Vibe-Code-Review
Vibe-Code-Review: KI-generierten Code prüfen, bevor es teuer wird.
Für Software, die mit Cursor, Lovable, Bolt, Replit, Claude Code oder ähnlichen Werkzeugen entstanden ist. Ich prüfe, ob die Grundlagen stimmen, bevor Kunden, Daten oder Geld daran hängen.
Für alle, die mit KI gebaut haben und jetzt live gehen wollen.
- Gründer mit einem Produkt kurz vor oder nach dem Launch
- Unternehmen, in denen Mitarbeiter eigene Tools mit KI bauen
- Selbstständige, deren Geschäft an selbst gebauter Software hängt
- Teams, die KI-generierten Code in ein bestehendes Produkt übernehmen
Funktionieren ist nur die halbe Anforderung.
KI liefert Code, der läuft. Ob er sicher, robust und wartbar ist, prüft sie nicht von selbst. Die Lücken sieht man erst, wenn es schiefgeht: Kundendaten, die für jeden abrufbar sind, ein API-Schlüssel, der fremde Rechnungen verursacht, ein Ausfall ohne Backup.
Das Review findet diese Lücken vorher.
Lesend, nicht angreifend.
Ich sichte Code, Konfiguration und Dokumentation und lasse automatische Analysewerkzeuge über den Code laufen. Ich greife Ihr System nicht an, versuche nicht einzudringen und führe keine Lasttests durch. Zugriff auf das Live-System ist nicht nötig.
Acht Grundlagen, die jede Software erfüllen muss.
- Zugangsdaten: Liegen Passwörter oder API-Schlüssel im Code, im Repository oder im Frontend?
- Rechte: Wie sind Anmeldung, Rollen und Datenbankrechte im Code und in der Backend-Konfiguration angelegt?
- Eingaben und Schnittstellen: Prüft der Code, was Nutzer eingeben? Welche Endpunkte sind ohne Anmeldung erreichbar?
- Datenflüsse: Welche personenbezogenen Daten fliessen technisch an Drittanbieter, KI-Dienste oder Tracking?
- Fehlerbehandlung: Was passiert, wenn ein Dienst ausfällt oder eine Eingabe nicht passt?
- Abhängigkeiten: Werden Bibliotheken mit bekannten Sicherheitslücken verwendet?
- Backups: Gibt es Sicherungen, und lassen sie sich wiederherstellen? Diesen Punkt prüfe ich über Konfiguration und Ihren Nachweis.
- Wartbarkeit: Kann ein anderer Entwickler den Code übernehmen?
Ein Bericht, mit dem Sie arbeiten können.
- Bewertung jedes Prüfpunkts: grün, gelb, rot, oder „nicht prüfbar“, wenn mir Zugang oder Nachweis fehlt
- Priorisierte Liste: was vor dem Launch behoben werden muss, und was warten kann
- Besprechung der Ergebnisse mit mir
- Grün
- Gelb
- Rot
- Nicht prüfbar
Was das Review nicht ist.
- Kein Penetrationstest und kein Sicherheitsaudit. Ich greife Ihr System nicht an.
- Keine Fehlerbehebung. Sie bekommen die Befunde, nicht die Reparatur.
- Keine Zertifizierung.
- Keine rechtliche Bewertung, etwa zur DSGVO.
Das Review zeigt, wo im Code die Grundlagen fehlen. Ob ein Angreifer tatsächlich eindringen kann, klärt ein Penetrationstest durch einen spezialisierten Anbieter. Wenn mein Bericht das nahelegt, steht es als Empfehlung darin.
In fünf Schritten zum Bericht.
01
Anfrage
Sie beschreiben Ihr Produkt im Formular unten.
02
Klärung
Ich melde mich, wir klären Umfang und Zugang. Sie erhalten ein Angebot mit klarer Leistungsbeschreibung.
03
Zugang
Lesezugriff auf Ihr Repository (GitHub oder GitLab) oder ein Code-Export als ZIP, dazu Lesezugriff auf die Backend-Konfiguration, etwa bei Supabase oder Firebase.
04
Prüfung
Ich arbeite den Prüfumfang ab.
05
Bericht und Besprechung
Sie erhalten den Bericht, wir gehen ihn gemeinsam durch. Danach entziehen Sie mir den Zugang wieder.
Und wenn der Bericht rot ist?
Dann gibt es drei Wege: Sie beheben die Befunde selbst, Ihr Entwickler übernimmt, oder ich begleite die Behebung. Teststrategie und laufende Qualitätssicherung gehören zur QA-Beratung.
Preis auf Anfrage.
Umfang und Komplexität schwanken stark, von einem kleinen internen Tool bis zur Plattform mit zahlenden Kunden. Nach Ihrer Anfrage nenne ich einen festen Rahmen, bevor Sie etwas beauftragen.
Lieber zuerst selbst prüfen?
Mit dem Vibecode-Testing-Kit prüfen Sie Ihre App selbst: 47 Prüfpunkte, 34 fertige Prüf-Prompts und eine Vorlage für den Prüfbericht. Einmalig 79 €. Was danach offen bleibt, kann ins Review.
Häufige Fragen
Wie wird mit meinem Code umgegangen?
Vertraulich. Auf Wunsch unterschreibe ich vorab eine Vertraulichkeitsvereinbarung. Liegen echte personenbezogene Daten in Code, Datenbank oder Testumgebung, schliessen wir einen Vertrag zur Auftragsverarbeitung. Nach Abschluss entziehen Sie mir den Zugang.
Welche Technologien prüfen Sie?
Software aus Lovable, Bolt, Cursor, Replit, Claude Code und v0. Sprachen: JavaScript und TypeScript, PHP, Python. Frameworks: React, Next.js, Vue und Node.js. Backends und Datenbanken: Supabase, Firebase, PostgreSQL und MySQL. Steht Ihre Technik nicht dabei, fragen Sie trotzdem.
Mein Tool hat kein Repository. Geht das trotzdem?
Ja. Die meisten Werkzeuge erlauben einen Code-Export oder eine Verbindung zu GitHub. Wir klären das im Gespräch.
Ist das ein Penetrationstest?
Nein. Das Review ist eine lesende Prüfung von Code und Konfiguration. Ein Penetrationstest greift das laufende System aktiv an und gehört in die Hände spezialisierter Anbieter.
Mein Produkt ist schon live. Lohnt sich das noch?
Ja. Lücken in einem laufenden System sind dringender als vor dem Launch, weil bereits echte Daten betroffen sein können.
Was passiert, wenn kritische Lücken gefunden werden?
Kritische Befunde melde ich sofort, nicht erst mit dem Bericht. Sie stehen im Bericht ganz oben, mit einer Empfehlung, was zuerst zu tun ist.
Wie lange dauert ein Review?
Das hängt vom Umfang ab. Den Zeitraum nenne ich verbindlich, bevor Sie beauftragen.
Review anfragen
Beschreiben Sie Ihr Produkt in ein paar Sätzen. Ich melde mich persönlich.