Reparieren Sie Ihre Vibe-Coded-App, bevor echte Nutzer sie erreichen

Welche Phasen hat die Reparatur einer Vibe-Coded-App?

Können Sie Ihre App selbst prüfen? Ein Selbstcheck in zehn Punkten

Für die meisten Punkte müssen Sie keinen Code lesen. Lautet eine Antwort „nein“ oder „weiß ich nicht“, braucht die App vor dem Launch ein Review.

• Öffnen Sie den Seitenquelltext und suchen Sie nach „key“ oder „secret“: Es dürfen keine privaten API-Schlüssel auftauchen
• Jede Supabase-Tabelle hat Row Level Security aktiviert, mit Richtlinien, die dazu passen, wer was sehen darf
• Die Firebase-Sicherheitsregeln sind nicht im Testmodus und erlauben kein offenes Lesen oder Schreiben
• Ein abgemeldeter Besucher kann keine Admin-Seiten öffnen oder Admin-Aktionen aufrufen, indem er die URL errät
• Ein Nutzer kann die Daten eines anderen nicht sehen, indem er eine ID in der Adresszeile ändert
• Preise und Tarife kommen vom Server oder vom Zahlungsanbieter, nie aus dem Browser
• Zahlungs-Webhooks werden mit dem Signatur-Secret des Anbieters verifiziert
• Geheime Schlüssel liegen in Umgebungsvariablen, nicht in Dateien, die in Git committet sind
• Jemand wird benachrichtigt, wenn die App Fehler wirft, etwa über ein Tool wie Sentry
• Die Datenbank wird gesichert, und Sie haben eine Wiederherstellung ausprobiert

Warum braucht KI-generierter Code ein Review?

KI-Modelle schreiben Code, der den Prompt beantwortet. Deutlich weniger verlässlich sind sie bei Dingen, nach denen niemand gefragt hat: Welcher Nutzer darf das tun, was passiert bei unerwarteten Eingaben, was, wenn zwei Anfragen gleichzeitig eintreffen. Veracode testete 2025 mehr als 100 Modelle mit 80 Programmieraufgaben und stellte fest, dass 45 % der Ergebnisse eine bekannte Klasse von Sicherheitslücken enthielten, ohne klare Verbesserung bei größeren oder neueren Modellen.

Die Folgen sind real. 2025 untersuchte ein Forscher 1.645 Apps aus dem öffentlichen Showcase eines KI-App-Builders und fand 170, deren Datenbanktabellen sich allein mit dem öffentlichen Schlüssel lesen ließen, der an jeden Browser ausgeliefert wird, weil Row Level Security nicht aktiviert war. Das Problem wurde als CVE-2025-48757 erfasst. Die Plattform bestritt die Verantwortung mit dem Hinweis, dass jeder App-Betreiber seine eigenen Datenregeln kontrolliert, und genau darum geht es: Der Betreiber muss prüfen.

Welche Probleme treten in welchen KI-Tools auf?

Das Tool ist weniger wichtig als der Stack, den es erzeugt. Nach diesen Mustern suchen wir zuerst.

Wann sollten Sie aufhören zu prompten und einen Entwickler holen?

Eine nützliche Regel: Hat derselbe Fehler drei Versuche überlebt, ist die Ursache wahrscheinlich strukturell. Jeder neue Prompt setzt eher einen Workaround drauf, statt die Wurzel zu beheben, und die Codebasis wird mit jeder Runde schwerer zu ändern. Das ist der Moment, in dem jemand den Code lesen sollte, statt ihn zu beschreiben.

Holen Sie vor dem Launch einen Entwickler dazu, wenn die App personenbezogene Daten speichert, Zahlungen annimmt oder ein Unternehmen damit seinen Betrieb führt. In diesen Fällen kostet eine übersehene Sicherheitslücke weit mehr als ein Review.

Häufige Fehler beim Reparieren von KI-gebautem Code

• Die KI fragen, ob der Code sicher ist

  Ein Modell, das seine eigene Ausgabe prüft, stimmt sich meist selbst zu. Setzen Sie einen Menschen oder einen spezialisierten Scanner ein, idealerweise beides.

• Symptome in der Oberfläche beheben

  Einen Button zu verstecken stoppt die Anfrage dahinter nicht. Berechtigungen gehören auf den Server und in die Datenbank.

• Schlüssel löschen, ohne sie zu rotieren

  Ein aus dem Code entfernter Schlüssel ist weiterhin gültig und steht weiterhin in der Git-Historie. Ersetzen Sie ihn beim Anbieter.

• Von der KI vorgeschlagene Pakete blind installieren

  Modelle schlagen manchmal Pakete vor, die es nicht gibt oder die veraltet sind. Prüfen Sie jedes, bevor Sie es installieren.

Unsere Sicht