Vibe Coding heißt: Jemand beschreibt in normaler Sprache, was eine App können soll, und eine KI schreibt den Code. Mit Werkzeugen wie Lovable, Bolt oder Replit entstehen so in wenigen Stunden Tools, für die früher ein Entwicklungsteam Wochen gebraucht hätte. Das Problem: Was funktioniert, ist noch lange nicht sicher. Die Sicherheitsfirma Escape hat rund 5.600 öffentlich erreichbare, mit solchen Plattformen gebaute Apps untersucht und über 2.000 Schwachstellen sowie mehr als 400 offen liegende Zugangsschlüssel gefunden.
Welche Lücken treten am häufigsten auf?
- Offene Datenbanken: Die häufigste Ursache in der Escape-Studie waren falsch gesetzte Zugriffsregeln in Supabase. Dann kann jeder, der die Adresse kennt, Daten lesen oder ändern.
- Schlüssel im Browser: API-Schlüssel für Zahlungsdienste, E-Mail oder KI stehen im Code, den jeder Besucher einsehen kann.
- Rechte nur im Frontend: Die App versteckt Schaltflächen, prüft auf dem Server aber nicht, ob jemand die Aktion ausführen darf.
- Keine Prüfung von Eingaben: Formulare nehmen alles an, auch Schadcode.
- Veraltete Pakete: Bibliotheken mit bekannten Lücken werden nicht aktualisiert.
- Kein Betrieb: Es gibt keine Backups, keine Überwachung und niemanden, der Updates einspielt.
Warum passiert das so oft?
Die KI baut, was gewünscht wird, und optimiert darauf, dass die App läuft. Sicherheit fragt selten jemand aktiv an, und wer die App beschreibt, ist meist kein Entwickler und weiß nicht, wonach er fragen müsste. Viele dieser Tools starten als Prototyp für den internen Gebrauch und werden dann mit echten Kundendaten genutzt, ohne dass jemand den Code geprüft hat.
Was sollten Sie vor dem Einsatz prüfen?
- Welche Daten verarbeitet das Tool? Sind personenbezogene Daten oder Geschäftsgeheimnisse dabei?
- Wer kann sich anmelden, und was darf wer sehen und ändern? Wird das auf dem Server geprüft?
- Sind die Zugriffsregeln der Datenbank so gesetzt, dass niemand ohne Berechtigung an Daten kommt?
- Liegen Schlüssel und Passwörter sicher auf dem Server statt im Code?
- Wer spielt Updates ein, wer macht Backups, und wer merkt, wenn etwas ausfällt?
- Wem gehört der Code, und kann jemand anderes ihn weiterentwickeln?
Wie wird aus dem Prototyp ein sicheres Werkzeug?
Ein selbst gebautes Tool muss nicht weggeworfen werden. Oft reicht es, die kritischen Stellen gezielt zu schließen: Zugriffsregeln setzen, Schlüssel auf den Server verlagern, Rechte serverseitig prüfen, Abhängigkeiten aktualisieren und einen geregelten Betrieb einrichten. Genau das machen wir im Vibe-Code-Check. Mehr dazu auf unserer Seite Web-Apps & MVP.
Quellen
- Escape: Methodology: 2k+ Vulnerabilities in Vibe-Coded Apps
- Security Boulevard: How we discovered over 2k high-impact vulnerabilities (Oktober 2025)
- Computerweekly: Vibe Coding: Chancen, Risiken und Strategien für Unternehmen
