Vibe Coding: Schatten-IT der neuen Generation
Vibe Coding hat die Einstiegshürde für selbstgebaute Software praktisch auf null gesenkt. Ein realer Sicherheits-Scan zeigt, wie viel Software mit echten Daten produktiv läuft, die niemand jemals überprüft hat. Was das für die eigene KI-Governance bedeutet.
Das Wichtigste in Kürze
- Vibe Coding — das Bauen von Apps allein durch Beschreiben statt Programmieren — hat Schatten-IT auf eine neue Stufe gehoben.
- Escape.tech scannte 5.600 öffentlich erreichbare, KI-generierte Apps: über 2.000 hochkritische Schwachstellen, 400 offenliegende API-Keys, 175 Fälle mit Klartext-Personendaten.
- Laut Veracode fällt 45 Prozent des KI-generierten Codes bei Sicherheitstests durch bekannte OWASP-Top-10-Schwachstellen durch.
- Bei einem der größten Anbieter haben vier von fünf Nutzern keinen technischen Hintergrund — und es entstehen dort rund eine Million neue Projekte pro Woche.
- Die Antwort ist kein Verbot, sondern Sichtbarkeit: Bestandsaufnahme plus minimaler Freigabe-Prozess vor dem produktiven Einsatz mit echten Daten.
Was ist Vibe Coding eigentlich?
Vibe Coding bezeichnet das Erstellen von Software allein durch natürlichsprachliche Beschreibung, ohne dass die bauende Person selbst Code schreibt oder liest. Ein No-Code-KI-Baukasten übersetzt die Beschreibung direkt in eine lauffähige Anwendung. Der Name stammt daher, dass man dem Ergebnis vertraut, weil es „sich richtig anfühlt“ — nicht, weil man es Zeile für Zeile geprüft hat.
Das ist keine Nischenerscheinung mehr. Bei Lovable, einem der größten Anbieter in diesem Bereich, haben laut eigenen Angaben vier von fünf Nutzern keinen technischen Hintergrund. Am schnellsten wächst dort aktuell die Gruppe der Gründer, Designer und Vertriebsmitarbeiter — also genau die Rollen, die bisher am stärksten auf IT-Abteilungen angewiesen waren.
Warum entsteht das gerade jetzt in diesem Tempo?
Der Grund ist nüchtern nachvollziehbar. Der Prototyp funktioniert, das eigentliche Problem ist gelöst, und ein Review kostet Zeit, die zwischen „es läuft“ und „es ist fertig“ niemand mehr einplanen will. Wer eine App in zwei Stunden bauen kann, hat selten die Geduld, danach Wochen auf einen Security-Review der IT zu warten.
Das erklärt auch das Tempo: Laut Lovables eigenem „Build Economy“-Bericht entstehen auf der Plattform inzwischen rund eine Million neue Projekte pro Woche. Das ist keine kleine Testgruppe mehr — das ist eine parallele Software-Produktion, die komplett außerhalb klassischer Entwicklungs- und Freigabeprozesse läuft.
Was ein echter Sicherheits-Scan tatsächlich gefunden hat
Escape.tech hat im Oktober 2025 einen Sicherheits-Scan von 5.600 öffentlich erreichbaren, mit KI-Baukästen erstellten Apps durchgeführt. Alle gescannten Apps waren zum Zeitpunkt des Scans live und produktiv im Einsatz, nicht nur Testinstanzen.
Die folgende Grafik fasst die Kennzahlen zusammen — Plattform-Daten des größten Anbieters oben, Scan-Befunde unten:
Diese Schwachstellen waren nach Einschätzung des Scans in Stunden für jeden auffindbar, der gezielt danach sucht. Kein aufwendiger Angriff nötig, nur ein automatisiertes Absuchen öffentlich erreichbarer Adressen.
Der Veracode GenAI Code Security Report 2025 liefert die passende Grundrate: 45 Prozent des von KI-Systemen generierten Codes fällt bei Sicherheitstests durch mindestens eine Schwachstelle aus den OWASP-Top-10 durch — der Standard-Referenzliste der häufigsten und gefährlichsten Web-Sicherheitslücken.
Ist das nur ein Rand-Phänomen für Bastler?
Nein, und das ist der Punkt, der in vielen Unternehmen noch nicht angekommen ist. Die Nutzergruppe sind nicht Hobbyisten in ihrer Freizeit. Es sind Fachbereiche im eigenen Unternehmen: Vertrieb, Marketing, HR, Einkauf. Menschen, die ein echtes Geschäftsproblem lösen wollen — und dafür ein reales, oft mit echten Kunden- oder Personaldaten arbeitendes Tool bauen, ohne dass IT oder Datenschutz davon je erfahren.
Das unterscheidet Vibe Coding von klassischer Schatten-IT wie einer privat abonnierten SaaS-Lösung. Hier wird nicht nur ein bestehendes Tool ohne Freigabe genutzt — es wird aktiv neue, produktive Software gebaut, mit denselben Sicherheitsanforderungen wie jede andere Unternehmensanwendung, aber ohne einen einzigen der üblichen Kontrollpunkte.
Was bedeutet das für die eigene KI-Governance?
Die Konsequenz ist nicht, Vibe Coding zu verbieten — das würde ohnehin nur dazu führen, dass es weiter unsichtbar passiert. Die Konsequenz ist, es sichtbar zu machen und mit einem minimalen, aber verbindlichen Freigabe-Rahmen zu versehen, bevor eine selbstgebaute App produktiv mit echten Daten läuft.
Drei Fragen, mit denen sich das im eigenen Unternehmen prüfen lässt:
- Wisst ihr, wie viele selbstgebauten KI-Apps aktuell in euren Fachbereichen tatsächlich laufen?
- Gibt es eine Stelle, die eine App prüft, bevor sie mit echten Kunden- oder Personaldaten arbeitet — unabhängig davon, wie sie gebaut wurde?
- Ist bekannt, wo diese Apps gehostet sind, und wer außerhalb des Unternehmens theoretisch Zugriff darauf hätte?
Genau für diese Lücke — Code-Sicherheit und Governance in einem gemeinsamen Blick — entwickeln wir bei never lost aktuell ein neues Angebot. Wer schon jetzt wissen will, wie viele selbstgebaute KI-Tools im eigenen Unternehmen laufen, kann mit einem Erstgespräch starten.
_Diese Einordnung ist unsere eigene Auslegung auf Basis der genannten Studien, keine Rechtsberatung für den Einzelfall._
Key Takeaways
- Vibe Coding hat die Einstiegshürde für selbstgebaute Software praktisch auf null gesenkt. Vier von fünf Nutzern bei führenden Anbietern haben keinen technischen Hintergrund.
- Ein realer Sicherheits-Scan von 5.600 solcher Apps fand über 2.000 hochkritische Schwachstellen, 400 offene API-Keys, 175 Fälle mit Klartext-Personendaten.
- 45 Prozent des KI-generierten Codes fällt bei Standard-Sicherheitstests durch bekannte OWASP-Top-10-Schwachstellen durch.
- Das eigentliche Risiko ist nicht die Technologie selbst, sondern dass sie komplett außerhalb bestehender Freigabe- und Prüfprozesse läuft.
- Der erste, wirksamste Schritt ist eine ehrliche Bestandsaufnahme — nicht ein Verbot.
Häufige Fragen
Weiterführende Beiträge
Wisst ihr, wie viele selbstgebauten KI-Apps bei euch laufen?
Drei Minuten, sieben Dimensionen, ein klares Bild — inklusive der Governance-Fragen zu selbstgebauter Software.
Jetzt eigenen KI-Reifegrad in 3 Minuten checkenDer KI-Reifegrad-Check bewertet in drei Minuten sieben Dimensionen Ihrer KI-Praxis — inklusive Governance und Schatten-KI. Anonym, DSGVO-konform, mit konkreten Handlungsfeldern.