Vibe Coding für KMU: Interne Tools ohne Entwickler bauen – Chancen und klare Grenzen

Wie ein Begriff die Softwareentwicklung gerade auf den Kopf stellt

Der US-Informatiker Andrej Karpathy prägte im Februar 2025 den Begriff „Vibe Coding": Statt Code Zeile für Zeile in einem Editor zu tippen, beschreibt man einer KI in normaler Sprache, was die Software tun soll – und die KI schreibt den Code. Plattformen wie Lovable, Bolt, Cursor, Replit Agent oder Claude Code übersetzen diese Beschreibungen in lauffähige Webanwendungen, Dashboards oder Automatisierungsskripte, oft in Stunden statt Wochen. Was 2025 noch als Experiment galt, ist 2026 bei Zehntausenden kleiner und mittlerer Unternehmen angekommen – in Deutschland, Österreich und der Schweiz genauso wie international.

Der Anreiz für KMU-Entscheider liegt auf der Hand. Ein externer Softwareentwickler kostet in Deutschland je nach Erfahrung und Region zwischen 80 und 130 Euro pro Stunde. Ein einfaches internes Werkzeug – ein Preisrechner für die Website, eine Eingangs-Checkliste für neue Mitarbeiter, ein Statusboard für offene Aufträge – schlägt bei einer klassischen Beauftragung schnell mit 3.000 bis 8.000 Euro zu Buche, wenn Requirements-Gespräch, Umsetzung, Test und Übergabe eingerechnet sind. Vibe-Coding-Plattformen versprechen denselben Funktionsumfang in einem Nachmittag und zu einem Bruchteil der Kosten. Dieses Versprechen stimmt – in bestimmten Grenzen, die man kennen sollte, bevor man eine Eigenentwicklung in die Produktion schickt.

Für KMU ist die entscheidende Frage nicht, ob Vibe Coding generell funktioniert. Die Frage lautet: Für welche Arten von Tools ist der Ansatz geeignet, welche Risiken entstehen außerhalb dieses Bereichs, und wann braucht man trotzdem professionelle Unterstützung? Wer das klar unterscheiden kann, hat ein echtes Werkzeug in der Hand. Wer es nicht unterscheidet, kauft sich Aufwand und Haftungsrisiken ein, die er mit der Eigenentwicklung gerade zu vermeiden hoffte.

Was diese Plattformen liefern – und wie sie sich unterscheiden

Vibe-Coding-Plattformen unterscheiden sich erheblich darin, was sie produzieren und wie viel technisches Verständnis sie voraussetzen. Lovable und Bolt sind darauf ausgelegt, eine vollständige Webanwendung aus einer natürlichsprachlichen Beschreibung zu bauen, ohne dass die Nutzerin auch nur eine Zeile Code zu Gesicht bekommt. Man beschreibt das gewünschte Ergebnis – etwa „Ich möchte ein Formular, in das meine Mitarbeiter täglich Stundennachweise eintragen, und eine Übersichtsseite, die die Wochensummen pro Person anzeigt" –, und die Plattform generiert dafür eine funktionsfähige Webanwendung inklusive Datenbankanbindung, Login-System und gestaltetem Frontend. Das Ergebnis nach einer bis drei Stunden Arbeit ist oft beeindruckend: eine echte Webanwendung, nicht nur ein statisches HTML-Dokument.

Cursor und Claude Code funktionieren anders. Sie sind Werkzeuge, die in einer Entwicklungsumgebung arbeiten, in der man sieht, welcher Code gerade entsteht, und direkt Einfluss nehmen kann. Diese Werkzeuge eignen sich eher für Personen mit einem technischen Grundverständnis – jemanden, der früher einmal programmiert hat, Code-Blöcke unterscheiden und einordnen kann, wann die KI einen plausibel klingenden, aber fehlerhaften Vorschlag macht. Für Inhaber oder Geschäftsführer kleiner Betriebe ohne Technikbackground sind Lovable oder Bolt der realistischere Einstieg. Replit Agent liegt dazwischen: browserbasiert, mit etwas mehr Kontrolle über einzelne Schritte, aber ohne den vollständigen No-Code-Komfort von Lovable.

Der Haken an den no-code-näherem Plattformen ist die Kehrseite ihres größten Vorzugs: Man versteht nicht, was dahinter passiert. Die KI trifft Architekturentscheidungen, wählt Bibliotheken aus und konfiguriert die Datenbankstruktur, ohne dass das für die Nutzerin sichtbar wird. Das ist kein Problem, solange das Tool in einem klar abgegrenzten, risikoarmen Bereich bleibt. Sobald Anforderungen sich ändern, das Tool nach außen wächst oder Fehler auftreten, ist man auf externe Hilfe angewiesen – weil man das eigene Werkzeug nicht ausreichend versteht, um es selbst zu reparieren oder zu beurteilen, ob es sicher ist.

Die unsichtbaren Risiken: Warum Sicherheitsprobleme so spät auffallen

Das grundlegende Problem bei Vibe Coding ist kein technisches, sondern ein epistemisches: Man weiß nicht, was man nicht weiß. Wer einen Entwickler beauftragt, bekommt Code, den dieser versteht, verantwortet und erklären kann. Wer eine KI generieren lässt und das Ergebnis nicht prüfen kann, bekommt etwas, das aussieht wie eine fertige Anwendung und auch so wirkt – bis etwas schiefläuft, und das oft ohne Vorwarnung und ohne dass die Ursache sofort erkennbar ist.

Sicherheitsforscher haben sich 2026 intensiv mit dem Thema befasst. Das Unternehmen Escape.tech analysierte rund 5.600 öffentlich zugängliche Anwendungen, die mit Vibe-Coding-Plattformen erstellt wurden, und fand dabei über 2.000 Sicherheitslücken sowie rund 400 direkt im Code hinterlegte Zugangsdaten – API-Schlüssel, Datenbankpasswörter, Authentifizierungs-Token –, die für jeden sichtbar waren, der den Quellcode öffnete. Das Sicherheitsunternehmen Tenzai testete 15 solcher Anwendungen strukturiert und fand insgesamt 69 Schwachstellen. Die häufigsten Kategorien: fehlende Authentifizierungsprüfungen, bei denen jeder mit dem richtigen Link auf alle Daten zugreifen kann; unvalidierte Nutzereingaben als klassische Grundlage für Datenbankmanipulationen; hardcodierte Zugangsdaten im Quellcode; und fehlende Autorisierungslogik, bei der alle angemeldeten Nutzer die Daten aller anderen Nutzer sehen können, nicht nur ihre eigenen.

Für KMU hat das konkrete rechtliche Konsequenzen. Wenn eine selbst gebaute Anwendung Kundendaten, Mitarbeiterdaten oder Finanzzahlen enthält und nicht korrekt gesichert ist, entsteht ein Verstoß gegen Art. 32 DSGVO – unabhängig davon, ob jemals jemand tatsächlich unberechtigten Zugriff erlangt. Die Datenschutzaufsichtsbehörden bewerten das nach dem Potenzial des Schadens und dem Versäumnis angemessener technischer Schutzmaßnahmen, nicht nach dem tatsächlich eingetretenen Schaden. Wer derzeit noch nicht sicher ist, welche DSGVO-Anforderungen für KI-Systeme konkret gelten, findet im Artikel ChatGPT und Copilot im Unternehmen eine praxisnahe Einordnung. Ein Bußgeldverfahren wegen fahrlässig gesicherter Mitarbeiterdaten ist kein hypothetisches Szenario, sondern ein reelles Risiko für jeden, der ein Datenbankformular ohne professionelle Sicherheitsprüfung in Betrieb nimmt.

Wann Vibe Coding für KMU sinnvoll ist – und wann nicht

Aus dem bisher Gesagten ergibt sich eine klare Abgrenzung. Vibe Coding ist geeignet für interne Tools mit einem klar abgegrenzten Nutzerkreis: das eigene Team, keine externen Parteien. Es eignet sich für Anwendungen ohne besonders schützenswerte Daten – keine DSGVO-Sonderkategorien wie Gesundheitsdaten, keine Zahlungsinformationen, keine Vertrags- oder Personalakten. Es funktioniert gut für überschaubare Logik: Kalkulationen nach festen Formeln, Checklisten, einfache Statusverfolgung, strukturierte Eingabeformulare. Und es passt zu Situationen, in denen ein Fehler tolerierbar ist – ein Prototyp zum Testen einer Idee, kein Produktionssystem, auf das das Unternehmen kritisch angewiesen ist.

Schwierig bis riskant wird der Ansatz bei öffentlich zugänglichen Tools – also allem, was Kunden oder Dritte aufrufen können. Wer eine Webanwendung öffentlich betreibt, übernimmt dafür die volle technische Verantwortung und haftet für Sicherheitsmängel. Riskant ist es auch bei Anwendungen, die DSGVO-relevante Daten verarbeiten oder speichern, bei Tools mit Zahlungsanbindung oder automatisierter Vertragserzeugung und bei Systemen, auf die mehrere externe Parteien mit unterschiedlichen Zugriffsrechten zugreifen sollen. In diesen Fällen ist eine Sicherheitsprüfung kein optionales Add-on, sondern Grundvoraussetzung für den rechtssicheren Betrieb.

Eine dritte Kategorie verdient besondere Aufmerksamkeit: Tools, die zunächst intern waren und im Laufe der Zeit nach außen gewachsen sind. Ein Angebotsrechner, der anfangs nur vom eigenen Vertriebsteam genutzt wurde und dann auf der Website eingebunden wird. Ein Statusformular, das ursprünglich für das Team gedacht war und jetzt Kundenanfragen entgegennimmt. In solchen Fällen gelten die Sicherheitsanforderungen der externen Nutzung – aber das Tool wurde für die intern-unkritischen Anforderungen konzipiert. Dieser Übergang geschieht in der Praxis oft ohne formale Prüfung, weil er schrittweise passiert und kein klar definiertes Datum hat, an dem „intern" aufhörte und „extern" begann.

Welche Tools für welche Ausgangslage – und was sie realistisch kosten

Die gängigsten Plattformen unterscheiden sich in Einstiegshürde, Funktionsumfang und Preis. Lovable kostet zwischen 25 und 60 Euro pro Monat im Abo, Bolt liegt in ähnlicher Größenordnung. Cursor und Claude Code setzen eine Entwicklungsumgebung voraus und kosten zwischen 20 und 40 Dollar pro Monat in der Pro-Version. Alle Plattformen bieten kostenlose Testphasen oder eingeschränkte Gratisversionen, mit denen man einen ersten Eindruck gewinnen kann. Der eigentliche Kostenvorteil gegenüber klassischer Entwicklung liegt nicht im Abo-Preis selbst, sondern in der Zeitersparnis: Ein einfaches internes Dashboard, das einen externen Entwickler einen bis zwei Arbeitstage kosten würde, entsteht in Vibe Coding in einem Nachmittag.

Für Unternehmen, die regelmäßig kleine interne Tools brauchen und bisher jede Anforderung extern beauftragt haben, kann das über das Jahr gerechnet mehrere Tausend Euro einsparen. Die Einschränkung: Diese Einsparung gilt nur für den Erstellungsprozess. Was danach kommt – Wartung, Anpassungen, Fehlerbehebung, Weiterentwicklung –, ist in der Gesamtrechnung oft nicht enthalten und wird unterschätzt. Wer das Tool fachlich prüfen und absichern lässt, sollte für einen Sicherheits-Review und die Behebung gefundener Probleme mit einem Aufwand von etwa einem halben bis einem Arbeitstag rechnen, je nach Komplexität der Anwendung. Realistisch betrachtet liegt der Gesamtaufwand für ein kleines, intern genutztes Tool – Eigenentwicklung plus Sicherheitsprüfung – bei etwa 500 bis 1.500 Euro, gegenüber 3.000 bis 8.000 Euro für eine klassische Beauftragung. Der Unterschied ist real und bedeutend.

Ein Aspekt, der oft übersehen wird: Vibe Coding schlägt nicht nur Entwicklerkosten, sondern auch die Wartezeit. Wer einen externen Entwickler braucht, wartet zunächst auf einen Gesprächstermin, dann auf die Kostenschätzung, dann auf einen freien Slot im Projektkalender. Bei einem internen Tool, das eine konkrete Arbeitserleichterung bringt, können das vier bis acht Wochen sein. Mit Vibe Coding liegt der erste funktionsfähige Prototyp am selben Tag vor. Das ändert, wie man über Eigeninitiative in der Digitalisierung nachdenkt – nicht als einmaliges Großprojekt, sondern als kontinuierliche, schrittweise Verbesserung.

Wie sich das in der Praxis sinnvoll angehen lässt

Der hybride Ansatz ist für KMU in der Regel der pragmatischste: Die Idee kommt aus dem Unternehmen, der erste Prototyp entsteht per Vibe Coding, und anschließend prüft und härtet ein Fachmann das Ergebnis, bevor es in den produktiven Einsatz geht. Dieser Weg kombiniert die Geschwindigkeit und Kostenersparnis des KI-gestützten Ansatzes mit der Sicherheit einer professionellen Überprüfung. Er ist nicht für jedes Tool nötig – ein rein internes Statusboard ohne sensible Daten und mit weniger als zehn Nutzern braucht diesen Schritt nicht zwingend. Aber für alles, was nach außen sichtbar ist, Kundendaten berührt oder geschäftskritisch ist, ist die Prüfung keine Kür, sondern Pflicht.

Für KMU, die tiefer in die Automatisierung einsteigen wollen – nicht nur mit einzelnen Tools, sondern mit Workflows, die mehrere Systeme verbinden, KI-Assistenten integrieren oder komplexere Entscheidungslogik abbilden –, ist eine strukturierte Beratung sinnvoll. Der Unterschied zu reinem Vibe Coding: Hier wird nicht nur Code generiert, sondern ein System entworfen, das wartbar, erweiterbar und sicher ist. Das kostet mehr als ein Nachmittag mit Lovable, spart aber die Überraschungen, die kommen, wenn ein selbst gebautes Tool in Produktion geht und Probleme zeigt, die man ohne technisches Verständnis weder vorhergesehen noch beheben kann. Was das für Ihre konkrete Situation bedeutet und welche Automatisierungsbausteine realistisch in Ihren Betrieb passen, lässt sich im kostenlosen Erstgespräch zu KI-Agenten klären – ohne Verpflichtung.

Die wichtigste Erkenntnis aus dem bisherigen Marktgeschehen rund um Vibe Coding lautet: Die Technologie ist weit leistungsfähiger als ihr Ruf bei Skeptikern, und weit riskanter als ihr Ruf bei Enthusiasten. Für KMU liegt der Mehrwert dort, wo der Ansatz bewusst eingesetzt wird – für klar abgegrenzte, risikoarme Anwendungsfälle, mit einer realistischen Einschätzung davon, was eine Sicherheitsprüfung kostet und wann sie nötig ist. Wer diese Unterscheidung trifft, hat ein echtes und kosteneffizientes Werkzeug. Wer sie nicht trifft, riskiert Haftungsrisiken, die er mit der Eigenentwicklung gerade zu vermeiden hoffte.

Häufige Fragen zu Vibe Coding für KMU