Google Maps API-Key erstellen und absichern

Was Sie brauchen

• Ein Google-Konto
• Ein Zahlungsmittel für das Abrechnungskonto (auch im kostenlosen Rahmen nötig)
• Zugriff auf Ihre Website, um den Schlüssel einzubauen

Kurz zu den Kosten

Google gewährt für Maps ein monatliches Gratis-Kontingent, das für die meisten Unternehmenswebsites bequem ausreicht. Trotzdem muss ein Zahlungsmittel hinterlegt sein. Wichtig ist genau deshalb das Einschränken des Schlüssels weiter unten: Ein offener Schlüssel kann von Fremden missbraucht werden – und der Verbrauch landet auf Ihrer Rechnung.

Wer Kosten sicher ausschließen möchte, kann in der Konsole ein Budget mit Benachrichtigung anlegen. So werden Sie gewarnt, bevor überhaupt etwas anfällt.

Schritt für Schritt

1. Google-Cloud-Konsole öffnen

   Rufen Sie die Google-Cloud-Konsole auf und melden Sie sich mit Ihrem Google-Konto an. Beim ersten Mal sind die Nutzungsbedingungen zu bestätigen.

   Google-Cloud-Konsole öffnen ↗ (öffnet in neuem Tab)

2. Ein Projekt anlegen

   Legen Sie oben über die Projektauswahl ein neues Projekt an und geben Sie ihm einen sprechenden Namen, etwa „Website Karte". Alle Schlüssel und Einstellungen gehören immer zu einem Projekt.

3. Abrechnungskonto verknüpfen

   Maps setzt ein hinterlegtes Abrechnungskonto voraus – auch wenn Sie im kostenlosen Rahmen bleiben. Ohne Zahlungsmittel wird keine Karte angezeigt. Folgen Sie dazu dem Punkt „Abrechnung" und hinterlegen Sie die Daten.

4. Die richtige API aktivieren

   Öffnen Sie „APIs und Dienste" und aktivieren Sie gezielt die „Maps JavaScript API" – das ist die Schnittstelle für eine eingebettete Karte auf der Website. Aktivieren Sie nur, was Sie wirklich brauchen.

5. Den API-Schlüssel erstellen

   Unter „APIs und Dienste" → „Anmeldedaten" wählen Sie „Anmeldedaten erstellen" → „API-Schlüssel". Der Schlüssel wird sofort erzeugt und angezeigt. Kopieren Sie ihn – im nächsten Schritt wird er abgesichert.

   Zur Seite „Anmeldedaten" ↗ (öffnet in neuem Tab)

6. Den Schlüssel einschränken

   Öffnen Sie den neuen Schlüssel und setzen Sie zwei Einschränkungen: unter „Anwendungseinschränkungen" die Option „HTTP-Referrer (Websites)" mit Ihrer Domain (z. B. *.ihre-domain.de/*), und unter „API-Einschränkungen" die Beschränkung auf die Maps JavaScript API. Speichern nicht vergessen.

7. Den Schlüssel einbauen

   Binden Sie den Schlüssel in den Karten-Code auf Ihrer Website ein. Nach dem Speichern der Einschränkungen kann es einige Minuten dauern, bis sie greifen – testen Sie danach, ob die Karte erscheint.

Warum Einschränken Pflicht ist

Ein frisch erstellter API-Schlüssel ist offen: Er funktioniert von jeder Website und für jede Google-Schnittstelle. Da der Schlüssel im HTML Ihrer Seite steht und damit für jeden lesbar ist, kann ihn theoretisch jemand kopieren und auf eigenen Seiten einsetzen – der Verbrauch geht dann zu Ihren Lasten.

Zwei Einschränkungen verhindern das:

• HTTP-Referrer. Der Schlüssel funktioniert nur, wenn die Anfrage von Ihrer Domain kommt. Auf einer fremden Seite ist er wertlos.
• API-Beschränkung. Der Schlüssel darf nur die eine Schnittstelle ansprechen, die Sie brauchen – nicht das gesamte Google-Angebot.

Regel: Ein API-Schlüssel ohne Einschränkung ist wie ein Haustürschlüssel, der in jedes Schloss der Stadt passt. Das Einschränken ist kein optionaler Feinschliff, sondern gehört fest zum Erstellen dazu.

Datenschutz nicht vergessen

Eine eingebettete Google-Karte lädt beim Aufruf der Seite Daten von Google-Servern – noch bevor der Besucher etwas anklickt. Aus Datenschutzsicht ist das dieselbe Situation wie bei extern geladenen Schriften. Details und der saubere Umgang damit stehen im Leitfaden zu DSGVO und externen Diensten.

Kurz gefasst: Eine Karte gehört idealerweise erst nach ausdrücklicher Zustimmung geladen – etwa über eine Vorschau, die der Besucher aktiv anklickt. Und die Nutzung gehört in die Datenschutzerklärung.