KI-generierter Code
KI-Code prüfen lassen: Wer hat geprüft, was die KI geschrieben hat?
Cursor, GitHub Copilot, Lovable, Bolt.new oder v0 liefern in Stunden, wofür früher Wochen nötig waren. Eine Sicherheitsprüfung liefern sie nicht mit. Unser Code-Audit liest den Code, den die KI geschrieben hat, und findet fehlende Prüfungen, offene Schlüssel und riskante Pakete.
Wir lesen den Code, wir greifen nichts an. Das Code-Audit ist kein Penetrationstest.
Genannte Produktnamen sind Marken ihrer Inhaber. Wir sind mit diesen Anbietern nicht verbunden.
Warum KI-Code eigene Schwachstellen hat
KI-Assistenten schreiben Code, der funktioniert. Ob er sicher ist, prüfen sie selten. Typische Muster in KI-Code:
- Fehlende Berechtigungsprüfung: Die Route prüft, ob jemand angemeldet ist, aber nicht, ob ihm die Daten gehören.
- Hart codierte Secrets: API-Schlüssel und Tokens landen im Quellcode oder im Frontend.
- Veraltete oder erfundene Pakete: Abhängigkeiten mit bekannten CVEs oder Paketnamen, die es nicht gibt und die jemand registrieren kann.
- Fehlende Eingabevalidierung: Eingaben gehen ungeprüft in Datenbankabfragen, HTML oder Shell-Befehle.
- Zu offene Regeln: CORS für jede Herkunft, fehlende oder zu weite Row-Level-Security-Policies, etwa in Supabase.
BeispielFiktives Beispiel, keine Kundendaten.
API-Route ohne Berechtigungsprüfung
- Fundstelle
app/api/invoices/[id]/route.ts, Zeile 14- Befund
- Die Route prüft nur, ob ein Nutzer angemeldet ist. Jeder Kunde kann über die ID die Rechnungen anderer Kunden abrufen.
- Empfehlung
- Vor der Abfrage serverseitig prüfen, ob die Rechnung zum Konto des Nutzers gehört.
- CVSS 6,5
- CWE-639
- OWASP A01:2025
Die typischen Fehler im Detail: Vibe Coding: Wie sicher ist KI-generierter Code?
Was wir prüfen: OWASP Top 10:2025
Jeder Befund wird einer Kategorie der OWASP Top 10:2025 zugeordnet und nach CVSS 3.1 bewertet. Typische Kategorien in KI-Code:
A01:2025 Broken Access Control
Fehlende Besitz- und Rollenprüfung in API-Routen und Server-Funktionen.
A02:2025 Security Misconfiguration
Offene CORS-Regeln, Debug-Modus, zu weite Datenbank-Policies.
A03:2025 Software Supply Chain Failures
Abhängigkeiten mit bekannten CVEs, verwaiste oder erfundene Pakete.
A04:2025 Cryptographic Failures
Selbstgebaute Verschlüsselung, schwache Hashes für Passwörter.
A05:2025 Injection
SQL, HTML und Shell-Befehle aus ungeprüften Eingaben.
A07:2025 Authentication Failures
Hart codierte Schlüssel, unsichere Sessions und Tokens.
So läuft es ab
- 01
Code übergeben
Lesezugriff auf das Repository oder ein verschlüsseltes Archiv. NDA vorab, bei personenbezogenen Daten im Code auch ein AVV.
- 02
KI-Agenten prüfen
Werkzeuge wie semgrep, gitleaks und osv-scanner liefern Signale, spezialisierte Agenten lesen den Zusammenhang.
- 03
Quality Gate
Ein zweiter Agent versucht, jeden Befund zu widerlegen. Nur Belegtes kommt in den Report.
- 04
Report
Befunde mit Datei und Zeile, Bewertung nach CVSS und konkreter Empfehlung, in 2 Werktagen.
Jeder Schritt im Detail: Methodik
Was Sie erhalten
- Befunde mit Fundstelle im Code, also Datei und Zeile
- Bewertung nach CVSS 3.1, CWE und OWASP Top 10:2025
- Priorisierter Maßnahmenplan mit konkreter Empfehlung je Befund
- Rohdaten aller Werkzeuge
Code-Audit, App-Audit oder beides?
Das Code-Audit findet die Ursachen im Quellcode, für 890 € netto. Das App-Audit testet die laufende Anwendung automatisiert mit zwei Testzugängen, für 490 €. Das Full Audit verbindet beides und belegt Code-Befunde in der laufenden App, für 1.690 €.
| Security-Checkkostenlos | App-Audit490 € | Code-Audit890 € | Full Audit1.690 € | EnterpriseAuf Anfrage | |
|---|---|---|---|---|---|
| Was geprüft wird | |||||
| TLS, Security-Header, Cookies | enthalten | enthalten | teilweise | enthalten | enthalten |
| Login, Sessions, Rate-Limits | nicht enthalten | enthalten | enthalten | enthalten | enthalten |
| Zugriffsrechte: Sieht Nutzer A die Daten von B? | nicht enthalten | enthalten | teilweise | enthalten | enthalten |
| Injection (SQL, XSS, SSRF) | nicht enthalten | teilweise | enthalten | enthalten | enthalten |
| Secrets und Schlüssel | teilweise | teilweise | enthalten | enthalten | enthalten |
| Supply Chain, Docker, CI/CD | nicht enthalten | nicht enthalten | enthalten | enthalten | enthalten |
| Was Sie erhalten | |||||
| Note und Zahl der Befunde | enthalten | enthalten | enthalten | enthalten | enthalten |
| Report mit priorisiertem Maßnahmenplan | nicht enthalten | enthalten | enthalten | enthalten | enthalten |
| Bewertung nach CVSS 3.1 | nicht enthalten | enthalten | enthalten | enthalten | enthalten |
| Ergebnisbesprechung und Re-Check | nicht enthalten | nicht enthalten | nicht enthalten | enthalten | enthalten |
| Rahmen | |||||
| Zugang | URL und E-Mail-Adresse | Adresse + 2 Testzugänge | Lesezugriff auf den Code | Adresse, Testzugänge und Code | individuell |
| Lieferzeit | in der Regel werktags in 2 Stunden | 1 Werktag | 2 Werktage | 4 Werktage | individuell |
Launch steht bevor? Sicherheitsprüfung vor dem Go-live
Häufige Fragen
Ist KI-generierter Code unsicherer als handgeschriebener?
Nicht grundsätzlich. KI-Assistenten übernehmen aber gern unsichere Muster und veraltete Abhängigkeiten und lassen Prüfungen weg, die niemand ausdrücklich verlangt hat. Wir prüfen KI-Code genauso streng wie handgeschriebenen.
Welche Werkzeuge decken Sie ab: Cursor, GitHub Copilot, Lovable, Bolt.new, v0?
Alle. Wir prüfen den Code, der entstanden ist, nicht das Werkzeug. Entscheidend ist die Sprache: unter anderem TypeScript/JavaScript, Python, PHP, Go, Java, Kotlin und C#/.NET mit den gängigen Frameworks.
Reicht ein automatischer Scanner wie npm audit?
Nein. npm audit meldet bekannte Lücken in Abhängigkeiten. Fehlende Berechtigungsprüfungen, offene Secrets oder zu weite Datenbank-Regeln sieht er nicht. Wir kombinieren mehrere Werkzeuge mit KI-Agenten, die den Zusammenhang lesen, und einer Gegenprüfung jedes Befunds.
Was kostet das Audit und wie lange dauert es?
Das Code-Audit kostet 890 € netto zum Festpreis. Den Report erhalten Sie 2 Werktage nach Zahlungseingang und Übergabe des Codes, mit Express in 24 Stunden an Werktagen.
Wird mein Code zum Training einer KI verwendet?
Nein. Für die Analyse nutzen wir Claude von Anthropic (USA), der KI-Anbieter trainiert nicht mit Ihrem Code. Code-Uploads liegen in einem privaten Speicher in der EU, und nach Abschluss löschen wir sie, die Fristen stehen in der Datenschutzerklärung.
Ist das ein Penetrationstest?
Nein. Wir lesen den Code und greifen nichts an. Ein Penetrationstest greift ein laufendes System an. Beides ergänzt sich.
KI-Code im Einsatz? Lassen Sie ihn prüfen.
Alle Preise netto zzgl. USt. Nur für Unternehmen. Es gelten unsere AGB.