Mit KI gebaut: 10 Sicherheits-Checks vor dem Go-live

Es gibt diesen Moment, der sich einfach nur fantastisch anfühlt. Du beschreibst einer KI, was du brauchst, und ein paar Minuten später steht eine Landingpage, ein kleines Tool oder eine Automation. Es funktioniert. Es fühlt sich irgendwie an wie Zaubern.

Für dieses schnelle Bauen mit KI hat sich ein Begriff eingebürgert: Vibecoding. Du brauchst keine Programmierkenntnisse mehr, die KI übernimmt den technischen Teil. Das ist eine echte Erleichterung. Sie hat nur eine Kehrseite, die selten mitgeliefert wird: Die KI denkt nicht automatisch auch an Sicherheit.

In diesem Beitrag werfen wir einen Blick darauf, warum dich das als Unternehmerin betrifft, welche Lecks beim schnellen Bauen typisch sind und welche zehn Fragen du dir vor dem Go-live stellen solltest, um diesen fehlenden Part beim KI Building nachzuholen.

Warum dich das betrifft, auch wenn die KI baut

Der wichtigste Punkt zuerst, weil er oft übersehen wird: Auch wenn die KI den Code geschrieben hat, bleibst du verantwortlich.

Sobald in deinem Tool personenbezogene Daten verarbeitet werden, also zum Beispiel Namen, E-Mail-Adressen oder Nachrichten von Interessentinnen, giltst du datenschutzrechtlich als Verantwortliche. Die DSGVO verlangt in Artikel 32, dass du die Verarbeitung mit angemessenen technischen und organisatorischen Maßnahmen absicherst. Artikel 25 DSGVO (privacy by design) ergänzt den Gedanken: Datenschutz soll von Anfang an mitgebaut werden, nicht erst hinterher drangeschraubt.

Im Klartext heißt das: „Die KI hat das so gemacht” ist keine Entlastung. Die Entscheidung, etwas live zu stellen, triffst du. Und mit ihr die Verantwortung dafür, dass die Daten darin geschützt sind.

Die typischen Lecks beim schnellen Bauen

Wenn etwas schnell entsteht, fehlt es leider oft an der Sicherheit. Das ist menschlich, aber auch die KI tappt oft in diese Falle. Folgende Fehler tauchen beim Vibecoding besonders häufig auf:

• Eine Datenbank ist von außen erreichbar und Daten von Kunden können gesehen werden
• Zugangsschlüssel oder Passwörter stehen sichtbar im Code
• Datei-Speicher sind öffentlich, obwohl sie privat sein sollten.
• Testumgebungen enthalten echte Kundendaten anstatt Testdatensätze
• Eine klare Rollen-Trennung, also wer was sehen und ändern darf, fehlt

Das Tückische daran: Meist passiert erst einmal gar nichts, es fällt nur niemandem auf. Bis es dann aber jemandem auffällt.

10 Sicherheits-Checks vor dem Go-live

Du musst dafür nicht Sicherheitsbeauftragte oder besonders technisch versiert sein. Du brauchst einfach nur einen kurzen Check, bevor etwas live geht. Diese zehn Fragen helfen dir bei der Prüfung:

1. Echte Daten oder Testdaten? Liegen echte Kundendaten drin, oder kannst du mit anonymen Beispieldaten testen? Zum Bauen reichen fast immer Testdaten.
2. Login vorhanden? Ist alles, was sensibel ist, hinter einer Anmeldung, statt frei erreichbar?
3. Wer darf was? Hat wirklich nur derjenige Zugriff, der ihn braucht? Rollen und Rechte klar trennen.
4. Schlüssel versteckt? Stehen Passwörter oder Zugangsschlüssel sichtbar im Code oder liegen sie in einem geschützten Bereich (wo sie hingehören)?
5. Datenbank geschützt? Ist deine Datenbank von außen ohne weiteres erreichbar? (Das ist übrigens eines der häufigsten Lecks.)
6. Speicher privat? Sind Datei-Speicher öffentlich, die eigentlich privat sein sollten?
7. Robust gegen Fehleingaben? Hast du getestet, was passiert, wenn jemand unsinnige oder absichtlich störende Eingaben macht? (Stichwort: Fuzzing)
8. Wo liegen die Daten? Weißt du, auf welchem Server und bei welchem Anbieter die Daten liegen, und ob das datenschutzrechtlich passt?
9. Siehst du Auffälligkeiten? Gibt es ein Logging, das dir zeigt, wenn z.B. etwas Ungewöhnliches passiert?
10. Sauberes Ende? Was passiert mit den Daten, wenn du das Tool wieder löschst oder nicht mehr nutzt?

Wenn du bei der ein oder anderen Frage ins Zweifeln kommst und dir nicht sicher bist, ist das kein Grund zur Panik. Es ist aber genau der Hinweis, dass du vor dem Go-live noch einmal näher hinschauen solltest.

Sicherheit ist ein Prozess, kein Tool

Der größte Denkfehler ist, Sicherheit für einen Knopf zu halten, den man einmal drückt. Sie ist vielmehr eher eine kleine Routine, die man einmal sauber einrichtet und dann in Abständen überprüft. Diese vier Bausteine helfen dir für den Anfang:

• Rollen und Zugriffe einrichten wo nötig: Wer darf was, und warum?
• Tests durchführen: Vor dem Live-Gang einmal bewusst durchspielen, um zu sehen, was schiefgehen könnte.
• Monitoring/Logs führen: Ein Minimum an Protokollen, damit du Auffälligkeiten überhaupt bemerkst.
• Wiederholung ist Pflicht: Eine einmalige Prüfung ist nicht ausreichend; spätestens nach jeder größeren Änderung erneut prüfen.

Das alles klingt jetzt vielleicht nach super viel Aufwand, aber das ist es nicht. Meist sind es ein paar bewusste Minuten, die dir im Zweifel aber sehr viel Ärger ersparen.

Was du jetzt tun kannst

Du musst nicht aufhören, mit KI zu bauen. Im Gegenteil. Nutze die Geschwindigkeit, aber baue dir den Sicherheits-Reflex davor ein.

Wenn du wissen möchtest, wo dein KI-Einsatz im Business insgesamt eventuell rechtlich wackelt, dann verschaff dir mit meinem KI-Rechtsrisiko-Check einen ersten Eindruck. In wenigen Minuten siehst du, wo du gut aufgestellt bist oder wo du noch nachbessern solltest.

Dieser Beitrag ersetzt keine fallbezogene Rechtsberatung.