Vibe Coding ist ein Mainstream-Problem geworden

Zwei Artikel haben mich diese Woche beschäftigt.

t3n berichtet über einen neuen Beruf: “Vibe Coding Cleanup Specialists”, also Menschen, die hauptberuflich KI-generierten Code reparieren. Hamid Siddiqi, einer der darin Porträtierten, behebt laut Artikel 15 bis 20 solcher Probleme pro Woche.

Und Apple hat die Updates mehrerer Vibe-Coding-Tools blockiert, Replit und Vibecode unter anderem. Nachtrag im Juli 2026: Das hat sich aufgelöst, Replit liefert seit Mai wieder aus, und Apple hat klargestellt, dass es keine Regel gegen mit KI gebaute Apps gibt. Es ging um nachgeladenen Code in den Tool-Apps selbst. Der Anlass ist erledigt, das Thema darunter nicht. Eine Recherche von IT-Sicherheitsforscher Christopher Helm gemeinsam mit der ZEIT hat 670 deutschsprachige KI-generierte Websites auf Sicherheitslücken untersucht. Bei fast jeder zweiten gab es offene Zugänge zu sensiblen Daten. Das ist der Stand mit den Tools von 2025.

Das ist kein Randphänomen mehr.

Was das bedeutet

Vibe Coding ist die Methode, mit der du heute in wenigen Tagen eine App bauen kannst, ohne selbst programmieren zu können. Cursor, Lovable, Bolt, Replit: die Tools werden besser, die Einstiegshürde sinkt, und immer mehr Gründer und Produktmenschen bauen ihre ersten echten Projekte damit.

Das ist gut. Wirklich.

Aber die KI baut, was du beschreibst, nicht automatisch, was dein Projekt braucht. Wer nicht fragt, ob der Zugangsschlüssel zu einem Dienst für jeden sichtbar in der App liegt, erfährt es womöglich nicht. Wer nicht prüft, merkt nicht, dass nach dreimal geänderter Anforderung drei Login-Systeme nebeneinander laufen. Und ob der Code beim Launch unter Last zusammenbricht, zeigt sich erst, wenn jemand es testet.

Der Agent kann diese Prüfungen liefern. Die Aufgabe dazu kommt von dir.

Das siehst du auch nicht, weil die App ja funktioniert. Zumindest so lange, bis sie es nicht mehr tut.

Warum das jetzt eskaliert

Die ersten Vibe-Coding-Projekte waren Prototypen. Niemand hat sie wirklich genutzt, niemand hat echte Daten reingesteckt, und wenn etwas kaputt war, hat es nichts gekostet.

Das ändert sich gerade. Die Projekte werden ernster. Echte Nutzer, echte Daten, echte Geschäftsmodelle. Und der Code darunter ist immer noch so gebaut wie ein Prototyp. Eine Studie zu KI-generiertem Code aus 2025 berichtet: 81 % der Tech-Führungskräfte hatten Produktionsprobleme.

Das ist der Moment, in dem der Schaden entsteht.

Apple hat deswegen kurzzeitig durchgegriffen. t3n schreibt darüber. Und wer in diesen Projekten arbeitet, ob als Gründer, Berater oder Investor, sieht es auch.

Was du tun kannst

Wenn du gerade mit KI baust oder eine App gebaut hast: Lass dich nicht von funktionierendem Code in Sicherheit wiegen. Funktionierend und sicher sind zwei verschiedene Dinge.

Typische Muster, die Sicherheitsforscher in KI-generierten Projekten gefunden haben:

• Zugangsschlüssel offen in der App: sichtbar für jeden, der die App herunterlädt
• Mehrere Login-Systeme nebeneinander: entstehen, wenn die KI bei jedem Richtungswechsel ein neues baut
• Keine Vorsorge für Fehler: die App funktioniert im Idealfall, bricht aber bei vielen Nutzern oder bei Fehlern ein
• Kein Datenschutzkonzept: DSGVO-Probleme, die beim Launch sichtbar werden

Die Recherche von Helm und der ZEIT zeigt für den damaligen Stand: Das waren keine Randausnahmen. Fast jede zweite der untersuchten Websites hatte konkrete Lücken. Wer nicht fragt und nicht prüft, bekommt sie weiter. Die häufigsten Sicherheitsprobleme in Vibe-Coding-Projekten und wie du sie erkennst, habe ich mit konkreten Fixes zusammengefasst.