Der Reiz der sofortigen App-Erstellung kollidiert mit grundlegender Sicherheit

KI-gestützte App-Builder haben es nahezu jedem ermöglicht, in Minuten eine Web-App zu erstellen und bereitzustellen. Diese Geschwindigkeit ist Teil ihres Reizes. Sie ist aber zunehmend auch Teil des Problems.

Laut einem Bericht von Wired auf Basis einer Untersuchung des Cybersicherheitsunternehmens RedAccess wiesen Tausende öffentlich zugängliche Apps, die mit Tools wie Lovable, Replit, Base44 und Netlify erstellt wurden, kaum oder gar keine nennenswerte Sicherheit auf. In mehr als 5.000 Fällen waren die Anwendungen für jeden zugänglich, der die URL kannte oder erriet. Rund 40 Prozent der untersuchten Apps legten sensible Informationen offen, sagte RedAccess-Mitgründer Dor Zvi.

Das im Bericht beschriebene Material ist nicht trivial. Zvi sagte, die Daten umfassten medizinische Informationen, Finanzdaten, Unternehmenspräsentationen, Strategiedokumente und Protokolle von Kunden-Chatbots. Wired sagte außerdem, mehrere der in Screenshots gezeigten offengelegten Anwendungen seien weiterhin online und zugänglich gewesen.

Es geht nicht nur um Bugs

Der wichtigste Punkt des Berichts ist, dass viele dieser Ausfälle keine subtilen Codefehler waren. Es handelte sich um fehlende oder fast nicht vorhandene Zugriffskontrollen. Einige Apps sollen jedem mit einem Browser Zugang zu den Daten gewährt haben. Andere verließen sich offenbar auf schwache Hürden, etwa darauf, dass Besucher sich mit jeder beliebigen E-Mail-Adresse anmelden konnten.

Diese Unterscheidung ist wichtig, weil sie das Bedrohungsmodell verändert. Sicherheitsteams sind es gewohnt, nach ausnutzbaren Schwachstellen in Software zu suchen. Was RedAccess beschreibt, ist grundlegender: Anwendungen gehen live, ohne überhaupt ein echtes Konzept dafür zu haben, wer hineingelassen werden sollte.

In diesem Sinne liegt das Risiko von „vibe-coded“ Apps nicht nur darin, dass KI neue Bugs einführt. Es liegt auch darin, dass dieselben Werkzeuge die Hürde für die Veröffentlichung von Software so stark senken, dass manche Ersteller grundlegende Sicherheitsentscheidungen komplett überspringen.