Was ist ein API-Schlüssel und wie speichert man ihn sicher

Sie haben sich für eine KI-API angemeldet, und das Erste, wonach sie fragt, ist ein Schlüssel. Dieser Leitfaden erklärt, was ein API-Schlüssel ist, woher er kommt, wie Sie ihn sicher aufbewahren und was zu tun ist, wenn er dort landet, wo er nicht hingehört.

Was ein API-Schlüssel ist#

Ein API-Schlüssel ist eine lange Zeichenkette aus Buchstaben und Ziffern, die dem Dienst sagt, wer eine Anfrage sendet. Betrachten Sie ihn als Passwort für Programme: Ihr Skript sendet den Schlüssel mit jeder Anfrage, und der Dienst nutzt ihn, um Ihr Konto zu finden und die Kosten der Anfrage von Ihrem Guthaben abzubuchen.

Daraus folgen zwei Dinge:

• Wer den Schlüssel hat, kann Ihr Guthaben ausgeben. Der Dienst kann Sie nicht von jemandem unterscheiden, der Ihren Schlüssel kopiert hat.
• Der Schlüssel ist nicht das Modell und nicht das Guthaben. Er ist nur der Ausweis. Das Guthaben ist eine separate Sache, die Sie aufladen, und derselbe Schlüssel funktioniert mit jedem Modell, das Ihr Konto nutzen kann.

Die Kosten einer Anfrage werden in Tokens gezählt. Wenn Tokens für Sie neu sind, beginnen Sie mit Was ist ein Token in der KI?.

Wo Sie einen Schlüssel bekommen#

Jeder KI-Dienst stellt Schlüssel über sein eigenes Dashboard aus. Die offizielle API von DeepSeek hat zum Beispiel eine Seite für API-Schlüssel unter platform.deepseek.com/api_keys, und ihre Dokumentation liest den Schlüssel aus der Umgebungsvariable DEEPSEEK_API_KEY (geprüft am 21. Oktober 2026). Der allgemeine Ablauf ist fast überall gleich:

1. Erstellen Sie ein Konto.
2. Öffnen Sie die Seite für API-Schlüssel im Dashboard.
3. Drücken Sie die Schaltfläche, die einen neuen Schlüssel erstellt, und geben Sie ihm einen Namen, zum Beispiel my-first-script.
4. Kopieren Sie den Schlüssel sofort. Viele Dienste zeigen ihn nur einmal an.

Bei CheapTokens finden Sie die Schritte vom Konto zum Schlüssel in Ihre erste API-Anfrage mit CheapTokens. CheapTokens arbeitet mit einem vorausbezahlten USD-Guthaben: ein Guthaben für alle Modelle. Wenn eine Anfrage fehlschlägt, weil das Guthaben leer ist, lesen Sie Fehler „Nicht genug Tokens“.

Wo ein Schlüssel niemals hingehört#

Die meisten Lecks sind keine Hacks. Es sind Copy-Paste-Fehler:

• ein Schlüssel, der direkt im Code steht (api_key="sk-...") und dann zu GitHub gepusht wird;
• ein Schlüssel in einem Screenshot, einer Chatnachricht oder einer Frage in einem Forum;
• ein Schlüssel im Frontend-Code (einer Webseite oder einer mobilen App): Jeder kann ihn öffnen und lesen;
• eine .env-Datei, die in git committet wurde.

Der letzte Fall ist der häufigste. Selbst wenn Sie die Datei im nächsten Commit löschen, bleibt der Schlüssel in der git-Historie, daher muss ein Schlüssel, der jemals committet wurde, als geleakt behandelt werden.

Den Schlüssel in einer Umgebungsvariable speichern#

Eine Umgebungsvariable ist ein benannter Wert, der in Ihrem System lebt, nicht in Ihrem Code. Das Programm liest ihn beim Start, sodass der Code sicher geteilt werden kann und der Schlüssel auf Ihrem Rechner bleibt.

Unter Linux oder macOS legen Sie ihn für das aktuelle Terminal fest:

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

In Windows PowerShell:

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

Das gilt, bis Sie das Terminal schließen. Um ihn zwischen Sitzungen zu behalten, fügen Sie die Zeile in Ihr Shell-Profil ein oder verwenden Sie eine .env-Datei für das Projekt und fügen Sie sie vor dem ersten Commit zu .gitignore hinzu:

# .gitignore
.env

Dann lesen Sie den Schlüssel im Code. Tippen Sie ihn niemals dort ein:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

Wenn die Variable fehlt, bricht os.environ[...] das Programm sofort mit einem Fehler ab, was besser ist, als eine Anfrage mit einem leeren Schlüssel zu senden.

Einen ersten Aufruf machen#

CheapTokens spricht die Formate OpenAI Chat Completions und Anthropic Messages, daher funktionieren die Standard-SDKs: Sie ändern nur die Basis-URL und den Schlüssel. Hier ist ein vollständiger Test mit MiniMaxAI/MiniMax-M2.7:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

Dasselbe mit curl, wobei die Shell die Variable ersetzt und der Schlüssel nie im Befehl erscheint:

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

Ein kurzer Test wie dieser ist günstig. Eine Anfrage mit 1.000 Eingabe-Tokens und 500 Ausgabe-Tokens kostet zum aktuellen Preis zum Beispiel $0.00013. MiniMax-M2.7 hat außerdem einen Kontext von 180K und liefert Antworten von bis zu 8.192 Tokens, ist also ein komfortables Modell für erste Experimente. Wenn die Antwort mitten im Satz abbricht, lesen Sie Warum bricht eine KI-Antwort mitten im Satz ab?.

Kopieren Sie die Modell-ID aus der CheapTokens-Dokumentation und nicht aus einem anderen Dienst: Modellnamen unterscheiden sich zwischen Anbietern.

Gewohnheiten, die einen Schlüssel sicher halten#

• Ein Schlüssel pro Projekt. Wenn einer leakt, ersetzen Sie nur diesen, und nichts anderes hört auf zu funktionieren.
• Geben Sie Schlüsseln Namen, die sagen, wo sie verwendet werden (laptop-script, telegram-bot), damit Sie wissen, was nach einem Austausch aktualisiert werden muss.
• Halten Sie das Guthaben klein, solange Sie lernen. Bei einem vorausbezahlten Guthaben ist der Schaden durch einen geleakten Schlüssel durch das begrenzt, was darauf ist, aber das ist trotzdem Ihr Geld.
• Fügen Sie Schlüssel nicht in Chats ein, weder mit Menschen noch mit KI-Assistenten, und schneiden Sie sie aus Logs und Screenshots heraus.
• Legen Sie den Schlüssel nicht in einen Browser oder eine mobile App. Rufen Sie die API von einem Server aus auf, den Sie kontrollieren, und lassen Sie die App mit diesem Server sprechen.

Was zu tun ist, wenn ein Schlüssel geleakt ist#

Wenn Sie einen Schlüssel in ein öffentliches Repository gepusht, ihn in einer Nachricht gesendet haben oder einfach nicht sicher sind, handeln Sie so, als wäre er bereits in den Händen von jemand anderem:

1. Widerrufen Sie zuerst den Schlüssel. Öffnen Sie die Seite, auf der Sie ihn erstellt haben, und löschen oder deaktivieren Sie ihn. Tun Sie das vor allem anderen; das Aufräumen kommt danach.
2. Erstellen Sie einen neuen Schlüssel mit einem neuen Namen.
3. Ersetzen Sie ihn überall, wo er verwendet wurde: Umgebungsvariablen, .env-Dateien, Server, Apps und Tools.
4. Prüfen Sie Ihr Guthaben und Ihre Nutzung. Anfragen, die Sie nicht gestellt haben, sind ein Zeichen dafür, dass der alte Schlüssel verwendet wurde.
5. Räumen Sie die Quelle auf. Entfernen Sie den Schlüssel aus dem Code und fügen Sie .env zu .gitignore hinzu. Das Löschen der Datei entfernt den Schlüssel nicht aus der git-Historie, weshalb Schritt 1 wichtiger ist als das Umschreiben der Historie.

Die Reihenfolge ist wichtig. Ein widerrufener Schlüssel ist harmlos, selbst wenn er in einem alten Commit bleibt.

Nächste Schritte#

• Stellen Sie Ihre erste Anfrage mit einem Schlüssel: Ihre erste API-Anfrage mit CheapTokens.
• Verstehen Sie, wofür Sie bezahlen: Was ist ein Token in der KI?.
• Laden Sie das Guthaben auf, wenn es aufgebraucht ist: Fehler „Nicht genug Tokens“.

Bereit, es auszuprobieren? Holen Sie sich einen CheapTokens-Schlüssel, legen Sie ihn als CHEAPTOKENS_API_KEY fest und führen Sie das obige Beispiel aus.

Endpunkte, Modell-IDs und Limits für jedes Modell finden Sie in der CheapTokens-Dokumentation.