Lovable
Lovable-App prüfen: was vor dem Livegang stimmen muss
Lovable baut aus einer Beschreibung eine vollständige Webanwendung mit Oberfläche, Datenbank und Anmeldung. Das Ergebnis sieht fertig aus. Vier Stellen sollten Sie trotzdem prüfen, bevor echte Nutzer und echte Daten kommen.
Wie eine Lovable-App aufgebaut ist
Lovable erzeugt eine Oberfläche mit React, die im Browser läuft. Daten, Anmeldung und Serverfunktionen liegen in Supabase, entweder in Ihrem eigenen Supabase-Projekt oder über Lovable Cloud, die ebenfalls auf Supabase aufbaut. Der Browser spricht direkt mit der Datenbank. Daraus ergeben sich die typischen Prüfpunkte.
1. Row Level Security in Supabase
Das wichtigste Thema bei jeder Lovable-App. Ohne passende Regeln kann jeder mit dem öffentlichen Schlüssel Ihrer App die Datenbank lesen. 2025 wurde bei einer grösseren Zahl öffentlicher Lovable-Apps genau diese Lücke nachgewiesen und als CVE-2025-48757 erfasst. Seitdem warnt Lovable deutlicher, die Verantwortung für die Regeln liegt aber bei Ihnen. Prüfen Sie jede Tabelle, wie im Artikel Datenbankrechte bei Supabase und Firebase beschrieben.
2. Schlüssel für andere Dienste
Bauen Sie einen KI-Dienst, Stripe oder einen Mail-Dienst ein, gehört der geheime Schlüssel in eine Supabase Edge Function und in deren Secrets, nicht in den React-Code. Prüfen Sie, ob Lovable das so umgesetzt hat. Und prüfen Sie, ob die Edge Function kontrolliert, wer sie aufruft. Details im Artikel API-Schlüssel im Frontend.
3. Anmeldung und Rollen
Lovable baut Anmeldung schnell ein. Prüfen Sie: Kann sich jeder registrieren, auch wenn die App nur für Ihr Team gedacht ist? Werden Rollen wie „Admin“ in der Datenbank geprüft oder nur in der Oberfläche? Ist die Bestätigung der E-Mail-Adresse aktiv? Eine Rolle, die nur im Browser geprüft wird, kann jeder Nutzer ändern.
4. Datenflüsse und Datenschutz
Welche Dienste bekommen Daten? Supabase selbst, bei Lovable Cloud auch Lovable, dazu jeder eingebundene KI- oder Mail-Dienst. Prüfen Sie für jeden die Region der Datenverarbeitung und ob ein Vertrag zur Auftragsverarbeitung besteht. Bei einem eigenen Supabase-Projekt wählen Sie die Region beim Anlegen.
Was der eingebaute Sicherheitscheck leistet
Lovable bringt eine Sicherheitsprüfung mit, die unter anderem den Supabase Security Advisor nutzt. Sie findet fehlende RLS und offensichtliche Probleme. Sie erkennt aber nicht, ob eine vorhandene Regel inhaltlich stimmt, ob eine Rolle nur im Browser geprüft wird oder ob ein Datenfluss zulässig ist. Lovable weist selbst darauf hin, dass der Scan eine eigene Prüfung nicht ersetzt.
Den Code prüfbar machen
Verbinden Sie Ihr Projekt mit GitHub. Dann liegt der Code mit seiner Geschichte in einem Repository, Sie haben eine Sicherung, und ein Prüfer kann lesend zugreifen, ohne Ihr Lovable-Konto zu brauchen. Die allgemeinen Punkte für jedes Werkzeug stehen in der Checkliste vor dem Launch eines KI-gebauten Produkts.
Bevor Sie damit live gehen
Ihre Lösung läuft. Diese Punkte sollten Sie prüfen, bevor echte Daten daran hängen:
- Ist Row Level Security für jede Tabelle aktiv, mit Regeln, die den Besitzer prüfen?
- Liegen geheime Schlüssel nur in Edge Functions, und prüfen diese den Aufrufer?
- Kann sich nur registrieren, wer die App nutzen soll?
Sie wollen sicher sein? Das Vibe-Code-Review prüft genau diese Grundlagen. Mehr zum Review →
Lieber selbst anfangen? Die kostenlose Schnellprüfung aus dem Vibecode-Testing-Kit zeigt Ihnen, wo Sie stehen. Zur Schnellprüfung →
Sie haben schon gebaut? Lassen Sie es prüfen.
Beschreiben Sie Ihr Produkt in ein paar Sätzen. Ich melde mich persönlich.