Was ist Vibe Coding? Chancen und Grenzen im Unternehmen

Vibe Coding bedeutet, Software zu entwickeln, indem man einer KI in natürlicher Sprache beschreibt, was entstehen soll, und den erzeugten Code kaum noch selbst liest. Geprüft wird, ob das Ergebnis funktioniert, nicht, wie es gebaut ist. Für Unternehmen heißt das: Prototypen und interne Werkzeuge entstehen in Stunden statt Wochen, auch ohne Entwicklungsabteilung. Der Haken liegt nicht im Bauen, sondern im Betreiben. Sobald eine Vibe-Coding-App echte Kundendaten, Rechte und Rollen oder Zahlungen verarbeitet, braucht sie dieselbe Sorgfalt wie jede andere Software. Dieser Beitrag erklärt, was Vibe Coding ist, welche Tools dahinterstehen, wo es sich im Unternehmen lohnt, wo es gefährlich wird und wie der Weg in die Produktion aussieht. Die Beispiele stammen aus unseren eigenen Projekten.

Was ist Vibe Coding genau?

Der Begriff stammt von Andrej Karpathy, Mitgründer von OpenAI und früherer KI-Chef bei Tesla. Im Februar 2025 beschrieb er auf X eine neue Art zu programmieren: Man „gibt sich ganz den Vibes hin”, redet mit der KI, akzeptiert Vorschläge ohne sie zu lesen und kopiert Fehlermeldungen einfach zurück in den Chat, bis es läuft. Das war halb ernst gemeint und halb Selbstironie. Trotzdem traf es einen Nerv. Keine zehn Monate später kürte das Collins Dictionary „vibe coding” zum Wort des Jahres 2025.

Für die Praxis ist eine Abgrenzung wichtig, weil der Begriff inzwischen für alles Mögliche verwendet wird:

• Vibe Coding im engen Sinn: Der Mensch beschreibt, die KI baut, niemand liest den Code. Typisch für Nicht-Entwickler in Tools wie Lovable oder Bolt.
• KI-gestützte Entwicklung: Entwicklerinnen und Entwickler nutzen Cursor, Claude Code oder GitHub Copilot, lesen und prüfen aber, was entsteht. Sie bleiben verantwortlich für Architektur und Qualität.
• Spec-Driven Development: Erst wird präzise beschrieben, was gebaut werden soll (Anforderungen, Regeln, Datenmodell), dann arbeiten Coding-Agenten diese Vorgaben ab. Hier liegt der Großteil der Arbeit vor dem ersten Prompt.

Alle drei Varianten nutzen dieselben Modelle. Der Unterschied liegt in der Rolle des Menschen. Genau diese Rolle entscheidet später darüber, ob eine Anwendung wartbar und sicher ist. Eine kompakte Definition finden Sie auch in unserem Glossar-Eintrag zu Vibe Coding.

Welche Tools gibt es für Vibe Coding?

Die Werkzeuglandschaft teilt sich grob in zwei Gruppen, die unterschiedliche Zielgruppen ansprechen.

Plattformen für Nicht-Entwickler. Lovable, Bolt, v0 und Replit erzeugen aus einer Beschreibung eine komplette Web-App inklusive Oberfläche, Datenbank und Hosting. Lovable setzt dafür auf Supabase als Datenbank- und Auth-Schicht, was die typische Kombination für Vibe-Coding-Apps im DACH-Raum geworden ist. Die Einstiegshürde ist minimal: Wer einen Satz formulieren kann, bekommt in Minuten etwas Klickbares.

Coding-Agenten für Entwicklerteams. Cursor, Claude Code, GitHub Copilot und vergleichbare Werkzeuge arbeiten direkt im bestehenden Code. Sie lesen das Projekt, schreiben Änderungen, führen Tests aus und beheben Fehler. Hier entscheidet das Team selbst, wie viel es dem Agenten überlässt. Mit guten Regeln, Projektplänen und Konventionen wird daraus Spec-Driven Development. Ohne sie wird daraus Vibe Coding mit professionellem Anstrich.

Welche Plattform für Sie passt, hängt weniger vom Tool als von der Frage ab, wer die Anwendung später pflegt. Eine Fachabteilung ohne Entwickler fährt mit Lovable gut, solange die App intern bleibt. Ein Entwicklungsteam arbeitet mit Cursor oder Claude Code deutlich kontrollierter. Wie Sie als Einsteiger mit KI programmieren, zeigen wir Schritt für Schritt im Beitrag Programmieren mit KI.

Wo funktioniert Vibe Coding im Unternehmen?

Die ehrliche Antwort: an mehr Stellen, als viele Entwickler zugeben möchten. Wir sehen in unseren Projekten vier Einsatzfelder, in denen Vibe Coding echten Wert schafft.

Prototypen und Klick-Dummies. Früher brauchte ein Fachbereich Wochen, um eine Idee so zu beschreiben, dass die IT sie versteht. Heute baut er den Prototyp selbst und zeigt ihn. Das verkürzt Abstimmungen enorm, weil alle über dasselbe Bild sprechen statt über ein Lastenheft.

Interne Werkzeuge. Ein Dashboard, das Zahlen aus drei Quellen zusammenzieht. Ein Formular, das eine Excel-Liste ablöst. Ein kleines Portal für Urlaubsanträge. Solche Werkzeuge waren bisher zu klein für ein IT-Projekt und zu groß für Excel. Vibe Coding füllt genau diese Lücke.

Validierung vor der Investition. Bevor ein Unternehmen Individualsoftware beauftragt oder ein SaaS-Produkt lizenziert, lässt sich die Kernidee mit einem Vibe-Coding-Prototyp an echten Nutzern testen. Wie Sie danach zwischen Kaufen und Bauen entscheiden, beschreibt unser Beitrag zur Build-or-Buy-Entscheidung.

Beschleunigung im Entwicklerteam. Teams, die KI-Agenten mit klaren Vorgaben einsetzen, liefern messbar schneller. Die Stack Overflow Developer Survey 2025 (Stand Juli 2025) zeigt: 84 Prozent der Befragten nutzen oder planen KI-Werkzeuge in der Entwicklung. Sie zeigt aber auch, dass fast die Hälfte der Genauigkeit der Ergebnisse misstraut. Beides ist berechtigt.

Wie weit Vibe Coding tragen kann, hat uns ein Kunde aus der Ferienpark-Branche gezeigt. Upland Parcs hat ohne eigene Entwicklungsabteilung ein komplettes Intranet gebaut: Zeiterfassung, Urlaubs- und Schichtplanung, Wiki, Dashboards und einen internen KI-Assistenten, der auf Unternehmenswissen zugreift. Alles per Vibe Coding mit einem KI-Coding-Agenten. Ehrlich gesagt: Wir haben Projekte von eingespielten Teams gesehen, die weniger durchdacht waren. Der entscheidende Schritt kam aber vor dem Rollout. Bevor das ganze Team Zugriff bekam, wollte der Geschäftsführer wissen, ob wirklich jeder nur seine eigenen Daten sieht. Diese Frage konnte das Tool nicht beantworten. Wir schon, mit einem strukturierten Security-Check. Dazu gleich mehr.

Wo liegen die Grenzen von Vibe Coding?

Die Grenzen zeigen sich fast nie beim Bauen. Sie zeigen sich beim Betreiben, Ändern und Absichern. Fünf Punkte sehen wir immer wieder.

Niemand besitzt den Code. Wenn niemand im Unternehmen den Code gelesen hat, kann auch niemand beurteilen, warum etwas funktioniert oder warum es plötzlich nicht mehr funktioniert. Beim dritten Prompt, der die Datenbankstruktur ändert, geraten frühere Entscheidungen in Konflikt. Die App läuft weiter, aber auf einem Fundament, das keiner mehr versteht. Code Ownership ist die wichtigste Frage, die Sie vor jedem Vibe-Coding-Projekt klären sollten.

Sicherheitslücken sind der Normalfall, nicht die Ausnahme. Der Veracode GenAI Code Security Report 2025 (Stand Juli 2025) fand in rund 45 Prozent des KI-generierten Codes Schwachstellen, über alle getesteten Modelle und Sprachen hinweg. In Vibe-Coding-Apps mit Supabase sehen wir vor allem fehlende oder falsche Row-Level-Security-Regeln: Die Datenbank hat Türen, die nie abgeschlossen wurden. Der Klassiker ist eine Tabelle, die für alle angemeldeten Nutzer lesbar ist, obwohl sie Daten mehrerer Mandanten enthält.

Datenschutz wird zum Meldefall. Eine Vibe-Coding-App, die Mitarbeiter- oder Kundendaten verarbeitet, unterliegt der DSGVO wie jede andere Software. Ein Rechtefehler ist dann kein Bug, sondern ein möglicher meldepflichtiger Vorfall. Wer Hosting außerhalb der EU, Logging von personenbezogenen Daten in KI-Prompts oder fehlende Löschkonzepte übersieht, hat ein Problem, das kein Prompt mehr löst. Grundlagen dazu finden Sie im Glossar unter DSGVO und Datenschutz.

Wartung und Skalierung. Eine App für fünf Nutzer verhält sich anders als eine für fünfhundert. KI-generierter Code optimiert selten für Last, Datenbankindizes oder Kostenstruktur. Was im Prototyp in Millisekunden antwortet, kann bei echten Datenmengen minutenlang laden oder die Cloud-Rechnung vervielfachen.

Die Illusion der Geschwindigkeit. Eine viel diskutierte Studie von METR (Juli 2025) hat erfahrene Open-Source-Entwickler mit und ohne KI-Werkzeuge beobachtet. Mit KI brauchten sie in ihren eigenen, vertrauten Projekten rund 19 Prozent länger, schätzten sich selbst aber als deutlich schneller ein. Die Studie ist klein und betrifft einen speziellen Fall, aber die Lehre gilt breiter: Vibe Coding fühlt sich schnell an. Ob es schnell ist, zeigt sich erst, wenn man die Zeit für Nacharbeit, Fehlersuche und Absicherung mitrechnet.

Wie konkret diese Grenzen werden, zeigt unser Audit für 123-MPU. Das Unternehmen hatte mit Lovable und Supabase ein Multi-Tenant-System für sensibles Klientenmanagement gebaut, mit personenbezogenen Daten, Dokumenten und Videoaufzeichnungen. In 25 Testfällen zu Mandantentrennung, Rechten und Authentifizierung fanden wir zwei kritische Lücken, vor dem Go-live. Die gute Nachricht: Nachhärten statt Neubau. Nach unserer Schätzung dauerte das Beheben Tage, eine Neuentwicklung hätte zwei bis vier Monate gekostet. Der Prototyp war also nicht wertlos. Er war nur noch nicht fertig.

Vibe Coding oder klassische Entwicklung: Was passt wann?

Die Frage ist selten „entweder oder”. Meist geht es darum, welcher Ansatz zu welcher Phase und welchem Risiko passt. Die folgende Tabelle fasst unsere Einschätzung zusammen.

Drei Faustregeln helfen bei der Einordnung:

1. Bleibt die App intern und berührt keine sensiblen Daten? Dann ist Vibe Coding fast immer die richtige Wahl. Bauen Sie, probieren Sie, werfen Sie weg, wenn es nicht passt.
2. Verarbeitet die App Kunden-, Mitarbeiter- oder Zahlungsdaten? Dann darf sie per Vibe Coding entstehen, aber nicht ungeprüft live gehen. Ein Security-Check vor dem Rollout ist Pflicht, kein Luxus.
3. Ist die App ein Kernprozess, von dem der Betrieb abhängt? Dann brauchen Sie Code Ownership im Haus oder bei einem Partner, der die Verantwortung übernimmt. Das kann ein internes Team sein, eine KI-Agentur oder ein Forward Deployed Engineer, der im Unternehmen mitarbeitet.

Wie kommt eine Vibe-Coding-App sicher in Produktion?

Der Weg von der funktionierenden Demo zur produktiven Anwendung besteht aus vier Schritten. Sie sind unabhängig vom Tool, mit dem die App entstanden ist.

1. Rechte und Rollen prüfen. Wer darf was sehen und ändern? Diese Frage wird in jeder Datenbank-Policy, jeder Schnittstelle und jedem Admin-Bereich beantwortet, oft unterschiedlich. Ein strukturierter Check gleicht alle Antworten mit dem Soll ab: Secret-Scan über Code und Versionshistorie, Abgleich der Row-Level-Security-Regeln, Rollentests mit echten Anmeldungen und bewussten Umgehungsversuchen. Enthält die App einen KI-Assistenten, kommen Prompt Injection und Tool-Freigaben dazu.

2. Findings priorisieren und beheben. Nicht jede Schwachstelle ist kritisch. Wir sortieren nach Hoch, Mittel und Niedrig und beheben zuerst, was Daten preisgibt oder Fremdzugriff erlaubt. Bei Upland Parcs blieben nach dem Check wenige, klar priorisierte Punkte, die wir direkt behoben haben. Danach war das Intranet frei für den Rollout an das gesamte Team.

3. Betrieb aufsetzen. Backups, Monitoring, Fehlerbenachrichtigung, Kostenkontrolle für KI-Aufrufe, ein Deployment-Prozess mit Staging-Umgebung. Vieles davon fehlt in Vibe-Coding-Apps vollständig, weil kein Prompt danach gefragt hat. Was in dieser Phase konkret zu tun ist, beschreibt unser Security- und DevOps-Check für KI-gebaute Software im Detail, inklusive Checkliste.

4. Weiterentwicklung regeln. Die App ist live, die Ideen gehen weiter. Jetzt entscheidet sich, ob das Unternehmen sicher weiterbaut oder jede Änderung ein neues Risiko wird. Hier hilft der Wechsel von Vibe Coding zu Spec-Driven Development: Regeln für den Coding-Agenten, ein dokumentiertes Datenmodell, Tests, die vor jedem Release laufen, und Reviews für alles, was Rechte oder Daten berührt. Bei Upland Parcs war genau das der zweite Teil des Auftrags: ein Deep-Dive, wie das Team künftig sicher mit KI-Coding-Agenten weiterentwickelt.

Dieser Weg ist deutlich günstiger als ein Neubau. Nach unserer Erfahrung kostet ein Security-Check mit Nachhärtung einen Bruchteil dessen, was eine klassische Neuentwicklung kosten würde. Der Prototyp behält seinen Wert, er bekommt nur das Fundament, das ihm fehlt. Unsere Angebote dafür finden Sie auf der Seite Services.

Was bedeutet Vibe Coding für Entwicklerteams?

Für professionelle Teams ist Vibe Coding weniger eine Methode als eine Warnung. Die Werkzeuge sind dieselben, die Haltung ist eine andere. Bei SquareNeo, einem Softwareunternehmen, haben wir das Entwicklerteam genau an dieser Stelle abgeholt: Das Team nutzte KI-Tools bereits, aber ohne gemeinsames Zielbild. In einem Praxis-Vortrag mit zwei Live-Demos haben wir Vibe Coding („bauen, dann fixen”) gegen Spec-Driven Development gestellt, bei dem rund 80 Prozent der Arbeit in Vorbereitung fließt: Rules, Projektpläne, Konventionen, ein sauberes Datenmodell. Erst dann arbeiten die Coding-Agenten.

Das Ergebnis war kein Verbot von Vibe Coding, sondern eine klare Zuordnung. Für einen Wegwerf-Prototyp, eine Demo für den Kunden oder ein Experiment mit einer neuen Bibliothek ist Vibe Coding genau richtig. Für alles, was in Produktion geht, gilt Spec-Driven. Was das für die Rolle des Entwicklers langfristig bedeutet, diskutieren wir im Beitrag Ersetzt KI bald den Clean-Code-Entwickler?.

Ein Nebeneffekt, den wir bei mehreren Teams beobachten: Vibe Coding verschiebt den Engpass. Code schreiben war lange der teuerste Schritt. Jetzt sind es Anforderungen klären, Architektur entscheiden und Qualität prüfen. Teams, die das verstehen, investieren in genau diese Fähigkeiten. Teams, die es nicht verstehen, produzieren schneller Code, den sie langsamer verstehen.

Fazit

Vibe Coding ist keine Spielerei und kein Ersatz für Softwareentwicklung. Es ist ein neuer Weg, Ideen schnell in etwas Klickbares zu verwandeln, und das ist für Unternehmen enorm wertvoll: Prototypen in Stunden, interne Werkzeuge ohne IT-Projekt, Validierung vor der Investition. Die Grenze verläuft dort, wo Daten, Rechte und Betrieb ins Spiel kommen. Dort braucht eine Vibe-Coding-App dieselbe Sorgfalt wie jede andere Software: einen Security-Check vor dem Rollout, einen geregelten Betrieb und jemanden, der den Code verantwortet.

Die gute Nachricht aus unseren Projekten: Dieser Schritt ist meist deutlich kleiner als ein Neubau. Wer die Grenze kennt und rechtzeitig prüfen lässt, bekommt das Beste aus beiden Welten, das Tempo von Vibe Coding und die Sicherheit professioneller Entwicklung.

Häufige Fragen

Was ist Vibe Coding einfach erklärt?

Vibe Coding bedeutet, Software zu bauen, indem man einer KI in Alltagssprache beschreibt, was entstehen soll. Die KI schreibt den Code, startet die Anwendung und behebt Fehler anhand von Rückmeldungen. Der Mensch steuert über Anweisungen und Ausprobieren, nicht über den Code selbst. Der Begriff stammt von Andrej Karpathy aus dem Februar 2025.

Welche Tools eignen sich für Vibe Coding?

Für Nicht-Entwickler sind Lovable, Bolt, v0 und Replit verbreitet, sie erzeugen komplette Web-Apps inklusive Datenbank und Hosting. Entwicklerteams arbeiten eher mit Cursor, Claude Code oder GitHub Copilot direkt im bestehenden Code. Welche Plattform passt, hängt vor allem davon ab, wer die Anwendung später pflegt.

Kann man mit Vibe Coding produktive Unternehmenssoftware bauen?

Ja, aber nicht ungeprüft. Eine Vibe-Coding-App kann als Prototyp entstehen und dann für den Betrieb gehärtet werden. Dazu gehören ein Security-Check mit Rollentests, das Beheben priorisierter Findings, ein geregelter Betrieb mit Backups und Monitoring sowie klare Regeln für die Weiterentwicklung. Ohne diese Schritte sollte keine App mit sensiblen Daten live gehen.

Wie sicher ist KI-generierter Code?

Laut dem Veracode GenAI Code Security Report 2025 enthält rund 45 Prozent des KI-generierten Codes Sicherheitslücken. In Vibe-Coding-Apps mit Supabase sehen wir vor allem fehlende oder falsche Row-Level-Security-Regeln, bei denen Nutzer Daten anderer Nutzer oder Mandanten sehen können. Solche Lücken lassen sich finden und schließen, aber nur, wenn jemand gezielt danach sucht.

Was kostet es, eine Vibe-Coding-App produktionsreif zu machen?

Das hängt von Umfang und Datensensibilität ab. Nach unserer Erfahrung liegt ein Security-Check mit Nachhärtung bei einem Bruchteil einer Neuentwicklung. Bei einem unserer Audits dauerte das Beheben der kritischen Findings nach unserer Schätzung Tage, ein Neubau hätte zwei bis vier Monate gekostet. Konkrete Zahlen nennen wir nach einem kurzen Blick auf die Anwendung.

Was ist der Unterschied zwischen Vibe Coding und Spec-Driven Development?

Beim Vibe Coding wird gebaut und dann korrigiert, der Code bleibt meist ungelesen. Beim Spec-Driven Development fließt der Großteil der Arbeit in die Vorbereitung: Anforderungen, Regeln für den Coding-Agenten, Datenmodell und Konventionen. Erst dann setzt die KI um. Für Prototypen reicht Vibe Coding, für produktive Software empfehlen wir Spec-Driven.

Sie haben eine Vibe-Coding-App gebaut und fragen sich, ob sie bereit für den Rollout ist? Oder Sie wollen wissen, welche Ihrer Ideen sich mit Vibe Coding schnell validieren lassen? Lassen Sie uns in einem unverbindlichen Erstgespräch gemeinsam draufschauen.