Künstliche Intelligenz verändert viele Branchen. Für die Softwareentwicklung gilt diese Veränderung wie für keine zweite. Der Begriff „Vibe-Coding“ wurde erst im Februar 2025 geprägt. Doch schon wenige Monate später zeigte ein Bericht, dass 84 % der Entwickler KI-Tools für ihre Arbeit nutzten oder dies planten.

Auf dem Papier ist klar, warum sie das tun. Die KI übernimmt die lästigen Aspekte der Arbeit, sodass Entwickler sich auf kreative Aufgaben konzentrieren können. Dabei senken „Vibe-Coding“-Tools jedoch auch die Einstiegshürden für Anfänger, die Fehler und Irrtümer nicht erkennen können. Für manche zeitlich stark eingespannte Entwickler kann die Technologie zudem ein falsches Gefühl der Sicherheit vermitteln. Diese Versäumnisse werden von den Plattformen, auf denen die Software vertrieben wird, nicht unbedingt erkannt.

All dies bedeutet, dass die Nutzer ihre Apps nun sorgfältiger prüfen müssen, als es in der Vergangenheit notwendig war. Doch auf welche Risiken sollte man achten, und welche Fragen sollte man stellen?

Häufige Fehler beim „Vibe-Coding“

Vibe-Coding-Tools sind so konzipiert, dass sie Funktionalität sowie Optik und Handhabung gegenüber der Qualität priorisieren. Das kann dazu führen, dass sich einige besorgniserregende Versäumnisse einschleichen. Dazu können gehören:

  • Fest codierte Geheimnisse wie API-Schlüssel, die im Code der App verbleiben und von Hackern – manchmal sogar automatisch – extrahiert werden können. Im schlimmsten Fall gibt ihnen das Zugriff auf das Backend des Entwicklers und die dort gespeicherten Nutzerdaten – einschließlich Ihrer eigenen.
  • Fehlende Eingabevalidierung oder Zugriffskontrollen, wodurch eine App der Gefahr ausgesetzt sein könnte, böswillige Eingaben (Daten) zu akzeptieren oder böswilligen Nutzern den Zugriff auf oder die Änderung von Daten anderer Nutzer zu ermöglichen.
  • Standardmäßig öffentliche Einstellungen, die es Nutzern ermöglichen könnten, die Profile oder privaten Informationen anderer Nutzer einer App einzusehen.
  • Schwache oder fehlende Verschlüsselung, wodurch Daten, die aus einer App gestohlen oder auf dem Weg zur oder von der App abgefangen werden, leichter lesbar und ausnutzbar sind.
  • Keine Ratenbegrenzung, was bedeutet, dass Hacker „Brute-Force“-Angriffe durchführen könnten, bei denen sie mithilfe automatisierter Software unzählige Male versuchen, Ihr Passwort zu erraten.

Vibe-codierte Apps können zudem der „Prompt-Injection“ ausgesetzt sein. Dabei handelt es sich um eine Angriffsart, die auf KI-Tools abzielt, bei der Hacker bestimmte bösartige Anweisungen in ihren Eingabeaufforderungen oder in Webinhalten verstecken, die das Tool verarbeitet. Wenn die KI Zugriff auf Ihre privaten Daten und Konten hat (z. B. ein persönlicher Assistent wie OpenClaw), kann dies zu Problemen führen.

Eine warnende Geschichte

Leider sind diese potenziellen Fehler keine reine Theorie. App-Nutzer waren in der Vergangenheit bereits Sicherheits- und Datenschutzrisiken ausgesetzt, weil ihren Entwicklern Fehler bei der Programmierung unterlaufen sind.

Ein Beispiel dafür ist die Vibe-Programmierplattform Lovable. Ein Sicherheitsforscher entdeckte 16 Schwachstellen in einer einzigen auf der Plattform gehosteten App, von denen sechs Berichten zufolge als kritisch eingestuft wurden. Einige legten sensible Nutzerdaten offen. Die betreffende App hatte mehr als 100.000 Aufrufe verzeichnet. Lovable gab an, die Probleme inzwischen behoben zu haben.

Was kann bei mit „Vibe“ programmierten Apps schiefgehen?

Die obige Liste ist nicht vollständig. Wichtiger als die technischen Details ist jedoch, wozu Programmierfehler führen können, wenn man die falsche App herunterlädt. Die möglichen Folgen sind Datenverlust, finanzielle Risiken und die Infektion mit Schadsoftware. Eine schlecht programmierte App kann:

  • Ihre Passwörter oder Sitzungstoken auf unsichere Weise speichern und Sie damit dem Risiko einer Kompromittierung Ihres Kontos oder Geräts aussetzen
  • Ihre personenbezogenen Daten (z. B. E-Mail-Adresse, Wohnadresse und Ausweisdaten) unsachgemäß verarbeiten und Hackern Identitätsbetrug ermöglichen
  • anderen Nutzern ermöglichen, Ihre Daten einzusehen, was ein Betrugs- oder Datenschutzrisiko darstellt
  • Ihre KI-Eingabeaufforderungen und darin enthaltene sensible Daten offenlegen
  • Ihre Zahlungsdaten preisgeben, wodurch das Risiko besteht, dass jemand Ihr Konto leerräumt

Was sind die richtigen Sicherheitsfragen, die man sich zu „Vibe Coded“-Apps stellen sollte?

Die Herausforderung besteht darin, die Apps auf ihre möglichen Gefahren hin zu überprüfen. Einige Marktplätze sind bei den Prüfungen, denen sie die über ihre Plattformen vertriebene Software unterziehen, strenger als andere. Nur weil eine App gelistet ist, bedeutet das also nicht, dass sie sicher ist. Umgekehrt gilt aber auch: Nur weil eine App „Vibe Coded“ ist, bedeutet das nicht, dass sie gefährlich ist.

Vor diesem Hintergrund finden Sie hier einige Fragen, die Ihnen vielleicht weiterhelfen:

  1. Wer ist der Entwickler? Handelt es sich um ein seriöses Unternehmen? Wie lange gibt es das Unternehmen bereits und wie sehen die Bewertungen aus? Schauen Sie sich negative Bewertungen genauer an und prüfen Sie, was darin über Sicherheit oder Datenschutz gesagt wird. Wenn es sich um einen viralen Hit handelt, der über Nacht groß geworden ist, könnte das ein riskantes Unterfangen sein. Achten Sie auf einen seriös wirkenden Support-Kanal, der bei Problemen hilft.
  2. Was verlangt die App? Prüfen Sie , welche Berechtigungen und welchen Datenzugriff die App benötigt. Erscheinen diese für die Art der App angemessen? Ein Taschenrechner, der Zugriff auf Ihre Kamera verlangt, wäre zum Beispiel ein absolutes No-Go. Denken Sie daran: Je mehr sensible Daten die App abrufen kann, desto größer ist das potenzielle Risiko.
  3. Was steht in der Datenschutzerklärung? Falls es überhaupt eine gibt: Erklärt sie klar und deutlich, welche Daten erfasst werden, wo sie gespeichert werden, an wen sie weitergegeben werden und wie lange sie aufbewahrt werden? Und wie sieht es mit den Richtlinien zur Datenlöschung aus, falls Sie die App deinstallieren?
  4. Wie sieht das Sicherheitsmodell aus? Apps sind vertrauenswürdiger, wenn sie erläutern, wie sie Passwörter und sensible Daten schützen. Weitere wichtige Faktoren sind ein Meldemechanismus von Sicherheitslücken, regelmäßige Sicherheitsupdates. Allerdings: All dies sind nur die Grundlagen, die jede App vorweisen sollte, egal ob vibe-coded oder nicht.
  5. Wenn die App KI nutzt, auf welche Daten kann sie zugreifen? Dies ist wichtig, um die Gefahr von Prompt-Injection einschätzen zu können. Je mehr Berechtigungen die KI hat (etwa für den Zugriff auf sensible Daten, für den Versand von Nachrichten und die Tätigung von Käufen), desto größer sind die Risiken im Falle einer missbräuchlichen Nutzung.

Was tun, wenn ich bereits eine kompromittierte App genutzt habe?

Wenn es bereits zu spät ist, gibt es dennoch einige Maßnahmen, um die Bedrohung einzudämmen.

Bei einer schlecht programmierten App erfolgt die Datenpanne in der Regel auf den Servern des Entwicklers. Beginnen Sie daher mit Ihrem Konto und Ihren Zugangsdaten. Ändern Sie das Passwort der App, falls Sie sich noch anmelden können, und beantragen Sie anschließend die Löschung des Kontos – durch das Deinstallieren der App werden die darin gespeicherten Daten über Sie nicht gelöscht. Ändern Sie Ihre Zugangsdaten bei allen anderen Apps und Websites, bei denen Sie dasselbe Passwort verwenden, und aktivieren Sie die Multi-Faktor-Authentifizierung. Entziehen Sie allen verbundenen Konten die Zugriffsrechte, beispielsweise bei „Mit Google“ oder „Mit Apple anmelden“. Überwachen Sie außerdem Ihre Bankkonten und andere Online-Konten auf Identitätsmissbrauch, wie zum Beispiel unbekannte Bestellungen, die in Ihrem Namen getätigt wurden.

Wenn Sie vermuten, dass die App selbst schädlich ist, deinstallieren Sie sie. Führen Sie auf Android-Geräten einen Scan mit vertrauenswürdiger Sicherheitssoftware durch. Wenn Sie die App nicht entfernen können, sollten Sie ein Zurücksetzen auf die Werkseinstellungen in Betracht ziehen und Ihre Passwortänderungen von einem anderen Gerät aus vornehmen.

Häufig gestellte Fragen (FAQs)

Was bedeutet „vibe coded“?

Dass die App größtenteils dadurch erstellt wurde, dass sie einem KI-Tool in einfacher Sprache beschrieben wurde und der von diesem generierte Code übernommen wurde – oft mit wenig oder gar keiner Überprüfung. So kann fast jeder zum Entwickler werden.

Woran erkenne ich, ob eine App mit KI erstellt wurde?

Das lässt sich in der Regel nicht erkennen, und es gibt keine einfache Möglichkeit, dies herauszufinden. Es ist besser, andere Aspekte wie das Sicherheitsmodell, die Datenschutzrichtlinie und den Entwickler selbst zu prüfen.

Sind alle „Vibe-Coded“-Apps gefährlich?

Nein, das hängt vom Entwickler und der Plattform ab. Ein unerfahrener Programmierer läuft eher Gefahr, Anfängerfehler zu machen und die Daten seiner Nutzer zu gefährden.

Woran erkenne ich, ob eine App gefährlich ist oder nicht?

Informieren Sie sich darüber, wer der Entwickler ist, wie die Bewertungen ausfallen, welche Berechtigungen die App anfordert, was im Sicherheitsmodell und in der Datenschutzerklärung steht und auf welche KI-Funktionen die App zugreifen kann.

Was kann ich tun, wenn ich bereits eine kompromittierte App genutzt habe?

Ändern Sie das Passwort der App, beantragen Sie die Löschung des Kontos und deinstallieren Sie die App. Ändern Sie Ihr Passwort bei allen anderen Apps und Websites, bei denen Sie dieselben Anmeldedaten verwenden, und aktivieren Sie die Multi-Faktor-Authentifizierung. Entziehen Sie verbundenen Apps die Berechtigungen. Überwachen Sie Ihr Bankkonto und andere Konten auf Missbrauch. Wenn Sie den Verdacht haben, dass die App bösartig ist, scannen Sie Ihr Android-Gerät und erwägen Sie ein Zurücksetzen auf die Werkseinstellungen, falls dies nicht funktioniert.