Google-Maps auf deiner Website? Warum du jetzt sofort deinen API-Key prüfen solltest

Ein stilles Problem aus der AI-Einführung

Viele Webseiten enthalten Google Maps.
Kontaktseite, Anfahrtsskizze, Firmenprofil – ein Standard seit über 10 Jahren.

Bisher galt dabei eine einfache Regel:
Der eingebettete Google-API-Key im Seitenquelltext war kein Geheimnis.

Genau das hat sich 2026 geändert.

Mit der Einführung von Googles KI-System Gemini wurde aus einem technischen Identifikator plötzlich ein möglicher Zugang zu kostenpflichtigen und sensiblen Cloud-Funktionen. Sicherheitsforscher fanden tausende öffentlich sichtbare Keys auf Websites – teilweise seit Jahren unverändert eingebaut.

Das Problem: Die Betreiber wussten davon nichts.

Warum Maps-Keys plötzlich gefährlich sind

Früher konnte ein öffentlicher Key im Browser nur begrenzte Dinge tun, etwa Karten laden.

Heute kann derselbe Key – wenn die falschen Optionen aktiv sind –:

• KI-Modelle aufrufen
• Kosten verursachen
• Projekt-Ressourcen nutzen

Google hat inzwischen Schutzmechanismen aktiviert und geleakte Schlüssel werden blockiert. Das ändert aber nichts am Grundproblem: Viele Projekte laufen mit alten Einstellungen weiter.

Und genau dort liegt das Risiko.

Was Nutzer und Betreiber jetzt konkret prüfen sollten

Wenn du eine Website betreibst (oder betreuen lässt) und dort Google Maps eingebaut ist, lohnt sich ein kurzer Check. Du brauchst dafür kein Entwickler-Setup.

1. Quelltext prüfen:
   Öffne die Seite, Rechtsklick → Seitenquelltext anzeigen.
   Suche nach maps.googleapis.com oder key=.
2. Wenn du einen Key findest (z. B. hinter key=):
   Lass den Key in der Google Cloud Console prüfen (oder deinen Dienstleister).

In der Google-Cloud-Konsole sind diese Punkte entscheidend:

• Ist „Generative Language API“ / „Gemini API“ im Projekt aktiviert? Wenn nein: gut. Wenn ja: unbedingt genauer prüfen.
• Key-Beschränkungen gesetzt? Idealerweise HTTP Referrer Restrictions (nur deine Domain) für Maps auf Webseiten.
• Budget-Limit vorhanden? Ein kleines Limit (z. B. 10 €) begrenzt Schäden durch Missbrauch deutlich.
• Ungewöhnliche Nutzung? In den Abrechnungs-/API-Logs prüfen, ob es Spitzen oder unbekannte Requests gibt.

Wenn einer der Punkte fehlt: API-Key rotieren (neu erstellen) und den alten deaktivieren. Das ist meist in Minuten erledigt, verhindert aber teure Überraschungen.

Warum das tausende kleine Webseiten betrifft

Das Problem trifft nicht nur Entwickler oder große Firmen. Typische Beispiele sind:

• Handwerker-Webseiten
• Vereinsseiten
• Arzt- und Praxiswebsites
• WordPress-Themes mit Maps-Block

Viele dieser Seiten wurden einmal eingerichtet – und danach nie wieder technisch gepflegt. Durch KI hat sich jedoch die Bedeutung der Schlüssel geändert, ohne dass Betreiber davon automatisch erfahren haben.

Der größere Trend hinter dem Vorfall

Der Fall zeigt eine neue Realität im Internet: Technik kann sich ändern, ohne dass Code geändert wird.

Mit AI werden bisher harmlose Identifikatoren zu Zugangsdaten. API-Keys müssen deshalb künftig wie Passwörter behandelt werden – auch wenn sie jahrelang öffentlich waren.

Für Betreiber bedeutet das: Nicht der Angriff ist neu. Die Bedeutung der Daten hat sich verändert.