Entscheidungshilfe
Vibe Coding im Unternehmen: Was es kann und wo es endet
Programmieren in Alltagssprache klingt verlockend. Wofür Vibe Coding im Betrieb taugt, welche Risiken Untersuchungen zeigen und wie aus dem Prototyp Software wird, die läuft.
Von Andreas Scheller
7 Min. Lesezeit
Freitagnachmittag bei einem Großhändler für Sanitärbedarf mit 40 Beschäftigten. Der Vertriebsleiter hat eine Stunde lang einer KI beschrieben, was ihm fehlt: eine Übersicht aller offenen Angebote, mit dem Tag, an dem nachgefasst werden soll. Jetzt läuft im Browser eine kleine Anwendung mit Liste, Filter und Erinnerung. Am Montag möchte er sie dem ganzen Vertrieb geben, mit den echten Kundendaten. Die IT-Leiterin hat Fragen: Wo liegen die Daten? Wer kommt an die Anwendung heran? Und wer kümmert sich darum, wenn sie in drei Monaten nicht mehr funktioniert? Genau an dieser Stelle zeigt sich, was Vibe Coding kann und wo es endet.
Was ist Vibe Coding?
Den Begriff prägte im Februar 2025 der KI-Forscher Andrej Karpathy, früher bei OpenAI und Tesla. Er beschrieb damit eine neue Art zu programmieren: Man sagt der KI, was man will, übernimmt ihre Änderungen, ohne sie im Einzelnen zu lesen, und meldet Fehlermeldungen einfach zurück, bis alles läuft. Der Code selbst gerät dabei fast in Vergessenheit. Das Wort verbreitete sich so schnell, dass das britische Wörterbuch Collins es zum Wort des Jahres 2025 kürte.
Gebaut wird dabei mit zwei Arten von Werkzeugen:
- Baukästen im Browser wie Lovable, Bolt, Replit oder v0. Sie beschreiben eine Anwendung, das Werkzeug baut sie und stellt sie auf Wunsch gleich ins Internet, oft samt Datenbank.
- Coding-Agenten wie Claude Code, OpenAI Codex, GitHub Copilot oder Cursor. Sie legen Dateien an, ändern Code und führen Befehle aus. Gedacht sind sie für Entwicklerinnen und Entwickler, steuern lassen sie sich aber auch ohne tiefe Programmierkenntnisse.
Nicht jede Programmierung mit KI ist Vibe Coding. Wenn erfahrene Entwickler den Code lesen, testen und dafür geradestehen, spricht man eher von KI-gestützter Softwareentwicklung. Der Unterschied liegt nicht im Werkzeug, sondern darin, ob jemand versteht und prüft, was entsteht.
Wofür es im Unternehmen taugt
- Ideen greifbar machen. Statt eines Lastenhefts entsteht ein klickbarer Entwurf. Fachabteilung, IT und Dienstleister reden danach über dasselbe und merken früh, was fehlt.
- Kleine Werkzeuge für den eigenen Gebrauch. Ein Aufmaß-Rechner nach der eigenen Preisliste im Handwerk, eine Checkliste für den Wareneingang mit Protokoll in der Produktion, eine Übersicht aus einer Excel-Liste in der Verwaltung: Dinge, für die sich eine Software nie gelohnt hat.
- Einmalige Auswertungen. Einen alten Export bereinigen, eine Liste in ein anderes Format bringen, Zahlen aus mehreren Tabellen zusammenführen.
- Mitreden lernen. Wer einmal selbst gebaut hat, versteht, was KI kann und was nicht, und schreibt bessere Anforderungen, wenn später Profis bauen.
Wo es endet: die Risiken
Die Kehrseite ist im Begriff schon angelegt: Wer den Code nicht liest, weiß nicht, was er tut. Bei einem Rechner für den eigenen Schreibtisch ist das egal, bei einer Anwendung mit Kundendaten nicht.
Sicherheitslücken sind häufig. Der Sicherheitsanbieter Veracode ließ über 100 Sprachmodelle 80 Programmieraufgaben lösen. In 45 % der Fälle enthielt der erzeugte Code Sicherheitslücken aus den bekannten Top 10 der Organisation OWASP, und größere Modelle schnitten nicht besser ab. Die Sicherheitsfirma Escape untersuchte über 5.600 öffentlich erreichbare Anwendungen, die mit Vibe-Coding-Baukästen gebaut wurden. Sie fand mehr als 2.000 Schwachstellen, über 400 offen liegende Zugangsschlüssel und 175 Fälle mit offenen personenbezogenen Daten, darunter Krankenakten und Bankverbindungen.
Agenten mit zu vielen Rechten. Im Juli 2025 löschte der Coding-Agent des Anbieters Replit die Produktivdatenbank eines Projekts, obwohl ausdrücklich keine Änderungen ohne Freigabe erlaubt waren. Test und Betrieb hingen an derselben Datenbank. Der Anbieter begann daraufhin, beides automatisch zu trennen.
Daten in fremden Händen. Wer Kundendaten in ein Werkzeug kopiert, das nicht freigegeben ist, oder mit einem privaten Konto arbeitet, gibt sie unter Umständen an Dritte weiter. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und seine französische Partnerbehörde ANSSI empfehlen deshalb Firmenkonten mit klaren Vertragsbedingungen statt privater Zugänge.
Erfundene Bausteine. Sprachmodelle empfehlen manchmal Programmbibliotheken, die es gar nicht gibt. Angreifer registrieren solche Namen und legen dort Schadcode ab. Wer nicht prüft, was der Agent einbindet, holt ihn sich ins Haus.
Niemand pflegt es. Ein Werkzeug, das ein Mitarbeiter am Wochenende gebaut hat, kennt sonst niemand. Programmbausteine veralten, Anbieter ändern Preise oder stellen Dienste ein, und wer es gebaut hat, wechselt irgendwann die Stelle. So entsteht Software neben der IT, die sogenannte Schatten-IT.
Was Sie selbst bauen können und was nicht
| Vorhaben | Selbst mit Vibe Coding? | Worauf es ankommt |
|---|---|---|
| Rechner, Checkliste oder Vorlage für den eigenen Gebrauch, ohne Personendaten | Ja | Firmenkonto nutzen, Ergebnisse gegenprüfen |
| Auswertung interner Listen und Exporte | Ja, mit Vorsicht | mit einer Kopie arbeiten, keine personenbezogenen Daten ins Werkzeug |
| Werkzeug für das ganze Team mit Kundendaten | Als Prototyp ja, im Einsatz erst nach einer Prüfung | Zugriffsrechte, Speicherort, Datenschutz, Sicherung |
| Anwendung im Internet, etwa ein Portal für Kunden | Nur als Entwurf | Sicherheitsprüfung, Anmeldung, Betrieb durch Fachleute |
| Anbindung an Warenwirtschaft, Buchhaltung oder Zahlungen | Nein | Schnittstellen, Rechte, Tests und Freigaben |
Wie aus dem Prototyp Software wird
Der Prototyp ist ein guter Anfang. Damit daraus eine Anwendung wird, auf die sich ein Team verlassen kann, braucht es sechs Schritte. Die meisten davon kosten mehr Zeit als das eigentliche Bauen.
- Problem klären. Wer nutzt das Werkzeug, was soll besser werden, und woran merken Sie, dass es funktioniert?
- Erst beschreiben, dann bauen. Eine Seite mit Anforderungen, Daten und Abnahmekriterien, Fachleute sagen Spezifikation dazu. Mit einer solchen Beschreibung arbeitet die KI deutlich verlässlicher als mit spontanen Wünschen.
- In kleinen Schritten bauen und jeden Stand sichern. Mit einer Versionsverwaltung wie Git lässt sich jeder Schritt nachvollziehen und zurückdrehen.
- Prüfen. Automatische Tests, echte Beispiele und eine Prüfliste für Sicherheit und Datenschutz. BSI und ANSSI empfehlen, erzeugten Code grundsätzlich zu prüfen und nachzuvollziehen.
- Sicher veröffentlichen. Zugangsdaten gehören nicht in den Code, Test und Betrieb laufen getrennt, und es gibt eine Sicherung, die auch tatsächlich zurückgespielt werden kann.
- Betrieb regeln. Wer pflegt das Werkzeug, was kostet es laufend, und wer übernimmt, wenn es wichtig wird?
Spielregeln für Ihr Unternehmen
Vibe Coding zu verbieten hilft wenig, dann wird eben heimlich gebaut. Besser sind klare Regeln, wie sie auch BSI und ANSSI empfehlen:
- Freigegebene Werkzeuge mit Firmenkonten. Vertragsbedingungen prüfen und das Training mit Ihren Daten abschalten, wo es möglich ist.
- Klare Regeln für Daten. Festlegen, welche Werkzeuge mit welchen Daten wofür genutzt werden dürfen.
- Selbst gebaute Werkzeuge melden. Eine einfache Liste genügt: wer, was, wo, mit welchen Daten. So bleibt nichts im Verborgenen.
- Prüfung vor dem Einsatz. Bevor ein Werkzeug echte Kundendaten sieht oder im Internet steht, sieht es sich jemand an, der Code lesen kann.
- Schulung. Wer mit KI baut, sollte ihre Grenzen kennen. Schulungen gehören zu den Maßnahmen für die KI-Kompetenz, die die EU-KI-Verordnung von Unternehmen erwartet.
Was Vibe Coding kostet
Die Werkzeuge selbst kosten meist ein Monatsabo je Person. Wer viel mit Agenten arbeitet, braucht größere Pläne oder zahlt nach Verbrauch. Teurer ist die Zeit: Der Prototyp entsteht in Stunden, Tests, Sicherheit, Datenschutz und Pflege kosten ein Vielfaches davon. BSI und ANSSI weisen ausdrücklich darauf hin: Wenn Teams mit KI schneller Code schreiben, muss die Qualitätssicherung mitwachsen. Wer das einplant, erlebt keine böse Überraschung.
Selbst lernen oder bauen lassen?
Beides hat seinen Platz. Wer Ideen schnell greifbar machen und kleine Werkzeuge selbst bauen will, lernt Vibe Coding am besten an einem eigenen Vorhaben, mit den Schritten von oben. Genau so sind unsere Kurse zu Vibe Coding aufgebaut, vom Schnupperkurs online bis zur Schulung für Entwicklerteams. Soll aus dem Prototyp eine Anwendung für den Alltag werden, mit Anbindung an Ihre Programme und Betreuung, übernehmen wir das in unserer Abteilung KI-Software.
Fazit
Vibe Coding ist ein echter Fortschritt für alle, die Ideen schnell sichtbar machen wollen. Für Prototypen und kleine Werkzeuge ohne sensible Daten können Fachleute heute selbst bauen, was früher Wochen gedauert hätte. Für alles, was Kundendaten berührt, mit anderen Programmen spricht oder im Internet steht, ist der Prototyp der Anfang und nicht das Ende. Ob Ihr Vorhaben ein Fall zum Selberbauen ist oder einer für Profis, klären wir gern im kostenlosen KI-Check.
Quellen
- CNN: „Vibe coding“ named Collins Dictionary’s Word of the Year (6. November 2025)
- Veracode: GenAI Code Security Report (30. Juli 2025)
- Escape: Schwachstellen in Anwendungen aus Vibe-Coding-Werkzeugen (29. Oktober 2025)
- heise online: KI-Agent von Replit löscht Datenbank (25. Juli 2025)
- BSI und ANSSI: AI Coding Assistants (4. Oktober 2024)