Insights, Vibe Coding

Vibe Coding im Unternehmen: Was die Zahlen 2026 wirklich sagen

Oktober 15, 2026

Artikel teilen

Vibe Coding ist 2026 im Arbeitsalltag angekommen. Neun von zehn professionellen Entwicklern nutzen KI-Coding-Agenten jede Woche, und auch Fachabteilungen bauen eigene Anwendungen mit Lovable, Cursor oder Claude Code. Zu kaum einem Thema kursieren aber so viele ungenau zitierte Zahlen. Wir haben die wichtigsten Studien an der Quelle gelesen.

Stand: 15. Oktober 2026. Jede Zahl in diesem Beitrag ist mit ihrer Quelle verlinkt. Wir aktualisieren den Beitrag, wenn neue Studien erscheinen.

Wie verbreitet ist Vibe Coding 2026?

Die größte aktuelle Erhebung kommt von JetBrains. Für den Developer Ecosystem Survey 2026 wurden von Mai bis Juli 2026 über 15.000 professionelle Entwickler befragt. Ergebnis: 90 Prozent nutzen KI-Coding-Agenten mindestens einmal pro Woche, 68 Prozent sogar täglich (JetBrains, August 2026).

Zum Vergleich: Im Stack Overflow Developer Survey 2025 gaben 84 Prozent an, KI-Tools zu nutzen oder das zu planen (Stack Overflow 2025). KI im Entwickleralltag ist damit keine Frage mehr des Ob. Die offene Frage ist, wer prüft, was dabei entsteht.

Was Gartner wirklich prognostiziert

Eine Gartner-Prognose wird derzeit oft zitiert, meist so: 60 Prozent der vibe-coded Apps würden „aufgegeben“, und 30 Prozent der Teams seien mit ihrer Wartung „überfordert“. So steht es nicht im Bericht.

Im Gartner-Bericht „Govern Vibe Coding for Citizen Developers With Self-Service Platforms“ vom 29. Juni 2026 heißt es: Bis 2028 werden 60 Prozent der mit Vibe Coding gebauten Anwendungen wieder stillgelegt („retired“), weil sie den erwarteten geschäftlichen Nutzen nicht verlässlich liefern. Und 30 Prozent der Softwareentwicklungsteams werden durch die Wartung von Anwendungen, die Fachanwender gebaut haben, erheblich in ihrer Kapazität belastet („material capacity strain“) (Gartner, Juni 2026).

Der Unterschied ist nicht nur sprachlich. Gartner sagt nicht, dass die Teams scheitern. Gartner sagt, dass die Wartung Kapazität bindet, die an anderer Stelle fehlt. Genau das hören wir auch in unseren Gesprächen.

Vibe Coding passiert außerhalb der IT

Vibe Coding ist längst nicht mehr nur ein Thema für Entwickler. Im Retool-Report „Build vs. Buy 2026“ gaben 60 Prozent der 817 Befragten an, im vergangenen Jahr Software außerhalb der Aufsicht der IT gebaut zu haben, 25 Prozent sogar häufig (Retool 2026). Die Befragten sind Retool-Kunden, die Zahl ist also eher eine Obergrenze, zeigt aber die Richtung.

Für Deutschland gibt es noch keine Zahl zu selbst gebauten Apps. Die nächste Annäherung liefert Bitkom: Rund 4 von 10 Unternehmen gehen davon aus, dass ihre Beschäftigten private KI-Tools nutzen. Nur 29 Prozent sind sicher, dass das bei ihnen nicht vorkommt (Bitkom, Oktober 2025). KPMG beschreibt dieselbe Entwicklung als neue Form der Schatten-IT: Fachbereiche bauen mit generativer KI eigene Anwendungen, oft ohne Regeln für Daten, Qualität und Betrieb (KPMG, Mai 2026).

Wie sicher ist KI-generierter Code?

Veracode hat über 100 Sprachmodelle mit 80 Programmieraufgaben getestet. In 45 Prozent der Fälle enthielt der erzeugte Code eine Sicherheitslücke aus den OWASP Top 10. Neuere und größere Modelle schnitten dabei nicht sicherer ab (Veracode, Juli 2025).

Das Misstrauen ist unter Entwicklern bekannt, die Konsequenz fehlt oft. Laut Sonar State of Code 2026 vertrauen 96 Prozent KI-Code nicht vollständig, aber nur 48 Prozent prüfen ihn vor jedem Commit. 38 Prozent sagen, dass die Prüfung von KI-Code mehr Aufwand macht als die von menschlich geschriebenem Code (Sonar, Januar 2026).

Wie das in der Praxis aussieht, zeigt CVE-2025-48757. Bei Lovable-Apps war der Zugriffsschutz der Datenbank so eingestellt, dass Unbefugte Tabellen lesen und schreiben konnten. Die Lücke wurde mit 9,3 von 10 als kritisch bewertet. Lovable bestreitet die Einstufung und sieht die Verantwortung bei den Kunden (NVD). Genau das ist der Punkt: Die Plattform liefert das Werkzeug, die Verantwortung für die Daten bleibt beim Unternehmen.

Was mit der Codequalität passiert

GitClear und GitKraken haben 623 Millionen Codeänderungen aus den Jahren 2023 bis 2026 ausgewertet. Das Ergebnis: 81 Prozent mehr doppelter Code als vor der KI-Zeit und 70 Prozent weniger Umbau bestehender Strukturen (LeadDev, Juli 2026). Es wird also viel neuer Code geschrieben und wenig an dem gearbeitet, was schon da ist. Für eine Anwendung, die über Jahre laufen soll, ist das die teurere Richtung.

Wenn das KI-Projekt zum Vollzeitjob wird

Für eine Entwicklung gibt es noch keine Studie, wir sehen sie aber in fast jedem Gespräch. Jemand aus dem Fachbereich baut mit KI eine Anwendung, schnell und erfolgreich. Die App wird genutzt, Kolleginnen und Kollegen wünschen sich neue Funktionen, Fehler kommen herein. Ein paar Monate später verbringt diese Person den Großteil ihrer Zeit mit der App und kaum noch mit der eigenen Aufgabe.

Das ist kein Fehler der Person, sondern Erfolg ohne Plan für danach. Gartners Prognose zur Kapazitätsbelastung beschreibt dasselbe aus Sicht der Entwicklungsteams. Im Fachbereich trifft es oft eine einzelne Person.

Die Lücke, die keine Studie misst: Dokumentation

Eine Zahl dazu, wie viele KI-gebaute Anwendungen dokumentiert sind, haben wir nicht gefunden. Die Erfahrung ist eindeutig: Die einzige Spezifikation ist oft der Chatverlauf im Tool. Der ist keine Dokumentation, und er hilft niemandem, der die Anwendung übernehmen soll. Eine Studie zu Code-Kommentaren aus 2026 nennt „begrenztes Verständnis des KI-generierten Codes“ als eines der wiederkehrenden Probleme (Al Mujahid und Imran, TechDebt 2026). Ohne Dokumentation hängt die Anwendung an der Person, die sie gebaut hat.

Was rechtlich gilt

Keine Rechtsberatung, sondern ein Überblick über die Regeln, die wir in Projekten am häufigsten antreffen.

DSGVO Art. 32: Verarbeitet eine selbst gebaute App personenbezogene Daten, gelten dieselben Pflichten wie für jedes andere System. Dazu gehört ein Verfahren, die Wirksamkeit der Schutzmaßnahmen regelmäßig zu überprüfen. Hinzu kommen gegebenenfalls Verträge zur Auftragsverarbeitung mit Dienstleistern, die personenbezogene Daten im Auftrag des Betreibers verarbeiten.
Cyber Resilience Act: Seit 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Sicherheitslücken, ab 11. Dezember 2027 die übrigen Pflichten (EU-Kommission). Das betrifft Software, die als Produkt auf den Markt gebracht wird, in der Regel nicht rein interne Werkzeuge.
NIS2: Das deutsche Umsetzungsgesetz gilt seit 6. Dezember 2025 und erfasst rund 29.500 Einrichtungen. Für sie sind selbst gebaute Anwendungen Teil der Angriffsfläche, um die sich das Risikomanagement kümmern muss.
EU AI Act: Wer mit KI programmiert, baut dadurch noch kein KI-System im Sinne des Gesetzes. Relevant wird der AI Act erst, wenn die Anwendung selbst KI-Funktionen enthält.

Was Unternehmen jetzt tun können

Überblick schaffen: Welche selbst gebauten Anwendungen gibt es, und wer nutzt sie?
Einordnen: Welche davon verarbeiten personenbezogene Daten oder sind für Kunden erreichbar?
Vor dem Livegang prüfen: Sicherheit, Datenschutz, Architektur, Infrastruktur, Codequalität und Dokumentation, zum Beispiel mit einem Vibe Coding Audit.
Einen zweiten Blick einbauen: Änderungen nicht direkt live stellen, sondern vorher prüfen lassen, intern oder durch einen Partner, der jeden Pull Request prüft und freigibt.
Betrieb klären: Wer kümmert sich um Updates, Backups und Ausfälle, damit die Person, die die App gebaut hat, ihre eigentliche Arbeit machen kann?

Wenn Sie wissen möchten, wo Ihre Anwendung steht: Unser Vibe Coding Audit prüft sie durch sechs Prüftore, und auf Wunsch übernehmen wir Freigabe, Betrieb und Weiterentwicklung. Einen Termin für ein kostenloses Erstgespräch können Sie direkt buchen.