Was ist Vibe Coding? Gemeint ist, Software zu bauen, indem man in normaler Sprache beschreibt, was man möchte, und eine künstliche Intelligenz den gesamten Code schreiben lässt, ohne ihn zu lesen. Sie geben die Richtung vor und beurteilen das Ergebnis danach, wie es im Browser aussieht. Dieser Leitfaden erklärt, woher der Begriff stammt, welche Tools dafür genutzt werden, wo das Vorgehen funktioniert und ab wann es für eine App mit echten Kundinnen und Kunden zum Risiko wird.
Wenn Ihre App schon läuft und ihr Code auf GitHub liegt, zeigt der letzte Abschnitt, wie Sie sie mit Prüfung weiter ändern.
Woher der Begriff kommt
Geprägt hat ihn Andrej Karpathy, Mitgründer von OpenAI und früherer KI-Chef bei Tesla, in einem Beitrag auf X vom Februar 2025. Er beschrieb eine Art zu programmieren, bei der man sich ganz den Vibes hingibt und vergisst, dass es den Code überhaupt gibt. Zwei Details aus dem Beitrag werden oft weggelassen, dabei erklären gerade sie den Begriff: Karpathy übernahm jede Änderung, ohne die Unterschiede zu lesen, und hielt das für Wochenendprojekte zum Wegwerfen für vertretbar.
Der Ausdruck verbreitete sich rasant. Merriam-Webster nahm ihn im März 2025 als Slang auf, und das Collins Dictionary kürte ihn am 6. November 2025 zum Wort des Jahres. Im Deutschen bleibt der Begriff englisch und ist ein Neutrum: das Vibe-Coding. Nach den Regeln für englische Zusammensetzungen gehört ein Bindestrich hinein, in Fachmedien wie heise liest man trotzdem meist "Vibe Coding". Einen Duden-Eintrag gibt es noch nicht, und Übersetzungen wie "Vibe-Kodierung" stammen aus maschinell übersetzten Firmenseiten.
Vibe-Coding ist nicht dasselbe wie Programmieren mit KI
Die hilfreichste Abgrenzung stammt vom Entwickler Simon Willison aus dem März 2025: Vibe-Coding heißt, Software mit einem Sprachmodell zu bauen, ohne den Code zu prüfen, den es schreibt. Wer KI nutzt, aber jede Änderung liest, testet und versteht, bevor sie gespeichert wird, betreibt ganz normale Softwareentwicklung mit einem neuen Werkzeug.
Ein Jahr später schlug Karpathy selbst einen Namen für diese professionelle, geprüfte Variante vor: agentic engineering, bei dem ein Mensch mehrere KI-Agenten steuert und die Aufsicht übernimmt. Den ursprünglichen Begriff zog er nicht zurück, er beließ ihn bei dem, wofür er gedacht war: Prototypen und Experimente.
Die Entwicklerumfrage von Stack Overflow 2025 zeigt den Unterschied deutlich. Rund 84% der Befragten nutzen KI-Tools oder planen es, aber 72% sagen, dass Vibe-Coding nicht zu ihrer beruflichen Arbeit gehört.
Wie es in der Praxis funktioniert
Sie öffnen ein Tool, schreiben etwa "Ich brauche eine Terminbuchung für meinen Friseursalon, mit Login und einer Übersicht für das Team", und nach wenigen Minuten haben Sie eine funktionierende Oberfläche und einen Link zum Teilen. Gefällt Ihnen etwas nicht, bitten Sie einfach um eine Änderung.
| Tool | Kostenloser Plan | Günstigster bezahlter Plan |
|---|---|---|
| Lovable | Ja | Pro, 25 USD im Monat |
| Bolt | Ja | Pro, 25 USD im Monat |
| Replit | Ja | Core, 20 USD im Monat |
| v0 | Ja | Plus, 30 USD pro Person im Monat |
| Base44 | Ja | Starter, ab 16 USD im Monat bei jährlicher Zahlung |
| Cursor | Ja | Pro, 20 USD im Monat |
| Claude Code | Nein | Enthalten in Claude Pro, 20 USD im Monat |
Preise in US-Dollar, am 12. Oktober 2026 auf den Seiten der Anbieter abgelesen; in der EU kommt je nach Anbieter die Mehrwertsteuer hinzu. Die ersten vier bauen Apps von Grund auf, ohne dass Sie den Code sehen. Cursor und Claude Code richten sich an Menschen, die mit Code arbeiten.
Wo es wirklich funktioniert
- Eine Idee testen, bevor Geld hineinfließt. Ein funktionierender Prototyp überzeugt mehr als jede Präsentation.
- Kleine interne Werkzeuge, etwa eine Übersicht für das eigene Team, die niemand von außen sieht.
- Kampagnenseiten und einfache Websites, die keine sensiblen Daten speichern.
Hier zählt Tempo, und ein Fehler ist billig.
Wann es zum Problem wird
Das ändert sich an dem Tag, an dem sich die erste echte Kundin registriert und zu zahlen beginnt.
Das erste Risiko ist die Sicherheit. Im Mai 2025 wurde die Schwachstelle CVE-2025-48757 zu Apps aus Lovable veröffentlicht: Der Forscher prüfte 1.645 Projekte und fand 170, deren Datenbanken wegen unzureichender Zugriffsregeln von außen gelesen oder verändert werden konnten. Lovable bestreitet, dass es sich um einen eigenen Fehler handelt, weil jede Kundin für den Schutz der Daten ihrer App verantwortlich sei, und hat seither eine Sicherheitsprüfung eingebaut. Der Kern bleibt: Wenn niemand den Code liest, prüft auch niemand diese Regeln. Für Apps mit Kundendaten aus der EU kommt die DSGVO hinzu: Verantwortlich für diese Daten ist der Betreiber der App, nicht das Tool, mit dem sie gebaut wurde.
Das zweite Risiko ist ein Agent mit Zugriff auf die Produktivumgebung. Im Juli 2025 löschte der Agent von Replit mitten in einem Vibe-Coding-Experiment die Produktivdatenbank von SaaStr; der Chef von Replit nannte das inakzeptabel, und die Firma trennt seitdem Entwicklungs- und Produktivdatenbanken. Im selben Monat fand die Sicherheitsfirma Wiz bei Base44 einen Fehler der Plattform selbst, über den man in private Apps gelangte; er war in weniger als 24 Stunden behoben.
Das dritte ist die Wartung. Eine App, deren Code niemand versteht, wird zerbrechlich: Eine Preisänderung kann eine andere Seite beschädigen, die Sie gar nicht angefasst haben, und Sie erfahren es erst, wenn sich jemand beschwert.
So nutzen Sie es, ohne Ihre App zu gefährden
- Legen Sie den Code auf GitHub ab, in einem Konto der Firma und nicht im Konto einer einzelnen Person.
- Prüfen Sie Ihre Schlüssel. Nutzt Ihre App Supabase, zeigt das kostenlose Refinar-Tool zum Prüfen eines Supabase-Schlüssels in Sekunden, ob der sichtbare Schlüssel öffentlich oder geheim ist.
- Trennen Sie Testdaten von Kundendaten, damit keine Änderung an echten Konten ausprobiert wird.
- Lassen Sie jemanden mit Programmierkenntnissen prüfen, bevor eine Änderung an Login, Zahlungen oder Kundendaten veröffentlicht wird.
Und nach dem Start?
Für diesen Moment ist Refinar gebaut. Es öffnet Ihre App aus ihrem GitHub-Repository, so wie sie ist, und startet sie in der Cloud. Sie beschreiben die Änderung in Ihren eigenen Worten oder zeigen auf die Stelle im Bildschirm, und ein KI-Agent setzt sie vor Ihren Augen in einer laufenden Kopie um, bevor sie bei Ihren Kunden ankommt. Punkt vier der Liste oben ist dabei fest eingebaut: Keine Änderung an Login, Zahlungen oder Kundendaten geht von selbst live, sie landet bei einer Entwicklerin oder einem Entwickler. Alles andere veröffentlichen Sie selbst oder schicken es Ihrem Team zur Prüfung (so funktioniert es). Die Pläne beginnen bei 50 USD im Monat (Preise).
Wenn Ihre App mit Vibe-Coding entstanden ist und Sie sie sicher weiterentwickeln möchten, testen Sie Refinar mit Ihrer App.