Vibe Coding im Unternehmen: was Fachabteilungen damit bauen können und wo es gefährlich wird

Vibe Coding heißt: Du beschreibst einer KI in Alltagssprache, was eine Software tun soll, und übernimmst ihren Code, ohne ihn zu lesen. Andrej Karpathy, der den Begriff im Februar 2025 geprägt hat, hielt das für Wegwerfprojekte am Wochenende für brauchbar; heute bauen damit auch Leute ohne Programmierkenntnisse Rechner, Formulare und kleine Datenbank-Apps. Wir haben am 20. Oktober 2026 die Preis- und Vertragsseiten von acht Werkzeugen gelesen, dazu Studien, Sicherheitsvorfälle und die Hinweise von BSI und britischem NCSC, und daraus eine Ampel gebaut: was deine Fachabteilung allein bauen darf und ab wann ein Entwickler prüfen muss.

Zwischen Werkbank und Holzstapeln: Ein Mann arbeitet in einer Holzwerkstatt am Laptop. Foto: Ivan S auf Pexels

Was Vibe Coding ist und warum es so heißt

Andrej Karpathy, Gründungsmitglied von OpenAI und von 2017 bis 2022 KI-Direktor bei Tesla, schrieb am 2. Februar 2025 auf X über „a new kind of coding I call ‚vibe coding‘, where you fully give in to the vibes, embrace exponentials, and forget that the code even exists“. Sinngemäß: eine neue Art zu programmieren, bei der man sich ganz der Stimmung hingibt und vergisst, dass es den Code überhaupt gibt. Wie das aussieht, beschrieb er gleich mit: Er klicke immer auf „Accept All“, lese die Änderungen nicht mehr und kopiere Fehlermeldungen kommentarlos in den Chat, „usually that fixes it“. Und dann der Satz, den viele Zusammenfassungen weglassen: „It’s not too bad for throwaway weekend projects“.

Das britische Wörterbuch Collins hat „vibe coding“ am 6. November 2025 zum Wort des Jahres 2025 gekürt und definiert es als Einsatz künstlicher Intelligenz, die per natürlicher Sprache angewiesen wird, Computercode zu schreiben. Ein eingeführtes deutsches Wort gibt es nicht; „Programmieren nach Gefühl“ trifft es am ehesten.

Die Grenze, die für Unternehmen bis heute taugt, hat der Entwickler Simon Willison im März 2025 gezogen. Hat ein Sprachmodell den Code geschrieben und du hast ihn geprüft, gründlich getestet und kannst jemand anderem erklären, wie er funktioniert, dann ist das für ihn „not vibe coding, it’s software development“. Vibe Coding im engen Sinn beginnt dort, wo niemand mehr in den Code schaut. Willison empfiehlt es deshalb für Projekte, bei denen wenig auf dem Spiel steht, und rät, vorher zu fragen, welchen Schaden Fehler oder Sicherheitslücken anrichten könnten.

Karpathy hat selbst nachgelegt. Am 4. Februar 2026 schlug er „agentic engineering“ als Namen für die professionelle Arbeit mit KI-Agenten vor: In 99 Prozent der Fälle schreibe man den Code nicht mehr direkt selbst, man steuere die Agenten und beaufsichtige sie. Nach einem Gespräch mit Stephanie Zhan auf der Konferenz AI Ascent 2026 des Wagniskapitalgebers Sequoia hat er ein bearbeitetes Transkript auf seinem Blog veröffentlicht. Vibe Coding öffne das Bauen von Software für alle: „Everyone can vibe code anything, and that is amazing“, sagt er dort. Den Unterschied zur professionellen Arbeit beschreibt er so:

„Agentic engineering is about preserving the quality bar of professional software. You are not allowed to introduce vulnerabilities because of vibe coding. You are still responsible for your software, just as before.“

— Andrej Karpathy im Gespräch bei Sequoia AI Ascent 2026, bearbeitetes Transkript auf seinem Blog

Zwei Sorten Werkzeuge: Baukasten im Browser oder Coding-Agent

Unter dem Schlagwort laufen zwei Arten von Werkzeugen, und für dein Unternehmen unterscheiden sie sich stärker als im Preis.

App-Baukästen im Browser wie Lovable, Bolt.new und Replit bringen alles mit, was eine App zum Laufen braucht. Du beschreibst im Chat, was du willst, und bekommst eine Anwendung unter einer Webadresse, samt Datenbank. Lovable baut dafür auf Supabase auf, einer Plattform mit Datenbank, Anmeldung, Dateispeicher und Serverfunktionen; Bolt hostet die Projekte unter bolt.host und bringt eine eigene Datenbank mit.

Coding-Agenten wie Claude Code, Cursor, OpenAI Codex, GitHub Copilot oder Mistral Vibe arbeiten in einem Code-Ordner auf deinem Rechner oder in einem Repository. Hosting und Datenbank für die fertige Anwendung liefern diese Werkzeuge nicht mit; wo sie läuft, muss jemand entscheiden, im besten Fall eure IT. Den Vergleich der beiden großen Agenten findest du unter Codex vs. Claude Code.

Preise in US-Dollar pro Monat, bei Jahreszahlung auf den Monat umgerechnet, laut den Preisseiten der Anbieter am 20. Oktober 2026. Anthropic, Cursor, Bolt, Replit und Mistral nennen sie ohne Steuern, bei Lovable, OpenAI und GitHub steht nicht dabei, ob Steuern enthalten sind. Was Claude Code bei welcher Nutzung kostet, rechnen wir im Beitrag Claude Code Preis durch, alle Claude-Werkzeuge im Überblick stehen auf unserer Claude-Seite.

Was die Fachabteilung selbst bauen darf: eine Ampel

Das britische National Cyber Security Centre (NCSC) beschreibt Vibe Coding in einem Blogbeitrag vom Juni 2026 als Spektrum zwischen viel Freiheit für die KI und Handarbeit. Ein Proof of Concept, mit dem du Beteiligten eine Idee vorführst, habe ein geringes Risikoprofil; zu einem internen Werkzeug für das eigene Team mit begrenztem Risiko heißt es: „Maybe that’s manageable.“ Bei der Anmeldelogik einer öffentlichen Website, bei Code, der sensible Kundendaten verarbeitet, und bei allem, was mit geheimen Schlüsseln oder Zugangsdaten umgeht, sei das „a different story“. Aus dieser Einordnung haben wir eine Ampel für Betriebe ohne eigene Entwicklungsabteilung gemacht.

Wie schnell ein Projekt die Farbe wechselt, zeigt ein ausgedachter, aber typischer Fall. Eine Vertriebsleiterin baut mit einem Baukasten einen Angebotsrechner mit den Listenpreisen: grün. Speichert der Rechner ab der nächsten Woche Namen und Telefonnummern von Interessenten, ist er gelb, und zwar ab dem ersten Datensatz. Bekommen Kunden einen Link, über den sie selbst bestellen, ist er rot. Der Code ändert sich dabei kaum, wohl aber die Pflichten aus der DSGVO und die Folgen eines Fehlers.

Manche Idee braucht gar keine eigene App. Wer einen Ablauf automatisieren will, etwa eingehende Rechnungen aus dem Postfach in die Buchhaltung, ist mit einem KI-Agenten oder einem Workflow-Werkzeug besser bedient; wie das geht, steht in unserem Beitrag KI-Agent erstellen. Was Claude Code Büro-Teams ohne Programmierkenntnisse abnimmt, haben wir unter Claude Code für Nicht-Programmierer beschrieben.

Wo es gefährlich wird

Lücken im Code, die niemand sieht

Veracode, ein Anbieter von Prüfwerkzeugen für Anwendungssicherheit, lässt seit 2025 mehr als 100 Sprachmodelle Programmieraufgaben lösen und prüft das Ergebnis auf bekannte Schwachstellen. Im ersten Bericht vom Juli 2025 enthielt der Code bei 80 Aufgaben in 45 Prozent der Fälle eine Sicherheitslücke aus den OWASP Top 10, der Liste der kritischsten Risiken für Webanwendungen. Im Bericht vom 28. Juli 2026 liegt die durchschnittliche Bestehensquote über alle Messrunden seit Programmstart bei 56 Prozent, laut Veracode „virtually unchanged since last year’s report“. Das beste Modell, GPT-5.5, kam auf 68 Prozent; auf Programmieren spezialisierte Modelle schnitten mit 51 Prozent nicht besser ab als Allzweckmodelle mit 52. Gegen Cross-Site-Scripting, also eingeschleuste Skripte auf Webseiten, sicherten die Modelle im Frühjahrs-Update 2026 nur in 15 Prozent der Aufgaben ab. Getestet hat Veracode rohe Modelle ohne Sicherheitsvorgaben; ob ein Agent mit eigenen Prüfschritten besser abschneidet, misst die Studie nicht.

Wie das in echten Apps aussieht, zeigen zwei Untersuchungen. Escape, ebenfalls ein Anbieter von Sicherheitsscannern, fand 2025 in über 5.600 öffentlich erreichbaren Apps aus Baukästen wie Lovable, Base44 und Create.xyz mehr als 2.000 Schwachstellen, über 400 offen liegende Geheimnisse wie API-Schlüssel und 175 Fälle offener personenbezogener Daten, darunter Krankenakten und IBANs. Ein Forschungsteam hat 2026 in einem noch nicht begutachteten Preprint 200 öffentlich betriebene, vibe-codierte Apps geprüft, gebaut mit Claude Code und Lovable: 91 Prozent hatten mindestens eine Schwachstelle, knapp zwei Drittel der 1.186 Funde waren kritisch oder hoch, vor allem fehlerhafte Zugriffskontrollen, Injection und Fehler bei der Anmeldung.

Offene Datenbanken und Schlüssel im Browser

Bei Baukasten-Apps hat sich ein Fehler mehrfach wiederholt: Die Datenbank ist von außen lesbar. Im März 2025 untersuchte eine Gruppe um den Entwickler Matt Palmer 1.645 mit Lovable gebaute Projekte. Bei 170 davon, rund 10 Prozent, fehlten an 303 Schnittstellen ausreichende Zugriffsregeln in der Datenbank (Row Level Security); offen lagen unter anderem Nutzerdaten, API-Schlüssel für Drittdienste und Finanzdaten. Die Lücke ist als CVE-2025-48757 registriert: Angreifer ohne Anmeldung konnten beliebige Tabellen der erzeugten Seiten lesen und beschreiben. Lovable bestreitet die Einstufung mit einer Begründung, die du dir merken solltest: Jeder Kunde der Plattform übernehme die Verantwortung für den Schutz der Daten seiner Anwendung.

Anfang 2026 fand die Sicherheitsfirma Wiz bei der Plattform Moltbook einen Datenbankschlüssel im Code, den jeder Browser lädt. Weil die Zugriffsregeln fehlten, lagen 1,5 Millionen API-Tokens, 35.000 E-Mail-Adressen und private Nachrichten offen. Der Gründer hatte über sein Projekt geschrieben: „I didn’t write a single line of code for @moltbook.“

Die Plattformen haben nachgerüstet. Lovable prüft bei jeder Veröffentlichung automatisch, bei Projekten mit Datenbank unter anderem, ob Tabellen ohne Zugriffsregeln dastehen, Bolt bietet in bezahlten Tarifen eine Sicherheitsprüfung für das ganze Projekt an. Lovable schreibt selbst dazu, diese Werkzeuge „do not replace a thorough security review“.

Rechtlich ist eine offene Datenbank mit Kundendaten mehr als ein Schönheitsfehler. Artikel 25 Absatz 2 DSGVO verlangt, dass personenbezogene Daten „durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden“. Verantwortlich ist dein Unternehmen, auch wenn eine Mitarbeiterin die App an einem Nachmittag zusammengeklickt hat.

Agenten mit zu vielen Rechten

Im Juli 2025 löschte der Agent von Replit beim US-Unternehmen SaaStr die Produktionsdatenbank, während ein Code Freeze galt. Gründer Jason Lemkin schrieb, nach mehr als 100 Stunden Vibe Coding habe „the AI Agent deleted our entire production database“. Replit-Chef Amjad Masad nannte das „Unacceptable and should never be possible“ und kündigte eine automatische Trennung von Entwicklungs- und Produktionsdatenbank an.

Ein zweites Risiko kommt über Programmbibliotheken. Forscher haben für die Konferenz USENIX Security 2025 mit 16 Sprachmodellen 576.000 Code-Beispiele erzeugt: Im Schnitt waren mindestens 5,2 Prozent der empfohlenen Pakete bei kommerziellen Modellen erfunden und 21,7 Prozent bei offenen Modellen, zusammen 205.474 verschiedene erfundene Paketnamen. In einer Stichprobe von 500 Anfragen, die das Team je zehnmal wiederholte, tauchten 43 Prozent der erfundenen Pakete bei allen zehn Durchläufen wieder auf. Angreifer können genau diese Namen mit Schadcode registrieren. BSI und die französische Cybersicherheitsbehörde ANSSI nennen in ihrem gemeinsamen Papier zu KI-Programmierassistenten diesen Angriffsweg neben indirekter Prompt-Injection und vergifteten Daten. Wie Prompt-Injection einen Agenten zu fremden Befehlen verleitet, zeigen wir am Beispiel des Browser-Agenten Claude in Chrome.

Die Coding-Agenten bringen Bremsen mit: Claude Code prüft im voreingestellten Auto-Modus Aktionen mit einem Klassifikator und kann Befehle in einer Sandbox mit abgeschottetem Dateisystem und Netz ausführen. Ein freigegebener Befehl kann laut Anthropic aber überall schreiben, wo dein Benutzerkonto schreiben darf. Ein Agent gehört deshalb auf ein Konto ohne Zugang zu Produktivsystemen.

Training, Vertrag und Speicherort

Für Firmendaten sind die Einzeltarife bei mehreren Anbietern die falsche Wahl. Anthropic trainiert mit Daten aus Free, Pro und Max, solange die Einstellung dazu aktiv ist, ausdrücklich auch mit Claude-Code-Sitzungen, und schließt in diesen Tarifen keinen Auftragsverarbeitungsvertrag (AVV); gespeichert werden die Daten laut Anthropic in den USA. Bei Lovable gilt im Free- und Pro-Tarif dasselbe Widerspruchsprinzip, den AVV gibt es erst ab Business; für Projektdaten lässt sich Europa als Region wählen. Bolt lässt seit dem 7. Oktober 2026 Inhalte von Einzelkonten ins Training fließen und darf sie als Datensätze an Dritte lizenzieren, auch gegen Geld; Konten aus EWR, Großbritannien und der Schweiz sowie Teams sind ausgenommen.

Verarbeitet eine Plattform personenbezogene Daten in deinem Auftrag, verlangt Artikel 28 DSGVO Anbieter, die „hinreichend Garantien“ für den Datenschutz bieten, und einen Vertrag mit ihnen. BSI und ANSSI raten der Geschäftsleitung zu kontrollierten Firmenkonten mit klaren Vertragsbedingungen statt privater Zugänge und zu klaren Vorgaben, welche Werkzeuge die Beschäftigten mit welchen Daten wofür nutzen dürfen. Mehr dazu in unserem Beitrag zu DSGVO-konformen KI-Werkzeugen und für Claude unter Claude DSGVO-konform einführen.

Wem der Code gehört

Die Verträge sind an dieser Stelle großzügig. Anthropic sichert Geschäftskunden zu, dass sie ihre Ergebnisse besitzen („owns its Outputs“), Cursor tritt seine Rechte an den erzeugten Vorschlägen ab, und Lovable überlässt dir den KI-Output „subject to any third-party rights“ an den zugrunde liegenden Modellen und Trainingsdaten. StackBlitz, der Anbieter von Bolt, weist darauf hin, dass KI-Output womöglich gar nicht urheberrechtlich geschützt ist.

Im deutschen Recht schützt Paragraf 69a Absatz 3 des Urheberrechtsgesetzes Computerprogramme nur, wenn sie „das Ergebnis der eigenen geistigen Schöpfung ihres Urhebers“ sind, und Urheber ist nach Paragraf 7 „der Schöpfer des Werkes“. Das Amtsgericht München hat im Februar 2026 zu KI-erzeugten Logos entschieden, es komme darauf an, „inwieweit trotz des softwaregesteuerten Prozessablaufs noch menschlicher schöpferischer Einfluss ausgeübt wird“. Code, den eine KI ohne prägenden menschlichen Beitrag geschrieben hat, dürfte danach kaum geschützt sein; ein Urteil speziell zu Software haben wir nicht gefunden. Das ist unsere Einschätzung, keine Rechtsberatung.

Den umgekehrten Fall, dass erzeugter Code fremde Rechte verletzt, regeln die Geschäftstarife. Anthropic verteidigt zahlende Geschäftskunden gegen Ansprüche Dritter, die Nutzung oder die Outputs verletzten geistiges Eigentum; ausgenommen sind unter anderem vom Kunden veränderte Outputs und Kombinationen mit fremder Technik, was bei Software eher die Regel ist. GitHub nimmt die Freistellung im Einzeltarif Copilot Pro ausdrücklich aus, sie gehört erst zum Business-Tarif.

Wer die App in zwei Jahren pflegt

Profis kennen den Ärger, der später auf Fachabteilungen zukommt. In der Entwicklerumfrage von Stack Overflow 2025 mit mehr als 49.000 Antworten nannten 66 Prozent als größten Frust KI-Lösungen, die „almost right, but not quite“ sind; 45 Prozent sagten, die Fehlersuche in KI-Code dauere länger. Dave Chismon, beim NCSC Technikchef für Architektur, schrieb im März 2026, wer wenig oder keine technische Erfahrung habe, bekomme damit Code, den er selbst nie hätte schreiben können, der aber oft unzuverlässig oder schwer zu warten sei oder kritische Mängel habe.

Auch der Zeitgewinn ist kleiner als gefühlt. In einer randomisierten Studie der Forschungsorganisation METR brauchten 16 erfahrene Open-Source-Entwickler im ersten Halbjahr 2025 mit KI-Werkzeugen 19 Prozent länger für echte Aufgaben aus ihren eigenen Projekten. Erwartet hatten sie 24 Prozent Beschleunigung, und selbst danach schätzten sie, die KI habe sie um 20 Prozent schneller gemacht.

Dazu verändern sich die Werkzeuge unter dir. Google nimmt bei Firebase Studio seit dem 22. Juni 2026 keine neuen Nutzer mehr an und schaltet den Dienst am 22. März 2027 ab. Windsurf heißt inzwischen Devin Desktop. Cursor gehört seit August 2026 zu SpaceX und hat seine Tarife umgebaut; die früheren Stufen Pro für 20 und Teams für 40 US-Dollar gelten nur noch für Bestandsverträge. Wer den Code nicht von Anfang an in Git oder als Export sichert, hängt an Anbieter und Tarif. Bei Lovable lässt sich der Code im Gratis-Tarif weder bearbeiten noch herunterladen, per Git-Sync aber sichern.

Spielregeln, bevor die erste App entsteht

Sieben Regeln reichen für den Anfang, und keine davon braucht eine eigene IT-Abteilung:

• Firmenkonten statt privater Zugänge. Wer baut, bekommt einen Platz im Team- oder Business-Tarif. Bei Anthropic und Lovable sind erst dort Training standardmäßig ausgeschlossen und ein AVV enthalten, bei anderen Anbietern fragst du vor dem Kauf nach. Und die Apps hängen am Firmenkonto, wenn jemand das Unternehmen verlässt.
• Die Ampel kommt in die KI-Richtlinie, zusammen mit einer Positivliste der freigegebenen Werkzeuge. Was in so ein Dokument gehört, steht in KI-Richtlinie im Unternehmen.
• Ein App-Register für alles, was länger als einen Monat läuft: Ersteller, Zweck, Daten, Nutzerkreis, Ort des Hostings und Vertretung. Eine Tabelle reicht.
• Testdaten im Prototyp. Echte Kunden- oder Beschäftigtendaten kommen erst nach der Prüfung hinein.
• Git oder Export vom ersten Tag an, damit der Code den Tarif, den Anbieter und die Person überlebt, die ihn gebaut hat.
• Kein Agent mit Zugang zur Produktionsdatenbank. Entwicklung und Betrieb laufen getrennt, mit Datensicherung.
• Zwei Prüfungen vor dem Start einer gelben App: der eingebaute Scan der Plattform und ein Entwickler, der sich Zugriffsregeln, Anmeldung und Schlüssel ansieht.

Der erste Schritt für dein Unternehmen

Such dir ein Projekt aus dem grünen Feld, das seit Monaten auf der Wunschliste steht, etwa einen Klickdummy für das neue Kundenportal, bevor du einen Dienstleister beauftragst. Gib zwei Leuten zwei Wochen Zeit, ein Firmenkonto und Testdaten. Am Ende entscheidet ihr gemeinsam: wegwerfen, intern weiter nutzen und ins Register eintragen oder an einen Entwickler übergeben. Wenn du den Pilot mit Claude und festen Leitplanken aufsetzen willst, unterstützt dich unsere Claude-Agentur; soll aus dem Prototyp eine Anwendung für den Dauerbetrieb werden, übernimmt das unser Web Development.

Arno Hoffrichter

Chief Technology Officer, Collective Brain GmbH · Hamburg

CTO bei Collective Brain. Verantwortlich für die technische Umsetzung von Web-Projekten und SEO-Architektur.

Beratung anfragen