LoginLoslegen

Vibe-Code-Risiken: Was in KI-Code schiefgeht

Aktualisiert am 13.10.2026

«Vibe Coding» heisst: Man beschreibt einer KI, was man will, und übernimmt, was sie liefert — oft ohne jede Zeile zu lesen. Das funktioniert erstaunlich gut, solange man nur auf das Ergebnis im Browser schaut. Die Frage ist, was man dabei nicht sieht. Dazu gibt es inzwischen belastbare Forschung.

Was die Forschung misst

Drei Befunde ziehen sich durch:

Auch die Behörden sehen das so: BSI und die französische ANSSI haben 2024 eine gemeinsame Einschätzung zu KI-Programmierassistenten veröffentlicht. Sinngemäss: Die Werkzeuge steigern die Produktivität, erzeugen aber keinen Code, dem man ohne Prüfung vertrauen darf.

Die acht Muster, die wir am häufigsten sehen

Aus dem Betrieb unserer eigenen Plattform für KI-gebaute Anwendungen und aus Begutachtungen:

  1. Berechtigung nur im Frontend. Knöpfe sind ausgeblendet, der Server prüft aber nicht, wer fragt. Die häufigste schwere Schwachstelle überhaupt.
  2. Geheimnisse im Code. API-Schlüssel im Quelltext, im ausgelieferten JavaScript oder in der Git-Historie — «später entfernt» heisst nicht «weg».
  3. Erfundene oder verwaiste Pakete. Siehe oben; dazu veraltete Versionen, weil das Modell den Stand seines Trainings kennt, nicht den von heute.
  4. Offene Datenbank-Regeln. Backend-Dienste mit Standard-Freigaben, Zeilenrechte «kommen noch».
  5. Platzhalter in Produktion. Test-Logins, Beispieldaten, auskommentierte Prüfungen.
  6. Kopieren statt strukturieren. Dieselbe Regel steht an vier Stellen — und wird an einer korrigiert.
  7. Kein Betrieb mitgedacht. Keine Sicherung, keine sinnvollen Logs, kein Update-Weg.
  8. Personendaten ohne Konzept. Alles wird gespeichert, nichts gelöscht; Drittdienste werden nebenbei eingebunden.

Gemeinsam ist allen acht: In der Demo sieht man keines davon. Die Anwendung funktioniert, sieht gut aus, und der Fehler wartet im Repository, in der Konfiguration oder im Betrieb.

Was daraus folgt

Nicht, dass man auf KI verzichten sollte — der Produktivitätsgewinn ist real. Sondern, dass KI-gebaute Software vor dem Produktivbetrieb dieselbe Frage beantworten muss wie jede andere: Wer hat das geprüft, und woran? Bei klassischer Entwicklung erledigt das ein Teil des Teams im Alltag (Review, Tests, Architekturentscheidungen). Beim Vibe Coding fehlt dieser Teil oft komplett — er muss nachgeholt werden.

Quellen