Verbrauchsabhängige KI-Dienste verschieben ein Risiko, das bei klassischen Lizenzen keine Rolle spielte. Wird ein Zugang kompromittiert, entsteht der Schaden unmittelbar auf der Rechnung. Berichte von Betroffenen zeigen das Muster: Der Verbrauch steigt an einem Tag deutlich, obwohl das Werkzeug nicht benutzt wurde. Ursache sind gestohlene Sitzungsschlüssel, abgegriffen von Schadsoftware auf dem Endgerät.
Dabei zeigt sich eine Eigenheit, die häufig unterschätzt wird. Ein Sitzungsschlüssel verhält sich anders als ein Passwort. Er liegt lokal auf dem Gerät, ist bereits authentifiziert, und eine Mehrfaktor-Anmeldung greift nicht mehr, weil der zweite Faktor beim Aufbau der Sitzung längst geliefert wurde. Wer ausschliesslich die Anmeldung härtet, sichert die falsche Schicht ab.
Erschwerend kommt die Darstellung des Verbrauchs hinzu. Viele Plattformen zeigen nur eine Gesamtzahl, nicht die einzelnen Vorgänge dahinter. Ohne diese Aufstellung lässt sich weder eine interne Kostenumlage bilden noch ein Missbrauch belegen. Eine Telefonrechnung ohne Einzelverbindungsnachweis würde heute niemand mehr akzeptieren.
Für die Beschaffung folgt daraus eine kurze Prüfliste: exportierbarer Verbrauchsnachweis, definierte Frist für das Beenden kompromittierter Sitzungen, geregelte Haftung bei Fremdverbrauch und klare Bedingungen für Änderungen am Kontingent.