Wenn man in diesen Wochen durch die IT-Abteilungen, Entwickler-Foren und Tech-Feeds streift, erlebt man ein bemerkenswertes Schauspiel kollektiver Verdrängung. Auf der einen Seite lachen gestandene Software-Ingenieure und IT-Experten über „Vibe Coding“ und verharmlosen KI-Modelle beharrlich als stochastische Papageien, die unzuverlässigen Spaghetti-Code ausspucken. Sie warnen mit gerunzelter Stirn vor dem nahenden Sicherheitsalbtraum: Wenn Laien und Produktmanager plötzlich Software per Sprachbefehl bauen, müsse das zwangsläufig im Chaos enden.
Auf der anderen Seite brennt zeitgleich die digitale Realität lichterloh.
In ganz Europa manipulieren Angreifer die vernetzten Kältesysteme von Supermärkten, heizen Tiefkühlregale auf bis zu 50 Grad auf und vernichten tonnenweise Lebensmittel, weil industrielle IoT-Steuerungen mit Standardpasswörtern und ungeschützten Verwaltungsoberflächen ungeniert am offenen Internet hingen. Im Berliner Landesnetz erbeutete die Ransomware-Gruppe Rhysida 5,8 Terabyte an sensiblen Bürger- und Behördendaten und stellte 1,44 Millionen Dateien ins Darknet - während interne Akten belegen, dass die eklatanten Sicherheitslücken dem Senat seit Ende 2024 schriftlich bekannt waren und schlicht ausgesessen wurden. Zeitgleich erschütterten die kritischen PHP-Core-Schwachstellen das Web, weil jahrzehntealte Speicherfehler und Use-After-Free-Bugs im C-Kern des Interpreters unauthentifizierten Angreifern Code-Ausführung auf Millionen Servern ermöglichten. Und wer es noch absurder mag: Im Oktober 2024 übernahmen Hacker in US-Haushalten serienweise smarte Saugroboter, jagten damit Haustiere durchs Wohnzimmer und brüllten rassistische Obszönitäten aus den Lautsprechern - möglich gemacht durch elementare Konstruktionsfehler in der Authentifizierung.
All diese Vorfälle haben eine gemeinsame, unübersehbare Konstante: Keine einzige dieser Katastrophen wurde durch einen KI-Agenten oder einen naiven „Vibe Coder“ verursacht.
Sie basieren ausnahmslos auf Software, Infrastruktur und Prozessen, die von hochqualifizierten, hochbezahlten menschlichen Fachleuten über Jahre und Jahrzehnte hinweg konzipiert, programmiert, zertifiziert und betrieben wurden. Sie sind das direkte Produkt menschlicher Überlastung, menschlicher Betriebsblindheit, schlechter Dokumentation, ignorierter Warnungen und der schlichten Unfähigkeit des menschlichen Gehirns, kombinatorische Randfälle in Systemen mit Millionen Zeilen Code lückenlos zu überblicken.
Dass ausgerechnet dieselbe Zunft, die uns den globalen CrowdStrike-Kollaps - einen trivialen C++-Speicherzugriffsfehler im Kernel-Treiber, der im Juli 2024 weltweit 8,5 Millionen Rechner lahmlegte, Flüge strich und Operationen stoppte - beschert hat, sich heute über die Unzulänglichkeit von KI-Code lustig macht, entbehrt nicht einer gewissen Tragikomik.
Es ist dieselbe Hybris, mit der professionelle Fotografen Anfang 2024 über KI-Bilder mit sechs Fingern spotteten. Sie lachten über den Schnappschuss eines Moments - und übersahen vollkommen die Flugbahn der Technologie.
Die zweite Verteidigungslinie: Der Mythos der Software-Wartung
Selbst Entwickler, die mittlerweile zähneknirschend einräumen, dass moderne Frontier-Modelle Code um ein Vielfaches schneller schreiben als jeder Mensch, ziehen sich sofort auf eine zweite Bastion zurück: „Code tippen ist doch die leichteste Übung. Echte Softwareentwicklung bedeutet Architektur, kontinuierliche Wartung, Refactoring, Sicherheits-Audits und der Betrieb über Jahre!“
Diese Argumentation klingt auf den ersten Blick erwachsen und besonnen. In Wahrheit ist sie der vielleicht größte Irrglaube der aktuellen Debatte.
Denn sie unterstellt implizit, dass KI-Systeme lediglich beim Erzeugen von neuem Code glänzen, beim Verstehen, Analysieren und Warten bestehender Software jedoch versagen. Das Gegenteil ist der Fall.
Wartung und Sicherheit sind im Kern Informationsverarbeitungs- und Mustererkennungsprobleme unter extremen Skalenbedingungen. Genau das ist die ureigene Domäne fortgeschrittener Reasoning-Modelle. Ein menschlicher Entwickler, der ein zehn Jahre altes Legacy-System patchen soll, scheitert nicht an mangelnder Intelligenz, sondern an kognitiver Bandbreite: Niemand kann 400.000 Zeilen Code, 80 veraltete Bibliotheken und alle subtilen Seiteneffekte eines Threading-Fehlers gleichzeitig im Kopf behalten. Eine KI kann es. Sie liest das gesamte Repository in Sekunden, deckt verdeckte Abhängigkeiten auf, fuzzt Parameter über Millionen synthetischer Testfälle und schreibt den Regressionstest gleich mit - ohne Kaffeepause, ohne Ermüdung und ohne Freitagnachmittag-Mentalität.
Die Vorstellung, dass menschliche Entwicklerteams für die laufende Wartung unersetzlich seien, verdrängt die Realität der letzten zwanzig Jahre: Große Konzerne beschäftigten Hunderte von internen IT-Fachkräften und externe Heere von Beratern nicht, um visionäre Software zu erschaffen, sondern um gigantische, zugekaufte Enterprise-Monolithen mühsam am Leben zu halten. Ganze Abteilungen taten den ganzen Tag nichts anderes, als Schnittstellen zwischen inkompatiblen Systemen zu flicken, Konfigurationsdateien abzugleichen und Sicherheits-Patches einzuspielen - oft mit monatelanger Verzögerung und unter ständigem Zittern, dass das nächste Update den Kernprozess lahmlegt.
Dieser gigantische Wasserkopf aus Implementierungs-, Administrations- und Lizenzkosten beginnt gerade in sich zusammenzubrechen.
Die ökonomische Implosion: Maßanzug statt Monolith
Was passiert, wenn die Erstellung, Absicherung und Wartung von Code radikal billiger wird?
Unternehmen mussten bisher standardisierte Standardsoftware (COTS) von Großanbietern kaufen, weil der Bau eigener, passgenauer Lösungen schlicht unbezahlbar war. Man zahlte Millionen an jährlichen Lizenzgebühren, passte seine eigenen Geschäftsprozesse an die starren Masken der Software an und benötigte zusätzlich Dutzende Spezialisten, die diese Software überhaupt bedienen und konfigurieren konnten. Wie wir bereits bei der Analyse über das Ende der Standardsoftware dargelegt haben, erodiert dieses Geschäftsmodell nun im Eiltempo.
Heute kippt diese Rechnung dramatisch. Mit einem Bruchteil der Budgets, die früher allein für jährliche Software-Lizenzen und Beraterverträge draufgingen, lassen sich heute maßgeschneiderte Individuallösungen bauen. Nicht mit riesigen Teams und mehrjährigen Projektplänen, sondern mit wenigen Product Engineers oder Fachexperten, die von autonomen Agenten unterstützt werden.
Und das Entscheidende: Diese Individuallösungen sind nicht mehr statisch. Sie müssen nicht über fünf Jahre veralten, bis das nächste schmerzhafte Großprojekt ansteht. Eine KI-unterstützte Softwarebasis lässt sich kontinuierlich, organisch und automatisiert an neue Anforderungen anpassen. Die Wartung wird vom zähen Kostenfaktor zum automatisierten Hintergrundprozess.
Wer heute noch glaubt, dass die Notwendigkeit von Software-Wartung das Überleben traditioneller Entwicklerheere sichert, verkennt die ökonomische Logik: Unternehmen werden nicht weiterhin Millionen in die manuelle Pflege alter Softwaresilos stecken, wenn autonome Agenten dieselbe Funktionalität von Grund auf sauberer, schlanker und für einen Bruchteil der laufenden Kosten abbilden können.
2027: Die Umkehr der Beweislast
Das führt uns zu der eigentlichen, unbequemen Wahrheit, die die Branche bis 2027 mit voller Wucht treffen wird.
Es mag sein, dass diejenigen, die Vibe Coding heute als Sicherheitsalbtraum bezeichnen, für den Moment noch ein paar billige Punkte sammeln können. Wer unbedarft ein Promptschnipsel in ein Skript kopiert, ohne es zu testen, produziert natürlich Sicherheitsrisiken.
Aber dieser Zustand ist eine Momentaufnahme. Die Modelle und ihre automatisierten Testumgebungen entwickeln sich exponentiell. Bis 2027 werden wir einen fundamentalen Kipppunkt erreichen: Nicht KI-generierte Software wird das Sicherheitsrisiko sein - sondern von Menschen geschriebene Software.
Menschliches Coding wird 2027 zum unkalkulierbaren Haftungsrisiko, weil menschliche Entwickler:
- niemals die Zeit und Ressourcen haben, um Software mit derselben erschöpfenden Tiefe zu testen, wie es eine automatisierte Fuzzing- und Verifizierungs-KI tut;
- subtile Speicher-, Nebenläufigkeits- und Logikfehler systematisch übersehen, die ein spezialisiertes Reasoning-Modell in Millisekunden isoliert;
- unter Deadlines, Müdigkeit und kognitiven Abkürzungen leiden, die in der realen Softwareindustrie seit vierzig Jahren für offene Scheunentore sorgen.
Wenn in zwei oder drei Jahren ein Unternehmen entscheidet, eine sicherheitskritische Komponente von Hand durch ein Team menschlicher Programmierer schreiben zu lassen, statt sie durch formale, KI-gestützte Verifikations- und Synthese-Pipelines zu jagen, wird das keine Qualitätsentscheidung mehr sein. Es wird als grobe Fahrlässigkeit gelten.
Man wird ein solches Vorgehen genauso betrachten wie einen Chirurgen, der sich weigert, vor der Operation die Hände zu desinfizieren, weil er auf sein „jahrelang geschultes Bauchgefühl“ vertraut.
Wer heute herablassend über Vibe Coding lächelt, sollte sich sehr genau ansehen, auf welchem Fundament seine eigene Branche steht. Es ist ein Fundament aus veralteten C-Bibliotheken, vergessenen Standardpasswörtern, ungetesteten Randfällen und unzähligen Überstunden müder Programmierer.
Vibe Coding mag für den Moment ein Übergangsrisiko sein. Aber wer die Dynamik dieser Entwicklung verstanden hat, weiß: Bis 2027 ist menschliches Coding das weitaus größere Risiko.
Was das für die Praxis bedeutet
1. Sicherheitsaudits umkehren: Nicht mehr primär fragen, ob KI-generierter Code Risiken birgt, sondern verlangen, dass jeder von Menschen geschriebene Commit denselben unerbittlichen, automatisierten Fuzzing- und Verifikationsprüfungen standhält wie maschinell synthetisierter Code.
2. Den Wartungs-Wasserkopf abbauen: IT-Budgets schrittweise aus überteuerten Enterprise-Monolithen und starren Lizenzverträgen abziehen und in schlanke, maßgeschneiderte und kontinuierlich durch Agenten gewartete Individuallösungen investieren.
3. Kognitive Grenzen anerkennen: Entwickler von der aussichtslosen manuellen Fehlersuche in Millionen Zeilen Legacy-Code befreien. Die menschliche Rolle verlagert sich auf die präzise Definition von Spezifikationen, Architekturgrenzen und formalen Sicherheitskriterien.
Anzeige · Buch und Angebot von Markus Kirchmair
Noch ein Tool. Oder endlich weniger Arbeit?
Prüfen Sie mit No More Tools, welche Software und Abläufe Ihr Unternehmen tatsächlich braucht. Im Workshop entsteht ein priorisierter Fahrplan.
