Warum KI-generierter Code nicht produktionsreif ist - was die Zahlen wirklich sagen
Bolt.new, Lovable, v0, Cursor - KI-Coding-Tools sind beeindruckend. Die veröffentlichten Messungen zeigen aber ein klares Risiko: Generierter Code enthält häufig Sicherheitslücken. Hier sind die Zahlen, jede mit Quelle und mit dem, was sie nicht aussagt.
Sprachmodelle bauten in 45% der Testfälle Lücken aus den OWASP Top 10 ein. Getestet: 80 Aufgaben, mehr als 100 Modelle, Juli 2025.
VeracodeKI-gestützte Pull Requests hatten rund 1,7-mal mehr Befunde, Sicherheitsprobleme bis zu 2,74-mal. 470 Open-Source-PRs, Dezember 2025.
CodeRabbitSo viele neue CVE-Einträge ordnete das Vibe Security Radar der Georgia Tech KI-generiertem Code zu, nach 6 im Januar und 15 im Februar.
Infosecurity MagazineDer Befragten nutzen KI-Tools oder planen es, 50,6% der professionellen Entwickler täglich. Nur rund ein Drittel vertraut der Genauigkeit.
Stack Overflow Survey 2025Was die Zahlen aussagen und was nicht
Keine dieser Messungen hat Bolt.new oder Lovable als Produkt getestet. Veracode prüfte Sprachmodelle mit 80 vorgegebenen Aufgaben, nicht fertige Apps. CodeRabbit verkauft selbst ein Review-Tool und kann nicht garantieren, dass die als menschlich eingestuften Pull Requests wirklich ohne KI entstanden sind. Das Radar zählt nur Fälle, die sich einem KI-Tool zuordnen lassen, und ist damit eine Untergrenze. Die Richtung ist trotzdem eindeutig genug, um Code vor dem Launch zu prüfen.
Das Problem ist systemisch
Sprachmodelle lernen aus großen Mengen öffentlichen Codes, und der ist selbst nicht immer sicher. Veracode stellt fest, dass die Sicherheit der Ergebnisse trotz besserer Syntax nicht im gleichen Maß mitwächst. Generierter Code läuft, ist deshalb aber noch nicht abgesichert.
Gleichzeitig nutzen immer mehr Menschen diese Werkzeuge, auch ohne Entwicklerhintergrund. Wer den erzeugten Code nicht lesen kann, sieht auch die Lücken darin nicht. Genau deshalb lohnt sich eine Prüfung, bevor echte Nutzerdaten im Spiel sind.
5 Sicherheitslücken, nach denen wir in KI-Code suchen
Exponierte API-Keys
Schlüssel und Datenbank-Zugänge können im Frontend-Code landen, wo jeder sie in den Browser-DevTools sieht. Lovables Doku sagt klar: Geheimnisse im Frontend gelten als kompromittiert.
Fehlende Input-Validierung
Wird Nutzereingabe nicht serverseitig geprüft, sind Injection und XSS möglich. Veracode nennt gerade XSS und Log Injection als Bereiche, in denen die getesteten Modelle besonders schlecht abschnitten.
Broken Access Control
Ohne passende Regeln kann ein Nutzer Daten anderer lesen oder ändern. CVE-2025-48757 beschreibt genau das für Lovable-Apps mit unzureichender Row Level Security bis April 2025; der Anbieter sieht die Verantwortung bei den Kunden. Lovable bietet heute Scans an, das Prüfen der Regeln bleibt aber deine Aufgabe.
Lückenhafte Fehlerbehandlung
Generierter Code deckt oft vor allem den Normalfall ab. Bei Netzwerkfehlern, leeren Daten oder unerwarteten Eingaben stürzt die App ab oder zeigt interne Fehlermeldungen.
Veraltete Abhängigkeiten
Sprachmodelle schlagen auch ältere Paketversionen vor, die bekannte Lücken haben können. Ein npm audit zeigt schnell, wo du stehst.
Wie sicher ist dein KI-Code?
Das Prototyp-Audit prüft deine Anwendung aus einem KI-Tool: Sicherheits-Check, Architektur-Bewertung und schriftlicher Fahrplan in 5 Werktagen, 990 EUR Festpreis.
20+ Jahre Softwareentwicklung - Antwort innerhalb 48h - 100% unverbindlich
Was bedeutet das für dein Projekt?
Wenn du mit Bolt.new, Lovable oder einem anderen Vibe-Coding-Tool einen Prototyp gebaut hast, ist das ein guter erster Schritt. Du hast deine Idee validiert und eine funktionierende Demo. Wir prüfen deinen Prototyp und entscheiden begründet zwischen Weiterbauen, Refactoring und Neubau. Oft dient er als Referenz für Design und Funktion, und der produktive Teil wird neu gebaut. Das steht vor dem Festpreis fest.
Aber bevor du damit live gehst, brauchst du:
- Ein professionelles Security Audit (API-Keys, Auth, RLS-Policies)
- Automatisierte Tests (Unit, Integration, E2E)
- Error Handling für alle Nicht-Happy-Path Szenarien
- Eine skalierbare Architektur die mit deinen Nutzern wächst
- DSGVO-Compliance - besonders wichtig im deutschen Markt
Häufige Fragen
Ist KI-generierter Code grundsätzlich unsicher?
Nicht grundsätzlich, aber er ist häufig unsicher. In Veracodes Test von 2025 enthielten 45% der Testfälle Lücken aus den OWASP Top 10. CodeRabbit fand in KI-gestützten Pull Requests rund 1,7-mal mehr Befunde als in menschlichen, bei Sicherheitsproblemen bis zu 2,74-mal. Beide Messungen haben Grenzen: Sie testen nicht deine App. Deshalb lohnt sich die Prüfung am konkreten Code.
Kann ich meinen KI-Code nachträglich sicher machen?
In vielen Fällen ja, durch eine Prüfung und gezielte Korrekturen. Bei Campus IT startet das mit dem Prototyp-Audit für 990 EUR Festpreis. Danach entscheiden wir begründet zwischen Weiterbauen, Refactoring und Neubau. Launch ab 5.000 EUR für die Veröffentlichung als Web-App, Pro ab 10.000 EUR für iOS und Android, jeweils abhängig vom geprüften Umfang.
Welche KI-Tools sind am sichersten?
Das lässt sich nicht seriös in einer Rangliste sagen. Lovable nennt SOC 2 Type II und ISO 27001:2022 für die Plattform, das sagt aber nichts über deinen generierten Code aus. Lovable und Bolt bieten eingebaute Sicherheitsprüfungen, Lovable schreibt jedoch selbst, dass sie keine vollständige Sicherheit garantieren können. Entscheidend ist die Prüfung des konkreten Ergebnisses.
Wie finde ich Sicherheitslücken in meinem KI-Code?
Erste Schritte: die eingebauten Scans deines Tools ausführen, npm audit für Abhängigkeiten, ESLint mit Security-Plugins, dazu von Hand prüfen, ob Schlüssel im Browser landen und ob jede Tabelle passende Zugriffsregeln hat. Für eine gründliche Analyse deines Produkts bietet sich ein Prototyp-Audit oder, bei gewachsenem Code, ein Code-Audit ab 2.000 EUR an.
Prüfe deinen KI-Code, bevor es Angreifer tun
Mit dem Prototyp-Audit bekommst du für 990 EUR Festpreis in 5 Werktagen einen Sicherheits-Check, eine Architektur-Bewertung und einen schriftlichen Fahrplan.
Quellen
Abgerufen am 5. November 2026.
- Veracode: 2025 GenAI Code Security Report (Pressemitteilung) - 30.07.2025; 80 Aufgaben, mehr als 100 Modelle
- CodeRabbit: State of AI vs Human Code Generation - 17.12.2025; 470 Pull Requests; Anbieter eines Review-Tools
- Infosecurity Magazine: Bericht zum Vibe Security Radar der Georgia Tech - 26.03.2026; Sekundärbericht, Märzzahl zum Artikeldatum
- Stack Overflow Developer Survey 2025: AI - 2025
- CVE-2025-48757 (Lovable, Row Level Security) - veröffentlicht 30.05.2025; der Anbieter bestreitet die Einordnung als Plattformfehler
- Lovable: Security-Übersicht - abgerufen 05.11.2026
- Lovable: Einführung und Compliance-Angaben - abgerufen 05.11.2026