crackthe.net
Show in English Auf Deutsch anzeigen
Keine Secrets in ChatGPT & Co.: was du KI niemals gibst

Keine Secrets in ChatGPT & Co.: was du KI niemals gibst

Schnell einen Code-Schnipsel von der KI prüfen lassen – und versehentlich den API-Key mitgeschickt. Passiert ständig. Was Secrets sind, warum sie in KI-Tools nichts verloren haben und wie du es richtig machst.

Von Alexander Bock Zuletzt aktualisiert: 05.02.20262 Min. Lesezeit

KI-Assistenten sind beim Programmieren enorm praktisch. Genau deshalb landet im Eifer des Gefechts schnell mehr im Chatfenster, als sollte – ein kompletter Konfigurationsblock samt Zugangsdaten zum Beispiel. Was du einmal abgeschickt hast, holst du nicht zurück. Diese Regeln verhindern den Unfall.

Das Wichtigste in Kürze

  • Secrets gehören nie in ein KI-Tool – auch nicht „nur kurz zum Testen".
  • Code säubern vor dem Einfügen: Schlüssel durch Platzhalter ersetzen.
  • Geleakter Key = kompromittiert: sofort rotieren, nicht hoffen.
  • Datenschutz mitdenken: keine echten Kunden- oder Personendaten einspeisen.
  • Im Team: klare Regel, welche KI-Tools für Code erlaubt sind.

Was ein Secret ist

Ein Secret ist alles, womit man sich Zugang oder eine Identität verschafft:

  • API-Keys & Tokens (z. B. sk-…, OAuth-Tokens)
  • Passwörter & DB-Zugangsdaten, Verbindungsstrings mit Passwort
  • Private Schlüssel & Zertifikate, SSH-Keys
  • Session-Cookies, Webhook-Signaturschlüssel
  • Indirekt heikel: interne URLs, echte Kundennamen, personenbezogene Daten
Warum das so kritisch ist Eingaben landen auf den Servern des Anbieters – je nach Tarif und Einstellung auch im Training. Ein abgeschickter Schlüssel ist damit aus der Hand gegeben. Behandle ihn ab diesem Moment als öffentlich bekannt.

Schritt für Schritt: Code sicher teilen

Bevor du Code in die KI kopierst

  • Secrets ersetzen: Schlüssel und Passwörter durch Platzhalter wie YOUR_API_KEY ersetzen.
  • Konfig raushalten: keine .env, keine Credentials-Dateien, keine Verbindungsstrings.
  • Daten anonymisieren: echte Namen, E-Mails, IDs durch Beispielwerte tauschen.
  • Minimal teilen: nur den relevanten Ausschnitt statt der ganzen Datei.
  • Tarif/Einstellung prüfen: Training deaktivieren, wo möglich; lokale/Enterprise-Optionen erwägen.

Technische Absicherung im Projekt

  • Secrets in Umgebungsvariablen oder einem Secret-Manager halten, nie im Code.
  • .gitignore für .env & Co., damit nichts ins Repository wandert.
  • Secret-Scanning aktivieren (viele Plattformen warnen bei versehentlich committeten Keys).
  • Least Privilege: Keys mit minimalen Rechten und Ablaufdatum ausstellen.

Wenn doch ein Secret geleakt ist

Sofort handeln bei geleaktem Schlüssel
  1. Key rotieren: alten Schlüssel widerrufen, neuen erzeugen.
  2. Zugriffe prüfen: Logs auf ungewöhnliche Aufrufe oder Standorte kontrollieren.
  3. Abhängige Stellen aktualisieren: überall, wo der alte Key hinterlegt war.
  4. Ursache schließen: Datei/Eingabe entfernen, Prozess anpassen, damit es nicht wieder passiert.

Häufige Fehler vermeiden

  • „Nur zum Testen" den echten Key einfügen – genau so passieren die Leaks.
  • Ganze Dateien inkl. Konfiguration in den Chat kopieren.
  • Echte Personendaten zur „Veranschaulichung" verwenden.
  • Nach einem Leak abwarten, statt sofort zu rotieren.

Mehr dazu, was du KI-Tools generell anvertrauen solltest: Datenschutz bei KI-Tools . Und wie du von KI vorgeschlagenen Code prüfst: KI-Code sicher prüfen .

Häufige Fragen

Was gilt als Secret?

Alles, womit man sich Zugang oder Identität verschafft: API-Keys, Passwörter, Zugangstokens, private Schlüssel, Datenbank-Zugangsdaten, Verbindungsstrings mit Passwort, Session-Cookies und Zertifikate. Auch interne URLs, Kundennamen und personenbezogene Daten gehören nicht in ein KI-Tool.

Speichert die KI meine Eingaben wirklich?

Oft ja. Viele Dienste verarbeiten Eingaben auf ihren Servern und nutzen sie je nach Tarif und Einstellung zum Training. Selbst wenn nicht trainiert wird, liegen die Daten zumindest vorübergehend beim Anbieter. Für ein Secret ist schon das ein Problem.

Ich habe versehentlich einen API-Key eingefügt – was nun?

Den Schlüssel sofort widerrufen (rotieren) und einen neuen erzeugen. Ein einmal abgeschickter Key gilt als kompromittiert, auch wenn scheinbar nichts passiert ist. Prüfe anschließend Logs und Zugriffe auf ungewöhnliche Aktivität.

Themen: KI, Coding, Datenschutz