Kostenlose Checkliste · ohne Anmeldung
Die Sicherheitscheckliste für Vibe Coder.
KI-Builder erzeugen Apps, die fertig aussehen, und die Sicherheitslücken sind am Bildschirm selten zu erkennen. Das sind 15 Prüfungen zu den Problemen, die in KI-generierten Apps am häufigsten auftreten, jeweils mit einem Test, den Sie selbst durchführen können. Viele betreffen Risiken aus den OWASP Top 10. Beginnen Sie mit den Punkten der Schweregrad-Stufe Hoch .
- 01Hoch
Geheime API-Schlüssel im Frontend-Code
Prüfung: Öffnen Sie die Entwicklertools Ihres Browsers (Tabs Sources und Network) und suchen Sie nach „key“, „token“ und „secret“. Veröffentlichbare Schlüssel, etwa der öffentliche (anon) Schlüssel von Supabase oder der veröffentlichbare Schlüssel von Stripe, sind dafür gedacht, öffentlich zu sein. Geheime Schlüssel, Service-Role-Schlüssel und API-Schlüssel von Drittanbietern (zum Beispiel ein OpenAI-Schlüssel) sind es nicht. Wenn Sie einen finden, verlegen Sie diesen Aufruf auf den Server und erneuern Sie den Schlüssel.
- 02Hoch
Login, der nur im Browser durchgesetzt wird
Prüfung: Kopieren Sie die URL einer Seite für angemeldete Nutzer und öffnen Sie sie in einem privaten Fenster, oder rufen Sie die zugehörige API ohne Sitzung auf. Kommen die Daten trotzdem zurück, liegt die Login-Prüfung in der Oberfläche und der Server setzt sie nicht durch.
- 03Hoch
Keine Row-Level Security und keine Zugriffsregeln pro Nutzer
Prüfung: Ändern Sie als angemeldeter Nutzer A in einer Anfrage (oder in der URL) eine ID auf die von Nutzer B. Kommen die Daten von B zurück, wird der Zugriff nicht dort durchgesetzt, wo die Daten liegen.
- 04Hoch
Datenbanktabellen ohne Zugriffsregeln, vom Browser aus erreichbar
Prüfung: Wenn der Browser Ihre Datenbank direkt abfragt (häufig bei Supabase), ist das nur sicher, wenn Row-Level Security auf jeder offenen Tabelle aktiviert ist, mit Richtlinien, die Ihren Regeln entsprechen. Prüfen Sie jede Tabelle im Dashboard Ihrer Datenbank. Eine Tabelle ohne Row-Level Security kann von jedem gelesen oder geändert werden, der den öffentlichen Schlüssel besitzt.
- 05Hoch
Keine serverseitige Eingabeprüfung
Prüfung: Senden Sie unerwartete Eingaben direkt an die API statt über das Formular: sehr langen Text, Script-Tags, falsche Datentypen, negative Mengen. Akzeptiert der Server sie, ergänzen Sie eine Prüfung auf dem Server; Prüfungen allein im Formular lassen sich umgehen.
- 06Hoch
Geheimnisse im Code-Repository eingecheckt
Prüfung: Durchsuchen Sie das Repository und seinen Verlauf nach Schlüsseln, Passwörtern und .env-Werten. Alles, was Sie finden, sollte erneuert werden (es aus der neuesten Version zu löschen reicht nicht) und in Umgebungsvariablen oder den Secret-Speicher Ihres Hosters wandern.
- 07Mittel
Keine Ratenbegrenzung
Prüfung: Rufen Sie in Ihrer eigenen App einen Login-, Anmelde- oder KI-Endpunkt viele Male kurz hintereinander auf. Bremst Sie nichts, sind Sie offen für Passwort-Raten, Spam-Anmeldungen und unerwartete Nutzungsrechnungen.
- 08Mittel
Zu großzügiges CORS
Prüfung: Prüfen Sie, von welchen Websites Ihre API Browser-Anfragen akzeptiert. Ein Platzhalter (*) ist für wirklich öffentliche Daten vertretbar; erlauben Sie für alles hinter einem Login nur Ihre eigenen Domains.
- 09Mittel
Seiten oder Anfragen ohne HTTPS
Prüfung: Vergewissern Sie sich, dass jede Seite über HTTPS lädt und die Browser-Konsole keine Warnungen zu „Mixed Content“ bei Skripten, Bildern oder API-Aufrufen zeigt.
- 10Mittel
Fehlermeldungen, die Interna preisgeben
Prüfung: Lösen Sie einen Fehler aus, etwa durch ein fehlerhaftes Formular oder den Aufruf eines nicht vorhandenen Datensatzes. Sehen Nutzer Stack-Traces, Datenbankabfragen oder Dateipfade, protokollieren Sie die Details intern und zeigen Sie stattdessen eine einfache Meldung.
- 11Hoch
Ungeschützte Admin- oder interne Endpunkte
Prüfung: Listen Sie jede Admin-Seite, jede interne API-Route und jeden geplanten Job auf. Jede sollte einen angemeldeten Nutzer mit der passenden Rolle verlangen. Eine schwer zu erratende URL ist kein Schutz.
- 12Hoch
Unsicherer Umgang mit Passwörtern
Prüfung: Passwörter sollten von einem bewährten Authentifizierungsdienst oder einer bewährten Bibliothek gehasht werden, nie im Klartext gespeichert und nie in Logs geschrieben werden. Hat das KI-Tool ein eigenes Login-System geschrieben, ersetzen Sie es durch einen verwalteten Authentifizierungsdienst.
- 13Mittel
Ungeprüfte Abhängigkeiten
Prüfung: Führen Sie das Audit Ihres Paketmanagers aus (zum Beispiel npm audit), um bekannte Schwachstellen zu finden, aktualisieren Sie, was gemeldet wird, und entfernen Sie Pakete, die die App nicht mehr nutzt.
- 14Mittel
Uneingeschränkte Datei-Uploads
Prüfung: Wenn Nutzer Dateien hochladen können, prüfen Sie, dass Typ und Größe auf dem Server begrenzt sind, hochgeladene Dateien nicht als Code ausgeführt werden können und private Dateien nicht unter einer öffentlichen oder erratbaren URL erreichbar sind.
- 15Hoch
Keine Backups und kein Wiederherstellungsplan
Prüfung: Vergewissern Sie sich, dass die Datenbank automatisch gesichert wird, prüfen Sie, wie weit Sie zurückgehen können, und führen Sie eine Test-Wiederherstellung durch. Ein Backup, das nie wiederhergestellt wurde, ist eine Annahme, kein Plan.
FAQ
Häufig gestellte Fragen
Ist Vibe Coding sicher?
Für Prototypen ja. Sobald eine App echte Kundendaten enthält oder Zahlungen annimmt, braucht sie dieselben Sicherheitsprüfungen wie jede andere Software, und KI-gebaute Apps lassen einige davon oft aus: geheime Schlüssel im Browser-Code, Login-Prüfungen nur in der Oberfläche, Datenbanktabellen ohne Zugriffsregeln und Eingaben, die der Server nie validiert. Die App kann fertig aussehen, während diese Lücken bestehen. Diese Checkliste hilft Ihnen, sie zu finden, bevor sich Kunden auf die App verlassen.
Was sind die häufigsten Sicherheitsprobleme in KI-generierten Apps?
Am häufigsten sehen wir geheime Schlüssel im Frontend-Code, einen nur im Browser durchgesetzten Login, fehlende Row-Level Security (sodass ein Nutzer die Daten eines anderen lesen kann) und fehlende Validierung auf dem Server. Mehrere fallen unter Kategorien der OWASP Top 10 (Ausgabe 2025), der weit verbreiteten Liste von Sicherheitsrisiken für Webanwendungen, etwa Broken Access Control und Authentication Failures. Alle lassen sich beheben.
Wie sichere ich eine App ab, die ich mit Lovable, Bolt oder Replit gebaut habe?
Arbeiten Sie zuerst die Punkte mit Schweregrad Hoch ab: Verlegen Sie geheime Schlüssel auf den Server, setzen Sie Login und Zugriffsregeln auf dem Server oder in der Datenbank durch, aktivieren Sie Row-Level Security für jede offene Tabelle und validieren Sie Eingaben auf dem Server. Danach folgen die Punkte mit Schweregrad Mittel. Wenn Sie das lieber Entwicklern überlassen, können wir die App prüfen und Ihnen sagen, was zu beheben ist.
Punkte gefunden, bei denen Sie nicht wissen, wie Sie sie beheben?
Senden Sie uns die App oder das Repository. Wir prüfen es, sagen Ihnen, welche Probleme real sind und welche so in Ordnung sind, und wie aufwendig die Behebung ist.