Zu viele KI-Anfragen verhindern: Limits richtig planen

Das Problem

Frau Müller betreut die Website einer Schreinerei in Olten. Seit einigen Wochen beantwortet dort ein KI-Chatbot Kundenfragen. Eines Morgens ist er langsam, dann antwortet er gar nicht mehr. Der externe Webentwickler meldet: «Jemand hat in der Nacht tausende Anfragen geschickt.»

Das ist ärgerlich aus zwei Gründen. Erstens können echte Kundinnen den Chatbot nicht mehr nutzen. Zweitens kostet jede Anfrage an ein KI-Modell Geld. Wer die Zahl der Anfragen nicht begrenzt, kann bei einem Ansturm eine unangenehme Rechnung bekommen.

Ein Anfragelimit (englisch Rate Limit) ist die einfachste Gegenmassnahme. Es ist keine Raketenwissenschaft, muss aber geplant werden. Diese Seite zeigt Ihnen, wo Limits sinnvoll sind und wie Sie die Werte festlegen.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie, wer Anfragen stellen darf. Sind es angemeldete Mitarbeitende, Kundinnen mit Konto oder anonyme Besucher einer Website? Je offener der Zugang, desto strenger muss das Limit sein.

1. Lesen Sie die Limits Ihres KI-Anbieters. Jeder Anbieter begrenzt Anfragen und Datenmenge pro Minute. Die Werte stehen im Kundenkonto oder in der Dokumentation und können sich ändern. Notieren Sie sie mit Datum.

1. Legen Sie eigene Limits pro Nutzer fest. Zum Beispiel höchstens [Zahl] Nachrichten pro Minute und [Zahl] pro Tag pro Person oder Sitzung. Die Zahlen leiten Sie aus dem normalen Gebrauch ab: Wie viele Fragen stellt eine echte Kundin an einem Tag?

1. Begrenzen Sie auch die Länge. Eine Anfrage mit riesigem Text verursacht mehr Kosten als eine kurze. Setzen Sie eine Obergrenze für die Zeichenzahl der Eingabe und für die Länge der Antwort.

1. Planen Sie eine freundliche Fehlermeldung. Wird das Limit erreicht, antwortet die Anwendung mit einem Hinweis wie «Bitte warten Sie einen Moment». Der technische Fehlercode heisst meist 429 («zu viele Anfragen»). Die Anwendung sollte dann kurz warten und nicht in Sekundenbruchteilen erneut senden.

1. Setzen Sie eine Kostenobergrenze. Hinterlegen Sie beim Anbieter ein Budget oder eine Warnschwelle. Mehr dazu unter Kostenlimit einrichten.

1. Richten Sie eine Warnung ein. Eine E-Mail an zwei Personen, wenn die Nutzung ungewöhnlich steigt, siehe Ungewöhnliche Nutzungsspitzen erkennen.

1. Testen Sie die Grenzen. Lassen Sie die Entwicklerin absichtlich viele Anfragen senden und prüfen Sie, ob das Limit greift und die Anwendung ruhig reagiert.

Vorlage zum Kopieren

Dieser Prompt hilft Ihnen, die Limits mit Ihrem Entwicklungsteam zu besprechen. Er enthält keine Zugangsdaten.

Wir betreiben in der Schweiz eine KI-Anwendung für [Zielgruppe, z. B. Kundschaft einer Schreinerei]. Zugang: [anonym / mit Konto / nur intern]. Erwartete Nutzung: etwa [Zahl] Personen pro Tag.
Erstelle einen Entwurf für ein Limit-Konzept mit:
1. Limits pro Person und Sitzung (pro Minute, pro Tag)
2. Obergrenzen für Länge von Eingabe und Antwort
3. Verhalten bei Erreichen des Limits (Meldung, Wartezeit)
4. Kostenwarnung und Kostenobergrenze
5. Fragen, die ich unserem Entwickler und dem Anbieter stellen soll
Regeln: Nenne keine festen Zahlen als Empfehlung, sondern Rechenwege, wie ich sie aus unserer Nutzung ableite. Einfache Sprache, Tabellenform.

Passen Sie Zielgruppe, Zugang und erwartete Nutzung an. Die Zahlen legen Sie gemeinsam mit Ihrer Entwicklerin anhand echter Nutzungsdaten fest.

Worauf Sie achten müssen

• Zu strenge Limits vertreiben echte Kundschaft. Legen Sie Limits anhand der erwarteten Nutzung, des Kostenrahmens und des Missbrauchsrisikos fest und überwachen Sie sie eng.
• Limits pro Person reichen nicht immer. Wer viele Geräte oder Adressen nutzt, kann Einzellimits umgehen. Zusätzlich hilft ein Gesamtlimit für die ganze Anwendung.
• Anmeldung hilft. Anonyme Zugänge sind am leichtesten zu missbrauchen. Wo möglich, verlangen Sie ein Konto.
• Die Limits des Anbieters ersetzen Ihre eigenen nicht. Sie schützen den Anbieter, nicht Ihr Budget.
• Wiederholungen mit Wartezeit: Programme, die bei Fehlern sofort erneut senden, verschärfen die Überlastung. Wartezeiten zwischen Versuchen sind Standard.
• Schlüssel schützen: Ein gestohlener Zugangsschlüssel umgeht Ihre Limits komplett. Lesen Sie API-Schlüssel sicher speichern.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Treuhandfirma in Aarau bietet ihren Kundinnen einen Assistenten für Fragen zur Belegablage an. Die Firma hat anfangs keine Limits gesetzt.

Vorher: Ein Programm eines Fremden schickt nachts im Sekundentakt Anfragen. Am Morgen ist das Monatsbudget fast aufgebraucht, und der Assistent antwortet nicht mehr. Nachher: Der Entwickler führt ein Limit pro Sitzung, eine Längenbegrenzung und eine tägliche Kostenwarnung ein. Der Assistent verlangt zudem eine Anmeldung. Bei einem erneuten Ansturm blockiert das Limit die Masse, echte Kundinnen merken kaum etwas, und die Verantwortliche erhält eine Warnung per E-Mail.

So hilft Ihnen Alpasana

Wenn Ihr Team die KI-Anwendung selbst baut oder betreut, hilft der Kurs KI für Developer mit Claude und Codex. Er behandelt LLM-Grundlagen mit Tokens, Kontext, Grenzen und Datenschutz sowie die Arbeit mit der Claude API, Aufgaben delegieren und Ergebnisse verifizieren.

Der Kurs vermittelt das Grundverständnis dafür, wie Anfragen und Datenmengen zusammenhängen. Die konkreten Limits Ihrer Anwendung legen Sie mit Ihrem Entwicklerteam fest.

Häufige Fragen

Reicht das Limit meines KI-Anbieters nicht aus?

Nein. Es verhindert höchstens, dass der Anbieter überlastet wird. Ihr Budget und Ihre Verfügbarkeit schützen Sie nur mit eigenen Limits und einer Kostengrenze.

Wie finde ich passende Zahlen?

Schauen Sie, wie Ihre echten Nutzer die Anwendung verwenden, und setzen Sie die Limits deutlich darüber, aber weit unter dem, was Ihr Budget verkraftet. Passen Sie sie nach ein bis zwei Wochen an.

Was passiert, wenn ein Kunde das Limit erreicht?

Er sieht eine freundliche Meldung und kann nach kurzer Wartezeit weitermachen. Für wichtige Fälle bieten Sie einen anderen Weg an, etwa ein Kontaktformular.

Schützt ein Limit auch vor Angriffen?

Es dämmt Massenanfragen ein, ist aber kein Rundumschutz. Ergänzen Sie es mit Anmeldung, Überwachung und sicherem Umgang mit Schlüsseln, siehe Unerlaubte Zugriffe erkennen.