Was Vibe Coding mit Haftung zu tun hat

Die Untersuchung von IT-Sicherheitsforscher Christopher Helm und der ZEIT enthält eine kurze Geschichte, die für mich die wichtigste im ganzen Text ist.

Eine Gründerin mit einem nachhaltigen Onlineshop erfährt durch eine fremde Recherche, dass Kundendaten von außen erreichbar waren. Nicht durch eigene Prüfung. Was beim Vibe Coding unsichtbar bleibt, zeigt die Analyse von 670 KI-generierten Websites.

Sie ist kein Einzelfall. Helm hat über 250 betroffene Unternehmen selbst informiert. Zwei haben reagiert.

Was in diesem Moment passiert

Wer als Gründerin oder Gründer Kundendaten verarbeitet und diese unbefugt zugänglich sind, meldet das nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden an die zuständige Datenschutzbehörde.

Die Frist beginnt, sobald man davon weiß.

Wer es von außen erfährt, hat die Uhr bereits laufen. Und die Fragen, die jetzt kommen, brauchen Antworten: Welche Daten waren betroffen? Wer hatte Zugriff? Wie lange? Was war die Ursache?

Bei KI-generiertem Code, den niemand wirklich geprüft hat, fehlen diese Antworten oft.

Was die KI dir nie mitliefert

Die KI liefert dir Code. Die Nachweise liefert sie nicht mit. Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Auftragsverarbeitungsvertrag mit dem Backend-Anbieter, Löschkonzept. Nichts davon ist ein Code-Artefakt. Nichts davon baut ein Agent ungefragt.

Das hängt auch nicht an der Modellqualität. Ein perfektes Modell legt dir kein Verarbeitungsverzeichnis hin, weil es nicht weiß, wessen Daten du warum verarbeitest und wie lange du sie behalten willst.

Warum das bei KI-generierten Projekten besonders gilt

Bei klassischer Entwicklung lässt sich nachvollziehen, was gebaut wurde. Es gibt Entscheidungen, Entwickler, die erklären können, warum etwas so konfiguriert wurde.

Bei KI-generiertem Code fehlt das oft. Die KI hat Entscheidungen getroffen, die niemand explizit gemacht hat. Die Konfiguration entstand durch Defaults, nicht durch Überlegung. Wer einen Schaden erklären muss, braucht Antworten. Wer ein KI-generiertes System in Produktion bringt, ohne es zu prüfen, hat keine.

Hinzu kommt: Vertrauen entsteht langsam. Ein Datenproblem zerstört es schnell. Gerade bei einem frühen Produkt, das auf genau dieses Vertrauen angewiesen ist.

Was sich ändern lässt

Eine Prüfung vor dem Launch beantwortet die Fragen, die im Ernstfall gestellt werden.

Welche Daten liegen wo? Wer kann darauf zugreifen? Sind Zugriffsbeschränkungen korrekt konfiguriert? Gibt es Schlüssel, die zu weit offen sind? Die häufigsten Befunde aus echten Audits: API-Keys im Frontend, parallele Auth-Systeme und fehlende Row Level Security.

Wer das einmal durchgegangen ist, kann antworten. Und erfährt nicht von einem Fremden, dass etwas schiefgelaufen ist.