Ein Schlüssel. Einmal sichtbar.
Robert Reiz | 22. Oktober 2026 | 05:45 UTC Lena betreut die Integrationen ihrer Agentur. Vor einem halben Jahr hat sie in ZEIT.IO einen API Key für die Buchhaltungssoftware angelegt und einen zweiten für das Reporting-Tool. Wenn ein neuer Dienstleister eine Anbindung baut, öffnet sie die Einstellungen, klickt auf „anzeigen", kopiert den Schlüssel und schickt ihn weiter.
Bequem – aber genau darin liegt das Problem. Ein Schlüssel, den man jederzeit wieder anzeigen kann, muss irgendwo im Klartext liegen. Jeder, der Lenas Bildschirm für ein paar Sekunden sieht, kann ihn ablesen. Und jeder API Key ist ein Generalschlüssel für genau die Daten, für die er freigegeben ist: Rechnungen, Kunden, Zeiten.
Ab sofort speichert ZEIT.IO die API Keys Ihrer Organisation nicht mehr im Klartext. Sie sehen einen neuen Schlüssel genau einmal – direkt nach dem Anlegen.
Was sich jetzt ändert
Der Schlüssel wird nur einmal angezeigt
Unter Einstellungen → API Keys legen Sie wie gewohnt mit „Neuen API Key anlegen" einen Schlüssel an. Direkt danach erscheint er oberhalb der Liste – mit einem Symbol, das ihn mit einem Klick in die Zwischenablage kopiert, und mit diesem Hinweis:
„Dieser API Key wird nur jetzt im Klartext angezeigt. Kopieren Sie ihn und bewahren Sie ihn sicher auf - danach kann er nicht mehr angezeigt werden."
Sobald Sie die Seite verlassen oder neu laden, ist der Klartext weg. So kennen Sie es von AWS, GitHub und anderen Diensten, bei denen es um Zugänge geht.
Die Liste zeigt nur noch das Ende des Schlüssels
In der Übersicht steht statt des Schlüssels nur noch •••• und dessen letzte vier Zeichen. Daran erkennen Sie, welcher Key in welcher Integration steckt. Neu ist die Spalte „Erstellt am". Die Schaltflächen zum Anzeigen und Kopieren in der Liste gibt es nicht mehr.
Gespeichert wird nur noch ein Fingerabdruck
Um eine Anfrage zu prüfen, braucht ZEIT.IO den Schlüssel selbst nicht. Gespeichert wird ein sogenannter Hash – ein Fingerabdruck, aus dem sich der Schlüssel nicht zurückrechnen lässt – sowie eine verschlüsselte Kopie. Im Klartext liegt der Schlüssel nirgends mehr in der Datenbank.
Kein Schlüssel ohne Ihr Zutun
Bisher hat ZEIT.IO beim ersten Öffnen der Seite API Keys automatisch einen Schlüssel namens „Default" mit vollen Rechten angelegt – ob Sie ihn brauchten oder nicht. Das ist vorbei. Eine neue Organisation sieht dort zunächst eine leere Liste. Ein API Key entsteht nur noch, wenn ein Mensch ihn bewusst anlegt – denn nur dann hat auch jemand die Gelegenheit, ihn zu kopieren.
Automatisch angelegte Default-Keys, die nie aufgerufen wurden, haben wir entfernt. Jede dieser Löschungen ist im Änderungsprotokoll Ihrer Organisation vermerkt.
Was gleich bleibt
- Ihre bestehenden Integrationen laufen weiter. Alle API Keys, die schon im Einsatz sind, bleiben gültig. Sie müssen nichts austauschen.
- Berechtigungen, Ablaufdatum und Aktiv-Schalter funktionieren wie bisher.
- Ihr persönlicher API Token in den Benutzereinstellungen ist von dieser Änderung noch nicht betroffen.
Und wenn ein Schlüssel verloren geht?
Dann legen Sie einen neuen an, tragen ihn in der Integration ein und deaktivieren den alten. Das dauert eine Minute – und ist ohnehin der richtige Weg, wenn Sie nicht mehr genau wissen, wo ein Schlüssel überall gelandet ist.
Warum das wichtig ist
Ein API Key öffnet die Tür zu Ihren Rechnungen, Kunden und Zeiten – ohne Passwort, ohne zweiten Faktor. Je seltener er im Klartext auftaucht, desto kleiner die Gefahr, dass er in falsche Hände gerät: über einen Blick auf den Bildschirm, über einen Screenshot oder über eine Kopie der Datenbank.
Für Sie ändert sich im Alltag fast nichts. Sie kopieren den Schlüssel einmal, direkt beim Anlegen – und danach kennen ihn nur noch Sie und Ihre Integration.
Ein Schlüssel. Einmal sichtbar. Danach sicher verwahrt.