Ihre App war in einem Wochenende live. Hat sie jemand auf Sicherheitslücken geprüft?
KI-Coding-Tools lassen Gründerinnen, Gründer und kleine Teams Produktions-Apps in Tagen statt Monaten ausliefern. Dabei liefern sie auch immer wieder dieselbe Handvoll gefährlicher Fehler – im gleichen Tempo. Wir finden sie, bevor ein Angreifer es tut – mit erfahrenen Security-Ingenieuren, nicht mit einem weiteren Scanner.
45%
der von KI generierten Code-Beispiele enthielten eine OWASP-Top-10-Schwachstelle — Veracode
72%
Fehlerquote speziell bei Java, der schlechtesten getesteten Sprache — Veracode
+172%
Anstieg von Broken Access Control gegenüber dem Vorjahr – inzwischen die häufigste Fehlerklasse in öffentlichen Repositories — GitHub Octoverse 2025
50%+
der Unternehmen hatten bereits ein Sicherheitsproblem durch KI-generierten Code — Snyk
Vibe Coding hat das Feature ausgeliefert. Das Sicherheits-Review kam nicht mit.
„Vibe Coding" – einem KI-Pair-Programmer in einfachen Worten beschreiben, was man will, und das Ergebnis einfach live schalten – hat die Zeit zwischen Idee und Produktions-App drastisch verkürzt. Einen Sicherheits-Review-Schritt hat es dabei nicht hinzugefügt, denn bei den meisten Solo-Gründern und kleinen Teams gab es ohnehin nie einen formalen.
Diese Lücke zeigt sich in den Zahlen. Veracode fand heraus, dass 45 % der von KI generierten Code-Beispiele mindestens eine OWASP-Top-10-Schwachstelle enthielten – bei Java stieg dieser Wert auf 72 %. Eine von Fachleuten begutachtete Stanford-Studie, vorgestellt auf der ACM CCS'23, ging noch weiter: Entwickler, die KI-Coding-Assistenten nutzten, schrieben nachweislich weniger sicheren Code – und waren sich zugleich sicherer, dass er sicher sei – genau die Kombination, die einen Fehler unhinterfragt in Produktion gehen lässt.
Gleichzeitig verschiebt sich die Art des Risikos. Laut GitHubs Octoverse-2025-Report hat Broken Access Control Injection als häufigste Schwachstellenklasse in öffentlichen Repositories abgelöst, ein Anstieg von 172 % gegenüber dem Vorjahr – genau der Fehler, durch den ein Nutzer unbemerkt die Daten eines anderen lesen oder bearbeiten kann. Snyk beziffert die Folgen: Über die Hälfte der Unternehmen war bereits von einem Sicherheitsproblem betroffen, das auf KI-generierten Code zurückgeht – und ein Großteil dieses Codes geht nach wie vor ohne dediziertes Sicherheits-Review live.
Das heißt nicht, dass KI-Coding-Tools unsicher sind. Es heißt, dass der Code, den sie erzeugen, dieselbe genaue Prüfung braucht wie jedes Produktivsystem – durch jemanden, der bereits weiß, wo ein Coding-Assistent typischerweise danebenliegt.
Fünf Stellen, an denen Vibe-Code-Apps immer wieder brechen
Wir haben genug KI-generierte Codebasen geprüft, um zu wissen, wo die Leichen im Keller liegen. Jedes Audit deckt diese fünf Kategorien im Detail ab – plus alles, was für Ihren Stack spezifisch ist.
Fehlende Row-Level-Security
Supabase und Firebase machen es leicht, eine Datenbank direkt aus dem Browser abzufragen – und genauso leicht, die Policy zu vergessen, die verhindert, dass Nutzer A die Daten von Nutzer B lesen kann. Wir prüfen jede Tabelle gegen jede Rolle, nicht nur die, die in Ihren Prompts zufällig erwähnt wurden.
Hartcodierte API-Keys & Secrets
Service-Role-Keys und Tokens von Drittanbietern, direkt in Client-Code eingefügt oder in ein öffentliches Repo committed. Ein KI-Assistent baut eine funktionierende Integration mit dem Key, der am leichtesten erreichbar ist – auch mit dem, der Ihren Server niemals verlassen sollte.
Fehlerhafte Zugriffskontrolle
Inzwischen die häufigste Schwachstellenklasse in öffentlichem Code (GitHub, 2025): Es wird geprüft, ob ein Nutzer eingeloggt ist, aber nicht, ob er diesen Datensatz überhaupt anfassen darf – sodass jeder authentifizierte Nutzer Daten bearbeiten oder einsehen kann, die ihm nicht gehören.
Injection-Risiken
Ungefilterte Eingaben, die in eine Datenbankabfrage, einen Shell-Befehl oder ein Template gelangen – der älteste Fehler überhaupt, der von zeilenweise generiertem Code ohne durchgängiges Muster in der Codebasis immer wieder reproduziert wird.
Unkontrolliertes Kostenrisiko
Eine Query ohne Pagination, ein fehlendes Rate-Limit oder eine Schleife, die eine kostenpflichtige API pro Zeile statt pro Batch aufruft. Kein Sicherheitsvorfall – aber die Art von Fehler, die aus einem ganz normalen Dienstag eine vierstellige Rechnung macht.
Plus Ihr Stack
Auth-Flows, Webhook-Prüfungen und File-Upload-Handling – zugeschnitten auf Ihr Framework, sobald wir die Codebasis gesehen haben.
Warum ein Mensch – und nicht noch eine KI
Es fehlt nicht an automatisierten Tools, die ein Repository scannen und typische KI-Coding-Fehler markieren. Als erste Durchsicht sind sie durchaus sinnvoll – wenn Sie bereits eines nutzen, behalten Sie es. Aber ein Scanner erkennt Muster. Er versteht Ihr Produkt nicht.
Er merkt nicht, dass Ihre Row-Level-Security-Policy syntaktisch einwandfrei, aber logisch falsch für die Art ist, wie Ihre App Rollen vergibt. Er verfolgt keinen mehrstufigen Authorization-Bypass, der erst durch das Zusammenspiel zweier Features entsteht, und er meldet nicht, dass der „temporäre" Admin-Endpunkt von vor drei Commits in Produktion immer noch erreichbar ist.
Das zu finden, braucht jemanden, der eine ganze Karriere damit verbracht hat, genau solche Lücken aufzuspüren – der Code so liest, wie es ein Angreifer tun würde, nicht wie ein Linter.
Unser Team bringt drei Jahrzehnte Erfahrung im Security Engineering in diese Arbeit ein – jetzt angewendet auf die Muster, die in KI-gestütztem Code auftreten. KI erzeugt dieses Risiko in einem Tempo, das kein menschliches Team erreichen könnte. Es braucht trotzdem einen Menschen, um es zuerst zu finden.
Schnell mit einem KI-Coding-Tool gebaut? Genau dafür ist das hier.
Dieses Audit ist genau für die Art App gemacht, die 2026 zum Normalfall wird: etwas, das solo oder von einem winzigen Team gebaut wurde, größtenteils indem man Cursor, Claude Code, Replit, Lovable, Bolt, v0 oder einem ähnlichen Tool beschrieben hat, was man wollte – und das Ergebnis einfach live geschaltet hat.
Es ist vor allem für nicht-technische Gründer gemacht – Menschen, die heute ein funktionierendes Produkt bauen können, ohne den Großteil des Codes selbst zu schreiben, aber keine echte Möglichkeit haben zu beurteilen, ob dieser Code sicher ist. Wenn Sie die Frage „Hat jede Tabelle Row-Level-Security?" nicht beantworten können, schließt genau dieses Audit diese Lücke.
Genauso nützlich ist es für technische Teams, die bewusst schnell vorgegangen sind und vor einem Launch, einer Finanzierungsrunde oder einem Compliance-Gespräch einen zweiten, kritischen Blick von außen wollen.
So läuft das Audit ab
Wir veröffentlichen keine Preisliste, denn eine App mit fünf Seiten und ein SaaS-Produkt mit fünfzig Tabellen brauchen unterschiedlich viel Engineering-Zeit für eine gründliche Prüfung. Was wir dagegen offenlegen, ist genau, wie das Engagement abläuft.
Audit
Wir erhalten Lesezugriff auf Ihre Codebasis und, wo relevant, Ihr Supabase- oder Firebase-Projekt, und gehen es so durch, wie es ein Angreifer tun würde: Authentifizierung, Autorisierung, Datenregeln, Secrets und Kostenrisiken.
Priorisierter Findings-Report
Ein klar verständlicher Bericht, der jedes Problem nach realem Schweregrad und Ausnutzbarkeit einordnet – keine vierzig Seiten mit allem, was ein Scanner theoretisch melden könnte. Jeder Befund erklärt, was falsch ist und was genau geändert werden muss.
Fix-Support
Die meisten Gründer wollen die Lücken geschlossen sehen, nicht nur beschrieben. Wir können die Fixes direkt umsetzen oder mit Ihrem Entwickler oder KI-Tool der Wahl zusammenarbeiten, bis jeder Punkt gelöst ist – und verifizieren anschließend erneut, bevor wir ihn als geschlossen bestätigen.
Wir grenzen jedes Engagement zunächst in einem kurzen Gespräch ab, damit Sie einen verbindlichen Zeitrahmen haben, bevor irgendetwas beginnt – typischerweise vergehen vom Kickoff bis zum Findings-Report Tage, keine Wochen.
Häufig gestellte Fragen
Was genau ist ein Vibe-Code-Sicherheitsaudit?
Es handelt sich um ein von Menschen durchgeführtes Sicherheits-Review, das speziell für Apps entwickelt wurde, die größtenteils von einem KI-Coding-Assistenten wie Cursor, Claude Code, Replit, Lovable, Bolt oder v0 erstellt wurden. Wir prüfen auf die Fehler, die diese Tools immer wieder machen: fehlende Row-Level-Security in Supabase oder Firebase, hartcodierte Secrets, fehlerhafte Zugriffskontrolle, Injection-Risiken und unkontrollierte Kostenrisiken – und übergeben Ihnen anschließend einen priorisierten, klar verständlichen Bericht.
Muss ich Ihnen meine KI-Prompts oder meinen Chat-Verlauf geben?
Nein. Wir prüfen den Code, der existiert, nicht die Prompts, die ihn erzeugt haben. Lesezugriff auf Ihr Repository und, wo relevant, Ihr Datenbankprojekt reicht uns zum Start.
Was unterscheidet das von einem automatisierten KI-Code-Scanner?
Ein Scanner vergleicht Code mit bekannten fehlerhaften Mustern. Er versteht nicht, was Ihre App eigentlich tun soll, und übersieht deshalb Autorisierungsfehler auf Logikebene, Row-Level-Security-Policies, die syntaktisch korrekt, aber für Ihre tatsächlichen Rollen falsch sind, sowie mehrstufige Exploits, die erst durch das Zusammenspiel zweier Features entstehen. Genau diese Ebene decken unsere Ingenieure ab.
Ich bin nicht technisch. Werde ich den Bericht verstehen?
Ja. Dieser Service wurde ebenso für nicht-technische Gründer wie für Engineering-Teams entwickelt. Jeder Befund ist klar verständlich formuliert und beschreibt, was falsch ist, was ein Angreifer damit anstellen könnte und was sich ändern muss – mit Fix-Support, falls Sie lieber möchten, dass wir oder Ihr Entwickler die Lücken direkt schließen.
Wie lange dauert ein Audit?
Das hängt von Größe und Komplexität der Codebasis ab, die wir in einem kurzen Gespräch abklären, bevor wir einen Zeitrahmen nennen. Die meisten Engagements kommen vom Kickoff bis zum fertigen Findings-Report in wenigen Tagen aus, nicht Wochen.
Planen Sie ein Sicherheitsaudit neben anderen Projekten? Entdecken Sie unsere SEO-Services und technischen SEO-Audits, stöbern Sie in unseren Fallstudien, oder lesen Sie mehr über das Team hinter beidem.
Finden Sie heraus, was wirklich in Ihrer Codebasis steckt.
Ein Audit, ein priorisierter Bericht, kein Rätselraten.