Vibe Coding: Checkliste vor dem Launch deiner App

Warum diese Prüfung nötig ist

Veracode hat für seinen Bericht von 2025 Code von über 100 Modellen getestet und fand in rund 45 % der Aufgaben eine bekannte Sicherheitslücke. Das ist kein Grund, auf KI zu verzichten, aber ein Grund, nachzuprüfen. Das Tückische daran: Auf dem Bildschirm sieht alles richtig aus.

1. Geheimnisse

Stehen API-Schlüssel oder Passwörter im Code oder im Browser-JavaScript? Öffne die Seite und suche in den Entwicklertools danach.
Wurde jemals eine .env-Datei ins Repository eingecheckt? Dann gilt der Wert als kompromittiert und muss getauscht werden.
Ist die .env auf dem Server per URL abrufbar? Probiere es einfach aus.

2. Zugriffsrechte

Das ist in KI-Apps der häufigste schwere Fehler. Die Oberfläche versteckt einen Button, aber die API prüft nichts.

Lege zwei Testkonten an. Kann Konto A über die Adresse die Daten von Konto B sehen, etwa indem es die ID in der URL ändert?
Können normale Nutzer Admin-Endpunkte aufrufen?
Wenn du Supabase oder Firebase nutzt: Sind Row Level Security oder Security Rules wirklich aktiv? Die Standardeinstellungen schützen nicht immer so, wie man denkt.

3. Eingaben

Werden alle Eingaben serverseitig geprüft, nicht nur im Formular?
Werden Datenbankabfragen parametrisiert?
Wird Nutzertext vor der Ausgabe maskiert, damit kein fremdes Skript läuft?
Wird bei Datei-Uploads Typ und Größe geprüft, und landen die Dateien außerhalb des ausführbaren Bereichs?
Falls deine App ein Sprachmodell nutzt: Was passiert, wenn Nutzer versuchen, dessen Anweisungen auszuhebeln?

4. Konten und Sitzungen

Nutze einen erprobten Login-Dienst, statt selbst Passwörter zu speichern.
Gibt es Rate Limits für Login und Passwort-Reset?
Laufen Sitzungen ab, und funktioniert das Abmelden wirklich?

5. Daten

Gibt es automatische Backups, und hast du schon einmal eines wiederhergestellt? Ein ungetestetes Backup ist kein Backup.
Sind Test- und Produktivdatenbank getrennt? Eine KI, die „kurz die Tabelle neu anlegt“, sollte nie an echte Daten kommen.
Stehen in den Logs persönliche Daten oder Tokens?

6. Kosten und Last

Sind Budget-Grenzen und Warnungen bei Hosting und API-Anbietern gesetzt?
Können Nutzer unbegrenzt teure Modell-Aufrufe auslösen? Ohne Limit kann dir das die Rechnung sprengen.
Was passiert bei einem langsamen Drittanbieter: Hängt alles, oder gibt es eine sinnvolle Meldung?

7. Abhängigkeiten

Sprachmodelle schlagen manchmal Pakete vor, die es gar nicht gibt oder die veraltet sind. Prüfe jede neue Abhängigkeit, lass npm audit oder Ähnliches laufen und entferne, was niemand nutzt.

8. Tests für das, was nicht brechen darf

Du brauchst keine vollständige Testabdeckung. Aber Anmeldung, Bezahlung und Rechteprüfung sollten automatisch getestet sein. Tests sind auch die beste Bremse für eine KI, die beim nächsten Prompt etwas Funktionierendes umbaut.

9. Recht und Betrieb

Impressum, Datenschutzerklärung und, wo nötig, Einwilligungen sind vorhanden.
Wenn du personenbezogene Daten an KI-Anbieter sendest: Gibt es einen passenden Vertrag zur Auftragsverarbeitung?
Fehlerüberwachung ist aktiv, damit du Probleme vor deinen Nutzern siehst.
Du weißt, wie du im Notfall auf die letzte funktionierende Version zurückgehst.

Was du der KI selbst auftragen kannst

Lass das Modell seinen Code gezielt gegen die OWASP Top 10 prüfen und die Zugriffsprüfung jedes Endpunkts auflisten. Das findet einiges, ersetzt aber keine zweite Prüfung, weil dasselbe Modell oft dieselben blinden Flecken hat. Wenn eine zweite Person draufschauen soll: Code-Review mit tob-apps.

Vibe Coding: Checkliste vor dem Launch