Vibe Coding im Unternehmen

Vibe Coding bedeutet: Jemand beschreibt in normaler Sprache, was eine Anwendung können soll, und ein KI-Tool wie Claude oder Codex schreibt den Code. Die Person prüft vor allem, ob das Ergebnis funktioniert, und liest den Code oft gar nicht. Im Unternehmen ist das sinnvoll, solange klar ist, welche Daten in die App dürfen, wer für sie zuständig ist und wo sie läuft.

Was ist Vibe Coding?

Den Begriff hat der KI-Forscher Andrej Karpathy Anfang 2025 geprägt. Das Ergebnis ist echter Code. Darin liegt der Unterschied zu No-Code-Tools, bei denen ihr innerhalb eines fertigen Baukastens arbeitet.

Im Mittelstand bauen häufig technisch interessierte Mitarbeitende, Produktmanager oder Filial- und Werkstattleiter. Sie kennen das fachliche Problem genau, haben aber keine Ausbildung in Softwareentwicklung oder im Betrieb von Anwendungen.

Wo passt Vibe Coding im Unternehmen?

Gut geeignet sind Aufgaben, die klar umrissen sind und bei denen ein Fehler begrenzte Folgen hat. Typisch sind zum Beispiel:

• Excel-Importe prüfen und übernehmen
• Auszüge aus dem ERP-System für Filial- und Abteilungsleiter aufbereiten
• Zeiterfassung für kleine Teams (enthält Personaldaten, also Stufe 3)
• Ein Chatbot für Filialmitarbeiter, der interne Anleitungen kennt
• Prototypen, mit denen ihr Anforderungen klärt, bevor ihr Software kauft oder beauftragt

Weniger geeignet ist Vibe Coding für Kernsysteme wie Buchhaltung und Zahlungsverkehr. Dort kann ein Prototyp die Anforderungen zeigen, für den Betrieb braucht es erfahrene Entwickler.

Was geht beim Vibe Coding typischerweise schief?

KPMG beschreibt Vibe Coding als neue Form von Schatten-IT, bei der Fachbereiche Lösungen oft ohne klare Regeln für Daten, Qualität und Betrieb entwickeln. In der Praxis zeigt sich das an diesen Punkten:

• Der Prototyp bleibt. Eine App entsteht für eine Vorführung und wird dann täglich genutzt, ohne Backups und ohne zuständige Person.
• Firmendaten landen im Prompt. Wer eine echte Kundenliste in das KI-Tool einfügt, gibt sie an den KI-Anbieter weiter.
• Die App funktioniert, ist aber nicht geschützt. Eine KI baut das, was ihr beschreibt. Sagt niemand, wer welche Daten sehen darf, können angemeldete Personen unter Umständen fremde Datensätze öffnen.
• Zugangsdaten stehen im Code. Passwörter und API-Schlüssel wandern mit jeder Kopie des Codes weiter.
• Das Wissen hängt an einer Person. Verlässt sie das Unternehmen, versteht niemand mehr, wie die App funktioniert und wo sie läuft.
• Es entstehen Doppelungen. Drei Abteilungen bauen dasselbe Werkzeug, und die Zahlen passen nicht zueinander.

Warum ist ein Verbot keine gute Lösung?

Ein Verbot beseitigt nicht den Bedarf, der zu den Apps geführt hat, und die KI-Tools sind leicht erreichbar. Wahrscheinlich wird deshalb weiter gebaut, und ihr erfahrt weniger davon.

Auch KPMG hält fest, dass es nicht darum geht, die Entwicklung im Fachbereich zu verhindern, und empfiehlt einen kontrollierbaren Rahmen mit einem sicheren Standardweg. Dieser Weg muss bequem sein, sonst nutzt ihn kaum jemand.

Welche Regeln sind im Mittelstand sinnvoll?

Ein langes Regelwerk ist nicht nötig. Am besten funktioniert eine Einstufung nach Risiko, die jede Person selbst vornehmen kann:

• Stufe 1, persönliche Helfer. Nur eine Person nutzt die App, und sie enthält keine Daten von Personen. Ihr dürft frei bauen.
• Stufe 2, Team-Werkzeuge. Mehrere Personen nutzen die App, und sie enthält interne Daten. Die Mindestregeln unten gelten.
• Stufe 3, sensible Anwendungen. Die App enthält Personal- oder Kundendaten, ist von außen nutzbar oder schreibt in Kernsysteme. Zusätzlich schauen die IT-Verantwortlichen und der Datenschutz vor dem Start darauf.

Diese Mindestregeln passen auf eine Seite:

1. Jede App wird eingetragen. Eine einfache Liste reicht: Name, Zweck, zuständige Person, Daten, Adresse.
2. Jede App hat eine zuständige Person und eine Vertretung.
3. Es gibt klare Vorgaben für Prompts. Echte Daten von Personen gehören nur dann in ein KI-Tool, wenn das geklärt ist. Zum Bauen genügen Beispieldaten.
4. KI-Tools laufen über Firmenkonten. Private Konten sind für Firmendaten nicht erlaubt, weil ihr dort keine Einstellungen und keinen Vertrag kontrolliert.
5. Die Anmeldung läuft über das Firmenkonto. Es gibt keinen offenen Link und kein gemeinsames Passwort.
6. Zugangsdaten stehen nie im Code.
7. Eine zweite Person testet vor dem Start. Sie prüft, ob sie etwas sehen kann, das sie nicht sehen dürfte.
8. Nicht mehr genutzte Apps werden abgeschaltet. Prüft einmal im Jahr, was noch gebraucht wird.

Wer macht was: Fachbereich, IT und Geschäftsführung?

• Der Fachbereich baut, testet, pflegt die App und bleibt für ihren Inhalt zuständig.
• Die IT-Verantwortlichen legen den Standardweg fest, also Konten, Betrieb und Anmeldung, und beraten bei Stufe 3. In kleineren Firmen übernimmt das oft eine Abteilungsleitung nebenbei.
• Die Geschäftsführung beschließt die Regeln, stellt Zeit dafür bereit und entscheidet in Zweifelsfällen.

Wie ihr mit Apps umgeht, die bereits laufen, beschreibt der Ratgeber Schatten-IT durch selbst gebaute Apps. Für einzelne Apps gibt es die Checkliste vom Prototyp zum Firmen-Tool.

Was Auftrieb dabei übernimmt

Auftrieb ist ein möglicher Standardweg für die Regeln in diesem Ratgeber. Die Anmeldung läuft über Google Workspace oder Microsoft Entra. Selbst gebaute Apps sind intern und werden erst öffentlich, wenn das zuständige Team das ausdrücklich bestätigt. Ein zentraler Katalog zeigt die Apps, und die Zuständigen einer App entscheiden über Zugangsanfragen. Zugangsdaten werden verschlüsselt und getrennt vom Code gespeichert. Den Code eurer eigenen Apps pflegt ihr mit eurem KI-Tool. Mehr dazu steht auf der Seite Sicherheit.

Stand: November 2026