Vibecoding: Produktiver Flow oder rechtliches Minenfeld?

„Ich erstelle Websites jetzt nur noch mit Vibecoding, React und so. Verstehen tu ich da selbst nicht mehr so viel, aber das ist ja auch nicht nötig. Die Seiten laufen ja – und sind schnell.“

Der Satz war nicht einmal provokant gemeint. Eher beiläufig. Selbstverständlich. Und genau das macht ihn problematisch.

Denn er steht exemplarisch für eine Haltung, die aktuell immer häufiger wird: Funktion schlägt Verständnis, Geschwindigkeit schlägt Verantwortung. Solange etwas „läuft“, scheint die Frage nach Qualität, Wartbarkeit, Sicherheit oder rechtlicher Verantwortung zweitrangig zu sein.

Das hat mich stutzig gemacht. Nicht aus technischer Nostalgie – sondern weil Vibecoding zwar enorme Chancen bietet, gleichzeitig aber auch eine Reihe von Tücken mit sich bringt, die gerne ausgeblendet werden.

Die entscheidende Frage lautet daher nicht: Funktioniert Vibecoding?
Sondern: Was bedeutet Vibecoding für Qualität, Haftung und Rechte – insbesondere im professionellen Umfeld?

Ursprung des Begriffs

Der Begriff „Vibe Coding“ wurde Anfang 2025 geprägt und beschreibt eine neue Haltung zur Softwareentwicklung: Vertrauen in KI-Systeme, Fokus auf Ergebnis statt Implementierungstiefe und ein bewusster Verzicht auf vollständige Kontrolle über den Code. Was zunächst wie eine provokante Beobachtung wirkte, wurde schnell zur gelebten Praxis – befeuert durch leistungsfähige LLMs und IDE-nahe Tools.

Wie Vibecoding praktisch funktioniert

Der typische Workflow ist einfach:

1. Beschreibung eines Features in Alltagssprache (z. B. „Baue mir einen Dark-Mode-Toggle mit Persistenz“)
2. KI generiert Code
3. Fehler oder Änderungswünsche werden erneut als Prompt formuliert
4. Iteration statt detaillierter Architekturarbeit

Der Fokus liegt klar auf Prototyping und Geschwindigkeit – nicht auf formaler Codequalität, Wartbarkeit oder langfristiger Struktur.

Vorteile von Vibecoding

Vibecoding ist kein Spielzeug, sondern ein Werkzeug. Richtig eingesetzt, entfaltet es echte Produktivitätsgewinne:

• Extrem schnelles Prototyping
• Niedrige Einstiegshürden
• Hoher kreativer Output bei geringer mentaler Reibung
• Gut geeignet für MVPs, interne Tools, Automatisierungen und Experimente

Für erfahrene Entwickler kann Vibecoding wie ein Turbo wirken – vergleichbar mit Autocomplete, nur deutlich mächtiger.

Nachteile und technische Risiken

Die Schattenseite zeigt sich meist verzögert:

• Debugging wird schwieriger, da das mentale Modell fehlt
• Codequalität ist inkonsistent
• Sicherheitslücken bleiben unentdeckt
• Technische Schulden entstehen schneller, als sie sichtbar werden
• Für produktionsreife Systeme ohne Review ungeeignet

Vibecoding skaliert Geschwindigkeit – nicht Verantwortung.

Haftung im professionellen Einsatz

Ein besonders verbreiteter Irrtum im Zusammenhang mit Vibecoding lautet:

„Die KI hat den Code geschrieben, also hafte ich nicht.“

Diese Annahme ist rechtlich schlicht falsch – und in der Praxis hochriskant.

Weder das deutsche noch das europäische Recht kennt eine Haftungsverschiebung auf KI-Systeme. Rechtlich existiert die KI nicht als Verantwortungsträger. Haftbar ist immer derjenige, der die Software anbietet, verkauft, ausliefert oder produktiv einsetzt.

Dabei spielt es keine Rolle, ob der Code:

• manuell geschrieben,
• teilweise KI-gestützt erzeugt
• oder nahezu vollständig generiert wurde.

Der Einsatz von KI senkt weder die Sorgfaltspflicht noch die Prüfpflicht. Im Gegenteil: In vielen Konstellationen erhöht sich die Erwartung an Kontrollen, weil bekannte Risiken (Halluzinationen, Sicherheitslücken, Lizenzprobleme) bestehen.

Maßgeblich sind insbesondere:

• das Vertragsrecht (BGB)
• die Mängel- und Gewährleistungshaftung
• die Produkthaftung
• sowie anerkannte IT‑Sicherheits- und Branchenstandards

Vertrags- und Mängelhaftung

Nach §§ 434 ff. BGB schuldet der Entwickler oder Anbieter ein mangelfreies Produkt. Ein Mangel liegt bereits dann vor, wenn die Software nicht die Eigenschaften aufweist, die:

• vertraglich vereinbart wurden,
• nach dem Vertragszweck vorausgesetzt werden dürfen,
• oder bei Software dieser Art üblich und zu erwarten sind.

Typische haftungsrelevante Mängel sind:

• Fehlerhafte oder instabile Funktionalität (z. B. Abstürze, falsche Ergebnisse)
• Sicherheitsmängel (z. B. fehlende Input-Validierung, bekannte CVEs)
• fehlende zugesicherte Eigenschaften (z. B. DSGVO‑Konformität, Performance, Skalierbarkeit)

Ein durch KI erzeugter Fehler ist rechtlich kein Sonderfall. Er wird exakt so behandelt wie ein handgeschriebener Bug.

Besonders kritisch: Wird auf Reviews, Tests oder Sicherheitsprüfungen bewusst verzichtet, kann dies als grobe Fahrlässigkeit ausgelegt werden. Haftungsausschlüsse greifen in solchen Fällen regelmäßig nicht mehr.

Kurz gesagt: Die KI mag den Code formulieren – die Verantwortung bleibt vollständig beim Menschen.

Urheberrecht und KI-Code

Grundsatz

Rein KI-generierter Code ohne maßgeblichen menschlichen Beitrag ist nicht urheberrechtlich geschützt (§ 69a UrhG). Er ist gemeinfrei, nicht exklusiv und frei kopierbar.

Wann entsteht Schutz?

Urheberrecht entsteht nur bei maßgeblichem menschlichem Einfluss, etwa durch:

• eigenständige Überarbeitungen
• strukturelle Neuentwürfe
• kreative algorithmische Entscheidungen
• substanzielle Refactorings

Entscheidend ist der sogenannte Dominanzgrad des Menschen im Schaffensprozess.

Vibecoding als Arbeitnehmer: Kein Schutz heißt nicht keine Pflicht

Gerade im Arbeitsverhältnis entstehen beim Einsatz von Vibecoding gefährliche Fehlannahmen. Die zentrale Verwirrung entsteht meist aus einer falschen Fragestellung.

Die eigentliche Frage lautet nicht nur:

„Wem gehört der Code?“

sondern viel entscheidender:

„Was schulde ich meinem Arbeitgeber – und unter welchen Bedingungen?“

Urheberrechtliche Einordnung

Auch wenn bei reinem Vibecoding zunächst kein schutzfähiges Werk entsteht, beantwortet das Urheberrecht ausschließlich die Frage nach der Zuordnung von Rechten. Es sagt nichts darüber aus, ob und wie du deine arbeitsvertraglichen Pflichten erfüllst.

Arbeitsvertrag schlägt Urheberrecht

Als Arbeitnehmer bist du Leistungsschuldner. Du schuldest kein abstraktes „Werk“, sondern ein verwertbares, zweckgeeignetes Arbeitsergebnis. Maßgeblich sind dabei:

• der individuelle Arbeitsvertrag
• § 611a BGB (Arbeitsleistung)
• arbeitsvertragliche Nebenpflichten (Sorgfalt, Loyalität, Rücksichtnahme)

Gemeinfreiheit oder fehlende Schutzfähigkeit entbindet nicht von der Pflicht, brauchbaren, sicheren und nachvollziehbaren Code zu liefern.

Zweckübertragungsgrundsatz in der Praxis

Sobald du KI-generierten Code menschlich nachbearbeitest – etwa durch Refactoring, Strukturierung, Reviews oder Architekturentscheidungen – kann nachträglich Schutzfähigkeit entstehen. Diese Rechte gehen automatisch auf den Arbeitgeber über, soweit sie zur Vertragserfüllung erforderlich sind.

Arbeitsrechtliche Risiken

Reines Vibecoding ohne Review oder Kontrolle kann arbeitsrechtlich als Schlechtleistung bewertet werden, insbesondere bei:

• mangelnder Exklusivität oder Nachvollziehbarkeit
• erhöhten Sicherheits- oder Lizenzrisiken
• Verletzung anerkannter Entwicklungs- und Qualitätsstandards

Mögliche Folgen sind:

• Abmahnung
• Schadensersatzforderungen
• im Wiederholungsfall eine verhaltensbedingte Kündigung

Drei Szenarien aus der Praxis: Vibecoding im Arbeitsverhältnis

An dieser Stelle stellt sich eine entscheidende Anschlussfrage:

Wie unterscheidet sich die rechtliche Bewertung, je nachdem, ob Vibecoding ohne Wissen, mit Wissen oder auf Anweisung des Arbeitgebers eingesetzt wird?

1. Vibecoding ohne Wissen des Arbeitgebers

Dies ist die rechtlich riskanteste Variante.

• Der Einsatz von KI erfolgt eigenmächtig
• Risiken (Sicherheit, Lizenzen, Wartbarkeit) werden nicht transparent gemacht
• Der Arbeitgeber geht von klassischer Entwicklungsleistung aus

Folge: Tritt ein Problem auf, kann dir vorgeworfen werden, gegen deine Sorgfalts- und Loyalitätspflichten verstoßen zu haben. Der KI-Einsatz wirkt hier nicht entlastend, sondern belastend.

2. Vibecoding mit Wissen, aber ohne klare Regelung

In diesem Szenario weiß der Arbeitgeber vom KI-Einsatz, hat ihn aber weder geregelt noch ausdrücklich angeordnet.

• Der Einsatz ist faktisch geduldet
• Verantwortung für Qualität und Kontrolle bleibt bei dir
• Erwartungshaltung ist oft unklar

Rechtlich bleibt das Risiko überwiegend beim Arbeitnehmer: Du musst sicherstellen, dass das Ergebnis den fachlichen und rechtlichen Anforderungen entspricht.

3. Vibecoding auf ausdrückliche Anweisung des Arbeitgebers

Hier verschiebt sich die Verantwortung deutlich:

• Der Arbeitgeber entscheidet über das Mittel (KI)
• Du schuldest weiterhin fachgerechte Umsetzung
• Organisations- und Grundsatzrisiken liegen beim Arbeitgeber

Aber auch hier gilt: Offensichtliche Mängel, Sicherheitslücken oder Blindvertrauen in KI entbinden dich nicht von jeder Verantwortung. Du musst zumindest auf erkennbare Risiken hinweisen.

Saubere Praxis: Hybrid statt blind

Die rechtssichere Lösung ist pragmatisch:

• KI als Werkzeug nutzen, nicht als Autor
• Menschliche Entscheidungen sichtbar machen
• Reviews, Refactorings und Architektur bewusst übernehmen

Dokumentation als Schutz

• Aussagekräftige Git-Commits
• nachvollziehbare Diffs
• Architektur- und Designentscheidungen
• bewusste Abweichungen vom KI-Vorschlag

So entstehen Qualität, Schutzfähigkeit und rechtliche Sicherheit.

Haftungsarten im Überblick (praxisorientiert)

Aktuelle Einordnung: EU AI Act

Mit dem Inkrafttreten des EU AI Act (seit 2025) verschiebt sich der Fokus zusätzlich auf organisatorische Pflichten. Zwar wird Vibecoding als solches meist kein Hochrisiko-KI-System darstellen, dennoch entstehen Pflichten für Unternehmen und Entwickler:

• Schulungspflichten im Umgang mit KI-Systemen (Art. 4 KI-VO)
• Nachvollziehbarkeit von Entscheidungen
• Risikoabschätzung bei produktivem Einsatz

Der AI Act entlastet Entwickler nicht – er erhöht vielmehr die Erwartung an einen kontrollierten und dokumentierten KI-Einsatz.

Quellen & rechtlicher Rahmen (Auswahl)

Hinweis: Die folgende Liste dient der rechtlichen Einordnung und ersetzt keine individuelle Rechtsberatung.

• Bürgerliches Gesetzbuch (BGB), insbesondere §§ 434 ff., § 611a
• Urheberrechtsgesetz (UrhG), insbesondere § 69a
• Produkthaftungsgesetz (ProdHaftG)
• EU-Verordnung über künstliche Intelligenz (AI Act / KI-VO)
• LG Hamburg, Urteil 2024 (hybride Werke & menschlicher Beitrag)
• Diverse Leitfäden der EU-Kommission und nationaler Datenschutzbehörden

Vertragsgestaltung und Offenlegungspflichten

Ein besonders sensibler Punkt beim professionellen Einsatz von Vibecoding ist die Vertragsgestaltung. Der rechtliche Konflikt entsteht dabei weniger durch den Einsatz von KI an sich, sondern durch falsche oder unausgesprochene Erwartungen.

Wird der Einsatz von KI gegenüber dem Kunden nicht offengelegt, kann dies im Streitfall als arglistige Täuschung gewertet werden – nicht, weil KI verboten wäre, sondern weil der Kunde bei Individualsoftware regelmäßig von einer nachvollziehbaren, kontrollierten Eigenentwicklung ausgeht.

Die Konsequenz ist erheblich: Gewährleistungs- und Schadensersatzansprüche bleiben voll bestehen, selbst dann, wenn die Software technisch funktioniert und produktiv eingesetzt werden kann. Entscheidend ist nicht allein die Lauffähigkeit, sondern die Frage, ob das gelieferte Werk den berechtigten Erwartungen an Wartbarkeit, Prüfbarkeit und Risikoarmut entspricht.

Gerade bei Individualsoftware erwarten Auftraggeber typischerweise:

• vollständigen Zugriff auf den Quellcode
• die Möglichkeit zur Prüfung und Weiterentwicklung
• keine verdeckten Lizenz‑ oder Sicherheitsrisiken
• Transparenz über Entstehung und Qualitätssicherung

Wer überwiegend KI-generierten Code liefert, ohne dies offen zu kommunizieren, suggeriert implizit Exklusivität, eigene schöpferische Leistung oder besondere Kontrolltiefe – und genau hier entsteht das rechtliche Risiko.

Wichtig: Der Entwickler schuldet nicht zwingend die Übertragung von Urheberrechten. Er schuldet jedoch ein nutzbares, rechtlich unbedenkliches und vertragsgemäßes Arbeitsergebnis. Fehlt diese Klarheit, liegt der Mangel nicht im fehlenden Recht, sondern in der fehlenden Transparenz.

Praxisempfehlung (Standardklausel)

„Der Entwickler setzt bei der Leistungserbringung auch KI‑gestützte Werkzeuge ein. Der Kunde erhält das Recht, den vollständigen Quellcode einzusehen, zu prüfen und auditieren zu lassen.“

Diese Formulierung vermeidet falsche Zusagen über Schutzfähigkeit oder Exklusivität, stellt aber sicher, dass der Kunde genau das erhält, was er faktisch benötigt: Nutzbarkeit, Prüfbarkeit und Kontrolle.

So wird der Fokus bewusst von der Frage „Wem gehört der Code?“ auf die entscheidende Frage verschoben: „Ist das Ergebnis für den vorgesehenen Zweck zuverlässig einsetzbar?“

IT-Sicherheitsrecht und BSI-Pflichten

Neben Vertrags- und Zivilrecht greift bei vielen Projekten auch das IT-Sicherheitsrecht. § 8a BSIG verpflichtet Betreiber bestimmter Systeme (und faktisch auch deren Dienstleister), angemessene und dem Stand der Technik entsprechende Sicherheitsmaßnahmen umzusetzen.

KI-generierter Code ohne statische Analyse, Dependency-Checks oder Security-Scans kann gegen diese Pflicht verstoßen. Relevant ist das nicht nur für Konzerne, sondern auch für Freelancer und kleinere Anbieter, sofern ihre Software in sicherheitsrelevanten Kontexten eingesetzt wird.

Mögliche Folgen:

• aufsichtsrechtliche Maßnahmen
• Bußgelder (bis in den fünfstelligen Bereich)
• Regressforderungen von Auftraggebern

Open-Source-Lizenzkonflikte durch KI

Ein reales Risiko von Vibecoding liegt in der unbewussten Reproduktion von Open-Source-Code, insbesondere aus stark regulierten Lizenzen wie GPL oder AGPL. KI-Modelle können entsprechende Codefragmente aus Trainingsdaten wiedergeben – ohne Lizenzhinweis.

Wichtig: Nicht der Kunde, sondern der Lieferant haftet primär für Lizenzverstöße. Abmahnungen durch Rechteinhaber oder Organisationen wie die Free Software Foundation treffen zunächst dich.

Praxis-Tipp: Vor Auslieferung immer einen automatisierten Lizenz-Check durchführen, etwa mit FOSSology oder vergleichbaren Tools.

Internationale Einordnung: EU-weit relevant

Auch wenn dieser Artikel bewusst aus deutscher Perspektive geschrieben ist, gilt: Die zentralen Regelwerke – vorwiegend der EU AI Act – wirken EU-weit. Für Exportprojekte oder internationale Kunden bedeutet das:

• einheitliche Mindeststandards
• nationale Verschärfungen möglich
• erhöhte Dokumentationspflichten

Deutschland gilt dabei traditionell als eher streng in der Auslegung technischer Sorgfaltspflichten. Wer international arbeitet, sollte sich daher nicht am niedrigsten, sondern am strengsten Maßstab orientieren.

Versicherungsrealität: Oft eine Lücke

Viele Berufshaftpflichtversicherungen decken KI-bezogene Risiken bislang nur eingeschränkt oder gar nicht ab. Häufig ist ein Zusatzbaustein erforderlich, der Risiken aus KI-Einsatz explizit einschließt.

Typisch:

• Aufschläge im Bereich von ca. 15–25 %
• strengere Obliegenheiten (z. B. Dokumentationspflicht)

Selbsttest: Weißt du sicher, dass deine aktuelle Versicherung KI-Risiken abdeckt?

Technische Nachweisbarkeit: SBOMs werden Standard

Die Software Bill of Materials (SBOM) entwickelt sich zunehmend zum Standardnachweis für Sicherheit und Compliance. Spätestens ab 2026 wird sie in vielen Branchen faktisch erwartet (DIN-Spezifikationen und internationale Vorgaben).

SBOMs helfen dabei:

• Abhängigkeiten transparent zu machen
• Sicherheitslücken schneller zu identifizieren
• Haftungsrisiken zu reduzieren

Tools wie cdxgen oder ähnliche Generatoren ermöglichen eine automatisierte Erstellung und sollten Teil moderner Pipelines sein.

Der wegweisende Hybrid-Ansatz

Ein belastbarer Umgang mit Vibecoding folgt in der Praxis einem klaren Muster:

1. KI → Draft (Vibecoding)
2. Statischer Scan → Sicherheitscheck
3. Mensch → Refactoring & Tests
4. SBOM → Nachweisbarkeit

Bewährte Werkzeuge: SonarQube, Snyk, Git-Diffs, Dependency-Scanner

⚠️ CHECKLISTE vor Kundennutzung

•  Security Scan (z. B. Snyk, OWASP)
•  Lizenzprüfung (z. B. FOSSology)
•  Git-Dokumentation menschlicher Änderungen
•  Vertragliche KI-Offenlegung + Review-Recht

Fazit

Vibecoding ist ein Beschleuniger – kein Ersatz für Engineering. Für Experimente, Prototypen und interne Tools ist es hervorragend geeignet. Im professionellen Einsatz gilt jedoch: hybrid arbeiten, prüfen, dokumentieren.

Die KI schreibt vielleicht den Code – aber du unterschreibst ihn.