Was Vibe Coding ist
Der Begriff wurde 2025 populär und beschreibt eine Art zu programmieren, bei der man einem Modell sagt, was man will, das Ergebnis ausprobiert und es übernimmt, ohne den ganzen Code zu lesen. Der Reiz ist die Geschwindigkeit: an einem Nachmittag läuft etwas Vorzeigbares.
Das ist an sich kein Problem. Es wird eins, wenn dieser Code von der Demo in die Produktion wandert, ohne dass jemand mit Erfahrung geprüft hat, welche Daten er berührt, was er offen lässt und was passiert, wenn tausend Leute kommen statt drei.
Ist Vibe Coding gut oder schlecht?
Weder noch: es ist ein Werkzeug, und es kommt auf den Zweck an. Für einen Prototyp, einen Proof of Concept oder ein internes Tool gibt es kaum etwas Schnelleres. Für etwas, das Kundendaten speichert, Zahlungen abwickelt oder echten Traffic bekommt, wird diese Geschwindigkeit zum Risiko, wenn niemand prüft, was geschrieben wurde.
Die Vorteile sind echt: eine Idee ist in Stunden getestet, wer nicht programmiert, kann zeigen, was er will, und das Entwicklerteam startet mit etwas, das schon läuft. Die Risiken auch: Code, den niemand ganz versteht, standardmäßig offene Berechtigungen, zufällig gewählte Abhängigkeiten und Fehler, die schweigen. Den Unterschied macht, was zwischen Demo und Produktion passiert.
Wo von KI geschriebener Code scheitert
Die KI schreibt Code, der auf dem glücklichen Pfad läuft, und genau den probiert die Demo. Was fehlt, ist meist das Unsichtbare: die Prüfung des falsch ankommenden Werts, die Berechtigung, die niemand kontrolliert hat, die Abfrage, die bremst, wenn die Tabelle wächst, und das Geheimnis, das im Repository blieb.
Das ist gemessen. 45% des von KI erzeugten Codes hatte im Labor bekannte Schwachstellen, wenn keine Sicherheitsvorgaben mitgegeben wurden.
Vibe-Coding-Tools und was sich zwischen ihnen ändert
Es gibt zwei Familien. Editoren und Assistenten, die im Code arbeiten, etwa Cursor, GitHub Copilot oder Claude Code, und Plattformen, die aus einer Beschreibung eine ganze App erzeugen, etwa Lovable, Bolt, Replit oder Google AI Studio. Die ersten lassen den Code für ein Entwicklerteam sichtbar; die zweiten verbergen mehr davon und veröffentlichen ihn oft selbst.
Für das Review ändert das Tool, wo man zuerst hinschaut, nicht was geprüft werden muss. Bei Plattformen, die selbst veröffentlichen, kommen zuerst Schlüssel und Datenbankrechte; bei Editoren die Abhängigkeiten und Routen, die hinzukamen, ohne dass jemand sie verlangt hat.
Was vor dem Go-live zu prüfen ist
Sechs Dinge, in dieser Reihenfolge: Secrets und Zugangsdaten außerhalb des Codes; Routen und Berechtigungen, damit niemand sieht, was ihm nicht gehört; personenbezogene Daten, in Antworten und in Logs; Leistung mit dem echten Volumen, nicht mit drei Testzeilen; Abhängigkeiten und Versionen; und was passiert, wenn etwas scheitert, denn dort zeigt sich, ob das System Bescheid sagt oder schweigt.
Keines der sechs lässt sich durch Überfliegen des Codes klären: man misst sie. Deshalb hilft ein Review und ein schneller Blick nicht.
Wie wir es prüfen
Mit KI-Werkzeugen, die sich Ihrem Projekt anpassen und zuerst dorthin schauen, wo KI erfahrungsgemäß scheitert, und mit einem erfahrenen Menschen, der jeden Befund prüft. Wir lassen kein Werkzeug allein arbeiten: was wir übergeben, trägt Belege zu jedem Punkt, mit der Messung daneben.
Ist das Projekt eine Website, ist es das Website-Review; ist es eine App, das Review mobiler Apps; ist es die Serverseite, das Review von Backend und API.