Vibe Coding: Was es ist, und warum dein Prototyp trotzdem noch nicht fertig ist

“Vibe Coding” ist der Begriff für Programmieren per natürlichsprachlichem Prompt, ohne selbst tief in den generierten Code einzusteigen. Du beschreibst, was du willst, ein Tool wie Cursor, Lovable oder Claude Code liefert, du übernimmst. Der Begriff existiert erst seit Anfang 2025, das Suchinteresse dazu ist seitdem von praktisch null auf über 30.000 Anfragen im Monat explodiert.

Was in der Euphorie fast nie mitgedacht wird: “es läuft” und “es ist fertig” sind zwei komplett verschiedene Aussagen. Die Frage, die sich niemand beim Prompten stellt, aber jeder stellen sollte: Ist das, was da läuft, auch sicher?

Nicht als Bauchgefühl. Als überprüfbare Aussage.

Was die Zahlen sagen

Das ist kein Nischenproblem, das ist inzwischen gut dokumentiert:

• 45 % des KI-generierten Codes enthält nachweisbare Sicherheitslücken, mit 2,74-mal mehr Schwachstellen als von Menschen geschriebener Code (Veracode 2025 GenAI Code Security Report, 100+ LLMs, 80 Aufgaben getestet).
• Eine Carnegie-Mellon-Studie fand: 61 % des KI-generierten Codes ist funktional korrekt, aber nur 10,5 % davon ist tatsächlich sicher.
• Eine Tenzai-Studie (Dezember 2025) fand 69 Schwachstellen in 15 Apps, gebaut mit fünf führenden Vibe-Coding-Tools, darunter ein halbes Dutzend kritische.
• Der konkreteste Fall: CVE-2025-48757, aufgedeckt bei Lovable-gebauten Apps durch Aikido Security. 170 von 1.645 untersuchten Apps (10,3 %) hatten verwundbare Endpunkte, rund 70 % davon ganz ohne Row-Level-Security.

Das heißt nicht, dass KI-Tools schlecht sind. Es heißt, dass Sicherheit etwas ist, das man beim Prompten selten explizit beschreibt, und was man nicht beschreibt, baut die KI auch nicht mit.

Die Checkliste: Wo die meisten KI-Prototypen wirklich stehen

Das hier sind keine Hypothesen, das sind die Punkte, die in der Praxis am häufigsten fehlen:

1. Backups. Gibt es einen Weg zurück zu gestern, wenn heute etwas kaputtgeht?
2. API-Keys. Stehen sie fest im Code, oder sicher verwaltet außerhalb davon?
3. Sicherheits-Header. Bekommt der Browser überhaupt eine Anweisung, wie er die Seite schützen soll?
4. Hosting-Standort. Läuft die App auf US-Infrastruktur, obwohl EU-Nutzerdaten verarbeitet werden? Das ist eine DSGVO-Grauzone, die beim Bauen selten zur Sprache kommt.
5. Fehlerbehandlung. Was passiert bei einem unerwarteten Klick, zeigt die App nichts an, oder zu viel?
6. Barrierefreiheit. Screenreader, Tastaturbedienung, Kontraste, kam das beim Prompten überhaupt vor?

Wenn du bei mehr als einem Punkt nicht sicher bist, bist du in guter Gesellschaft, das betrifft laut den Zahlen oben die Mehrheit aller KI-gebauten Projekte. Es heißt nur: bevor echte Nutzer und echte Daten reinkommen, sollte das jemand geprüft haben, der weiß wonach er sucht.

Selbst prüfen oder prüfen lassen

Manche dieser Punkte kannst du mit ein bisschen Recherche selbst abhaken. Andere, vor allem Auth-Flows, Datenflüsse und tatsächliche Exploit-Pfade, brauchen jemanden, der das schon oft gesehen hat.

Genau dafür gibt es den Code-Check: ein Festpreis-Audit, das genau diese Punkte durchgeht, Security, DSGVO, Infrastruktur, Barrierefreiheit, und dir einen schriftlichen, priorisierten Befund liefert. Reine Diagnose, kein Commitment zur Umsetzung. Und falls am Ende rauskommt, dass eigentlich alles in Ordnung ist, sag ich dir das genauso ehrlich.

Quellen & weiterführende Links

• Veracode 2025 GenAI Code Security Report: 45 % Vuln-Rate, 2,74× mehr Schwachstellen als menschlicher Code · veracode.com
• Carnegie Mellon Studie: 61 % funktional korrekt, nur 10,5 % davon sicher
• Tenzai-Studie (Dezember 2025): 69 Schwachstellen in 15 Apps über fünf Vibe-Coding-Tools · computerweekly.com
• CVE-2025-48757: Lovable-Vorfall, aufgedeckt von Aikido Security, 170 von 1.645 Apps exponiert
• Verwandter Artikel: Warum Vibe Coding deinem Unternehmen schadet