Vibe Coding hat die Hürde, eine funktionierende Anwendung zu entwickeln, praktisch auf Null gesenkt. Programmierkenntnisse sind dafür kaum noch erforderlich. Statt selbst Code zu schreiben, beschreibt der Anwender in natürlicher Sprache, welche Funktionen eine Anwendung besitzen soll – die KI übernimmt die Umsetzung weitgehend eigenständig. Im Extremfall wird der erzeugte Quellcode unverändert übernommen, ohne dass der Ersteller ihn aufgrund fehlender Programmierkenntnisse überhaupt versteht.
Genau hier liegt die eigentliche Herausforderung. Zwischen einer Anwendung, die funktioniert, und einer Anwendung, die sicher betrieben werden kann, besteht ein erheblicher Unterschied. Das eigentliche Risiko des Vibe Codings ist daher nicht technischer Natur, sondern entwickelt sich schnell zu einer Frage der IT-Sicherheit, des Datenschutzes und letztlich auch der Haftung.
Dabei beginnt das Problem nicht zwangsläufig beim Programmcode selbst. Moderne KI-Modelle erzeugen häufig gut strukturierten und funktionierenden Code. Das eigentliche Risiko entsteht vielmehr dadurch, dass unerfahrene Anwender die notwendigen Sicherheitsanforderungen nicht kennen und diese deshalb auch nicht in ihre Anweisungen an die KI einfließen lassen. Sicherheitsrelevante Entscheidungen bleiben dadurch häufig der KI überlassen – oder werden gar nicht berücksichtigt. Der Grund ist ebenso einfach wie nachvollziehbar: Niemand kann Anforderungen formulieren, deren Existenz er nicht kennt.
In der Praxis kann dies zu erheblichen Sicherheitslücken führen. Ein erfahrener Softwareentwickler oder Security Engineer berücksichtigt bereits während der Entwicklung Themen wie sichere Authentifizierung, Verschlüsselung, Berechtigungskonzepte, Protokollierung, Eingabevalidierung oder den Schutz von APIs gegen bekannte Angriffsvektoren. Ein unerfahrener Vibe Coder hingegen bewertet häufig ausschließlich das sichtbare Ergebnis: Die Anwendung funktioniert – also wird sie als fertig betrachtet. Dass funktionierende Software keineswegs automatisch sichere Software ist, wird dabei oft übersehen.
Ein weiterer häufig unterschätzter Aspekt ist die Infrastruktur, auf der eine Anwendung betrieben wird. Sichere Software besteht nicht nur aus sicherem Quellcode – sie muss auch in einer entsprechend abgesicherten Umgebung ausgeführt werden. Die sichere Konfiguration von Servern oder Cloud-Diensten, ein durchdachtes Berechtigungskonzept, Verschlüsselung, regelmäßige Sicherheitsupdates, Monitoring sowie ein professionelles Schwachstellenmanagement gehören ebenso zu einer sicheren Anwendung wie der eigentliche Programmcode. Wer nicht weiß, welche Anforderungen an einen sicheren Betrieb gestellt werden, wird diese einer KI auch nicht vorgeben können. Das Ergebnis können Anwendungen sein, die zwar funktional überzeugen, jedoch erhebliche Sicherheitslücken aufweisen und den Anforderungen an Datenschutz und IT-Sicherheit nicht gerecht werden.
Hinzu kommt ein psychologischer Effekt, der häufig unterschätzt wird. Eine Anwendung, die fehlerfrei startet und alle gewünschten Funktionen erfüllt, vermittelt schnell den Eindruck, sie sei auch professionell entwickelt worden. Tatsächlich lässt sich aus einer funktionierenden Benutzeroberfläche jedoch weder auf eine sichere Softwarearchitektur noch auf die Einhaltung gesetzlicher Anforderungen schließen. Gerade diese Scheinsicherheit führt dazu, dass Anwendungen veröffentlicht werden, ohne jemals einer qualifizierten Sicherheitsprüfung unterzogen worden zu sein.
Dies führt unmittelbar zur Frage der rechtlichen Verantwortung. Die Tatsache, dass eine Anwendung ganz oder teilweise durch eine KI erstellt wurde, verlagert die Verantwortung nicht auf das verwendete KI-Modell. Wer Software entwickelt, unter eigenem Namen vertreibt oder produktiv betreibt, bleibt grundsätzlich dafür verantwortlich, dass die Anwendung den gesetzlichen Anforderungen entspricht und nach dem aktuellen Stand der Technik abgesichert ist. Hierzu gehören insbesondere geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten sowie die Einhaltung anerkannter Sicherheitsstandards.
Die Datenschutz-Grundverordnung fordert bereits heute Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen ("Privacy by Design" und "Privacy by Default"). Sicherheitsmaßnahmen müssen dabei dem aktuellen Stand der Technik entsprechen. Wer personenbezogene Daten verarbeitet, ist verpflichtet, geeignete technische und organisatorische Maßnahmen umzusetzen – unabhängig davon, ob der zugrunde liegende Programmcode von einem Menschen oder einer KI erstellt wurde.
Mit dem Cyber Resilience Act (CRA) verschärft die Europäische Union diese Anforderungen zusätzlich. Bereits ab September 2026 gelten umfangreiche Meldepflichten für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle. Ab Dezember 2027 greifen die vollständigen Herstellerpflichten für Softwareprodukte. Dazu gehören unter anderem die Bereitstellung von Sicherheitsupdates über mehrere Jahre, die Dokumentation verwendeter Softwarekomponenten in Form einer Software Bill of Materials (SBOM) sowie weitere Nachweispflichten zur Cybersicherheit. Diese Verpflichtungen gelten unabhängig davon, ob die Software klassisch entwickelt oder mittels Vibe Coding erstellt wurde. Gerade hier stellt sich jedoch die berechtigte Frage, wie Sicherheitslücken über Jahre hinweg zuverlässig behoben werden sollen, wenn der Entwickler den von der KI erzeugten Quellcode selbst nicht vollständig versteht.
Auch das Produkthaftungsrecht entwickelt sich weiter. Mit der neuen europäischen Produkthaftungsrichtlinie wird Software ausdrücklich als Produkt behandelt. Sicherheitsmängel können damit erhebliche wirtschaftliche und rechtliche Konsequenzen für Hersteller und Inverkehrbringer nach sich ziehen. Der Verweis darauf, dass der Code von einer KI erzeugt wurde, wird im Regelfall keine Entlastung darstellen.
