Vibe Coding 2026: KI-App-Builder, echte Zahlen und wo sie ins Unternehmen passen

Im Februar 2025 beschrieb Andrej Karpathy eine Art zu programmieren, bei der man „vergisst, dass der Code überhaupt existiert“. Keine zwei Jahre später ist „Vibe Coding“ Collins-Wort des Jahres, Lovable wird mit 13,3 Milliarden Dollar bewertet, und Anthropic meldet für Claude Code allein über 2,5 Milliarden Dollar Jahresumsatz. Gleichzeitig finden Sicherheitsaudits in etwa neun von zehn Vibe-Coding-Apps eine Lücke. Beides stimmt, und Unternehmen müssen mit beidem planen.

Was „Vibe Coding“ 2026 bedeutet

Karpathys ursprüngliche Beschreibung war bewusst extrem: jede Änderung annehmen, keine Diffs lesen, Fehlermeldungen zurückkopieren, bis es läuft, und das Ganze auf „Wegwerf-Wochenendprojekte“ beschränken. Danach wurde der Begriff auf alles ausgedehnt, von diesem Stil bis zu Profi-Entwicklern, die Coding-Agenten steuern. Für Unternehmen lohnt es sich, drei Dinge zu trennen:

• App-Builder wie Lovable, Replit, Bolt oder v0: ein Browser-Chat, der eine laufende Web-App mit Hosting, Datenbank und Login erzeugt. Für Menschen, die nicht programmieren.
• Coding-Agenten wie Claude Code, OpenAI Codex und Mistral Vibe: arbeiten in einem echten Repository, führen Tests aus und öffnen Pull Requests. Für Entwickler, aber zunehmend auch für technisch versierte Nicht-Entwickler. Mehr dazu in unserem Leitfaden zu Coding-Agenten.
• Allgemeine Agenten wie Manus oder Claudes Artefakte: bauen eine kleine App oder Website als einen Schritt einer größeren Aufgabe.

Die Werkzeuge wachsen zusammen, aber die Frage pro Projekt bleibt gleich: Liest jemand den Code, der live geht, und ist jemand dafür verantwortlich?

Der Markt: die schnellsten Umsatzkurven der Softwarebranche

Lovable, ein 2023 gegründetes Unternehmen aus Stockholm, ist der Referenzfall. Im Juli 2025 sammelte es 200 Millionen Dollar bei 1,8 Milliarden Bewertung ein, im Dezember 2025 330 Millionen bei 6,6 Milliarden und im August 2026 400 Millionen bei 13,3 Milliarden. Damals nannte es 60 Millionen gehostete Projekte mit zusammen 900 Millionen Besuchen pro Monat.

Der Umsatz wuchs ebenso schnell. Lovable meldete im Juli 2025 100 Millionen Dollar wiederkehrenden Jahresumsatz und im November 2025 laut Bloomberg 200 Millionen; Presseberichte nannten im Februar 2026 rund 400 Millionen. Bei den Coding-Agenten schrieb Anthropic in seiner Finanzierungsmitteilung vom Februar 2026, dass der Run-Rate-Umsatz von Claude Code 2,5 Milliarden Dollar übersteige, sich seit Jahresbeginn mehr als verdoppelt habe und eine Analyse 4 % aller öffentlichen GitHub-Commits Claude Code zuschreibe.

OpenAI und Mistral veröffentlichen weniger Zahlen. Codex läuft inzwischen in ChatGPT, als CLI, in IDE-Erweiterungen und als Desktop-App; Sekundärquellen nennen rund 5 Millionen wöchentliche Nutzer im Juni 2026, was OpenAI auf keiner für uns prüfbaren Seite ausgeführt hat. Mistral veröffentlichte im Dezember 2025 Mistral Vibe, einen Terminal-Agenten unter Apache-2.0-Lizenz, und erklärte Version 2.0 (Januar 2026) für produktionsreif. Das ist relevant für europäische Teams, die einen EU-Anbieter und Open-Weight-Modelle zum Selbsthosten wollen.

Wer baut: Entwickler sind skeptisch, Nicht-Entwickler nicht

Die Stack-Overflow-Umfrage 2025 unter Profi-Entwicklern zeigt die Spaltung. 84 % nutzen KI-Tools oder planen es, aber nur 60 % sehen sie positiv (2023 waren es 77 %), und 46 % misstrauen der Genauigkeit der Ergebnisse, nach 31 % im Vorjahr. Fast 77 % sagten, Vibe Coding sei nicht Teil ihrer beruflichen Arbeit.

Das Wachstum kommt von anderswo: von Gründern, Produktmanagern, Marketing und Operations, die nie Software für ein kleines Problem hätten beauftragen können. Y Combinator meldete im März 2025, dass ein Viertel seines Winter-Jahrgangs zu 95 % KI-generierten Code hatte. In Unternehmen zeigt sich dasselbe Muster als Dutzende kleiner Tools, von denen die IT nichts weiß, die Software-Variante von Schatten-KI.

Der Haken: Sicherheitsaudits von Vibe-Coding-Apps

Jedes Audit aus 2026, das wir gefunden haben, meldet bei der Mehrheit der Apps mindestens ein Sicherheitsproblem, auch wenn die Studien Unterschiedliches messen. Ein akademisches Audit von 200 Live-Apps (Deng et al.) bestätigte 1.186 Schwachstellen, mindestens eine in 91 % der Apps; 18,5 % davon waren kritisch. Ein Scan von 30.998 Live-Apps durch Reeve fand bei 99 % etwas, meist fehlende Security-Header. Schärfer ist ein anderer Befund: 57 % der erreichbaren Supabase-Apps ließen jeden ohne Login Datenbanktabellen lesen.

Die typischen Fehler sind nicht exotisch: offene Datenbankregeln, API-Schlüssel im Frontend-Code, kein Rate Limiting, Logins, die nur im Client geprüft werden. Sie entstehen aus der Arbeitsweise. Wer promptet, kann den Code nicht beurteilen, und das Modell optimiert auf „läuft“. Die Daten auf Code-Ebene behandeln wir ausführlicher in unserem Beitrag zur Sicherheit von KI-generiertem Code.

Wo Vibe Coding ins Unternehmen passt

Unsere Arbeitskarte aus Kundenprojekten. Die Werte sind unsere Einschätzung, keine Umfragedaten.

Eine Richtlinie in fünf Schritten, die funktioniert

1. Einen freigegebenen App-Builder und einen Coding-Agenten wählen, auf Firmenkonten mit gelesenen Bedingungen zur Datenaufbewahrung. Private Konten sind der Ort, an dem Datenabflüsse beginnen.
2. Vor dem Bauen einstufen. Prototyp, intern oder kundennah? Personenbezogene Daten oder nicht? Die Antwort entscheidet, wer prüfen muss.
3. Projekte ins Repository überführen. Ein Prototyp, auf den sich Leute verlassen, zieht nach Git um, bekommt Tests und einen Owner und wird ab dann mit einem Coding-Agenten unter Review geändert.
4. Alles scannen, was öffentlich wird: Datenbank-Zugriffsregeln, Secrets im Frontend, Authentifizierung, Rate Limits. Viele der oben genannten Lücken findet man in Minuten.
5. Das Review schulen, nicht nur den Prompt. Was sich auszahlt, ist zu erkennen, was das Modell nicht getan hat. Darauf verwenden wir die meiste Zeit in unseren Workshops mit KMU.

Was das für kroatische und DACH-Unternehmen bedeutet

Für kleine und mittlere Unternehmen ist die Chance real: Der Vertrieb bekommt seinen Angebotsrechner, das Lager einen Scan-Helfer und die Leitung einen funktionierenden Prototyp für das Gespräch mit dem Dienstleister, an einem Tag statt in einem Quartal. Das Risiko ist ebenso konkret, denn dieselben Apps landen bei Kundendaten unter der DSGVO. Beginnen Sie mit internen Tools ohne sensible Daten, holen Sie für alles andere einen Entwickler dazu und sehen Sie den ersten erfolgreichen Prototyp als Beginn eines Softwareprojekts, nicht als dessen Ende.