Die Gefahr von Vibe Coding – und warum sie gut ist für dich als Webdesigner:in

„Meine neue Website – komplett mit KI gebaut, 20 Minuten, 0 Euro Agentur-Kosten!”

So, oder so ähnlich, hallt es gerade durch das Internet.

Und du als Webdesigner denkst schon daran, dir einen neuen Job zu suchen. Denn wenn jetzt jedermann/jederfrau mit ein paar Kommandos eine Website erstellen kann, was ist dann noch deine Aufgabe als Webdesigner:in?

Doch lass uns mit der korrekten Einordnung starten…

Was ist Vibe Coding?

Den Begriff hat Andrej Karpathy Anfang 2025 geprägt – ehemaliger KI-Chef bei Tesla, Mitgründer von OpenAI. Die Idee dahinter, kurz zusammengefasst: Du beschreibst der KI deiner Wahl, was am Ende rauskommen soll. Wie sie dorthin kommt, ist dir egal. Karpathy selbst nennt das sinngemäß: sich komplett dem Flow hingeben und vergessen, dass da überhaupt Code existiert.

Hier seine Original-Ankündigung:

Wichtig zu verstehen: der Code bleibt eine Black Box. Niemand liest ihn gegen. Niemand muss ihn verstehen. Er funktioniert – oder wird so lange von der KI angepasst, bis er funktioniert.

Für Nicht-Programmierer:innen ist das ein Traum: Apps, Websites, kleine Tools – auf einmal für alle machbar, ganz ohne Studium, ohne jahrelanges Üben.

Grundsätzlich eine coole Sache

Ich will hier nicht den Zeigefinger heben und Vibe Coding pauschal verteufeln. Für ein Wochenend-Bastelprojekt, ein internes Tool, das eh nur du selbst nutzt, oder einen Prototypen: Probier’s aus, viel Spaß dabei. Genau dafür wurde die Idee ursprünglich erfunden.

Das Problem beginnt erst dort, wo aus dem Bastelprojekt eine echte, öffentliche Website wird. Mit echten Besucher:innen. Mit echten Daten.

Aber die KI kann doch programmieren?

Ja, kann sie. Sehr gut sogar, wie ich finde. Wenn man richtig fragt und weiß was man tut.

Kevin Geary hat dazu sinngemäß einen Satz geprägt, der bei mir hängen geblieben ist: Viele dieser Vibe-Coder sind nicht einmal „Hilfsarbeiter” – sie haben schlicht keine Ahnung, was die KI im Hintergrund zusammenbaut und verstehen die Zusammenhänge nicht.

Und genau das ist meiner Meinung nach der Kern des Problems und eine große Gefahr. Code, den man nicht versteht, kann man auch nicht beurteilen. Man sieht nicht, ob er sinnvoll ist. Man sieht nicht, ob er sicher ist. Man sieht nicht mal, ob er überhaupt notwendig ist.

Die typischen Fehler in Vibe-Coded Websites

In der Praxis haben Vibe-coded Websites abgesehen vom austauschbaren, langweiligen, durchschnittlichen Design immer die selben Probleme:

1. Datenschutzprobleme bei externen Ressourcen. Google Fonts, direkt von Google-Servern geladen, obwohl das Thema eigentlich seit Jahren gelöst ist. Die KI weiß das offenbar nicht, der Vibe-Coder auch nicht.
2. Wahllos eingebundene externe Bibliotheken. Je mehr Prompts, desto mehr Abhängigkeiten. Irgendwann läuft im Hintergrund ein Sammelsurium an Skripten, das niemand mehr überblickt. Die Website lädt lokal trotzdem schnell, es fällt also nicht auf.
3. Sinnlose Frameworks für simple Aufgaben. React für eine Ein-Seiten-Visitenkarten-Website ist, als würdest du mit einem Sattelschlepper zum Bäcker fahren. Funktioniert, ist aber kompletter Overkill – und macht die Seite langsamer, fehleranfälliger und teurer in der Wartung.
4. Cookie-Banner, die nicht funktionieren – oder komplett fehlen. Klick auf „Ablehnen”, und trotzdem laufen im Hintergrund munter Tracking-Skripte weiter. Wenn überhaupt ein Banner eingebaut wurde.
5. Veraltete, abmahnfähige Datenschutzerklärungen und Impressen. Copy-paste von irgendeiner Vorlage, ohne Anpassung ans eigene Unternehmen, ohne aktuelle Rechtsgrundlagen.

Datenschutz. Sicherheit. Recht.
Genau die drei Themen, bei denen „passt schon” am teuersten wird.

Bei uns Website Heroes sind Cookies und Datenschutz genau deshalb ein Dauerbrenner – weil es eben nicht nebenbei erledigt ist, nur weil irgendwo ein Banner-Plugin drinsteckt. Ein Tool wie Real Cookie Banner löst das sauber – aber auch nur, wenn jemand es bewusst einrichtet und nicht der KI überlässt, ob und wie sie es einbaut.

Sicherheitslücken durch Vibe-Coding

Noch heikler als Datenschutz-Kleinigkeiten wird’s bei der Sicherheit. Sicherheitsfirmen, die tausende Vibe-Coded Apps gescannt haben, fanden bei einem erschreckend großen Teil davon grundlegende Lücken bei Authentifizierung und Zugriffsschutz. Teilweise reichte die bloße Kenntnis der URL, um an Kund:innendaten, interne Dokumente oder sogar Admin-Zugänge zu kommen.

Der bekannteste Fall bisher: Ein italienischer Streamer hat ein komplettes soziales Netzwerk fast ausschließlich mit KI-Prompts gebaut – und binnen Stunden nach dem Launch ein massives Datenleck kassiert. Persönliche Daten tausender Nutzer:innen lagen offen im Netz (die Rede ist von Moltbook).

Das passierte nicht wegen eines raffinierten Hacks. Sondern wegen grober Fahrlässigkeit, die bei jeder ordentlichen Architektur und einem Code-Review sofort aufgefallen wäre.

Merke daher:

Die KI optimiert auf „funktioniert” – nicht auf „ist sicher”. Und wer den Code nicht versteht, kann diesen Unterschied nicht erkennen.

So vermeidest du Probleme mit Vibe-Coding

Jetzt die gute Nachricht: Vibe Coding ist kein Naturgesetz, das automatisch in Chaos endet. Mit ein paar klaren Regeln bleibt es ein nützliches Werkzeug statt einer tickenden Zeitbombe.

• Architektur vorgeben, nicht der KI überlassen. Bevor auch nur ein Prompt abgeschickt wird, steht fest: welcher Tech-Stack, welches Hosting, welche Datenstruktur. Die KI füllt die Architektur, sie erfindet sie nicht.
• Jede Zeile lesen. Klingt mühsam, ist es auch. Aber genau das unterscheidet professionelle Arbeit von Vibe Coding im Wortsinn. Wer den Code nicht liest, unterschreibt blind, was die KI ihm untergeschoben hat.
• Professionals einbinden – nicht „der Praktikant macht das schnell mal”. Vibe Coding ersetzt kein Fachwissen, es beschleunigt es höchstens. Ohne jemanden, der die Ergebnisse fachlich beurteilen kann, bleibt es Glücksspiel.
• Prototypen und Demos bleiben Prototypen und Demos. Wie immer schon, KI hin oder her: Was zum Testen gebaut wurde, geht nicht 1:1 in Produktion. Dazwischen liegt Review, Absicherung, ein zweiter Blick.

Vier Punkte, die sich fast banal anhören. Und trotzdem werden sie in den allermeisten Vibe-Coded Projekten schlicht ignoriert. Meiner Erfahrung nach aus Unwissenheit.

Die Konsequenz: Abmahnungen und Vertrauensverlust

Was auf Datenschutzverstöße und Sicherheitslücken folgt, wissen wir aus jahrelanger Praxis: Abmahnungen. Erst eine, dann macht es die Runde, und plötzlich flattern mehrere ins Haus. Die rechtliche Verantwortung für den Code liegt dabei klar bei demjenigen, der ihn veröffentlicht – nicht bei der KI, die ihn geschrieben hat oder dem Herstellern von Claude, ChatGPT und Co.

Und neben dem rechtlichen Ärger kommt noch etwas viel Teureres dazu: das verlorene Vertrauen der eigenen Kund:innen, wenn deren Daten plötzlich öffentlich im Netz herumliegen.

Vibe-Coding ist großartig für uns Webdesigner

Für uns Web Professionals ist dieser Trend, so paradox das klingt, eine Chance. Die abgemahnten, gehackten, technisch löchrigen Vibe-Coded Websites müssen irgendwann neu gebaut werden. Sauber, durchdacht, mit jemandem, der versteht, was er tut. Vielleicht ja mit dir?

Und die Kundschaft, die einmal auf die Nase gefallen ist, weiß danach auch, warum eine ordentliche Website mehr kostet als 20 Minuten Prompting. Das ist zwar bitter für die Betroffenen – aber gutes Geschäft für alle, die ihr Handwerk wirklich verstehen, statt nur die Grundlagen ihres Berufs zu überspringen.

Wenn du lieber Websites baust, die auch in einem Jahr noch stehen – ohne Abmahnung, ohne Datenleck – dann bist du bei den Website Heroes genau richtig. Wir tauschen uns aus, prüfen gegenseitig unsere Projekte und halten uns gegenseitig am aktuellen Stand, was Datenschutz und Sicherheit angeht. Schau gleich vorbei bei den Website Heroes.

Lass uns einfach Websites bauen,

Michael