Was aktuelle Recherchen zeigen und warum technisches Verständnis beim App-Bauen mit KI entscheidend bleibt
(Dieser Beitrag spiegelt den Stand der Diskussion Mitte 2026 wider.)
„Ich hab die App einfach mit KI bauen lassen, das lief doch super!“
Läuft es tatsächlich, meistens sogar. Nur eben nicht automatisch sicher. Eine Weboberfläche beschreiben, ein paar Befehle eingeben, fertig ist der Shop, das Portal oder die interne Tool-App. Das ist das Versprechen von Vibe Coding: Software bauen, ohne selbst programmieren zu können.
Bei Webrunners erreichen uns inzwischen regelmäßig Anfragen von Unternehmen und Gründerinnen, die genau so eine Anwendung gebaut haben, etwa mit Claude Code, Cursor oder Lovable. Die Frage dahinter ist fast immer dieselbe: Ist das eigentlich sauber?
Die ehrliche Antwort lautet in vielen Fällen: nein.
Was Vibe Coding eigentlich ist
Vibe Coding bezeichnet das Programmieren per KI-Agent, meist ohne eigenes technisches Verständnis der Nutzerin oder des Nutzers. Man beschreibt, was die Anwendung tun soll, die KI übernimmt Code, Datenbank-Anbindung, Login und Zahlungsfunktion.
Für kleine Teams ohne Entwicklungsbudget klingt das verlockend. Und tatsächlich entstehen so in kurzer Zeit funktionierende Prototypen.
Das Problem zeigt sich erst später: Funktionierend ist nicht dasselbe wie sicher oder wartbar.
Die App läuft, ja. Wie ein Auto ohne TÜV auch fährt, bis es eben nicht mehr fährt.
Was eine aktuelle Recherche offengelegt hat
Eine Recherche der ZEIT hat gemeinsam mit einem IT-Sicherheitsforscher hunderte mit KI gebaute Webseiten untersucht, die auf denselben Baukasten für Datenbanken zurückgreifen. Das Ergebnis: Bei einem großen Teil der untersuchten Seiten waren die Datenbanken offen im Netz einsehbar, weil eine Standardeinstellung schlicht nicht angepasst wurde.
Betroffen waren unter anderem:
- Kundendaten inklusive Zahlungsinformationen
- Gesundheitsdaten
- Zugangsdaten und Passwörter
- interne Dokumente und technische Unterlagen
Betroffen waren nicht nur kleine Start-ups. Auch etablierte Unternehmen und öffentliche Einrichtungen tauchten in der Recherche auf, weil ihre KI-gebauten Anwendungen dieselbe Fehlkonfiguration übernommen hatten.
Der eigentliche Befund ist dabei fast interessanter als der einzelne Vorfall:
Es handelt sich nicht um individuelle Programmierfehler, sondern um denselben Fehler, tausendfach reproduziert. Wo Menschen unterschiedlich falsch programmieren, machen KI-Agenten strukturell denselben Fehler, weil sie dieselben Vorgaben und Standardwerte übernehmen.
Warum dieser Fehler so oft passiert
KI-Agenten greifen für Backend und Datenbank meist auf fertige Baukästen zurück, ähnlich wie menschliche Entwickler das auch tun. Diese Baukästen sind grundsätzlich sicher konfigurierbar.
Das Problem liegt in der Kombination aus zwei Faktoren.
Erstens sind viele dieser Werkzeuge standardmäßig offen eingestellt und müssen aktiv abgesichert werden.
Zweitens fehlt beim Vibe Coding oft genau die Person, die diese Absicherung vornehmen würde: eine erfahrene Entwicklerin oder ein erfahrener Entwickler, der die Konfiguration versteht und prüft.
Wer nicht programmieren kann, kann das Ergebnis der KI in der Regel auch nicht kontrollieren. Genau das haben wir bereits in unserem Beitrag zu den Risiken von KI in Entwicklerteams beschrieben: KI ersetzt keine Erfahrung, sie verschiebt Verantwortung, an eine Stelle, die diese Verantwortung oft gar nicht wahrnehmen kann.
Die drei blinden Flecken beim Vibe Coding
Was wir bei der Prüfung vibe-gecodeter Anwendungen immer wieder sehen
Wenn Unternehmen uns bitten, eine mit KI gebaute Anwendung vor dem Livegang zu prüfen, finden wir fast immer mehrere der folgenden Punkte:
- Datenbanken ohne oder mit unzureichender Zugriffskontrolle
- Zahlungs- oder Login-Logik ohne Absicherung gegen typische Angriffsmuster
- keine oder unvollständige Fehlerbehandlung
- keine Trennung zwischen Test- und Produktivumgebung
- fehlende Dokumentation, wodurch niemand im Team die Anwendung wirklich versteht
Keiner dieser Punkte ist exotisch. Es sind Grundlagen professioneller Softwareentwicklung, die beim Vibe Coding schlicht nicht mitgedacht werden, weil niemand im Prozess sie mitdenken kann.
Vibe Coding im Einsatz?
Bevor eine Anwendung mit sensiblen Daten live geht, lohnt sich eine unabhängige Prüfung durch erfahrene Entwickler.
Vibe Coding sinnvoll nutzen, statt es zu verteufeln
Vibe Coding ist deshalb nicht per se schlecht. Für erste Prototypen, interne Testideen oder um ein Konzept schnell sichtbar zu machen, kann es enorm hilfreich sein.
Kritisch wird es an dem Punkt, an dem echte Nutzerdaten, Zahlungen oder unternehmenskritische Prozesse ins Spiel kommen. Ab hier sollte mindestens eine erfahrene Entwicklerin oder ein erfahrener Entwickler über die Anwendung schauen, bevor sie live geht.
Konkret bedeutet das vor dem Livegang zu prüfen:
- Wer hat Zugriff auf welche Daten, und ist das bewusst so eingestellt?
- Sind Login und Zahlungsfunktion gegen gängige Angriffsmuster abgesichert?
- Ist die Datenbankkonfiguration aktiv geprüft worden, statt auf Standardwerten zu laufen?
- Gibt es im Unternehmen jemanden, der die Anwendung im Ernstfall versteht und warten kann?
Fazit
Vibe Coding senkt die Einstiegshürde für Software drastisch, das ist sein großer Vorteil. Der Preis dafür ist, dass grundlegende Themen wie Datenschutz, Sicherheit und Architektur nicht automatisch mitgedacht werden.
Genau das erleben wir bei Webrunners immer wieder, wenn Unternehmen uns ihre KI-gebauten Anwendungen zur Prüfung vorlegen. Weil bei uns ausschließlich erfahrene Senior-Entwicklerinnen und -Entwickler arbeiten, sehen wir genau die Stellen, an denen eine KI plausibel, aber eben nicht sicher programmiert hat.
Vibe Coding ersetzt kein Entwicklerteam. Es macht erfahrene Prüfung vor dem Livegang nur umso wichtiger.
Unsicher, ob Ihre mit KI gebaute Anwendung produktionsreif ist?
Ein erfahrener Blick auf Datenbank, Zugriffsrechte und Architektur schafft schnell Klarheit.
Häufig gestellte Fragen
Vibe Coding bezeichnet das Erstellen von Software per KI-Agent, bei dem die Nutzerin oder der Nutzer die gewünschte Funktion in natürlicher Sprache beschreibt, statt selbst zu programmieren. Der KI-Agent übernimmt Code, Datenbank-Anbindung und weitere technische Bausteine.
Nicht automatisch. Viele KI-Agenten übernehmen unsichere Standardeinstellungen, etwa bei Datenbank-Zugriffsrechten, ohne die Nutzerin oder den Nutzer darauf hinzuweisen. Ohne technische Prüfung bleiben diese Lücken häufig unentdeckt, bis es zu einem Vorfall kommt.
Am häufigsten sehen wir offene oder unzureichend abgesicherte Datenbanken, ungeschützte Login- und Zahlungsfunktionen sowie eine Architektur, die sich kaum wartbar oder erweiterbar erweist.
Ja, besonders für Prototypen, interne Testideen oder um ein Konzept schnell zu visualisieren. Sobald echte Nutzerdaten oder geschäftskritische Prozesse betroffen sind, sollte eine erfahrene Entwicklerin oder ein erfahrener Entwickler die Anwendung vor dem Livegang prüfen.
Wer nicht programmieren kann, kann auch das Ergebnis der KI nicht wirklich beurteilen. Viele Risiken, etwa bei Zugriffsrechten oder Architektur, sind ohne technisches Fachwissen kaum erkennbar.
Wir prüfen bestehende Anwendungen auf Datenschutz, Sicherheit und Architektur, benennen konkrete Risiken und unterstützen dabei, die Anwendung produktionsreif zu machen, unabhängig davon, mit welchem KI-Tool sie ursprünglich gebaut wurde.
