Gestohlene KI-API-Schlüssel finanzieren jetzt Hacking-Scans: So sichern Sie Ihre OpenAI-, Anthropic- und Gemini-API-Schlüssel ab

Gestohlene KI-API-Schlüssel finanzieren jetzt das Hacken anderer. Im Oktober 2026 beschrieb Bitsights Threat-Intelligence-Team MONST3R-AI, ein Tool, das in einem kriminellen Forum verkauft wird und mit gestohlenen OpenAI-, Anthropic- und Google-Schlüsseln autonome Penetrationstests durchführt. Der Käufer liefert den Schlüssel, der Agent führt das Scannen durch, und der Inhaber des Schlüssels bezahlt die Rechnung. Dieser Leitfaden erläutert, wie Schlüssel geleakt werden, wie Sie Missbrauch erkennen und welche Kontrollen jeder Anbieter heute bietet.

Testen Sie Apidog noch heute

Schützen Sie einen OpenAI-, Anthropic- oder Gemini-Schlüssel, indem Sie ihn auf ein einziges Projekt oder einen einzigen Workspace beschränken, ein hartes monatliches Ausgabenlimit festlegen, einschränken, von wo aus er aufgerufen werden darf, ein Ablaufdatum setzen oder ihn rotieren, ihn außerhalb von Client-Code und Repositories halten und Secret-Scanning mit Push-Schutz aktivieren. Wenn ein Schlüssel geleakt wird, erstellen Sie einen Ersatz, setzen ihn ein und deaktivieren anschließend den alten Schlüssel und seine Nutzung.

Was ist LLMjacking?

LLMjacking ist der Missbrauch gestohlener Zugangsdaten eines großen Sprachmodells, normalerweise eines API-Schlüssels, um Inferenz auszuführen, für die der Inhaber des Schlüssels bezahlt. Angreifer verkaufen den Zugang weiter, verbrauchen ihn für ihre eigenen Workloads oder nutzen ihn nun, wie Bitsight berichtet, um autonome Angreifer-Agenten zu betreiben. Das Opfer sieht die Aktivität nur als verrechenbaren Verbrauch auf dem eigenen Konto.

Was Bitsight über MONST3R-AI herausgefunden hat

Die folgenden Fakten stammen aus der Berichterstattung über Bitsights Forschung durch Help Net Security und AI Weekly, veröffentlicht am 17. Oktober 2026. Bitsights eigene Beschreibung des Tools war bei Verfassung dieses Artikels nicht öffentlich verfügbar.

• Was es ist: Ein Verkäufer in einem zugangsbeschränkten kriminellen Forum bewirbt MONST3R-AI als „autonome Penetrationstest-Plattform“.
• Wessen Schlüssel: Es läuft mit gestohlenen OpenAI-, Anthropic- und Google-API-Schlüsseln.
• Wer zahlt: Der Käufer fügt einen gestohlenen Schlüssel in das Tool-Panel ein, legt ein Budget fest und zeigt dem Agenten eine Zielliste. Der Verkäufer hostet kein Modell, daher landet die Inferenzrechnung beim rechtmäßigen Inhaber des Schlüssels.
• Behauptete Ergebnisse: Das Dashboard des Verkäufers meldet 1.072 Funde bei 199 gescannten Hosts. Bitsight sagt, dass sich diese Zahl nicht unabhängig verifizieren lässt – betrachten Sie sie daher als Marketing, nicht als Beweis.
• Der breitere Trend: In über 16 Untergrund-Foren stieg die Erwähnung von KI-Agenten, indirekter Prompt Injection und dem Model Context Protocol von Februar bis August 2026 um 67 Prozent.

Ein geleakter Schlüssel bedeutet keine Überraschungsrechnung mehr. Er kann eine fremde Angriffsoperation finanzieren, und jeder Request sieht aus wie Ihr normaler Verkehr.

Wie KI-API-Schlüssel geleakt werden

Die meisten gestohlenen Schlüssel wurden nie „gehackt“. Sie wurden versehentlich veröffentlicht. Die gängigen Wege sind:

Leak-Pfad	Wie es passiert	Lösung
Öffentliche Repos	Schlüssel im Code, in .env oder in einem Notebook committet	Secret-Scanning mit Push-Schutz
Client-seitiger Code	Schlüssel in ein Web-Bundle oder eine mobile App eingebaut	Rufen Sie das Modell nur von Ihrem Backend auf
CI-Protokolle	Ein Build-Schritt gibt Umgebungsvariablen oder Debug-Ausgaben wieder	Geheimnisse maskieren, niemals set -x in ihrer Nähe verwenden
Container-Images	.env wurde in eine Image-Schicht kopiert	.dockerignore verwenden, Geheimnisse zur Laufzeit injizieren
Agenten- und MCP-Konfigurationen	Schlüssel in eine MCP-Server-Konfiguration oder Agenten-Einstellungen eingefügt und synchronisiert oder geteilt	Umgebungsvariablen referenzieren, keine Klartext-Schlüssel verwenden
Chats und Tickets	Schlüssel in Slack, einem Issue oder einem Support-Ticket eingefügt	Jeden Schlüssel rotieren, der Ihr Secret-Lager verlassen hat

Googles Gemini API-Schlüssel-Leitfaden formuliert die Client-seitige Regel unverblümt: Schlüssel, die in Web- oder Mobil-Apps einkompiliert sind, lassen sich von Benutzern extrahieren – rufen Sie das Modell also nur von Ihrem Backend auf. Unser Leitfaden zur Speicherung von API-Schlüsseln behandelt die Speicherung eingehender. Agentenkonfigurationen verdienen besondere Sorgfalt: MCP- und Agenten-Einstellungsdateien tauchen in Dotfile-Repos, Bildschirmfreigaben und Fehlermeldungen auf.

Wie man erkennt, dass der eigene Schlüssel missbraucht wird

Keine Warnung besagt „Ein Krimineller nutzt dies.“ Überwachen Sie die Nutzungs- und Abrechnungsdaten auf Folgendes:

1. Ausgaben steigen ohne dazugehöriges Deployment. Eine flache Tageskostenlinie, die sich über Nacht verdoppelt, ist das deutlichste Zeichen.
2. Modelle, die Sie nicht nutzen. Nutzung eines Modell-Clusters, den Ihr Produkt nie aufruft.
3. Verkehr außerhalb der Betriebszeiten. Stetige Requests um 3 Uhr morgens Ihrer Zeitzone von einem Schlüssel, der nur tagsüber genutzt wird.
4. Ratenlimit-Fehler, die Sie nicht verursacht haben. Jemand anderes verbraucht Ihr pro Minute begrenztes Kontingent.
5. Unbekannte Schlüssel oder Projekte auf der Nutzungsseite. Googles AI Studio gruppiert Requests, die sich keinem benannten Schlüssel zuordnen lassen, unter „(unbekannte Schlüssel)“.

Teilen Sie Schlüssel so fein auf, dass ein Anstieg auf einen bestimmten Schlüssel hinweist.

Wie man den OpenAI API-Schlüssel sichert

Prüfung am 28. Oktober 2026 auf Basis der OpenAI-Entwicklerdokumentation.

• Feste Ausgabenlimits: Gemäß dem Leitfaden zu Ausgabenlimits können Sie ein monatliches Limit für die Organisation oder ein einzelnes Projekt festlegen und die Option „Ein festes Limit durchsetzen“ aktivieren. Sobald die erfassten Ausgaben dieses Limit erreichen, schlagen Requests mit Status 429 und dem Code organization_spend_limit_exceeded oder project_spend_limit_exceeded fehl. Die Durchsetzung erfolgt nicht sofort, sodass die Ausgaben geringfügig über das Limit hinausgehen können.
• Spend-Alert-Benachrichtigungen: Benachrichtigungen informieren Sie, stoppen den Verkehr aber nicht. Nutzen Sie beides, mit dem Alert deutlich unter dem harten Limit.
• IP-Allowlist: Die IP-Allowlist lehnt Requests von anderen IPs ab, selbst mit gültigem Schlüssel. Bis zu 50 Adressen oder CIDR-Bereiche sind möglich, gültig pro Projekt oder organisationsweit; blockierte Calls erhalten HTTP 401 mit ip_not_authorized. Änderungen brauchen bis zu 15 Minuten.
• Ein Projekt pro App und Umgebung: Projekt- und Allowlist-Limits helfen nur, wenn Schlüssel nach Projekt aufgeteilt werden.
• Eingeschränkte Schlüsselberechtigungen: OpenAIs Projekt-Leitfaden listet die Berechtigungen All (Standard), Restricted und Read Only für benutzereigene Schlüssel. Geben Sie jedem Schlüssel nur das, was seine App benötigt.
• Modellzugriff pro Projekt: Innerhalb der Limits eines Projekts legt die Modellnutzung fest, welche Modelle das Projekt aufrufen darf. Ein gestohlener Schlüssel kann dann nicht auf ein teureres Modell wechseln, das Sie nie nutzen.

Sehen Sie sich unseren OpenAI API-Schlüssel-Leitfaden an.

Wie man den Anthropic API-Schlüssel sichert

Prüfung am 28. Oktober 2026 anhand der Claude-Plattform-Dokumentation.

• Workspace-Ausgabenlimits: Laut der Workspace-Dokumentation können Sie die monatlichen Ausgaben pro Workspace begrenzen und Alerts an Schwellenwerten konfigurieren. Für den Standard-Workspace lassen sich keine Ausgabenlimits setzen – halten Sie Produktionsschlüssel daher in einem eigenen Workspace.
• Workspace-Ratenlimits: Begrenzen Sie Requests, Eingabe-Tokens und Ausgabe-Tokens pro Minute für jeden Workspace.
• Schlüsselablauf: Die Authentifizierungsdokumentation erlaubt Ihnen, bei der Erstellung ein Ablaufdatum zu wählen: 3 Stunden, 1 Tag, 7 Tage, 30 Tage, eine benutzerdefinierte Dauer oder Nie. Dies lässt sich später nicht mehr ändern.
• Identitätsgebundene Schlüssel: Persönliche Schlüssel und Service-Schlüssel funktionieren nicht mehr, sobald der Inhaber entfernt wird. Anthropic bezeichnet Workspace-Schlüssel als Legacy und empfiehlt für die Produktion in Cloud und CI Workload Identity Federation.
• Deaktivieren vs. Löschen: Deaktivieren ist umkehrbar und zeigt den Schlüssel als inaktiv an. Löschen ist permanent. Wenn Sie unsicher sind, deaktivieren Sie zuerst.

Sehen Sie sich unseren Anthropic API-Schlüssel-Leitfaden an.

Wie man den Google Gemini API-Schlüssel sichert

Prüfung am 28. Oktober 2026 anhand der Gemini API-Schlüssel-Dokumentation und der Abrechnungsdokumentation von Google.

• Auth Keys: Seit dem 28. Mai 2026 sind neue Schlüssel in Google AI Studio Authentifizierungsschlüssel, die an ein Service-Konto gebunden und standardmäßig auf die Gemini API beschränkt sind. Google sagt, dass sie bei geleakten Schlüsseln, die von den eigenen Systemen erkannt werden, schnell wirksam durchgesetzt werden.
• Keine unbeschränkten Schlüssel: Die Gemini API lehnt Requests von unbeschränkten Standard-Schlüsseln ab. Beschränken Sie alte Schlüssel in AI Studio auf die Gemini API oder migrieren Sie zu einem Auth Key.
• Anwendungseinschränkungen: Beschränken Sie einen Schlüssel in der Cloud-Konsole auf spezifische IP-Adressen.
• Projekt-Ausgabenlimits: Legen Sie auf der Spend-Seite von AI Studio ein monatliches Limit pro Projekt fest. Google kennzeichnet dies als experimentell und warnt vor Überziehungen aufgrund einer Abrechnungsverzögerung von etwa 10 Minuten.

Die Absicherungs-Checkliste für jeden Anbieter

Führen Sie dies einmal für jeden Schlüssel durch, den Sie besitzen:

1. Inventarisierung. Listen Sie jeden Schlüssel auf, die App, die ihn verwendet, und wo er gespeichert ist.
2. Aufsplittung. Ein Projekt oder Workspace pro App und Umgebung, damit ein Spike seine Quelle verrät.
3. Ausgabengrenze. Legen Sie ein hartes monatliches Limit und eine frühzeitige Warnung fest.
4. Beschränkung. IP-Allowlist oder Anwendungseinschränkung überall dort, wo Ihr ausgehender Datenverkehr feststeht.
5. Ablaufdatum setzen oder rotieren. Kurze Gültigkeitsdauer, sofern der Anbieter dies unterstützt; ein Rotationsplan, falls nicht.
6. Scannen. GitHubs Secret Scanning Patterns enthalten OpenAI-, Anthropic- und Google-Gemini-API-Schlüssel, und OpenAI-Schlüssel unterstützen Push-Schutz. Unser Beitrag zur Prüfung auf geleakte API-Schlüssel beschreibt Scanner, die Sie lokal ausführen können.
7. Kurzlebige Anmeldeinformationen bevorzugen. Anthropic und OpenAI dokumentieren Workload Identity Federation für die Produktion.

Für die Richtlinie siehe Best Practices zum API-Schlüssel-Management.

Was in der ersten Stunde nach einem Leck zu tun ist

Geschwindigkeit schlägt Ursachenforschung. In dieser Reihenfolge:

1. Erstellen Sie einen Ersatzschlüssel in einem frischen Projekt oder Workspace.
2. Setzen Sie ihn ein in den Apps, die ihn benötigen.
3. Deaktivieren Sie den geleakten Schlüssel. Googles Leak-Checklist besagt, dass der alte Schlüssel erst deaktiviert werden sollte, nachdem der neue verifiziert ist, um Ausfallzeiten zu vermeiden. Steigen die Ausgaben jedoch schnell, deaktivieren Sie ihn sofort und akzeptieren Sie den Ausfall.
4. Senken Sie das Ausgabenlimit im betroffenen Projekt, während Sie untersuchen.
5. Auditieren Sie die Nutzung nach Modell, Stunde und Schlüssel für den Zeitraum seit dem Leak.
6. Finden Sie den Leak-Pfad mithilfe der obigen Tabelle und entfernen Sie ihn aus dem Git-Verlauf.
7. Kontaktieren Sie den Anbieter wegen des betrügerischen Verbrauchs, sobald Sie den Zeitrahmen kennen.

Lassen Sie Ihren Coding-Agenten die Schlüssel-Behandlung mit Apidog CLI testen

Ihr Backend-Proxy zu OpenAI, Anthropic oder Gemini ist die Stelle, an der die Schlüssel-Behandlung fehlschlägt: Er akzeptiert nicht authentifizierte Anfragen oder spiegelt den Anbieter-Schlüssel in einer Fehlerausgabe wider. Lassen Sie Ihren Coding-Agenten entsprechende Tests mit Apidog CLI schreiben und ausführen, wobei Geheimnisse außerhalb der Testdefinitionen bleiben.

Richten Sie es einmal ein:

npm install -g apidog-cli@latest
apidog login --with-token <YOUR_TOKEN>
npx -y skills add https://apidog.com   # wählen Sie Ihren Agenten, wenn Sie dazu aufgefordert werden

Geben Sie dann Ihrem Agenten einen [REDACTED PROMPT]
In Apidog Projekt erstellen Sie einen Testfall für POST /v1/ai/chat auf unserem Proxy.
Bestätigen: kein Authorization-Header gibt 401 zurück, ein falscher Token gibt 401 zurück, ein gültiger Token gibt 200 zurück und kein Antwortkörper enthält „sk-“ oder „AIza“. Lesen Sie den Token aus der Umgebungsvariable {{PROXY_TOKEN}}, niemals hart codieren.
Führen Sie ihn dann gegen die Staging-Umgebung aus und fassen Sie die Fehler zusammen.

Der Agent liest das Payload-Schema, validiert es, erstellt den Fall und führt ihn aus:

bash
apidog cli-schema get test-case-create
apidog test-case category --project
apidog cli-schema validate test-case-create --file case.json
apidog test-case create --project --file case.json
apidog run --test-case --project -e \
--env-var "PROXY_TOKEN=$PROXY_TOKEN" -r cli,junit

`--env-var` gibt den Token zur Laufzeit weiter, er lebt also nie in der Spezifikation oder im Repo. Dieselbe `apidog run`-Zeile funktioniert in CI; siehe [Apidog CLI in einer CI/CD-Pipeline](https://apidog.com/de/blog/apidog-cli-ci-cd-pipeline?utm_source=dev.to&utm_medium=wanda&utm_content=n8n-post-automation) und [Apidog CLI in Claude Code](https://apidog.com/de/blog/apidog-cli-in-claude-code?utm_source=dev.to&utm_medium=wanda&utm_content=n8n-post-automation).

## FAQ

**Was ist LLMjacking?** Es ist die Nutzung einer gestohlenen LLM-Anmeldeinformation, meist eines API-Schlüssels, um Inferenz durchzuführen, für die der Inhaber bezahlt. Angreifer verkaufen den Zugang weiter oder nutzen ihn, wie bei MONST3R-AI, um Angreifer-Agenten zu betreiben.

**Können gestohlene KI-API-Schlüssel wirklich Hacking-Tools bezahlen?** Ja. Bitsight berichtete, dass die Käufer von MONST3R-AI gestohlene OpenAI-, Anthropic- oder Google-Schlüssel in das Panel eingeben, und da der Verkäufer kein Modell hostet, zahlen die Opfer. Die behaupteten Ergebnisse des Verkäufers sind nicht verifiziert.

**Stoppt ein Ausgabenlimit einen gestohlenen Schlüssel?** Ein hartes Limit stoppt die Ausgaben beim Limit, aber nicht sofort. OpenAI und Google weisen beide darauf hin, dass es zu geringfügigen Überschreitungen kommen kann, während die Limits wirksam werden. Ausgaben-Alerts allein stoppen den Verkehr jedoch niemals.

**Kann ich meinen OpenAI API-Schlüssel im Frontend-Code platzieren?** Nein. Alles, was an einen Browser oder eine mobile App ausgeliefert wird, lässt sich extrahieren. Rufen Sie das Modell von Ihrem Backend auf.

**Findet GitHub einen geleakten KI-Schlüssel?** GitHubs Secret-Scanning erkennt Muster für OpenAI-, Anthropic- und Google-Gemini-API-Schlüssel. Schalten Sie den Push-Schutz ein, damit ein Commit mit einem Schlüssel blockiert wird, bevor er öffentlich wird.