AI-Handwerk_Logo

Glossareintrag

Was bedeutet
API Key –
Application Programming
Interface Key?

Wir denken. KI tippt mit.

Lesezeit: 4 Minuten
Veröffentlicht: 09.04.2024
Aktualisiert: 10.10.2026

API Key –
Application Programming
Interface Key

Definition:

Ein API Key (deutsch API-Schlüssel) ist ein geheimer Zugangscode, mit dem sich ein Programm gegenüber einer API (Programmierschnittstelle) ausweist. Er funktioniert wie ein Passwort für Software. Während sich Menschen mit Benutzername und Passwort anmelden, schickt eine Anwendung bei jeder Anfrage ihren API Key mit und beweist damit, dass sie zugreifen darf und zu welchem Kundenkonto sie gehört.

Bei KI-Diensten ist der API Key zugleich die Abrechnungsgrundlage. Der Anbieter erkennt am Schlüssel, welches Konto eine Anfrage stellt, und rechnet die verbrauchten Tokens darüber ab. Wer den Schlüssel kennt, kann auf fremde Rechnung KI nutzen. Der vertrauliche Umgang damit ist deshalb der wichtigste Punkt an diesem Begriff.

Erkennbar sind die Schlüssel am Anfangskürzel, bei OpenAI beginnen sie mit „sk-", bei Anthropic (Claude) mit „sk-ant-", gefolgt von einer langen Zufalls-Zeichenkette. Ein vollständiger Key sieht also etwa so aus: „sk-ant-api03-kF92xQ…" (hier gekürzt). Angezeigt wird ein neuer Key meist nur ein einziges Mal direkt nach dem Erstellen, danach lässt er sich nur noch durch einen neuen ersetzen.

Beschreibung:

  • Selbstbedienung beim Anbieter: KI-API-Keys erstellt man kostenlos in den Entwickler-Konsolen der Anbieter, bei Anthropic in der Claude Console, bei OpenAI auf der OpenAI Platform, bei Google im AI Studio. Bezahlt wird anschließend nur der tatsächliche Verbrauch, ein Abo ist dafür nicht nötig. Geht ein Schlüssel verloren, lässt er sich nicht erneut anzeigen. Die Lösung ist immer dieselbe, alten Key löschen, neuen erstellen und in allen verbundenen Tools austauschen. So verschwindet auch die häufige Fehlermeldung „Invalid API key".
  • Identität, Rechte und Limits: Der Key ordnet jede Anfrage einem Konto zu. Darüber steuern Anbieter auch, welche Funktionen eine Anwendung nutzen darf, wie viele Anfragen pro Minute erlaubt sind und wann ein Nutzungslimit greift.
  • Ein Key pro Anwendung: Wer mehrere Tools betreibt, legt für jedes einen eigenen Schlüssel an (bei OpenAI über Projekte, bei Anthropic über Workspaces). So bleibt sichtbar, welches Tool wie viel verbraucht, und ein einzelner Key lässt sich sperren, ohne alles andere lahmzulegen. Sprechende Namen wie „Website-Chatbot" oder „Make-Angebotsmails" halten dabei die Übersicht.
  • Dauerschlüssel mit Verfallsdatum: Ein API Key gilt klassisch unbegrenzt, das macht ihn bequem und riskant zugleich. Anthropic lässt beim Erstellen inzwischen ein Ablaufdatum wählen (von 3 Stunden bis unbegrenzt), abgelaufene Schlüssel funktionieren dann automatisch nicht mehr. Große Produktionssysteme setzen statt Dauerschlüsseln auf kurzlebige Zugangs-Tickets (OAuth-Tokens), die sich selbst erneuern.
  • Automatisches Sicherheitsnetz: OpenAI und Anthropic sind Partner des GitHub Secret Scanning. Taucht ein Key versehentlich in einem öffentlichen Code-Verzeichnis auf, wird er automatisch erkannt, gesperrt und der Inhaber benachrichtigt. Das gilt allerdings nur für öffentliche Ablagen und ersetzt keinen sorgfältigen Umgang.

API Key –
Application Programming
Interface Key für Unternehmen und Handwerker:

Für lokale Unternehmen und Handwerksbetriebe taucht der API Key überall dort auf, wo Werkzeuge mit KI verbunden werden. Er ist die Stelle, an der Sicherheit und Kosten zusammenlaufen.

  • Automatisierungen und Plugins verbinden: Plattformen wie Make, Zapier oder n8n, WordPress-Plugins und Chatbot-Widgets auf der Firmenwebsite fragen bei der Einrichtung nach einem API Key aus dem eigenen KI-Konto. Erst dieser Schlüssel verbindet das Werkzeug mit dem Sprachmodell. Lässt ein Betrieb solche Automatisierungen von einer Agentur bauen, gehört der Key ins eigene Firmenkonto, dann bleiben Verbrauch und Zugang unter eigener Kontrolle.
  • Den Schlüssel wie die Firmen-EC-Karte behandeln: Ein API Key gehört nie in E-Mails, Chats, Schulungsunterlagen oder gar sichtbar in den Code der eigenen Website. Automatische Programme durchsuchen das Netz laufend nach geleakten Schlüsseln und finden sie oft binnen Minuten. Dokumentierte Fälle zeigen fremde Nutzung mit Rechnungen von mehreren Tausend Dollar innerhalb weniger Stunden. Das Sicherheitsunternehmen Sysdig hat dafür 2024 den Begriff LLMjacking geprägt. Im schlimmsten Fall rechnete Sysdig mit über 46.000 US-Dollar Schaden pro Tag. Aufbewahrt wird der Schlüssel am besten im Passwort-Manager des Betriebs, nicht in Notizdateien oder Excel-Listen. Bei Verdacht den Key sofort in der Konsole widerrufen und einen neuen erstellen, das dauert keine zwei Minuten. Auch beim Wechsel einer Agentur oder eines Dienstleisters gehören die betroffenen Keys neu erzeugt.
  • Ausgabenlimits setzen: Beide großen Anbieter bieten eingebaute Kostenbremsen. Bei OpenAI lassen sich pro Projekt Ausgabengrenzen und Warn-Benachrichtigungen einstellen, bei Anthropic Monatslimits für die Organisation und einzelne Workspaces. Zusammen mit Prepaid-Guthaben bleibt der schlimmste Fall damit kalkulierbar, selbst wenn ein Tool außer Kontrolle gerät.
  • Überblick behalten: Die Verbrauchsansicht der Konsolen zeigt pro Key, was einzelne Anwendungen kosten. Das hilft bei der Entscheidung, welche Automatisierung sich rechnet, und macht die KI-Kosten einzelner Projekte gegenüber Kunden oder dem Steuerberater sauber belegbar.
Automation Intelligence im Handwerk - Glossareintrag
Lexikon für künstliche Intelligenz und Automation - Glossar für Handwerker und Handwerksbetriebe
Handwerk transformieren durch Artificial Intelligence und Automation Intelligence

Webinar Release

Webinar Release

Sie haben eine Frage?

Sie haben eine Frage