KI im Betrieb: API-Schlüssel und Passwörter sicher halten

Kurz gesagt: Ein API-Schlüssel oder Passwort gehört nicht in einen KI-Chat und nicht als Klartext in einen Ordner, in dem ein KI-Agent arbeitet. Gib jedem Schlüssel nur die Rechte, die er braucht, bewahre alle an einem geschützten Ort auf und lass Programme sie benutzen, ohne dass die KI sie zu sehen bekommt. Und räum regelmäßig auf: Ein vergessenes Konto mit altem Passwort ist ein offenes Fenster.

Das klingt selbstverständlich. In der Praxis passiert es trotzdem ständig, weil KI-Werkzeuge so bequem sind. Man kopiert den Schlüssel schnell in den Chat, „damit es endlich funktioniert“. Der Coding-Agent legt eine Datei mit allen Zugangsdaten an, weil das der schnellste Weg ist. Und niemand im Betrieb weiß hinterher, wo welcher Schlüssel steckt.

Warum das gerade jetzt ein Thema ist

Der Sicherheitsanbieter GitGuardian zählt in seinem Bericht „State of Secrets Sprawl 2026“ für 2025 rund 28,6 Millionen neu veröffentlichte Geheimnisse in öffentlichen GitHub-Commits, 34 Prozent mehr als im Vorjahr. Commits, die mit Claude Code entstanden sind, enthalten nach dieser Auswertung etwa doppelt so oft ein Geheimnis wie der Durchschnitt. In Konfigurationsdateien für KI-Werkzeuge (MCP) fand GitGuardian 24.008 Geheimnisse. Das sind Herstellerzahlen, kein unabhängiger Befund, aber die Richtung ist klar: Mit KI entsteht mehr Code schneller, und Zugangsdaten rutschen mit durch.

Für einen kleinen Betrieb heißt das nicht, auf KI zu verzichten. Es heißt, die Zugangsdaten so zu organisieren, dass ein Fehler nicht gleich teuer wird.

Was zählt als Zugangsdatum?

API-Schlüssel und Tokens: lange Zeichenfolgen, mit denen ein Programm einen Dienst nutzt, zum Beispiel OpenAI, Stripe, Google Maps oder dein Newsletter-Dienst. Wer den Schlüssel hat, kann in deinem Namen Geld ausgeben oder Daten lesen.
Passwörter: für Hosting, Domain, Shop, Buchhaltung, E-Mail.
Schlüsseldateien: Zertifikate oder .p8-, .p12-Dateien, etwa für App-Stores oder Zahlungsdienste.
Kennungen wie Kundennummer, Team-ID oder Login-Adresse sind meist nicht geheim. Sie dürfen auch eine KI sehen, wenn sie für die Aufgabe nötig sind.

Die Faustregel: Kann jemand allein mit diesem Wert etwas tun, ist er geheim.

Fünf Regeln für einfache Betriebe

1. Nie in den Chat

Was du in ChatGPT, Claude oder einen anderen Assistenten einfügst, verlässt deinen Rechner und landet je nach Dienst und Einstellung in einem Verlauf. Schreib stattdessen: „Der Schlüssel liegt in der Variable OPENAI_API_KEY.“ Die KI braucht den Namen, nicht den Wert.

2. Nicht als Klartext in den Projektordner

Viele Anleitungen empfehlen eine .env-Datei im Projekt. Das war praktisch, solange nur Menschen den Ordner geöffnet haben. Ein Coding-Agent wie Claude Code oder Codex liest Dateien in diesem Ordner, und manches davon landet dann im Gesprächsverlauf mit dem Anbieter. Bewahre Schlüssel deshalb außerhalb des Projekts auf und gib sie dem Programm erst beim Start.

3. Jeder Schlüssel nur so stark wie nötig

Lege für jedes Projekt einen eigenen Schlüssel an, mit möglichst wenig Rechten, und nutze Ausgabenlimits und Ablaufdaten, wo der Anbieter sie anbietet. Dann kostet ein verlorener Schlüssel einen Anruf beim Anbieter, nicht ein Wochenende.

4. Ein Ort für alles

Wenn Schlüssel in Mails, Notizen, Chatverläufen und drei Laptops verteilt sind, weiß im Ernstfall niemand, was gesperrt werden muss. Ein einziger geschützter Ort, mit Namen und Herkunft je Schlüssel, macht das Sperren und Ersetzen in Minuten möglich.

5. Regelmäßig aufräumen

Alte Testkonten, geschlossene Shops, ein Passwort, das auf zwanzig Seiten gleich ist: Das ist die Angriffsfläche, die niemand im Blick hat. Ich habe das bei mir selbst gesehen: Als ich die Passwort-Exporte meiner drei Chrome-Profile zusammengeführt habe, waren es über 1.200 gespeicherte Logins, und Hunderte davon teilten sich ein Passwort mit einer anderen Seite. Viele dieser Konten brauche ich seit Jahren nicht mehr.

Wenn jemand anderes für dich mit KI baut

Lässt du deine Website oder ein internes Werkzeug von einer Agentur oder einem Freelancer bauen, der mit KI arbeitet, frag nach:

Wo liegen unsere Schlüssel während der Entwicklung, und wer hat Zugriff?
Sieht die KI die Werte, oder nur die Namen?
Sind es eigene Schlüssel für dieses Projekt, mit begrenzten Rechten?
Wie werden sie am Ende übergeben, und wie sperren wir sie, wenn die Zusammenarbeit endet?

Eine gute Antwort ist konkret. „Liegt alles sicher“ ist keine.

Was ich dafür gebaut habe: Secretariat

Ich arbeite jeden Tag mit Claude Code und Codex, auf mehreren Macs. Irgendwann hatte ich genug davon, Schlüssel zu suchen, zu kopieren und aus Versehen in Chats zu sehen. Daraus ist Secretariat entstanden, eine Mac-App mit Kommandozeile:

Schlüssel erfassen, ohne sie herumzureichen: aus der Zwischenablage oder einem Screenshot; der Screenshot wird nur auf deinem Mac gelesen.
Ein geschützter Ort: Die Werte liegen in deinem iCloud-Schlüsselbund, Ende-zu-Ende-verschlüsselt, auf allen deinen Macs. Für wichtige Schlüssel kannst du Touch ID verlangen.
Agenten nutzen Schlüssel, ohne sie zu lesen: Ein Agent startet dein Programm über Secretariat. Das Programm bekommt den Schlüssel, der Agent sieht in der Ausgabe nur eine Maske. Das funktioniert mit Claude Code, Codex und, über einen MCP-Server, mit Claude Desktop oder Cursor.
Aufräumen eingebaut (neu in Version 1.17): Passwort-Export aus Google, Apple, Firefox, Bitwarden oder 1Password einlesen, dann zeigt eine Inventur lokale Testzugänge, mehrfach benutzte, schwache und, auf Wunsch, in bekannten Datenlecks aufgetauchte Passwörter. Für viele Dienste steht dabei, wie man das Konto schließt.

Was es nicht ist: kein Team-Tresor mit zentraler Verwaltung und kein Programm für Windows oder Linux. Wenn ihr das braucht, sind 1Password oder Bitwarden die bessere Wahl. Secretariat braucht macOS 14 oder neuer, kostet 39 € einmalig, ohne Abo und ohne Konto, und lässt sich 14 Tage lang voll ausprobieren.

Warum nicht einfach selbst bauen? Eine erste Version schreibt ein KI-Agent an einem Nachmittag. Schwer wird es bei den Teilen, die man nicht sieht: dass ein Schlüssel nie in einer Ausgabe auftaucht, auch nicht über Umwege; dass der Zugriff auf mehreren Macs synchron bleibt, ohne eigenen Server; dass Updates signiert ankommen; dass man nach einem Datenleck weiß, wo jeder Schlüssel überall steckt. Genau da steckt die Arbeit, und die willst du im Betrieb nicht nebenbei machen.

Prompt für eine erste Bestandsaufnahme

Prüfe dieses Projekt ausschließlich lesend auf Zugangsdaten. Gib niemals einen Wert aus, nur Fundstellen und Namen.
1. Liste alle Stellen, an denen Schlüssel, Tokens oder Passwörter als Klartext stehen: Code, .env-Dateien, Konfiguration, Skripte, Dokumentation, Git-Historie.
2. Nenne je Fund: Datei und Zeile, um welchen Dienst es vermutlich geht, und ob die Datei in Git landet oder öffentlich ausgeliefert wird.
3. Schlage für jeden Fund vor, wie der Wert stattdessen beim Start übergeben werden kann, ohne dass er im Projektordner liegt.
4. Trenne sichere Befunde von Vermutungen. Ändere nichts ohne meinen Auftrag.

Wenn ein echter Schlüssel schon einmal öffentlich war, etwa in einem Git-Repository: Er gilt als verbrannt. Beim Anbieter sperren und ersetzen, nicht nur aus der Datei löschen.

Hilfe und nächste Schritte

Du willst wissen, wo in deinem Betrieb Zugangsdaten liegen und wie ihr mit KI arbeiten könnt, ohne sie zu verteilen? Sprich uns bei Moinsen an. Wir klären gemeinsam, was nötig ist; Umfang und Ergebnis einer konkreten Prüfung werden gesondert vereinbart.

Kontakt zu Moinsen · Secretariat ansehen

Weiterlesen: Website-Sicherheit für Unternehmen · Claude Code und Codex zusammen nutzen · Claude Code ohne Klartext-Schlüssel · Alle Beiträge im Moinsen-Blog

Checkliste zum Mitnehmen

Kein Schlüssel und kein Passwort in KI-Chats eingefügt; die KI kennt nur Namen.
Keine Klartext-Schlüssel im Projektordner, in dem ein Agent arbeitet.
Eigene Schlüssel je Projekt, mit wenig Rechten, Ausgabenlimit und, wo möglich, Ablaufdatum.
Alle Zugangsdaten an einem geschützten Ort, mit Namen und Herkunft.
Alte Konten und mehrfach benutzte Passwörter einmal im Jahr aufgeräumt.
Mit Agentur oder Freelancer geklärt, wo die Schlüssel liegen und wie sie übergeben und gesperrt werden.