API-Keys verwalten

Warum sicherer Umgang mit API-Keys wichtig ist

Ein API-Key ist wie ein Hausschlüssel. Wer ihn findet, kann ihn benutzen – auf Kosten des Eigentümers.

API-Keys ermöglichen Zugriff auf bezahlte Dienste. Ein gestohlener OpenAI-Key kann in wenigen Stunden mehrere hundert Euro Kosten verursachen, bevor der Missbrauch auffällt. GitHub-Repositories, geteilte Bildschirmfotos oder unvorsichtig weitergegebene Workflow-Exporte sind häufige Wege, auf denen Keys in falsche Hände geraten.

Die wichtigste Regel, einmal und für immer:
API-Keys gehören niemals direkt in einen Workflow-Node. Immer als n8n-Credential speichern. Das gilt auch beim schnellen Testen. Schlechte Gewohnheiten entstehen in der ersten Stunde.

Was ist ein API-Key?

↑ Zur Kapitelübersicht

Ein API-Key ist eine eindeutige Zeichenkette, die eine Anwendung gegenüber einem Dienst identifiziert und berechtigt.

Er sieht aus wie eine lange zufällige Buchstaben-Zahlen-Folge, oft mit einem Präfix der den Dienst kennzeichnet:

Typische Key-Formate

OpenAI: sk-proj-abc123... (beginnt mit sk-)

Anthropic (Claude): sk-ant-api03-abc123...

Telegram Bot: 123456789:AABBccDDeeFFgg...

Open Charge Map (EV-API): a1b2c3d4-e5f6-... (UUID-Format)

Wo bekommt man API-Keys?

Jeder Dienst hat eine eigene Stelle im Benutzerbereich – meist unter „Settings → API", „Developer" oder „Account".

OpenAI: platform.openai.com/api-keys
Anthropic (Claude): console.anthropic.com
Telegram Bot-Key: Über den @BotFather in Telegram – kein Browser nötig.
Open Charge Map: openchargemap.org/site/develop

Credentials in n8n – der richtige Weg

↑ Zur Kapitelübersicht

n8n speichert API-Keys verschlüsselt als Credentials. Im Workflow selbst ist der Key nicht sichtbar – nur der Name des Credentials erscheint.

Wie Credentials funktionieren

Der API-Key wird einmalig im Credential-Manager von n8n hinterlegt und verschlüsselt gespeichert. Danach ist er in keiner Ansicht mehr lesbar – auch nicht für den Benutzer selbst.

Im Workflow-Node erscheint stattdessen nur der Name des Credentials, z.B. „OpenAI – Wolfgang". Wird der Workflow exportiert oder geteilt, enthält die JSON-Datei nur diesen Namen – nicht den Key selbst.

Ein Credential – viele Workflows

Dasselbe Credential kann in beliebig vielen Workflows verwendet werden. Ändert sich der API-Key – z.B. nach einer Rotation – wird er einmal im Credential aktualisiert. Alle Workflows, die ihn verwenden, funktionieren sofort wieder. Kein Suchen in einzelnen Nodes.

Credential anlegen – Schritt für Schritt

↑ Zur Kapitelübersicht

Das Anlegen eines Credentials dauert weniger als eine Minute.

Über das Hauptmenü

1. In der linken Seitenleiste auf „Credentials" klicken.
2. Oben rechts „+ Add Credential" wählen.
3. Im Suchfeld den Dienst suchen – z.B. „OpenAI", „Anthropic" oder „HTTP Header Auth" für eigene APIs.
4. Den API-Key im entsprechenden Feld eintragen.
5. Einen sprechenden Namen vergeben – z.B. „OpenAI – privat" (hilfreich wenn man später mehrere Keys hat).
6. Auf „Save" klicken.
7. Fertig – der Key ist verschlüsselt gespeichert und in keiner Ansicht mehr lesbar.

Direkt aus einem Node heraus

Beim Konfigurieren eines Nodes erscheint im Credential-Dropdown-Feld ein „+ Create new credential"-Link. Dieser öffnet denselben Dialog – praktisch wenn man mitten im Workflow-Aufbau ist.

HTTP Header Auth – für nicht vordefinierte APIs:
Nicht jede API hat einen eigenen n8n-Node. Für den HTTP Request Node und APIs ohne dedizierten n8n-Typ wählt man „Header Auth" als Credential-Typ.
Name: Authorization
Value: Bearer DEIN-API-KEY
So wird der Key sicher als Header mitgesendet.

Credential im Workflow verwenden

↑ Zur Kapitelübersicht

Ein gespeichertes Credential ist in jedem kompatiblen Node auswählbar – ohne den Key noch einmal einzugeben.

Bei Service-Nodes

Nodes wie „OpenAI", „Telegram" oder „Gmail" zeigen ein Credential-Dropdown direkt im Node-Panel. Dort das passende Credential aus der Liste wählen – fertig. Der Node verwendet den Key ab sofort bei jeder Ausführung.

Beim HTTP Request Node

Im Panel unter „Authentication" → „Predefined Credential Type" wählen wenn der Dienst einen eigenen n8n-Typ hat.

Oder: „Generic Credential Type" → „Header Auth" für eigene APIs. Dann das entsprechende Credential auswählen.

Least Privilege – nur so viel wie nötig

↑ Zur Kapitelübersicht

Ein API-Key sollte nur die Berechtigungen haben, die der Workflow wirklich braucht – nicht mehr.

Dieses Prinzip heißt Least Privilege (geringstes Privileg) und ist ein Grundsatz der IT-Sicherheit. In der Praxis bedeutet es: Wer nur Daten liest, braucht keinen Schreibzugriff. Wer nur eine bestimmte API-Funktion nutzt, braucht keinen Vollzugriff auf den Account.

Konkrete Beispiele

OpenAI: Einen Key mit Limit anlegen – im Dashboard unter „Limits" einen monatlichen Ausgaben-Cap setzen. So kann ein kompromittierter Key maximal bis zum Limit Schaden anrichten.

Google / Gmail: OAuth-Scope auf „readonly" beschränken, wenn der Workflow nur E-Mails liest und keine versendet.

Eigene APIs: Wenn der Dienst verschiedene Berechtigungsstufen anbietet, immer die schwächste wählen, die für die Aufgabe ausreicht.

Was tun bei einem Key-Leak?

↑ Zur Kapitelübersicht

Ein Key wurde versehentlich geteilt, in ein öffentliches Repository eingecheckt oder in einem Screenshot sichtbar? Sofort handeln.

Schritt 1: Key sofort sperren

Im Dashboard des Anbieters den betroffenen Key sofort löschen oder deaktivieren. Das unterbricht jeden Missbrauch umgehend. Nicht warten, nicht erst prüfen ob wirklich jemand den Key hat – im Zweifel sofort handeln.

Schritt 2: Neuen Key erstellen

Einen neuen API-Key beim Anbieter anlegen und in n8n das betroffene Credential aktualisieren. Alle Workflows laufen danach automatisch mit dem neuen Key.

Schritt 3: Nutzung prüfen

Im Dashboard des Anbieters die Nutzungsstatistik der letzten Stunden prüfen. Ungewöhnliche Aktivität – viele Anfragen, hohe Kosten in kurzer Zeit – ist ein Zeichen für Missbrauch. Bei OpenAI unter „Usage", bei Anthropic unter „Usage" im Console-Bereich.

Schritt 4: Quelle entfernen

Den Ort, an dem der Key sichtbar wurde, bereinigen: Screenshot löschen, Git-History bereinigen (git filter-repo oder BFG Repo Cleaner), Workflow-Export-Datei prüfen und ggf. löschen.

Checkliste: sichere Key-Verwaltung

↑ Zur Kapitelübersicht

Fünf Gewohnheiten, die dauerhaft schützen.

✓ Keys immer als Credential speichern

Niemals in ein Node-Textfeld, nie in eine Notiz, nie in eine Chat-Nachricht.

✓ Aussagekräftige Namen vergeben

„OpenAI – EV-Projekt" statt „API 1". Erleichtert das Auffinden und das gezielte Sperren im Ernstfall.

✓ Nutzungslimits setzen

Wo immer der Dienst es erlaubt: monatliche Ausgaben- oder Anfragenlimits aktivieren.

✓ Workflow-Exporte auf Keys prüfen

Vor dem Teilen einer JSON-Export-Datei kurz prüfen ob versehentlich ein Key direkt in einem Node eingetragen wurde. Mit n8n-Credentials passiert das nicht – nur wenn jemand den Key direkt ins Textfeld getippt hat.

✓ Keys regelmäßig rotieren

Alle paar Monate einen neuen Key anlegen und den alten sperren – besonders für Dienste mit hohen Kosten pro Anfrage. In n8n genügt eine Credential-Aktualisierung, alle Workflows laufen sofort weiter.

Nächste Schritte

↑ Zur Kapitelübersicht

Setup abgeschlossen. Die Grundlagen sitzen, n8n läuft, Keys sind sicher verwahrt. Jetzt beginnen die eigentlichen Projekte.

EV-Ladesäulen-Finder

Das erste vollständige Projekt: eine echte API abfragen, Daten filtern und eine automatische Benachrichtigung versenden. Alle Konzepte aus den Grundlagen kommen hier zum ersten Mal zusammen.

Alle Projekte im Überblick

EV-Ladesäulen-Finder, Gitarren-Akkord-Assistent, Fotografie-Workflow und Monitoring-Dashboard – mit aktuellem Status und Verlinkung zu jeder Projekt-Dokumentation.