123-MPU – Security-Audit einer Vibe-Coding-App (Lovable & Supabase)

Ausgangssituation

123-MPU hat mit Lovable und Supabase den „MPU Manager“ gebaut: ein Multi-Tenant-System für das Klientenmanagement mit sensiblen personenbezogenen Daten, Dokumenten und Videoaufzeichnungen. Vor dem Go-live standen die typischen Fragen jeder Vibe-Coding-App:

• Ist die Trennung zwischen den Mandanten wirklich dicht?
• Greifen die RLS-Policies, oder existieren sie nur?
• Was passiert bei 100 oder 1.000 aktiven Nutzern?

Lösung

Eine technische Analyse der gesamten Plattform. Kern waren 25 Testfälle zu:

• Multi-Tenant-Architektur und Datenbank-Design
• Cross-Tenant-Zugriffen auf Basis der RLS-Policies
• Secrets und API-Keys
• Auth- und Magic-Link-Security, Storage- und Video-Zugriffskontrolle
• API-Integrationen (Zoom, LearningSuite, Calendly, Stripe)

Dazu kamen ein Threat Model, eine Skalierbarkeits- und Kostenanalyse, eine Findings-Datenbank mit Bug-Reports und eine priorisierte „Ship-Ready“-Checkliste mit Maßnahmenplan in fünf Phasen.

Worauf es beim Weg von Vibe Coding in die Produktion generell ankommt, fasst unser Security- und DevOps-Check für KI-gebaute Software zusammen.

Technologie-Stack

• Lovable + Supabase (Row Level Security, Storage, Edge Functions)
• Multi-Tenant-Security-Testing (Cross-Tenant-Zugriffe, Query-Manipulation, JWT-Validierung)
• API-Integrationen: Zoom, LearningSuite, Calendly, Stripe (Webhook-Security)
• Threat Modeling & CWE-basierte Schwachstellenanalyse
• Performance- & Kostenstruktur-Analyse (Connection Pooling, Rate Limiting, Edge Functions)

Ergebnis & Impact

• 25 Testfälle, überwiegend bestanden
• 2 kritische Sicherheitslücken vor dem Go-live gefunden und dokumentiert
• Priorisierter 5-Phasen-Plan bis zur „Ship-Ready“-Plattform
• Nachhärten statt Neubau: Nach unserer Schätzung dauert das Beheben Tage, eine Neuentwicklung hätte 2 bis 4 Monate gekostet
• Anschlussangebot für die Behebung der Findings und die Stripe-Anbindung