Vibe-Coding, IT-Sicherheit und Wartung: Mit KI ist eine App schnell gebaut. Doch was kommt danach?

Dank KI kann heute fast jeder eigene Software entwickeln. Doch während neue Apps in Rekordzeit entstehen, werden Fragen zu Sicherheit, Stabilität und langfristiger Wartung oft ignoriert. Der Software-Experte Kevin Riedl erklärt, welche Fehler Vibe-Coder häufig machen, worauf sie achten sollten – und warum die eigentliche Arbeit für Vibe-Coder wie unseren Autor erst beginnt, wenn die App bereits läuft.

Von Michael Förtsch

Es war schon ein ziemlicher Zufall. Erst vor kurzem hatte ich begonnen, mittels Vibe-Coding ein Programm zu entwickeln – diese Geschichte findet ihr hier. Nichts Spannendes, Kreatives oder Bahnbrechendes, sondern etwas fast schon Banales, aber durchaus Nützliches: einen Bildbetrachter mit integrierten Bildbearbeitungsfunktionen, inspiriert von etablierten und vielgeschätzten Programmen wie IrfanView und Nomacs. Einfach ein Programm, wie ich es tagtäglich benutze – und das mir unter Linux in dieser Form und mit bestimmten Funktionen fehlte. Gedacht als Open-Source-Projekt, das jeder frei nutzen und weiterentwickeln kann. Bereits seit einigen Wochen hatte ich an dem zunächst IxView, später üxzView getauften Programm herumgewerkelt, immer weiter ausgebaut und in einen Zustand gebracht, den ich für vorzeigbar hielt. Ich wollte es in der Open-Source-Community auf Reddit präsentieren. Doch dann erließ ein Moderator ebendieser Community neue Regeln.

„Deine Token sind wertlos: Keine KI mehr“, war der entsprechende Beitrag überschrieben. Darin wurde verboten, neue Programme und Projekte zu posten, die mittels Vibe-Coding oder mit Hilfe von Künstlicher Intelligenz entstanden sind – wie meine Software üxzView. Jegliche Nutzung von KI-Tools sei ein Ausschlussgrund. Selbst Texte, die mithilfe von KI übersetzt wurden, wollte der Moderator in dieser Community nicht mehr sehen. Das sorgte für viel Kritik. Selbst von jenen, die dem Einsatz von KI eigentlich skeptisch gegenüberstehen. Vor allem aber löste es jede Menge Debatten aus. Über die Möglichkeiten von AI-assisted Coding und Vibe-Coding. Aber auch über die damit verbundenen Herausforderungen. Darunter die Frage, ob und wie sich mithilfe von Künstlicher Intelligenz entwickelte Programme nicht nur eben mal schnell nutzbar machen, sondern auch langfristig sicher und stabil halten lassen – sich maintainen lassen, wie es im Entwicklerjargon heißt. Ein Thema, das, wie ich später erfuhr, auch in der Debatte zu meinem ersten Artikel ebenfalls Reddit stark diskutiert wurde.

„Da sind halt oft viel mehr Bugs drin, als die Leute glauben“, sagt auch Kevin Riedl im Gespräch mit 1E9. Er ist Gründer der Softwareagentur Wavect und hatte sich nach unseren KI- und Vibe-Coding-Artikel bei 1E9 gemeldet. Riedl und seine Mitarbeiter entwickeln, prüfen und betreuen Software, Online-Anwendungen und digitale Plattformen für Kunden aus Deutschland, den USA, Dubai bis hin zu Singapur. Von Finanz-Apps, die Millionen bewegen, bis hin zu Bildungsplattformen ist mittlerweile vieles dabei. Eben auch dank Vibe-Coding. Denn zahlreiche Kunden kämen inzwischen mit halbfertigen oder bereits funktionierenden, durch Vibe-Coding und AI-assisted Coding entstandenen Anwendungen zu ihnen, um sich professionelle Unterstützung zu holen. Das allein sieht Riedl keineswegs als Problem, sondern als natürliche Entwicklung. „Wir sind voll pro Vibe-Coding“, sagt er. „Wir empfehlen Kunden sogar, so zu starten.“

Vom Prototyp zur zuverlässigen Software

Gerade für Start-ups und Einzelentwickler sieht Riedl das Vibe-Coding als hervorragende Möglichkeit, Ideen auszuprobieren und mit begrenztem Budget funktionierende Prototypen zu entwickeln. Allerdings gebe es einen erheblichen Unterschied zwischen einem von Künstlicher Intelligenz entwickelten Prototyp und einer langfristig zuverlässig funktionierenden Anwendung, die womöglich von Tausenden Menschen genutzt werden soll. Nicht unbedingt, weil Künstliche Intelligenz schlechten Code produzieren würde. Die aktuellen Modelle seien erstaunlich gut darin, auf Basis einfacher Anweisungen durchaus komplexe Programme zu entwickeln, Fehler aufzuspüren und zu beheben. „Die Challenge ist, die KI darauf hinzuweisen, dass sie gewisse Dinge machen soll“, erklärt Riedl. Denn auch wenn moderne KI-Modelle viele Probleme selbstständig erkennen können, berücksichtigen sie nicht zwangsläufig sämtliche Anforderungen und denkbaren Fehlerquellen. Gerade Vibe-Codern ohne Programmiererfahrung fehlt dann oft das Wissen darüber, worauf sie einen Coding-Agenten überhaupt aufmerksam machen müssten.

Personen mit begrenzter Programmiererfahrung wie ich können bei einem stetig wachsenden Projekt nur schwer beurteilen, wie gut der KI-generierte Code wirklich ist. Zumal durch Vibe-Coding und AI-assisted Coding in kurzer Zeit enorme Mengen davon entstehen können. „Man produziert automatisch mehr Code und mehr Bugs“, sagt Riedl. Wie sich das konkret auswirkt, hat er sich bei üxzView angesehen. Dafür lud Riedl den Quellcode des Programms von GitHub herunter und ließ ihn zunächst mittels Künstlicher Intelligenz analysieren. Anschließend schaute er sich die Ergebnisse selbst an und bewertete, welche der gefundenen Probleme tatsächlich relevant sind. Die Bilanz war nicht schlecht. Das Programm habe eine „solide Basis“, bestätigte er. Dennoch fielen ihm einige Makel und Unzulänglichkeiten auf, die zwar nicht unmittelbar sicherheitsrelevant waren, aber durchaus die Wartbarkeit und Erweiterbarkeit des Programms betreffen.

Beispielsweise im Extension-Manager von üxzView, der zusätzliche Funktionen wie einen QR-Code- oder OCR-Reader verwaltet. Dort waren bestimmte Werte, etwa für die Fenstergröße, direkt im Quellcode festgeschrieben. „Das ist alles hardkodiert“, stellte Riedl fest. Das sei nicht grundsätzlich falsch, aber auch kein besonders sauberer oder flexibler Code. Denn solche fest eingebauten Werte können spätere Anpassungen erschweren. Gerade wenn ein Programm darauf ausgelegt ist, langfristig gewartet und weiterentwickelt zu werden. Derartige Aspekte müsse man allerdings nicht zwangsläufig sofort adressieren. Bei einem kleinen Projekt, das nur wenige Menschen nutzen, könne man sie zunächst ignorieren und später angehen. Ein „Es muss jetzt einfach mal funktionieren“ sei bei nicht wenigen Projekten sogar der richtige erste Ansatz.

Auch Perfektionismus könne durchaus Probleme bereiten. Ambitionierte, aber noch unerfahrene Entwickler würden ihre Projekte durch sogenanntes Overengineering gerne unnötig verkomplizieren. Also aufwendige Strukturen und technische Lösungen einbauen, die es für den eigentlichen Sinn und Zweck einer Anwendung überhaupt nicht braucht. Hier seien Vibe-Coder manchmal sogar im Vorteil. Gerade aufgrund ihrer mangelnden Erfahrung und fehlender Programmierkenntnisse würden manche von ihnen mit Künstlicher Intelligenz „ein bisschen behutsamer vorgehen“, pragmatischere Anforderungen stellen, schlankere Software konstruieren und damit zuweilen sogar bessere Ergebnisse erzielen. Zumindest solange sie sich nicht dazu verleiten lassen, immer neue Funktionen hinzuzufügen und ihre Anwendungen massiv aufzublähen, ohne zwischendurch bestehende Strukturen zu überprüfen und interne Wechselwirkungen zu berücksichtigen.

Softwarequalität ist kein einmaliger Check

Einen Freibrief, den Zustand des Quellcodes dauerhaft zu ignorieren, gibt es jedoch nicht. Denn mit jeder Erweiterung und jeder Fehlerkorrektur können neue Probleme entstehen, sagt Kevin Riedl. Je umfangreicher ein Projekt wird, desto schwieriger wird es auch für moderne KI-Modelle, sämtliche Abhängigkeiten und Verknüpfungen zu überblicken. Hinzu kommt, dass das unmittelbare Erinnerungsvermögen eines Modells begrenzt ist. Denn mit dem sogenannten Kontextfenster existiert eine Obergrenze dafür, wie viele Informationen eine KI gleichzeitig verarbeiten kann. Diese fällt je nach Modell unterschiedlich groß aus und kann einige Hunderttausend bis einige Millionen Token umfassen. Bei längeren Arbeitssitzungen können daher frühere Anweisungen, Entscheidungen und Informationen über bereits behobene Fehler aus dem verfügbaren Kontext verschwinden oder nur noch in zusammengefasster Form vorliegen.

Zwar können Coding-Agenten den Quellcode jederzeit erneut einlesen und analysieren. Aber auch das garantiert nicht, dass sie sämtliche relevanten Zusammenhänge erfassen. Daher genügt es nicht, die KI-Werkzeuge einmal gründlich alles überprüfen zu lassen, bevor ein Programm genutzt oder für andere bereitgestellt wird. Stattdessen solle man den Code immer wieder untersuchen lassen, rät Riedl. Hierbei gehe es nicht nur darum, offensichtliche Bugs aufzuspüren. Sondern auch strukturelle Schwächen und Inkonsistenzen zu entdecken oder verschiedene Nutzungsszenarien durchzuspielen. Denn Werkzeuge wie Codex, Claude Code und andere können automatisierte Tests erstellen und ausführen. Mit den entsprechenden Werkzeugen und Testumgebungen lassen sich Anwendungen sogar von der KI direkt bedienen, ihre Reaktionsgeschwindigkeit messen oder Buttons ausfindig machen, die ins Nichts führen.

Entscheidend ist dabei laut Riedl, die KI durch gezielte Prompts immer wieder auf unterschiedliche Aspekte der Software aufmerksam zu machen. Beispielsweise die Speichernutzung zu prüfen, unnötigen Datenballast zu beseitigen oder die Navigierbarkeit von Einstellungen und Nutzeroberflächen zu untersuchen. Die daraus resultierenden Einschätzungen und Verbesserungsvorschläge dürfe der Entwickler allerdings nicht einfach ungeprüft übernehmen, sondern müsse sie kritisch bewerten. Denn es komme durchaus vor, dass KI-Modelle die Anforderungen des Entwicklers falsch verstehen, die falschen Aspekte priorisieren oder Prompts zu stark generalisieren. So könnte Claude Code beispielsweise ein Programm schneller machen, indem es bestimmte Funktionen vereinfacht oder entfernt. Der Entwickler hatte diese jedoch bewusst eingebaut hat, obwohl sie sehr ressourcenhungrig sind.

Zur langfristigen Wartung gehört aber nicht nur die Kontrolle der Funktionalität des eigenen Programms und die Fehlersuche im Quellcode. Laut Riedl gehe es auch um die sogenannten Dependencies: externe Programmbibliotheken und Softwarekomponenten, auf denen viele Anwendungen aufbauen. Auch dort könnten Fehler und Sicherheitslücken entdeckt werden. Wer sein Programm nach der Veröffentlichung nicht regelmäßig warte, riskiere daher, dass es mit der Zeit unsicher oder inkompatibel mit neueren Betriebssystemen oder Hardware-Architekturen werde. Natürlich komme es dabei stark auf die Art der Software an. Ein lokal installiertes Programm wie üxzView stelle ganz andere Anforderungen als eine Onlineplattform, die von Tausenden Menschen genutzt wird. Bei Letzterer könne eine entdeckte Sicherheitslücke, beispielsweise in der auf einem Server eingesetzten PHP-Laufzeitumgebung, unter Umständen ein erhebliches Risiko darstellen. Je nach Schwachstelle könnten Angreifer dadurch womöglich Zugriff auf sensible Nutzerdaten erlangen oder Schadsoftware verbreiten.

Wenn Softwareentwickler kaum noch selbst programmieren

Gerade im Potenzial und in der zunehmenden Verbreitung von Vibe-Coding sieht Kevin Riedl einen Grund dafür, dass das Wissen und die Erfahrung professioneller Softwareentwickler weiterhin gefragt sein werden. Denn immer häufiger entstehe mithilfe von KI-Tools Software, die plötzlich von Tausenden Menschen genutzt wird. Oder kleine Start-ups mit wenig erfahrenen Entwicklern bauen Onlineplattformen auf, die innerhalb kurzer Zeit stark wachsen. Damit verändern sich allerdings auch die Aufgaben von Riedl und seinen Kollegen. Neben der klassischen Entwicklung von Anwendungen wird die Überprüfung und Verbesserung KI-generierter Software zunehmend zum Hauptgeschäftsfeld. „Es hat sich jetzt einfach alles so ein bisschen ins Testing und QA verlagert“, erklärt Riedl. Sie würden sich also weniger damit beschäftigen, wie eine bestimmte App oder Funktion programmiert werden muss. Sondern vielmehr damit, wie eine Anwendung aufgebaut sein sollte, wie sich neue Funktionen sinnvoll und ressourcenschonend integrieren lassen und ein sicherer, zuverlässiger Betrieb gewährleistet werden kann.

Riedl sieht darin nicht nur einen Wandel bei sich und seinem Team, sondern eine grundlegende Veränderung des gesamten Berufsbildes. Das klassische Programmieren könnte zunehmend zu einer spezialisierten Tätigkeit werden. Demgegenüber würden Software- und Product-Engineering an Bedeutung gewinnen. Also das Verständnis dafür, wie komplexe Software sinnvoll aufgebaut, langfristig weiterentwickelt und zuverlässig betrieben werden kann. Ebenso die Fähigkeit, technische Lösungen auf ihre Effizienz und Skalierbarkeit hin zu beurteilen, um aus einer Idee ein dauerhaft nutzbares und wirtschaftlich tragfähiges Produkt zu machen. Dazu gehöre auch, unnötige Komplexität zu vermeiden und zu erkennen, wann bestehende Strukturen einer grundlegenden Überarbeitung bedürfen. „Die KI schlägt dir das nicht vor“, sagt Riedl über seine bisherigen Erfahrungen. „Ich habe noch nie erlebt, dass mir die KI gesagt hat [...] das wird jetzt langsam schwierig, vielleicht sollten wir mal das machen.“ Selbst wenn eine KI grundsätzlich dazu imstande wäre, solche Notwendigkeiten zu erkennen, brauche es jemanden, der entsprechende Überprüfungen anstößt und über die Sinnhaftigkeit einer Umstrukturierung entscheidet.

Dennoch glaubt Riedl nicht, dass solche Kompetenzen ausschließlich ausgebildeten Programmierern und IT-Fachkräften vorbehalten bleiben müssen. Er sieht eher das Gegenteil als kommende Realität. „Wenn ich jetzt Vibe-code, lerne ich, Software zu entwickeln“, sagt er. Riedl ist überzeugt, dass auch Menschen ohne größere Programmierkenntnisse durchaus ein Verständnis für Softwareentwicklung gewinnen können. Eben durch die enge Zusammenarbeit mit KI-Coding-Agenten. Dazu müsse man nicht unbedingt jede einzelne Codezeile verstehen oder selbst herausfinden können, wo ein vergessenes Zeichen einen Fehler verursacht. Viel wichtiger sei es, Probleme zu erkennen, Wechselwirkungen zwischen einzelnen Funktionen zu antizipieren, Anforderungen nachvollziehbar zu formulieren, technische Entscheidungen einzuschätzen und Ergebnisse kritisch bewerten zu können. Dass Software-Entwicklung lange Zeit so eng mit dem eigentlichen Programmieren gleichgesetzt wurde, habe auch daran gelegen, dass Quellcode das zentrale Mittel war, um Computern komplexe Anweisungen zu geben. Nun übernehme die KI zunehmend die Rolle einer zusätzlichen Schnittstelle zwischen Menschen und Maschine.

Aber auch hier stellt sich wieder das Problem der langfristigen Wartung. Gerade bei Open-Source-Projekten hänge viel von der Motivation einzelner Entwickler ab. Immer wieder tauchen neue, spannende Programme auf, die für Begeisterung sorgen und schnell eine Community um sich versammeln. Doch nach der anfänglichen Hype-Phase bleibt die Verantwortung für das Projekt oft an wenigen Personen hängen. „Du hast in der Community für ein Softwareprojekt immer so ein paar Key People, und wenn die aufhören oder nicht mehr so motiviert sind, dann stirbt das Projekt“, sagt Riedl. Durch Vibe-Coding könnte sich dieses Problem sogar verschärfen. Denn damit entstehen immer mehr Anwendungen, die schnell Aufmerksamkeit erregen, anschließend aber über Jahre hinweg betreut und weiterentwickelt werden müssen. Doch: „Wartung ist langweilig, immer schon gewesen“, meint Riedl. Natürlich können KI-Werkzeuge auch dabei helfen, den damit verbundenen Zeitaufwand erheblich zu reduzieren. Dennoch muss sich ein Entwickler bewusst dafür entscheiden, diese Arbeit zu leisten.