Leitfaden
Ist Vibe Coding schlecht? Was schiefgeht und wie Sie Ihren Code prüfen
Vibe Coding ist an sich nicht schlecht. Das Risiko ist Code, den niemand gelesen hat. Die typischen Fehler von KI-Assistenten, wann sie zählen und wie Sie sie finden.
· 7 Min. Lesezeit · Vom vetkit-Team
Die kurze Antwort
Nein, Vibe Coding ist an sich nicht schlecht. Es ist ein schneller Weg zu funktionierender Software, und für Prototypen, interne Tools und zum Lernen ist es oft die richtige Wahl. Zum Problem wird es an einem ganz bestimmten Punkt: wenn Code, den niemand gelesen hat, mit echten Nutzern, echten Daten oder echtem Geld umgeht. Das Risiko ist nicht, dass eine KI den Code geschrieben hat. Das Risiko ist, dass ihn niemand geprüft hat.
Die sinnvolle Frage lautet also nicht „Ist Vibe Coding schlecht?“, sondern „Was muss ich prüfen, bevor das live geht?“. Der Rest dieses Leitfadens beantwortet genau das.
Was Vibe Coding bedeutet
Vibe Coding heißt, Software zu bauen, indem man einem KI-Assistenten beschreibt, was man möchte, und den Code übernimmt, den er schreibt, meist ohne ihn zu lesen. Den Begriff prägte Andrej Karpathy Anfang 2025 für eine Arbeitsweise, bei der man sich ganz dem Flow hingibt und vergisst, dass der Code überhaupt existiert. Das Ergebnis beurteilt man, indem man die App ausführt, nicht, indem man die Änderungen reviewt.
Das unterscheidet sich von KI-gestützter Entwicklung, bei der ein Entwickler dieselben Tools nutzt, jede Änderung aber weiterhin liest, testet und verantwortet. Die meisten echten Projekte liegen irgendwo dazwischen und rutschen in Richtung Vibe Coding, sobald Deadlines knapp werden.
Was schiefgeht
KI-Assistenten sind gut darin, Code zu erzeugen, der läuft. Weniger zuverlässig sind sie bei allem, was nicht auffällt, wenn man einmal durch die App klickt. Dieselben Fehler tauchen immer wieder auf:
| Problem | Wie es aussieht | Warum Sie es nicht bemerken |
|---|---|---|
| Secrets am falschen Ort | Ein API-Schlüssel, der ins Repository committet oder im Browser-Bundle ausgeliefert wird | Die App funktioniert in beiden Fällen genau gleich |
| Fehlende Zugriffsprüfungen | Jeder angemeldete Nutzer kann die Datensätze eines anderen Nutzers lesen; Datenbanktabellen ohne Regeln auf Zeilenebene | Sie testen immer nur mit Ihrem eigenen Konto |
| Pakete, die es nicht gibt | Der Assistent erfindet einen plausiblen Paketnamen, und jemand anderes hat ihn womöglich registriert | Der Installationsbefehl läuft erfolgreich durch |
| Unfertiger Code | Platzhalterfunktionen, TODO-Zweige und verschluckte Fehler im Hauptpfad | Der Happy Path funktioniert trotzdem |
| Unvertrauenswürdige Eingaben direkt verwendet | Request-Daten, die in SQL, Shell-Befehle, Dateipfade oder HTML eingebaut werden | Normale Eingaben verhalten sich normal |
| Nichts für den Fehlerfall | HTTP-Aufrufe ohne Timeouts, Abfragen in Schleifen, keine Fehlerberichte | Mit zehn Zeilen und einem Nutzer ist es schnell |
Nichts davon ist neu. Entwickler haben jeden dieser Fehler schon gemacht, bevor es KI-Assistenten gab. Was sich mit Vibe Coding ändert, sind die Menge und der fehlende Review-Schritt: Mehr Code kommt schneller, und die Person, die das Problem bemerkt hätte, liest ihn nie. Drei davon behandeln wir an anderer Stelle auf dieser Website ausführlich: API-Schlüssel im Browser, erfundene Pakete und geleakte Secrets.
Wann es darauf ankommt und wann nicht
Vibe Coding ist eine vernünftige Wahl, wenn ein Fehler wenig kostet:
- Ein Prototyp oder eine Demo, die weggeworfen oder neu geschrieben wird.
- Ein persönliches Skript oder ein internes Tool ohne sensible Daten.
- Ein neues Framework lernen oder eine Idee ausprobieren.
Vor dem Release braucht es eine Prüfung, wenn ein Fehler teuer wird:
- Die App hat Benutzerkonten, Zahlungen oder personenbezogene Daten.
- Sie verwaltet Zugangsdaten für andere Dienste, etwa einen LLM-Anbieter oder eine Datenbank.
- Andere verlassen sich darauf, dass sie erreichbar bleibt, oder jemand anderes muss sie warten.
Die Grenze zieht nicht, wie der Code geschrieben wurde, sondern was passiert, wenn er falsch ist. Viele Projekte überschreiten diese Grenze, ohne dass jemand das entschieden hätte: Die Demo bekommt ihre ersten echten Nutzer, und niemand geht zurück, um den Code zu lesen.
Tempo behalten, Risiko loswerden
Sie müssen auf das Tempo nicht verzichten. Sie müssen nur die Prüfung wieder einbauen, die Vibe Coding auslässt.
- Lesen Sie die Änderungen, die Geld, Login und Daten betreffen. Layout-Code können Sie überspringen. Authentifizierung, Autorisierung, Zahlungen und alles, was in die Datenbank schreibt, nicht. Die Review-Checkliste für KI-generierten Code zeigt, worauf Sie achten sollten.
- Testen Sie mit zwei Konten. Melden Sie sich als ein Nutzer an und versuchen Sie, die Datensätze eines anderen Nutzers zu lesen oder zu ändern. Dieser eine Test findet die schädlichste Fehlerklasse in per Vibe Coding gebauten Apps.
- Prüfen Sie jede neue Abhängigkeit. Stellen Sie sicher, dass das Paket existiert, dass es das gemeinte ist und dass es nicht letzte Woche veröffentlicht wurde.
- Scannen Sie das Repository vor dem Release. Ein automatisiertes Audit findet die mechanischen Probleme schneller als ein Mensch: committete Secrets, verwundbare oder nicht existierende Abhängigkeiten, fehlende Timeouts und unsicherer Umgang mit Eingaben. Der Check-Katalog von vetkit zeigt die Regeln, die es ausführt, und der kostenlose Security Quick Scan deckt Secrets, bekannte Schwachstellen in Abhängigkeiten und grundlegende Sicherheitskonfiguration ab.
- Lassen Sie den Assistenten beheben, was der Scan findet. Verbinden Sie den Scanner mit Ihrem Coding-Agent, damit die Befunde in dieselbe Unterhaltung zurückfließen. Der MCP-Leitfaden zeigt, wie das geht.
Wenn Sie bereit für das Release sind, führt die Security-Checkliste vor dem Release einer per Vibe Coding gebauten App Schritt für Schritt durch die Release-Entscheidung.
Quellen und Grenzen
Die Liste häufiger Probleme spiegelt die Kategorien wider, die vetkits eigene Regeln für KI-Code-Risiken, Sicherheit, Resilienz und Datenzugriff abdecken, Stand 10. November 2026. Sie beschreibt wiederkehrende Muster und misst nicht, wie häufig sie auftreten. Der Begriff „Vibe Coding“ stammt aus Andrej Karpathys Beitrag vom Februar 2025.
Ein automatisierter Scan liefert Hinweise, die geprüft werden müssen, keinen Beweis, dass eine App sicher ist. Er liest Quellcode; er testet weder Ihre Berechtigungen im Deployment noch Ihre Hosting-Konfiguration oder Ihre Geschäftsregeln. Der Test mit zwei Konten und das manuelle Review oben bleiben Ihre Aufgabe.