OpenAI API Key erstellen: Einrichtung und sichere Nutzung

1. Anmelden und das passende Projekt auswählen

Unter platform.openai.com ein Konto erstellen oder anmelden und die angezeigten Einrichtungsschritte abschließen. Der OpenAI-Schnellstart verlinkt direkt auf die Übersicht der API-Schlüssel.

Das Konto lässt sich mit einem Mitarbeiterausweis vergleichen, die Organisation mit dem Unternehmen und das Projekt mit einem Raum, der einer bestimmten Anwendung zugewiesen ist. Der Schlüssel ist der Zugangsnachweis, mit dem die Software diesen Raum betritt.

Über die Organisationsauswahl zunächst die gewünschte Organisation wählen. Anschließend ein vorhandenes Projekt auswählen oder als Organisationsinhaber im Projektmenü über Create project ein neues anlegen und die Angaben vervollständigen. Ein Name wie website-test macht den Zweck erkennbar. Die OpenAI-Anleitung zu Projekten beschreibt diese Bedienelemente.

Bei Aufgaben für ein Unternehmen sollte der Inhaber den Zugang zum passenden Projekt freigeben. Eine Kundenintegration gehört nicht einfach deshalb unter ein privates Abrechnungskonto, weil dieses gerade geöffnet ist.

2. Einen OpenAI API Key für das Projekt erstellen

In den Organisationseinstellungen das Projekt auswählen, API Keys öffnen und auf + Create new secret key klicken. Der neue Schlüssel ist dem ausgewählten Projekt zugeordnet. Anleitung für Projektschlüssel.

Für einen ersten eigenen Test eignet sich ein Projektschlüssel, der dem eigenen Benutzerkonto zugeordnet ist. Falls ein Name abgefragt wird, sollte er eindeutig sein, etwa local-test. Bei den Berechtigungen Restricted auswählen und die von der App benötigten Vorgänge freigeben. All gewährt vollständigen Zugriff und ist die Voreinstellung; Read Only beschränkt den Schlüssel auf Lesezugriffe. Berechtigungen für API-Schlüssel. Für den Test weiter unten muss das Erstellen von Responses erlaubt sein. OpenAI bezeichnet diese Berechtigung als api.responses.write. Berechtigung zum Erstellen von Responses.

Den geheimen Schlüssel sofort kopieren und sicher speichern. OpenAI zeigt den vollständigen Wert nur beim Erstellen an. Geht er verloren, muss ein neuer Schlüssel erstellt werden; der ursprüngliche lässt sich nicht erneut anzeigen. API-Schlüssel finden und verwalten.

Ein Ablaufdatum festlegen und dokumentieren, wer den Schlüssel ersetzt. Organisationsrichtlinien können ein Ablaufdatum vorschreiben oder die verfügbaren Schlüsseltypen einschränken. Fehlt eine Option, hilft eine Rückfrage beim Administrator zur geltenden Richtlinie. OpenAI-Empfehlungen für den Produktivbetrieb. Bevor aus dem Test ein laufender Dienst wird, sollte der Plan für Ablauf und Rotation von API-Schlüsseln stehen.

Wann ist ein Service Account die bessere Wahl?

Für eine bereitgestellte App oder einen zeitgesteuerten Team-Workflow würde ich einen Service Account verwenden: eine Identität für Software statt für eine Person. Ein Organisations- oder Projektinhaber legt ihn im ausgewählten Projekt unter Members → + Service account an. Den erzeugten Schlüssel sofort speichern. Dafür ein eigenes Projekt verwenden: Service Accounts können dem Default-Projekt nicht direkt hinzugefügt werden. Service Account einrichten.

Nach dem Anlegen die Zugriffsrechte in den Projekteinstellungen unter API Keys prüfen. Der Dialog zum Erstellen eines Service Accounts bietet nicht dieselben Berechtigungseinstellungen wie der eines benutzereigenen Schlüssels. Unterschiede bei den Berechtigungen. Der praktische Vorteil: Auch wenn sich die Teamzusammensetzung ändert, bleibt klar, wem der Zugangsschlüssel der Anwendung zugeordnet ist.

3. API-Abrechnung einrichten und Kosten begrenzen

ChatGPT und die API werden getrennt abgerechnet. Ein bezahltes ChatGPT-Abo richtet die Zahlung für die API nicht mit ein. Die API-Abrechnungsübersicht der gewünschten Organisation öffnen; ein Organisationsinhaber kann deren Abrechnung verwalten. OpenAI-Hinweise zur Abrechnung.

Neue API-Konten nutzen Prepaid-Abrechnung. Über Add payment details die Zahlungsdaten hinterlegen, das erste Guthaben auswählen und den Kauf bestätigen. Vor dem Abschluss die Option Use auto-reload prüfen: Laut OpenAI ist sie standardmäßig aktiviert. Für einen Versuch mit manueller Aufladung lässt sie sich ausschalten. Andernfalls sollten der Schwellenwert und das monatliche Aufladelimit bewusst festgelegt werden. Es kann einige Minuten dauern, bis ein Kauf angezeigt wird. Prepaid-Abrechnung einrichten.

Die aktuellen Modellpreise stehen auf der Preisseite von OpenAI. Bei der Budgetplanung für eine App hilft ergänzend der Leitfaden zu den OpenAI-API-Kosten auf dieser Website.

Wie stoppt das Ausgabenlimit weitere Anfragen?

Unter Project settings → Limits → Spend → Edit spend limit das Monthly spend limit eintragen, Enforce a hard limit aktivieren und speichern. Dafür ist die Berechtigung zum Verwalten der Projekteinstellungen erforderlich. Zusätzlich eine Ausgabenwarnung unterhalb der Obergrenze einrichten, damit jemand reagieren kann, bevor der Dienst stoppt. Anleitung zum Ausgabenlimit.

Ein hartes Limit greift mit Verzögerung. Die erfassten Ausgaben können den eingestellten Betrag daher leicht überschreiten. Ein hartes Limit auf Organisationsebene gilt für alle zugehörigen Projekte zusammen. Auch ein Prepaid-Guthaben kann durch eine verzögerte Abschaltung überzogen werden; manuelle Käufe fallen zudem nicht unter das automatische Aufladelimit. Verhalten harter Limits, Verhalten der Prepaid-Abrechnung.

Vor dem Produktivstart den Leitfaden zu harten Ausgabenlimits der OpenAI API lesen und festlegen, wer die Obergrenze anheben darf, wenn sie den Betrieb unterbricht.

4. Den Schlüssel sicher für die App hinterlegen

Der Schlüssel gehört in einen Secret Manager, also ein System zur sicheren Aufbewahrung von Zugangsdaten. Alternativ lässt er sich dem Server über eine Umgebungsvariable namens OPENAI_API_KEY bereitstellen. Eine Umgebungsvariable ist eine benannte Einstellung, die das laufende Programm lesen kann, ohne dass der geheime Wert im Quellcode stehen muss. Hinweise zur Speicherung im Produktivbetrieb.

Ein regulärer geheimer API-Schlüssel gehört weder ins JavaScript einer Website noch in eine mobile App, ein Repository, einen Screenshot oder eine Supportnachricht. Browser- und App-Code gelangen auf die Geräte der Nutzer; der Server sollte den Schlüssel aufbewahren und die Anfrage senden. Teammitgliedern eigene Zugriffsrechte geben, statt den persönlichen Schlüssel einer einzelnen Person weiterzureichen. Sicherer Umgang mit API-Schlüsseln.

Wenn ein Tool zum Einfügen eines Schlüssels auffordert: Das dafür dokumentierte Zugangsdatenfeld erst nutzen, wenn die Weitergabe an diesen Anbieter vertretbar erscheint. Ich empfehle ein eigenes Projekt und einen eingeschränkten Schlüssel für die Integration, mit Ausgabenlimit und klarer Zuständigkeit. Ein gewöhnliches Textfeld, eine Chatnachricht oder ein unbekannter „Key Checker“ ist der falsche Ort für die Fehlersuche. Beim Anbieter klären, welche Berechtigungen er benötigt und wo er den Schlüssel speichert.

5. Mit einer curl-Anfrage testen

Den folgenden Befehl auf dem eigenen Rechner in Bash ausführen. curl ist ein Kommandozeilenwerkzeug, das eine Webanfrage sendet. Die ersten Zeilen fragen den geheimen Schlüssel ab, ohne ihn anzuzeigen oder seinen Wert in den eingegebenen Befehl aufzunehmen. Die Umgebungsvariable bleibt für die Dauer dieser Shell-Sitzung gesetzt.

read -r -s -p "OpenAI API key: " OPENAI_API_KEY
printf '\n'
export OPENAI_API_KEY

curl https://api.openai.com/v1/responses \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -d '{
    "model": "gpt-6-astra",
    "input": "Reply with a short greeting."
  }'

Die Anfrage übernimmt Aufbau und Modell aus dem OpenAI-Beispiel zur Textgenerierung. Die Responses API ist der Endpunkt, der die Eingabe entgegennimmt und die Modellausgabe zurückgibt. Der Authorization-Header enthält den geheimen Schlüssel; im JSON-Body werden das Modell und die Anweisung festgelegt. Da hier die API genutzt wird, müssen Abrechnung und Modellzugriff eingerichtet sein.

Eine erfolgreiche Antwort enthält ein output-Array mit einer Nachricht, deren Inhalt vom Typ output_text ist. Dort steht die Begrüßung. Der Text muss nicht immer im ersten Array-Eintrag stehen. Bei einem error-Objekt helfen dessen Meldung und Code zusammen mit der folgenden Übersicht weiter. Aufbau der Antwort.

Nach dem Test entfernt unset OPENAI_API_KEY die Variable aus dieser Shell, sobald sie nicht mehr benötigt wird. Für die Bereitstellung den Schlüssel in der Hosting-Umgebung hinterlegen, statt erneut eine Terminalabfrage auszuführen.

Der API-Schlüssel funktioniert nicht? Diese Punkte zuerst prüfen

Vor dem Erstellen eines weiteren Schlüssels lohnt sich ein Blick auf die Fehlermeldung. Mehrere Fehlerursachen haben mit dem geheimen Schlüssel selbst nichts zu tun.

Eine Antwort mit 429 kann neben einem Anfragelimit auch auf ein Ausgaben- oder Guthabenproblem hinweisen. Wiederholte Versuche füllen weder Guthaben auf noch ändern sie eine eingestellte Obergrenze. OpenAI-Fehlercodes, Schlüsselberechtigungen.

API-Schlüssel offengelegt? Sofort widerrufen

Ein geheimer Schlüssel, der in einem öffentlichen Repository, Screenshot oder einer Nachricht gelandet ist, muss als offengelegt gelten. Das Löschen der sichtbaren Kopie macht bereits angefertigte Kopien nicht ungültig.

1. Den offengelegten Schlüssel widerrufen. Im richtigen Projekt die Seite für API-Schlüssel öffnen und den Schlüssel löschen. Anwendungen, die ihn verwenden, können bis zum Austausch ausfallen. Schlüssel löschen.
2. Einen Ersatz erstellen und die betroffenen Apps aktualisieren. Den neuen Schlüssel testen und anschließend prüfen, ob die bereitgestellten Prozesse ihn tatsächlich verwenden.
3. Nutzung und Abrechnung prüfen. Unerwarteten Anfragen nachgehen und bei Missbrauchsverdacht den OpenAI Support kontaktieren. OpenAI empfiehlt bei Verdacht auf eine Offenlegung den sofortigen Austausch. Vorgehen bei offengelegten Schlüsseln.
4. Die Ursache der Offenlegung beheben. Den Schlüssel aus Code und Protokollen entfernen und die unsichere Speicherung oder Weitergabe korrigieren. Könnte auch das Konto selbst kompromittiert sein, das Passwort ändern, andere Sitzungen abmelden und unbefugte Aktivitäten melden. Schritte zur Kontowiederherstellung.

Fünf praktische Einsatzmöglichkeiten

Das Ergebnis ist eine Integration mit geklärter Zuständigkeit und festem Budget. Die folgenden Beispiele zeigen, wie ein Team diese Einrichtung nutzen könnte, geordnet nach unmittelbarem Nutzen.

Ein funktionierender Schlüssel belegt, dass eine Anfrage ausgeführt werden kann. Er sagt nichts darüber aus, ob die Prompts zuverlässig sind, ein Anbieter sorgfältig mit Zugangsdaten umgeht oder eine Automatisierung Zugriff auf Kundendaten erhalten sollte. Das bleiben Entscheidungen über das Produkt und seinen Betrieb.

Zwei sinnvolle Erweiterungen rund um die Einrichtung

Das größte Potenzial hat ein integrierter Einrichtungsassistent für Software, die Kunden nach einem OpenAI-Schlüssel fragt. DataForSEO schätzt 1,000 monatliche Suchanfragen in den USA für „how to get openai api key“. Das deutet auf Hürden bei der Einrichtung hin, ist aber keine Prognose zahlender Kunden. Ein Tool-Anbieter könnte eine geführte Projekt-Checkliste, ein sicheres Zugangsdatenfeld, eine klar erkennbare Testschaltfläche und eine verständliche Ergebnisanzeige einkaufen oder selbst entwickeln. Die kleinste sinnvolle Version gehört direkt in das Produkt, das die Verbindung benötigt. Der Haken: Anbieter können das selbst bauen. Der Nutzen muss deshalb darin liegen, ihren Supportaufwand zu senken und die Anleitung aktuell zu halten.

Eine verständliche Fehlererklärung ist eine nützliche Supportfunktion, hat als eigenständiges Angebot aber die schwächere Nachfrage. Dieselbe Abfrage schätzt für „openai api key not working“ nur 10 monatliche Suchanfragen in den USA. Ein Automatisierungsanbieter oder eine Implementierungsagentur könnte ein Formular für einen um sensible Angaben bereinigten Fehlercode samt Meldung anbieten. Es würde erklären, ob Zugangsdaten, Guthaben, Berechtigungen oder die Anfragefrequenz angepasst werden müssen. Die erste Version braucht eine gepflegte Entscheidungstabelle; den Schlüssel des Nutzers muss sie dafür nicht verwahren. Dagegen sprechen das geringe gemessene Suchvolumen und die Tatsache, dass viele Tools diese Fehler bereits anzeigen. Ich würde die Funktion in die Einführung neuer Nutzer integrieren, statt daraus ein separates Bezahlprodukt zu machen.

Diese Schätzungen stammen aus einer DataForSEO-Keyword-Übersicht für englischsprachige Suchanfragen in den USA, die für diesen Leitfaden geprüft wurde. Sie messen Suchanfragen, weder einzelne Nutzer noch Kaufabsicht.

Der nächste Schritt für Montag: Eine Integration auswählen, die verantwortliche Person benennen, das Projekt anlegen, die Ausgabenkontrolle einrichten und ein erfolgreiches Testergebnis ohne geheimen Schlüssel speichern. Das ist eine brauchbare Übergabe für die Person, die später die Wartung übernimmt.

Wer diese Integration in den Produktivbetrieb bringen möchte, findet unter KI-Systeme im Produktivbetrieb Unterstützung bei den dazugehörigen Betriebsaufgaben.