Warum KI-gebaute Websites Zugangsdaten leaken

Sind mit KI gebaute Websites unsicher?

Nicht per se — eine KI schreibt keinen automatisch schlechteren Code als ein Mensch unter Zeitdruck. Das Problem ist der Prozess: Wer per Prompt in Stunden statt Wochen eine Website oder App baut, überspringt meist genau den Schritt, der Sicherheit ausmacht — die Überprüfung. Zugangsdaten im Client-Code, fehlende serverseitige Checks und offene Endpunkte sind bei schnell und ungeprüft ausgeliefertem Code auffällig häufig zu finden.

Was bei Tutalis anders läuft

Wir sagen das nicht von außen — wir bauen selbst mit modernen KI-gestützten Tools, auch diese Website. Der Unterschied liegt nicht im Werkzeug, sondern darin, was danach passiert: Jede Zeile, die live geht, wird geprüft, statt sich auf den ersten funktionierenden Entwurf zu verlassen. Genau diese Lücke zwischen Prompt und Prüfung ist der Kern des Problems, das dieser Artikel beschreibt.

Die typischen Muster bei Vibe Coding

Fünf Muster tauchen bei schnell per KI erstellten Websites immer wieder auf — unabhängig vom genutzten Tool:

• Zugangsdaten im Client-Code. API-Keys für Datenbank, Zahlungsanbieter oder Mail-Versand landen im Frontend-JavaScript, weil das im ersten Test einfach funktioniert — sichtbar für jeden, der die Browser-Konsole öffnet.
• Fehlende serverseitige Prüfungen. Eine KI baut oft ein Formular oder eine Berechtigung, die im Browser sauber aussieht — aber wenn die eigentliche Prüfung nur clientseitig passiert, lässt sie sich mit einer manipulierten Anfrage direkt umgehen.
• Unsichere Standardeinstellungen. Generierte Backend-Vorlagen kommen oft mit offenen Debug-Modi, permissiven CORS-Regeln oder Test-Zugängen, die für die Entwicklung praktisch, aber im Live-Betrieb ein offenes Tor sind.
• Fehlende Sicherheits-Header und CSP. HSTS, X-Content-Type-Options oder eine Content-Security-Policy gehören selten zum generierten Grundgerüst — sie müssen bewusst nachgerüstet werden, sonst fehlt eine ganze Verteidigungsschicht.
• Offengelegte Endpunkte und Datenbanken. Eine per Prompt angebundene Datenbank oder API bekommt oft großzügigere Zugriffsrechte, als der eigentliche Anwendungsfall braucht — und ist dadurch von außen erreichbar, ohne dass es auffällt.
• Kopierte Snippets mit Alt-Lücken. KI-Antworten stützen sich auf riesige Mengen bestehenden Codes im Netz — darunter auch Beispiele mit Jahre alten, längst bekannten Schwachstellen, die unverändert übernommen werden.

Fertig aussehen ist kein Sicherheitsmerkmal

Der eigentliche Grund, warum diese Muster so oft live gehen: Eine per KI gebaute Website wirkt fertig, sobald sie im Browser gut aussieht und die Kernfunktionen laufen. Design, Text und Bedienung sind sofort sichtbar — die Sicherheit einer Seite ist es nicht. Ob ein Endpunkt offen liegt oder ein Header fehlt, sieht man einer Seite beim Durchklicken nicht an. Genau diese Lücke zwischen sichtbarer Fertigstellung und tatsächlicher Absicherung ist es, die Vibe Coding riskant macht — nicht die KI selbst.

Was Sie konkret prüfen sollten

Bevor eine per KI gebaute Website live geht oder wenn eine bestehende Seite so entstanden ist, lohnen sich diese Punkte zuerst:

• Browser-Konsole und Netzwerk-Tab öffnen und prüfen, ob API-Keys, Tokens oder Datenbank-Verbindungsdaten im geladenen JavaScript sichtbar sind.
• Jede sicherheitsrelevante Prüfung (Login, Berechtigung, Preisberechnung) serverseitig testen — nicht nur im Frontend, das lässt sich umgehen.
• Admin- und Debug-Routen gezielt aufrufen, die nicht verlinkt sind — nicht verlinkt heißt nicht geschützt.
• Sicherheits-Header mit einem Online-Check oder den Entwicklertools kontrollieren: HSTS, CSP, X-Content-Type-Options gesetzt?
• Datenbank- und API-Zugriffsrechte auf das tatsächlich Nötige einschränken, statt der generierten Standardfreigabe zu vertrauen.

Diese Liste zeigt Symptome, keine vollständige Diagnose. Wer sicher wissen will, ob genau diese Muster bei der eigenen Seite zutreffen, braucht einen Blick von außen — automatisiert und, wo es zählt, manuell nachgeprüft.