichtbaren Teil einer Website und nie in öffentlich geteilten Code, sondern in geschützte Konfigurationsdateien auf dem Server.