Vibe Coding für KMU: Interne Tools bauen ohne Entwickler

Das meiste, was derzeit über Vibe Coding geschrieben wird, ist entweder Hype oder Panikmache. Beides hilft nicht weiter. Die Wahrheit liegt dazwischen: Vibe Coding ist weder die Wunderwaffe, mit der Sie morgen ein eigenes SaaS bauen, noch der Sicherheits-Albtraum, vor dem Tech-Blogs warnen. Es ist ein Werkzeug. Und wie jedes Werkzeug kommt es darauf an, wer es hält und ob derjenige weiß, was er tut.

Stand heute beschäftigen sich laut Bitkom 57 Prozent der deutschen Unternehmen mit KI, aber nur 20 Prozent nutzen sie produktiv. Die anderen 37 Prozent reden noch. Dieser Artikel richtet sich an diejenigen, die aufhören wollen zu reden.

Was Vibe Coding wirklich ist – und was nicht

Andrej Karpathy, ehemaliger KI-Chef bei Tesla und OpenAI-Mitgründer, prägte den Begriff im Februar 2025. Die Kern-Idee: Sie beschreiben, was Sie wollen. Die KI schreibt den Code. Sie akzeptieren, iterieren, fragen nach – ohne den Code im Detail verstehen zu müssen.

Das klingt verlockend. Ist es auch. Aber hier liegt die Falle.

Simon Willison, bekannter Entwickler und einer der schärfsten Kritiker des blinden Vibe-Coding-Ansatzes, zieht eine klare Linie: Wenn die KI den Code schreibt, Sie ihn reviewen, testen und verstehen – ist das kein Vibe Coding mehr. Das ist KI-gestützte Entwicklung. Vernünftig. Professionell. Empfehlenswert.

Pures Vibe Coding ohne Review? Für interne Tools kleiner Teams mit überschaubarem Scope ist das vertretbar, wenn Sie wissen, was Sie tun. Für Kundendaten, externe Systeme und Produktivumgebungen ist es riskant.

No-Code, Vibe Coding, Programmieren – wo liegt der Unterschied?

No-Code-Tools wie Zapier oder Make arbeiten mit vordefinierten Bausteinen. Sie verbinden Blöcke, ohne dass je Code entsteht. Schnell, aber limitiert – sobald Sie außerhalb der vorgesehenen Pfade wollen, stoßen Sie an Grenzen.

Vibe Coding geht weiter: Hier wird tatsächlich Code generiert. Python-Skripte, Web-Apps, APIs, Datenbankabfragen. Die KI schreibt, Sie steuern über Sprache. Kein Drag-and-Drop, aber auch kein Programmier-Studium nötig.

Klassische Entwicklung ist eine andere Liga: Architektur-Entscheidungen, Code-Review, Security-Testing, Deployment-Pipelines. Wichtig, aber für ein internes Angebotstool nicht erforderlich.

Der Sweet Spot für KMU und Selbstständige liegt beim strukturierten Vibe Coding: 70 bis 80 Prozent mit KI umsetzen, 20 bis 30 Prozent selbst verstehen und prüfen. Sie werden kein Entwickler. Sie werden Projektleiter. Das reicht.

5 interne Use Cases, die wirklich Sinn ergeben

Interne Tools sind der ideale Einstieg: überschaubarer Nutzerkreis, kontrolliertes Risiko, direkter Nutzen. Die fünf häufigsten Typen:

• Intake-Formulare mit Weiterverarbeitung – Anfragen empfangen, strukturieren, routen
• Angebots-Generatoren mit Preislogik und PDF-Ausgabe
• Interne Dashboards mit Live-Daten aus bestehenden Systemen
• Dokumentations-Tools die Wissen aus internen Quellen abrufbar machen
• Ticket-Triage – eingehende Anfragen automatisch kategorisieren und zuweisen

Alle fünf haben eines gemeinsam: Sie sparen messbar Zeit, brauchen keinen externen Entwickler und lassen sich iterativ aufbauen.

3 Praxis-Projekte aus der Realität

Projekt 1: Auftragseingang automatisieren (Holzbau)

Ein Holzbau-Betrieb mit 18 Mitarbeitenden hatte ein klassisches Problem: Anfragen kamen per Mail, WhatsApp und Telefon – und landeten nirgendwo strukturiert. Das Büro verbrachte täglich 1,5 Stunden damit, das zu sortieren.

Die Lösung: Ein Intake-Formular auf der Website, das Anfragen strukturiert erfasst. Eine n8n-Automatisierung zieht die Daten, kategorisiert nach Auftragstyp und Dringlichkeit und schreibt einen strukturierten Datensatz ins CRM. Parallel bekommt der zuständige Mitarbeitende eine Slack-Benachrichtigung mit allen relevanten Informationen.

Toolstack: Typeform für das Formular, n8n für die Automatisierung, Claude für die Kategorisierung, HubSpot als CRM. Die verbindende App – ein kleines Python-Skript – hat die KI in drei Iterationen geschrieben. Der Inhaber hat nicht jede Codezeile im Detail verstanden, aber jeden Schritt geprüft: Was kommt rein? Was kommt raus? Stimmt das Ergebnis?

Zeitersparnis: Gut 8 Stunden pro Woche. Und kein Auftrag geht mehr unter.

Projekt 2: Angebots-Generator (Fensterbau)

Ein Fensterbauer mit Maßanfertigungen, B2B und B2C gemischt. Ein Angebot hat früher 30 bis 45 Minuten gedauert: Maße eingeben, Preise nachschlagen, Dokument zusammenstellen, PDF generieren, versenden.

Die Lösung: Der Inhaber trägt Maße und Materialwahl in ein internes Tool ein. Die KI rechnet, das System generiert ein fertiges PDF mit Briefkopf, Positionen und Gesamtpreis und schickt es per automatischer E-Mail raus.

Was Vibe Coding hier konkret bedeutet: Das Backend – Preislogik, PDF-Generierung, E-Mail-Versand – hat die KI geschrieben. Die Anforderungen wurden formuliert, jeder Output manuell getestet und zweimal nachgesteuert, weil die Preisrundung nicht stimmte. Gesamtzeit bis zum MVP: ein langer Nachmittag.

Zeitersparnis: 20 bis 25 Minuten pro Angebot. Bei 15 Angeboten pro Woche summiert sich das erheblich.

Projekt 3: Ops-Dashboard mit Alerts

Das komplexeste der drei Projekte: Ein internes Dashboard, das Live-Daten aus verschiedenen Quellen zieht – Auftragsstatus, offene Rechnungen, Ressourcenauslastung – und bei definierten Schwellenwerten automatisch eine Slack-Nachricht schickt.

Hier braucht Vibe Coding am meisten Disziplin: Mehrere Datenquellen, mehrere Abhängigkeiten, echtes Risiko für Datenfehler, wenn die Logik nicht stimmt. Die Vorgehensweise: Jeden Daten-Pull einzeln testen, bevor er ins Dashboard integriert wird. Kleine Schritte. Nie drei Dinge gleichzeitig bauen.

Die Risiken – ehrlich benannt

Wer Vibe Coding als „einfach generieren und fertig“ versteht, baut sich ein Problem.

Sicherheitslücken: Veracode hat 2025 ausgewertet, dass in 45 Prozent der Fälle KI-Modelle unsichere Implementierungen wählen. XSS-Abwehr schlägt in 86 Prozent der relevanten Samples fehl. Log-Injection in 88 Prozent. Das sind OWASP-Top-10-Schwachstellen direkt aus dem KI-Output.

Verification Debt: Laut Sonar prüfen nur 48 Prozent der Entwickler KI-generierten Code konsequent. 96 Prozent vertrauen ihm nicht vollständig, prüfen aber trotzdem nicht. AWS-CTO Werner Vogels nennt das „Verification Debt“ – ein treffender Begriff.

Shadow-IT: Wenn jeder im Team anfängt, eigene Tools zu bauen, ohne Governance, ohne Zugriffsrechte, ohne Dokumentation, wird das schnell unübersichtlich. Und DSGVO-relevant.

„Vibe, then verify“ – strukturiertes Vorgehen

Der Gegenentwurf zum blinden Accept-All ist nicht „kein Vibe Coding“. Es ist strukturiertes Vorgehen.

Die Empfehlung: Behandeln Sie KI-Output wie Code von einem Junior-Entwickler. Reviewen, aber nicht alles von Grund auf neu schreiben. Konkret:

• Jeden Output erst in einer Testumgebung laufen lassen
• Manuell mit echten Daten testen
• Logging von Anfang an einbauen – nicht als Nachgedanke

Für n8n-Workflows: Der eingebaute Security-Audit (n8n audit über CLI oder API) prüft ungeschützte Webhooks, riskante Nodes und Credential-Risiken. Nutzen Sie das, bevor ein Workflow produktiv geschaltet wird.

Drei Minimalstandards für jedes Projekt:

• Keine Produktionsdaten in der Entwicklungsphase
• Zugriffsrechte vor dem ersten echten Nutzer klären
• Logging aktivieren, bevor der Workflow live geht

Das klingt nach Bürokratie. Ist es nicht. Das ist der Unterschied zwischen einem Tool, das ein Jahr läuft, und einem, das nach drei Monaten Probleme verursacht.

30-60-90 Tage: Der Startplan für KMU ohne IT-Abteilung

30 Tage: Fundament legen. Welche Prozesse kosten am meisten Zeit? Welche Daten sind sensibel, welche unkritisch? Welche Tools werden schon genutzt? KI-Literacy für alle, die mitmachen – nicht optional. Die AI-Literacy-Pflichten des EU AI Acts gelten seit dem 2. Februar 2025.

60 Tage: Erstes internes Tool produktiv. MVP, nicht Perfektion. Logs aktiviert. Ein Mensch, der verantwortlich ist. Klarer Prozess: Wer meldet einen Fehler? Wer behebt ihn?

90 Tage: Drei Workflows laufen. Zugriffsrechte dokumentiert, ein Update-Prozess existiert. Nicht sechs Tools gleichzeitig, nicht der komplexeste Use Case zuerst.

DSGVO und EU AI Act – was KMU wissen müssen

Wenn Sie ein KI-gestütztes internes Tool betreiben, sind Sie im Sinne des EU AI Acts wahrscheinlich „Deployer“. Das bedeutet: Sie tragen Verantwortung für Governance, Logging und menschliche Kontrolle.

Transparenzpflichten greifen vollständig ab dem 2. August 2026. Aber das Fundament – Datenminimierung, Zweckbindung, nachvollziehbare Verarbeitung – gilt schon jetzt über die DSGVO. Starten Sie mit der Frage: Welche Daten fließen durch das Tool, wofür, und wer hat Zugriff?

Häufig gestellte Fragen

Was ist Vibe Coding genau?

Vibe Coding ist ein Ansatz, bei dem Software primär über natürlichsprachliche Prompts an eine KI erzeugt wird – ohne dass der Ersteller den generierten Code im Detail versteht. Der Begriff wurde im Februar 2025 von KI-Forscher Andrej Karpathy geprägt. Im Unternehmenskontext ist eine strukturierte Variante sinnvoll: KI generiert, Sie steuern und prüfen.

Brauche ich Programmierkenntnisse?

Nein – aber Sie brauchen das Verständnis dafür, was Ihr Tool leisten soll und wie gute Ergebnisse aussehen. Sie formulieren Anforderungen, testen Outputs manuell und steuern iterativ nach. Kein Syntax-Wissen nötig, aber ein klarer Kopf für Prozesse.

Welche internen Tools eignen sich am besten?

Intake-Formulare mit automatischer Weiterverarbeitung, Angebots-Generatoren mit Preislogik und PDF-Ausgabe sowie interne Dashboards mit Daten aus bestehenden Systemen. Alle drei haben kurze Umsetzungszeiten, begrenzten Scope und direkten Nutzen.

Wie sicher ist KI-generierter Code?

Laut Veracode 2025 wählen KI-Modelle in 45 Prozent der Fälle unsichere Implementierungen. Das bedeutet nicht, dass Vibe Coding grundsätzlich unsicher ist – sondern dass der Output reviewt, getestet und erst dann produktiv geschaltet werden muss. Logging und Zugriffsrechte von Anfang an einplanen.

Was kostet es, interne Tools per Vibe Coding zu bauen?

Die eigentliche Investition ist Zeit und Lernaufwand, keine großen Entwicklungskosten. Die meisten Tools laufen auf kostengünstigen Cloud-Diensten oder Open-Source-Tools wie n8n. Wer die Fähigkeit intern aufbaut, zahlt einmalig in Weiterbildung und nutzt sie dauerhaft.

Quellenverweise

• Bitkom - Erstmals beschäftigt sich die Hälfte der Unternehmen mit KI (2025)
• Ars Technica - Is Vibe Coding with AI gnarly or reckless?
• Veracode - GenAI Code Security Report 2025
• Sonar - Critical Verification Gap in AI Coding
• Collins Dictionary - Word of the Year 2025: Vibe Coding
• n8n Security Audit Dokumentation
• EU AI Act - Regulatorischer Rahmen