Was bei KI-generierter Software technisch und rechtlich schiefgehen kann

Vibe Coding beschreibt eine Form der Softwareentwicklung, bei der nicht mehr Zeile für Zeile programmiert wird. Stattdessen schildern Gründerinnen, Selbstständige und Unternehmen in Alltagssprache, was ihre Anwendung leisten soll, und KI-Werkzeuge wie ChatGPT, Claude, Cursor oder Lovable erzeugen daraus den passenden Code. Das senkt die Einstiegshürden erheblich, bringt aber ein grundlegendes Problem mit sich, denn es geht Code in den Live-Betrieb, den oft niemand vollständig gelesen, verstanden oder geprüft hat. Sobald echte Nutzer, echte Zahlungen und echte personenbezogene Daten im Spiel sind, gelten für ein solches Projekt dieselben technischen und rechtlichen Anforderungen wie für jede professionell entwickelte Software.

Funktioniert, aber nicht sicher: Die technischen Schwachstellen

KI-Assistenten arbeiten auf ein sichtbares Ergebnis hin. Sie prüfen, ob die Anwendung startet, ob das Formular abgeschickt wird und ob die Bestellung durchläuft. Ob die Architektur dahinter sicher ist, spielt für dieses Ziel eine untergeordnete Rolle, und wer den generierten Code nicht selbst lesen kann, bemerkt die Defizite in aller Regel nicht.

Besonders häufig betrifft das die Datenbank. Viele KI-Werkzeuge richten das Backend automatisch bei Cloud-Anbietern wie Supabase ein, die Tabellen über eine Schnittstelle direkt aus dem Browser ansprechbar machen. Geschützt werden die Daten dabei durch Zugriffsregeln auf Zeilenebene, die ausdrücklich gesetzt werden müssen. Fehlen sie oder sind sie zu großzügig formuliert, genügt der öffentlich im Frontend hinterlegte Schlüssel, um Kundendaten, Adressen, Nachrichten oder Bestellhistorien auszulesen und unter Umständen sogar zu verändern. Medienberichten zufolge stand im Frühjahr 2026 annähernd jede zweite Supabase-Datenbank deutschsprachiger Websites offen.

Ein zweites Einfallstor sind Zugangsdaten. Schlüssel für Zahlungsdienstleister, Mailserver oder externe Schnittstellen landen in Konfigurationsdateien, die versehentlich mit veröffentlicht werden, weil eine entsprechende Ausschlussregel fehlt. In anderen Fällen werden sie unter Präfixen abgelegt, die das verwendete Framework automatisch in den öffentlich ausgelieferten Code übernimmt. Wer den Quelltext einer Seite im Browser öffnet, findet sie dann im Klartext vor.

Hinzu kommen veraltete Programmbibliotheken. Sprachmodelle schlagen Pakete und Versionen vor, die ihrem Trainingsstand entsprechen, aber längst bekannte Sicherheitslücken aufweisen können. Da Angreifer inzwischen ebenfalls KI einsetzen, um Websites automatisiert nach solchen Schwachstellen abzusuchen, bleibt eine offene Tür selten lange unentdeckt.

Unsichtbare Pflichten: Die rechtlichen Fallstricke

Noch schwerer zu erkennen sind die rechtlichen Risiken, da sie sich häufig nicht in Fehlermeldungen, sondern im Verhalten einer Seite zeigen. Ein typisches Beispiel ist das Cookie-Banner. Es sieht ordnungsgemäß aus, lädt aber Analyse- und Werbedienste bereits, bevor der Besucher eine Auswahl getroffen hat, oder es setzt Häkchen schon vorab. Nach § 25 TDDDG ist jeder Zugriff auf das Endgerät des Nutzers, der für den gewünschten Dienst nicht unbedingt erforderlich ist, jedoch nur mit einer echten, aktiven Einwilligung zulässig.

Ebenso verbreitet ist das Nachladen von Inhalten über fremde Server. Schriftarten, Skripte, Videos oder Kartendienste werden direkt beim Drittanbieter abgerufen, wodurch die IP-Adresse des Besuchers übermittelt wird. Dafür bedarf es einer Rechtsgrundlage nach Art. 6 DSGVO, die in vielen Fällen fehlt, obwohl sich die Inhalte ebenso gut auf dem eigenen Server bereitstellen ließen. Viele Cloud-Dienste nutzen zudem standardmäßig Rechenzentren in den USA, sodass die besonderen Anforderungen an Übermittlungen in Drittstaaten nach Art. 44 ff. DSGVO zu beachten sind.

Auch die Datenschutzerklärung gerät in KI-Projekten oft zur generischen Vorlage. Art. 13 DSGVO verlangt jedoch konkrete Angaben, etwa zur Speicherdauer, zu den Rechten der Betroffenen, zu eingesetzten Dienstleistern und zu Drittlandübermittlungen. Eine Erklärung, die nicht zu den tatsächlich eingebundenen Diensten passt, erfüllt diese Pflicht nicht.

Wer über seine Anwendung Abonnements verkauft, muss außerdem die verbraucherrechtlichen Vorgaben im Blick behalten. § 312k BGB verpflichtet Anbieter online abschließbarer Dauerschuldverhältnisse, eine gut sichtbare Kündigungsschaltfläche bereitzustellen, die unmittelbar zu einer Bestätigungsseite führt. Fehlt sie, können Verbraucher nach § 312k Abs. 6 BGB jederzeit ohne Einhaltung einer Frist kündigen. Da solche Vorschriften zugleich das Marktverhalten regeln, können Verstöße über § 3a UWG zudem Abmahnungen durch Mitbewerber und Verbände nach sich ziehen.

Selbst intern genutzte Tools sind nicht frei von Risiken. Erfasst eine selbst gebaute Anwendung Arbeitszeiten, Aktivitäten oder Leistungsdaten von Beschäftigten, berührt sie das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG, und zwar unabhängig davon, ob eine Überwachung tatsächlich beabsichtigt ist.

Verantwortung lässt sich nicht an die KI delegieren

So unterschiedlich die einzelnen Schwachstellen sind, eines haben sie gemeinsam. Die Verantwortung trägt stets der Betreiber. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist, wer über Zwecke und Mittel der Datenverarbeitung entscheidet, und nicht das Sprachmodell, das den Code geschrieben hat. Die KI ist ein Werkzeug, vergleichbar einer Entwicklungsumgebung.

Art. 32 DSGVO verpflichtet den Betreiber zu technischen und organisatorischen Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Kommt es dennoch zu einem Datenabfluss, ist dieser nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden, bei hohem Risiko müssen nach Art. 34 DSGVO auch die Betroffenen informiert werden. Verstöße gegen diese Pflichten können nach Art. 83 DSGVO empfindliche Bußgelder nach sich ziehen. Daneben räumt Art. 82 DSGVO den Betroffenen einen eigenen Anspruch auf Schadensersatz ein, der bei Anwendungen mit vielen Nutzern schnell zu einem erheblichen Haftungsrisiko anwachsen kann.

Der Vibecode-Checker: Technik und Recht in einem Durchlauf

An dieser Stelle setzt der Vibecode-Checker an, den wir von WBS.Legal gemeinsam mit der BYB Agency GmbH (BYB Labs) ins Leben gerufen haben. Dieses Tool verbindet eine technische Code-Analyse mit juristischen Prüfkriterien unserer Kanzlei und untersucht ein Projekt anhand von rund 200 Regeln. Geprüft werden unter anderem die Zugriffsregeln der Datenbank, offen liegende Zugangsschlüssel, Konfigurationsdateien und bekannte Lücken in eingesetzten Programmpaketen, ebenso wie Einwilligungslösungen, die Einbindung fremder Server, die Vollständigkeit der Datenschutzerklärung und der Kündigungsbutton.

Der Ablauf ist auf die Arbeitsweise von Vibe Codern zugeschnitten. Nutzer geben die Adresse ihres Projekts ein und können optional das Projektarchiv als ZIP-Datei hochladen, dessen Textdateien direkt im Browser geprüft werden. Nach wenigen Minuten erhalten sie einen Gesamtstand sowie einen priorisierten Bericht, der jeden Befund mit Fundstelle, Bewertung und Lösungsweg ausweist. Für die Behebung stellt der Checker fertige Prompts bereit, die sich unmittelbar an den eigenen KI-Assistenten übergeben lassen, sodass die KI ihre eigenen Fehler korrigiert. Anschließend lässt sich das Projekt erneut prüfen, bis es startklar ist.

Den Einstieg bildet der kostenfreie Free Scan, der die drei schwerwiegendsten Befunde aufzeigt. Der Quick Scan für 49 Euro im Monat zuzüglich Umsatzsteuer schlüsselt sämtliche Befunde auf, wohingegen der Deep Scan für 99 Euro im Monat zuzüglich Umsatzsteuer zusätzlich Unterseiten und Formulare, das tatsächliche Verhalten des Cookie-Banners beim Ablehnen und Annehmen, einen anonymen Bestellweg, eine automatisierte Barrierefreiheitsprüfung der Startseite sowie die E-Mail-Einstellungen der Domain einbezieht. Beide Varianten sind ohne Mindestlaufzeit monatlich kündbar.

Die Grenzen des Werkzeugs benennen wir dabei offen. Rechtliche Befunde sind als Risiken zu verstehen, nicht als festgestellte Verstöße, und der Checker ersetzt keine individuelle Rechtsberatung. Loginbereiche, Rollen- und Mandantenrechte sowie die vollständige Konformität mit dem Barrierefreiheitsstärkungsgesetz prüft er nicht. Als ehrlicher Blick von außen vor dem Launch schafft er dennoch Klarheit darüber, wo ein Projekt steht und was bis zur Veröffentlichung noch zu tun ist.

Rechtssicher durchstarten mit WBS.LEGAL

Sie haben Ihre App, Ihren Shop oder Ihr Tool mit KI entwickelt und möchten sichergehen, dass Ihr Projekt nicht nur funktioniert, sondern auch rechtlich trägt? Wir unterstützen Sie dabei. Als Kanzlei mit Schwerpunkt im IT-, Datenschutz- und Internetrecht prüfen wir Datenschutzerklärungen, Einwilligungsprozesse und Vertragsstrecken, beraten Sie zu Softwarelizenzen und begleiten Sie im Ernstfall einer Datenpanne gegenüber Aufsichtsbehörden und Anspruchstellern. Nutzen Sie den Vibecode-Checker für eine erste Bestandsaufnahme und sprechen Sie uns an, wenn Sie eine vertiefte rechtliche Bewertung benötigen. Melden Sie sich jederzeit bei uns, wir stehen Ihnen zur Seite.

hekem