KI-Tokens
Account-Farming für Claude & Co.: Wie billige KI-Tokens zum Security-Risiko werden
Graumarkt für KI-Tokens boomt
Okta-Forscher zeigen, wie Zwischenhändler Zugänge zu leistungsfähigen KI-Modellen mit Rabatten von bis zu 90 Prozent weiterverkaufen. Hinter den vermeintlichen Schnäppchen steckt ein wachsendes Ökosystem aus Proxy-Diensten, gefälschten Accounts und weiterverkauften API-Zugängen.
Okta-Forscher zeigen, wie Graumärkte KI-Zugänge drastisch verbilligen – und dabei neue Risiken für Identitäten, API-Keys und sensible Prompts schaffen
Frontier-KI zum Bruchteil des offiziellen Preises: Rund um leistungsfähige Modelle wie Claude oder andere kommerzielle KI-Dienste hat sich ein wachsender Graumarkt entwickelt. Anbieter verkaufen Zugänge teilweise 70 bis 90 Prozent günstiger als die regulären Preise und umgehen dabei regionale Beschränkungen sowie Kontrollmechanismen der Hersteller. Für Nutzer entsteht damit jedoch ein erhebliches Risiko: Wer seine Prompts über einen unbekannten Proxy schickt, muss davon ausgehen, dass sensible Eingaben von einem Dritten vollständig eingesehen, gespeichert oder weiterverwertet werden können.
Die beiden Sicherheitsforscher Jeremy Kirk und Mathew Woodyard von Okta Threat Intelligence haben das Geschäft mit vergünstigten beziehungsweise kostenlosen KI-Tokens untersucht . Dabei stießen sie auf mehr als ein halbes Dutzend einschlägiger Angebote in Untergrundforen und auf Messaging-Plattformen. Nach Einschätzung der Forscher dürfte dies lediglich einen Ausschnitt des tatsächlichen Marktes darstellen.
Hohe KI-Kosten schaffen einen neuen Graumarkt
Die hohe Nachfrage nach leistungsfähigen KI-Modellen und die damit verbundenen Nutzungskosten schaffen attraktive Bedingungen für Zwischenhändler. Hinzu kommen regionale Zugangsbeschränkungen, die insbesondere Nutzer in Ländern betreffen, in denen US-amerikanische Frontier-Modelle offiziell nicht oder nur eingeschränkt verfügbar sind.
Die Angebote reichen von vollständigen Abonnementkonten über bestimmte Token-Kontingente bis hin zu Paketen mit einer festgelegten Zahl von Anfragen. Einige Anbieter versprechen dabei unbegrenzte Token-Mengen innerhalb der erlaubten Requests.
Besonders ausgeprägt ist dieses Ökosystem offenbar in China. Dort werden sogenannte „Transfer Stations“ oder Relay-Dienste eingesetzt, die API-Anfragen über zwischengeschaltete Systeme an westliche KI-Plattformen weiterleiten. Eine Recherche von ChinaTalk beschreibt einen breit entwickelten Markt, in dem entsprechende Zugänge teilweise für lediglich zehn Prozent des offiziellen Preises angeboten werden. Die Infrastruktur reicht dabei von Account-Händlern und SMS-Verifizierungsdiensten bis hin zu API-Proxies, Payment-Systemen und automatisiertem Account-Rotation-Management.
Regionale Sperren treiben das Katz-und-Maus-Spiel
Anthropic hatte bereits im September 2025 seine Regeln für nicht unterstützte Regionen verschärft. Die Einschränkungen betreffen auch Unternehmen, die zwar außerhalb einer gesperrten Region angesiedelt sind, aber mehrheitlich von Organisationen aus entsprechenden Ländern kontrolliert werden.
Trotz solcher Maßnahmen besteht der Markt weiter. Nach den Recherchen von ChinaTalk werden Zugänge unter anderem über GitHub-Verzeichnisse , Telegram und chinesische Plattformen vermittelt. Die Anbieter betreiben teilweise professionelle Infrastrukturen mit KI-Gateways, Load-Balancing und Verfügbarkeitsüberwachung.
Auch die Identitätskontrollen werden deshalb verschärft. Anthropic führte 2026 für ausgewählte neue Konten zusätzliche Identitätsprüfungen ein, bei denen unter anderem ein amtliches Ausweisdokument und eine Live-Aufnahme des Nutzers verlangt werden können.
Doch strengere Kontrollen führen gleichzeitig zu neuen Umgehungsmechanismen. Aus einzelnen Accounts ist längst eine arbeitsteilige Schattenökonomie entstanden.
Account-Farming macht kostenlose KI-Kontingente zu Handelsware
(Bildquelle: Okta )
Ein wesentlicher Bestandteil des Geschäftsmodells besteht darin, Konten automatisiert oder in großer Zahl anzulegen und dabei kostenlose Testkontingente, Neukundenboni, Cloud-Guthaben oder Sonderkonditionen auszunutzen.
Weitere Modelle sind der Weiterverkauf ungenutzter Kontingente, die gemeinsame Nutzung von Abonnements sowie die Bündelung zahlreicher Accounts hinter einer zentralen Proxy-Infrastruktur.
Dadurch sieht der Käufer nicht mehr, welches Konto seine Anfrage tatsächlich verarbeitet. Der Proxy übernimmt die Verteilung der Requests auf einen Pool vorhandener Zugänge und tauscht Konten aus, sobald diese gesperrt werden oder ihre Kontingente erschöpft sind.
Für Modellanbieter entsteht dadurch ein permanentes Katz-und-Maus-Spiel zwischen Fraud Detection und automatisierter Account-Erstellung.
Poison Claude und EcomAgent als Beispiele
Okta Threat Intelligence nennt unter anderem „Poison Claude“ und „EcomAgent“ als Beispiele für Dienste, die günstigen Zugang zu verschiedenen KI-Modellen anbieten.
Die Angebote verdeutlichen, warum solche Plattformen attraktiv sind. Über eine einzige Schnittstelle lassen sich unterschiedliche Modelle ansprechen, während sich die dahinterliegende Infrastruktur um Accounts, Routing und Verfügbarkeit kümmert.
Für Kunden bedeutet das zunächst Komfort. Wird ein Konto eines Modellanbieters gesperrt, kann der Proxy eine Anfrage möglicherweise über ein anderes Konto weiterleiten.
Aus Sicht der Informationssicherheit entsteht damit allerdings eine neue Vertrauensinstanz zwischen Nutzer und KI-Anbieter.
Der Proxy kann jeden Prompt sehen
Genau darin liegt eines der größten Risiken dieser Dienste. Bei einem klassischen API-Proxy muss die Anfrage zunächst an den Betreiber des Vermittlungsdienstes übertragen werden. Dieser kann dadurch grundsätzlich Zugriff auf die Prompts und gegebenenfalls auch auf die Antworten des KI-Modells erhalten.
Für Entwickler, Unternehmen und insbesondere Nutzer von KI-Agenten ist das problematisch. Quellcode, interne Dokumente, Zugangsinformationen, Geschäftsgeheimnisse oder personenbezogene Daten könnten über die Eingaben beim Betreiber des Graumarkt-Dienstes landen.
Der günstige KI-Zugang kann damit faktisch mit einem vollständigen Verlust der Vertraulichkeit bezahlt werden.
Noch problematischer wird dies, wenn Nutzungsdaten selbst Teil des Geschäftsmodells sind. ChinaTalk beschreibt Prompt- und Response-Logs als potenziell wertvolle Datenquelle, beispielsweise für Modelltraining, Datenhandel oder andere Formen der Monetarisierung.
Bezahlt wird mit Daten – und möglicherweise mit dem falschen Modell
Ein weiteres Problem: Nutzer können bei einem zwischengeschalteten Proxy häufig nur schwer überprüfen, welches Modell ihre Anfrage tatsächlich verarbeitet.
Ein Anbieter könnte einen besonders leistungsfähigen und entsprechend teuren Dienst bewerben, die Anfragen aber an ein günstigeres Modell weiterleiten. Für den Kunden wäre ein solcher Austausch nicht zwangsläufig unmittelbar erkennbar.
Damit entsteht ein ungewöhnliches Vertrauensproblem. Nutzer wissen weder zweifelsfrei, wer ihre Daten verarbeitet, noch welches KI-Modell tatsächlich antwortet.
Der außergewöhnlich niedrige Preis kann deshalb durch mehrere Faktoren ermöglicht werden: missbrauchte Guthaben, Account-Sharing, günstigere Modelle – oder durch eine zusätzliche Monetarisierung der übermittelten Daten.
Kryptowährungen und Anonymisierung erhöhen die Attraktivität
Einige Dienste akzeptieren Kryptowährungen und verlangen nur wenige persönliche Informationen für die Kontoeröffnung. Gerade für Akteure, die ihre Identität gegenüber dem eigentlichen KI-Anbieter verbergen möchten, erhöht dies die Attraktivität.
Auch technisch können solche Proxy-Dienste einen zusätzlichen Schutz der Herkunft bieten, sofern die ursprüngliche IP-Adresse nicht an den Modellanbieter weitergegeben wird.
Was für einen legitimen Nutzer als Datenschutzfunktion erscheinen kann, lässt sich gleichzeitig von Cyberkriminellen verwenden, um Erkennungs- und Missbrauchskontrollen zu umgehen.
Billiger Zugang erkauft neue Abhängigkeiten
Die Nutzung solcher Dienste ist darüber hinaus operativ riskant. Verschärft ein KI-Anbieter seine Fraud-Detection oder sperrt einen größeren Pool missbräuchlich registrierter Accounts, kann der Zugang abrupt ausfallen.
Für einzelne Prompts mag dies verschmerzbar sein. Werden solche APIs jedoch in Entwicklungsprozesse, KI-Agenten oder automatisierte Workflows integriert, können Account-Sperren komplette Prozessketten unterbrechen. Unternehmen tauschen den günstigeren Preis damit gegen eine Infrastruktur ein, deren Verfügbarkeit, Datenschutz und Integrität sie kaum kontrollieren können.
Gefälschte Accounts sind weit mehr als ein KI-Problem
Das zugrunde liegende Problem reicht weit über KI-Plattformen hinaus. Angreifer erstellen automatisiert Konten, um Neukundenaktionen auszunutzen, Accounts zunächst altern zu lassen und ihnen dadurch mehr Legitimität zu verleihen oder Plattformen mit künstlichen Registrierungen zu überlasten.
Weitere Einsatzfelder reichen von Social Engineering über Credential Stuffing und Phishing bis zu Spam-Kampagnen.
Für Betreiber digitaler Plattformen wird deshalb die Absicherung bereits während der Registrierung entscheidend.
Okta empfiehlt Passkeys gegen automatisiertes Account-Farming
Okta sieht phishingresistente Authentifizierungsverfahren wie Passkeys als wichtigen Bestandteil der Gegenmaßnahmen.
Entscheidend ist dabei die Hardwarebindung. Eine Zugangsinformation, die sich nicht ohne Weiteres automatisiert erzeugen, kopieren oder massenhaft weitergeben lässt, erhöht die Kosten für Account-Farming erheblich.
Okta Threat Intelligence gibt an, bislang keine Passkeys in den von den Forschern beobachteten Kampagnen zum automatisierten Registrierungsbetrug gesehen zu haben.
Eine Passkey-Pflicht verhindert zwar nicht grundsätzlich, dass ein Angreifer ein Konto eröffnet. Sie kann automatisierte Verfahren jedoch so weit verteuern und erschweren, dass Geschäftsmodelle auf Basis massenhaft erzeugter Accounts wirtschaftlich unattraktiver werden.
Statische API-Schlüssel werden zur Währung des Graumarkts
Ein zweiter Schwachpunkt sind langlebige statische API-Schlüssel. Sie sind bequem, leicht in Anwendungen zu integrieren – und ebenso einfach zu kopieren, zu sammeln und weiterzugeben. Genau diese Eigenschaft macht sie für Graumarktmodelle attraktiv.
Statt Zugangsdaten mit praktisch unbegrenzter Lebensdauer einzusetzen, empfiehlt Okta kurzlebige und möglichst eng begrenzte Zugriffstokens. Beim OAuth-2.0-Client-Credentials-Verfahren authentifiziert sich beispielsweise eine Maschine mit ihren Client-Zugangsdaten und erhält anschließend ein zeitlich begrenztes Access Token.
Wird ein solches Token kompromittiert, reduziert seine kurze Lebensdauer das Zeitfenster für einen Missbrauch. Zusätzlich können Berechtigungen auf tatsächlich benötigte Ressourcen begrenzt werden.
Ein statischer API-Key besitzt diesen inhärenten Schutz nicht.
Aus günstigen KI-Tokens wird ein Identity-Security-Problem Der Graumarkt für Frontier-KI zeigt damit ein grundsätzliches Problem der aktuellen KI-Ökonomie: Je wertvoller und teurer der Zugang zu leistungsfähigen Modellen wird, desto attraktiver wird auch der Handel mit Identitäten, Accounts und Zugangsdaten.
Regionale Sperren, hohe Token-Preise und kostenlose Startguthaben schaffen zusätzliche Arbitragemöglichkeiten. Gleichzeitig professionalisieren sich die Infrastrukturen, mit denen solche Kontrollen umgangen werden.
Für KI-Anbieter reicht es deshalb nicht aus, lediglich verdächtige IP-Adressen oder einzelne Accounts zu sperren. Account-Erstellung, Authentifizierung, Token-Lebensdauer, Abuse Detection und Machine-to-Machine-Zugriffe müssen gemeinsam betrachtet werden.
Denn sobald sich ein Zugang kopieren, automatisiert vervielfältigen und weiterverkaufen lässt, besitzt er auch einen Marktwert außerhalb der Plattform, für die er ursprünglich vorgesehen war.
