Inhalt7
Ein API-Schlüssel ist eine Zugangskarte, die ein Programm einem Dienst vorzeigt, um bedient und abgerechnet zu werden. In einem KI-Projekt vervielfachen sich diese Karten schnell: eine pro Modellanbieter, eine pro Automatisierung, eine für den Prototyp der letzten Woche, der noch läuft. Jede öffnet einen Zähler, den das Unternehmen bezahlt. Gestohlen öffnet sie denselben Zähler für jemand anderen.
Dieser Text aus unserer Rubrik Infrastruktur und Cloud behandelt dieses Risiko aus dem Blickwinkel, der Finanzabteilungen verärgert: die Rechnung. Wo die Schlüssel in einem KI-Projekt durchsickern, was ein gestohlener Schlüssel kosten kann, wie man den Schaden schon vor dem Leck begrenzt und was in der ersten Stunde zu tun ist.
Kurz gesagt
- Öffentlich offengelegte Schlüssel von KI-Diensten sind laut GitGuardian innerhalb eines Jahres um 81 % gestiegen.
- Ein gestohlener Schlüssel dient dazu, Modelle auf Ihre Kosten zu nutzen oder sogar den Zugang weiterzuverkaufen: Man spricht von LLMjacking.
- Ein Schlüssel pro Verwendung, eingeschränkte Rechte und eine Ausgabengrenze verwandeln ein teures Leck in einen begrenzten Vorfall.
- Ein Schlüssel, der irgendwo sichtbar war, gilt als verloren: Man widerruft ihn, ersetzt ihn und prüft, wofür er verwendet wurde.
- Der beste Schlüssel ist der, den weder der Code noch der Browser noch das Modell je sehen.
Warum KI-Projekte offengelegte Schlüssel vervielfachen
Weil sie schnell gehen und Dienste stapeln. Ein interner Assistent ruft ein Modell auf, eine Suchmaschine in Ihren Dokumenten, ein Automatisierungswerkzeug; jeder Baustein verlangt seinen Schlüssel, und der Prototyp, der eine Woche halten sollte, geht in Produktion, mit dem Schlüssel dort eingefügt, wo er gerade half.
Der jüngste Bericht von GitGuardian über die Verbreitung von Geheimnissen misst das Ausmaß des Phänomens:
offengelegte Geheimnisse von KI-Diensten
innerhalb eines Jahres bei Geheimnissen im Zusammenhang mit KI-Diensten
der 2022 entdeckten gültigen Geheimnisse funktionierten vier Jahre später noch
Die letzte Zahl ist die beunruhigendste: Ein durchgesickerter Schlüssel wird fast nie geändert. Er bleibt jahrelang für jeden nutzbar, der ihn erbeutet hat.
Was ein gestohlener Schlüssel wirklich kostet
Ein gestohlener E-Mail-Schlüssel legt Daten offen. Ein gestohlener Schlüssel für ein KI-Modell legt auch ein Budget offen. Im Mai 2024 beschrieb das Forschungsteam von Sysdig einen Angriff namens LLMjacking: Gestohlene Cloud-Zugangsdaten, erbeutet über eine Lücke in einer nicht aktualisierten Website, dienten dazu, gehostete Modelle zu nutzen und den Zugang weiterzuverkaufen, auf Kosten des Opfers. Im schlimmsten von Sysdig berechneten Fall überstieg der Verbrauch 46 000 Dollar pro Tag.
OWASP, die maßgebliche Stiftung für Anwendungssicherheit, führt dieses Risiko in ihrer Rangliste 2025 der Risiken von KI-Anwendungen als unbegrenzten Verbrauch und gibt ihm einen sprechenden Spitznamen:
Definition
Denial of Wallet
Ein Angriff, der die nutzungsbasierte Abrechnung von KI-Diensten ausnutzt, indem er ein solches Volumen an Aufrufen auslöst, dass die Rechnung für den Zahlenden untragbar wird.
Die von OWASP empfohlene Gegenmaßnahme ist nicht exotisch: Begrenzungen der Anfragen, Kontingente pro Nutzer und eine Überwachung, die bei ungewöhnlichem Verbrauch warnt. Mit anderen Worten: Grenzen, die vor dem Vorfall gesetzt werden.
Wo Schlüssel in einem KI-Projekt durchsickern
Vier Orte tauchen immer wieder auf.
- Der an den Browser oder die mobile App gesendete Code. Ein Prototyp ruft das Modell direkt aus der Seite auf: Der Schlüssel reist mit, für jeden Besucher lesbar. Google sagt es unumwunden in seinen Best Practices für API-Schlüssel: niemals ein Schlüssel im Client-Code oder in einem Code-Repository, der Server fügt ihn der Anfrage hinzu.
- Das Code-Repository, samt Historie: Den Schlüssel aus der Datei zu entfernen, löscht ihn nicht aus früheren Versionen.
- Kollaborationswerkzeuge: Messenger, Tickets, geteilte Dokumente. GitGuardian schätzt, dass 28 % der Lecks ausschließlich außerhalb von Code-Repositories stattfinden.
- Die Anweisungen und Dokumente, die einem Modell gegeben werden: Ein Schlüssel, den ein KI-Agent liest, ist ein Schlüssel, den er wiederholen kann. Unser Artikel über den Tresor für Geheimnisse beschreibt, wie ein Agent ihn nutzen kann, ohne ihn je zu sehen.
Achtung
Ein Kunde hat es auf die harte Tour gelernt
In seinem Projekt waren Zugriffstoken im Klartext in Dateien geschrieben, die vom Code-Repository verfolgt wurden. Die Behebung folgte der Reihenfolge, die sich in diesem Fall aufdrängt: jedes Token widerrufen, ein neues erstellen, es überall dort ersetzen, wo es verwendet wurde, und dann die Historie des Repositorys bereinigen.
Den Schaden vor dem Leck begrenzen
Man kann nie garantieren, dass ein Schlüssel nicht durchsickert. Man kann dagegen im Voraus entscheiden, was er an dem Tag ermöglichen wird, an dem er durchsickert.
Ein Schlüssel, der beim Durchsickern teuer wird
Ein einziger Schlüssel für alle Verwendungen
Alle Rechte des Kontos
Keine Ausgabengrenze
Niemand sieht sich den Verbrauch an
Ein Schlüssel, der durchsickert, ohne jemanden zu ruinieren
Ein Schlüssel pro Verwendung, pro Projekt oder pro Agent
Nur die nötigen Rechte und Dienste
Eine monatliche Grenze und eine Warnung vor der Grenze
Ein verfolgter Verbrauch, Verwendung für Verwendung
Konkret:
- Ein Schlüssel pro Verwendung. An dem Tag, an dem einer durchsickert, schaltet man ihn ab, ohne die anderen Projekte anzuhalten, und das Protokoll sagt sofort, welches betroffen ist.
- Einschränkungen für jeden Schlüssel. Bei Google Cloud zum Beispiel kann ein Schlüssel auf bestimmte Dienste oder Anwendungen beschränkt werden, und Google fasst es so zusammen: Ein eingeschränkter Schlüssel verringert die Auswirkungen eines kompromittierten Schlüssels. Prüfen Sie, was jeder Ihrer Anbieter erlaubt.
- Grenzen und Warnungen. Ein Budget pro Verwendung, eine Warnung bei 50 oder 80 % dieses Budgets und eine automatische Abschaltung an der Grenze, wenn der Anbieter sie anbietet. Unser Artikel über die KI-Rechnung, Tokens und Routing erklärt, wie man dieses Budget Verwendung für Verwendung plant.
- Regelmäßiges Aufräumen. Schlüssel, die nichts mehr nutzt, werden gelöscht, und die anderen werden in regelmäßigen Abständen erneuert.
- Erkennung an der Quelle. Seit Februar 2024 blockiert GitHub standardmäßig das Hochladen erkannter Geheimnisse in öffentliche Repositories; GitHub gab damals an, in den ersten acht Wochen des Jahres mehr als eine Million offengelegte Geheimnisse in öffentlichen Repositories entdeckt zu haben.
Aus der Praxis
Unsere eigenen KI-Agenten veröffentlichen Code, ohne je einen Schlüssel zu halten: Dieser wird unterwegs von der Netzwerkschicht hinzugefügt und gelangt nie in ihre Arbeitsumgebung. Ein durch eine versteckte Anweisung getäuschter Agent hätte also keinen Schlüssel preiszugeben.
Die Rechte eines Agenten werden wie die eines Mitarbeiters zugeschnitten: Unser Leitfaden zur KI-Governance im Unternehmen beschreibt diesen Zuschnitt.
Die erste Stunde nach einem Leck
Wenn ein Schlüssel dort gesehen wurde, wo er nicht hätte sein dürfen, lautet die Frage nicht, ob jemand ihn erbeutet hat. Man tut so, als ob.
Die erste Stunde nach dem Leck eines Schlüssels
- Widerrufen
Der offengelegte Schlüssel wird beim Anbieter abgeschaltet.
- Ersetzen
Ein neuer Schlüssel mit eingeschränkten Rechten tritt überall an seine Stelle, wo er verwendet wurde.
- Prüfen
Protokoll und Rechnung des Anbieters zeigen, ob er verwendet wurde, und seit wann.
- Bereinigen
Der Schlüssel verschwindet aus der Historie des Codes, der Nachrichten und der Dokumente.
Die Reihenfolge zählt: zuerst widerrufen, auch wenn ein Dienst für einige Minuten stehen bleibt. Ein Schlüssel, der noch gültig ist, während man ihn sauber zu ersetzen versucht, kostet weiter Geld. Wenn mit dem Schlüssel personenbezogene Daten gelesen werden konnten, stellt sich auch die Frage einer Meldung an die zuständige Datenschutzbehörde (in Frankreich die CNIL), innerhalb der Frist von 72 Stunden, die die DSGVO für eine Verletzung des Schutzes personenbezogener Daten vorsieht.
Wo anfangen
- Listen Sie Ihre KI-Schlüssel auf
Anbieter, Verwendung, verantwortliche Person, Erstellungsdatum.
- Löschen Sie die, die nichts mehr nutzt
Und ändern Sie die, die per Messenger oder im Code kursiert sind.
- Trennen Sie die Verwendungen
Ein Schlüssel pro Projekt oder pro Agent, mit nur seinen Rechten.
- Setzen Sie eine Grenze und eine Warnung
Für jedes Konto bei einem Modellanbieter.
- Schreiben Sie das Verfahren für die erste Stunde auf
Mit dem Namen der Person, die widerrufen darf.
Die Schlüssel von Programmen gehören in einen Tresor für Geheimnisse; die Passwörter von Personen in einen Passwortmanager für das Team. Beide gehören zum gemeinsamen Infrastrukturfundament Ihrer Projekte. Der Rest der Rubrik behandelt benachbarte Entscheidungen: die fünf Posten, die eine Cloud-Rechnung aufblähen, dedizierter Server, VPS oder Cloud, Kubernetes und KMU, die Überwachung, der Notfallwiederherstellungsplan, NIS2 in Frankreich, die Sicherungen eines eigenen Servers, selbst gehostetes n8n im Produktivbetrieb, die Werkzeuge, die man zuerst aus dem SaaS holt, die Kosten eines SaaS-Ausstiegs über drei Jahre, die Cloud-Migration, ohne alles kaputt zu machen, die Abhängigkeit von der amerikanischen Cloud, die Hardware, um ein KI-Modell selbst zu betreiben, verwaltetes oder eigenes Postgres und die Wahl eines E-Mail-Dienstes für Unternehmen.
Für einen Tresor auf Ihren Namen, den Ihre KI nutzt, ohne die Schlüssel zu sehen, sehen Sie sich unseren KI-Tresor an; für Grenzen pro Verwendung und ein verfolgtes Budget KI zum fairen Preis; um diese Werkzeuge bei Ihnen zu hosten, unser Angebot für den SaaS-Ausstieg.
Häufige Fragen
Woran erkennen wir, dass einer unserer API-Schlüssel gestohlen wurde?
Sehen Sie sich den Verbrauch beim Anbieter an: ein abrupter Anstieg, nächtliche Aufrufe, Modelle, die Sie nicht nutzen, oder ungewöhnliche Regionen sind die häufigsten Anzeichen. Eine im Voraus gesetzte Ausgabenwarnung sagt es früher als die Rechnung. Ein Schlüssel, der in öffentlichem Code oder einer geteilten Nachricht entdeckt wurde, wird als gestohlen behandelt, auch ohne Anzeichen einer Nutzung.
Wer zahlt die Rechnung, wenn ein KI-Schlüssel von einem Angreifer genutzt wird?
In der Praxis geht die Rechnung an den Kontoinhaber, da sein Schlüssel die Aufrufe authentifiziert hat. Eine Kulanz lässt sich manchmal aushandeln, ohne jede Garantie. Daher der Nutzen von Ausgabengrenzen: Sie begrenzen den Verlust, wie auch immer die Diskussion ausgeht.
Darf man einen API-Schlüssel in eine mobile App oder eine Website einbauen?
Nein. Alles, was an den Browser oder das Telefon geht, kann vom Nutzer gelesen werden, auch versteckt oder kompiliert. Die App ruft Ihren Server auf, der den Schlüssel hinzufügt und die Anfrage an den Anbieter weiterleitet und dabei seine eigenen Grenzen pro Nutzer anwendet. Das empfiehlt auch Google in seinen Best Practices.
Sollte man seine Schlüssel regelmäßig ändern, wenn nichts durchgesickert ist?
Ja, in einem vernünftigen Rhythmus, und sofort, wenn eine Person oder ein Dienstleister mit Zugang ausscheidet. Die regelmäßige Erneuerung begrenzt die Lebensdauer eines Schlüssels, der unbemerkt durchgesickert sein könnte. Schmerzlos ist sie nur, wenn jeder Schlüssel an einem einzigen Ort liegt, der alle Werkzeuge versorgt.
Quellen
- Sysdig, LLMjacking: Stolen Cloud Credentials Used in New AI Attack, Mai 2024 (neuer Tab)sysdig.com
- OWASP, LLM10:2025 Unbounded Consumption (neuer Tab)genai.owasp.org
- Google Cloud, Best practices for managing API keys (neuer Tab)docs.cloud.google.com
- GitHub, Keeping secrets out of public repositories, Februar 2024 (neuer Tab)github.blog
- CNIL, Passwörter: eine neue Empfehlung, Oktober 2022 (neuer Tab)cnil.fr
Sysdig, LLMjacking: Stolen Cloud Credentials Used in New AI Attack, Mai 2024
Auf sysdig.com lesen(neuer Tab)Google Cloud, Best practices for managing API keys
Auf docs.cloud.google.com lesen(neuer Tab)GitHub, Keeping secrets out of public repositories, Februar 2024
Auf github.blog lesen(neuer Tab)Jim · Gründer von Brain Plus AI
Ebenfalls lesenswert zu infrastruktur und cloud
Verstehen11 Min.
Tresor für Geheimnisse: Ihre KI nutzt Schlüssel, ohne sie zu sehen
Passwörter per E-Mail, im Code vergessene API-Schlüssel, KI-Agenten, die alles kopieren könnten: Das sind die Lecks, denen wir am häufigsten begegnen. Und so lässt ein Tresor auf Ihren Namen Ihre KI Ihre Schlüssel nutzen, ohne sie je zu lesen.
Praxisleitfaden7 Min.
Passwörter: ein Passwortmanager für das ganze Team
Eine Tabelle „Zugänge“, per Messenger verschickte Passwörter, ein gemeinsames Konto, das niemand zu ändern wagt: Ein Team-Passwortmanager löst all das auf einen Schlag. Was er beim Eintritt und Austritt von Mitarbeitenden ändert, wie man ihn auswählt und womit man anfängt.
Praxisleitfaden9 Min.
KI-Kosten im Unternehmen: Tokens, Routing und Prognose
Was Sie tatsächlich bezahlen, wenn Sie eine KI per API nutzen: Eingabe- und Ausgabe-Tokens, der bei jedem Aufruf erneut gesendete Kontext, die Runden eines Agenten. Und die Methode, um die Rechnung vorherzusagen, bevor sie eintrifft.