KI-Tools beim Coden: Mehr Schein als Sein?

Sechs Monate nach dem Launch verkauft ein vibe-coded Produkt für 80 Millionen Dollar an Wix. Klarer Fall, oder? KI-Coding-Tools sind ein Geschenk des Himmels.

So einfach ist es leider nicht. Die Wahrheit ist differenzierter – und deutlich spannender: Diese Tools sind ein Nettogewinn für bestimmte Aufgaben und ein Nettokostenfaktor für andere. Teams, die diesen Unterschied verstehen, liefern schneller ab, ohne versteckte Schulden anzuhäufen.

Das Gefühlsproblem

Eine aktuelle METR-Studie hat erfahrene Entwickler vor reale Probleme in ihren eigenen, großen Codebasen gesetzt und die tatsächlich benötigte Zeit mit und ohne KI-Unterstützung gemessen.

Vor dem Start schätzten die Teilnehmer, dass KI-Tools sie etwa 24 Prozent schneller machen. Nach der Arbeit waren es immerhin noch 20 Prozent.

Das tatsächliche Ergebnis: Sie waren 19 Prozent langsamer mit KI-Unterstützung.

Diese Lücke zwischen Wahrnehmung und Realität ist die wichtigste Erkenntnis der KI-Coding-Forschung. KI-Hilfe macht die Tipparbeit schneller und die Review-Phase langsamer. Und Menschen sind erstaunlich schlecht darin, die Review-Kosten zu bemerken, weil sie sich anfühlen wie ganz normale Arbeit.

Die 15 Minuten, die du beim Scaffolding gespart hast, sehen nach einem Gewinn aus. Die 25 Minuten, die du mit dem Debuggen des „fast richtigen" Outputs verbracht hast, fühlen sich nicht wie ein Verlust an – sondern wie dein Job.

Wo der Speed-Up wirklich funktioniert

Die Forschungsmeinung zeigt klar in eine Richtung: neuer Code in unbekanntem Terrain.

Githubs kontrollierte Studie ergab, dass Entwickler einen Webserver von Grund auf 55 Prozent schneller mit Copilot bauen konnten. Feldstudien in mehreren Unternehmen zeigten 26 Prozent mehr erledigte Tasks, wobei Junior-Entwickler bei kurzfristigen Aufgaben 27 bis 39 Prozent mehr Output lieferten. McKinseys Laborarbeit zeigt, dass Dokumentation und Greenfield-Code in etwa halber Zeit entstehen.

Das ist das MVP-Profil. Ein leeres Projekt, ein Stack, den du lernst, Boilerplate, das sich selbst kopiert, oder ein Feature, das du in einem kurzen Prompt definieren kannst. Bei dieser Arbeit liefern die Tools genau das, was das Marketing verspricht.

Das Problem: Das ist nicht alles in der Softwareentwicklung.

Wo die Verlangsamung hereinkriecht

METRs Verlangsamung passierte genau dort, wo man es erwarten würde: bei erfahrenen Entwicklern, die Codebasen pflegten, die sie selbst über Jahre geschrieben hatten. Das Modell produzierte plausibel klingenden Code für ein System, das es nicht verstand. Der Entwickler verbrachte Zeit damit zu evaluieren, ob der Code korrekt war – und diese Evaluierung kostete mehr, als wenn er die Funktion einfach selbst geschrieben hätte.

Im Großenßen wird genau hier das Problem für Teams sichtbar.

Ein Startup, das stark auf KI-Coding setzt, um sein MVP zu shippen, findet Product-Market Fit, beginnt zu wachsen – und entdeckt drei Monate später, dass der „funktionierende Code" Row-Level-Security-Checks enthält, die auskommentiert sind, ein Admin-Panel, das für jeden authentifizierten Nutzer zugänglich ist, und API-Keys, die im Client-Side-Bundle gelandet sind.

Die KI hat schnell geschrieben. Die KI hat aber auch eine Security-Review eingeführt, die niemand geplant hat.

Die Faros-AI-Forschung, die über 10.000 Entwickler in echten Teams untersuchte, fand heraus, dass KI-Unterstützung Teams in 20 bis 40 Prozent der Szenarien tatsächlich verlangsamte – besonders in Codebasen mit über 100.000 Zeilen, wo das Context-Window nicht das ganze Bild erfassen kann.

Das ist das Brownfield-Problem. Und dort verbringen die meisten etablierten Teams die meiste Zeit.

Die Security-Rechnung, die niemand erwähnt

Jede Woche eine neue Geschichte: Der KI-generierte Code eines Startups hat Nutzerdaten offengelegt. Eine KI-unterstützte Deployment hat einen Datenbank-Port offen gelassen. Prompt Injection hat seinen Weg in ein Produktivsystem gefunden.

Das sind keine exotischen Randfälle. Das ist die vorhersehbare Ausgabe davon, ein Tool, das auf plausiblen Code optimiert ist, auf sicherheitsrelevante Arbeit loszulassen – ohne dass ein Security-Experte das Ergebnis reviewed.

Das Muster ist konsistent. KI-Coding-Tools werden auf öffentlich verfügbarem Code trainiert. Und dieser Code enthält eine Menge bekannte Schwachstellen, fehlkonfigurierte Berechtigungen und hardcodierte Secrets.

Wenn du eines dieser Tools bittest, ein Nutzer-Authentifizierungssystem oder eine Payment-Integration zu bauen, bekommst du oft eine plausible Version davon – was nicht unbedingt eine sichere Version ist.

Für Startups, die sich schnell bewegen, ist das das kritische Risiko. Du baust nicht nur ein MVP. Du baust einen Ruf und eine Compliance-Oberfläche. Ein Datenleck im ersten Jahr ist kein technisches Problem. Es ist ein existenzbedrohendes Problem.

Das praktische Framework

Die Forschung zeigt ein klares operatives Modell:

Setze KI aggressiv für Greenfield-Arbeit ein. Neue Projekte, Prototypen, Scaffolding, unbekannte Stacks und klar abgegrenzte Features – hier ist der Speed-Up real und groß. Das ist der Großteil dessen, was ein MVP live bringt, und hier verdienen diese Tools ihren Subscription-Preis.

Setze KI selektiv für Brownfield-Arbeit ein. In einer Codebase, die du gut kennst, oder bei allem, was Authentifizierung, Payments oder Nutzerdaten berührt, behandle KI-Output als ersten Entwurf, der eine Security-Review braucht. Die Zeit, die du für dieses Review einplanst, ist die echte Kosten des Tools bei dieser Arbeit. Lass dich nicht vom „fühlt sich schneller an"-Signal dazu verleiten, sie auszulassen.

Ship small, mit Tests. Die Instabilität in KI-Output zeigt sich am meisten bei großen, komplexen Änderungen. Kleine, inkrementelle Änderungen mit echter Testabdeckung fangen die subtilen Fehler ab, die den Review passieren und потом Incidents in der Produktion verursachen. Das ist generell gute Praxis – aber es wird kritisch, wenn KI im Loop ist.

Hardene, bevor Nutzer es anfassen. Schalte Row-Level-Security-Checks ein. Entferne Secrets aus Client-Side-Code. Lass keinen KI-Agenten auf eine Produktivdatenbank los. Das sind keine exotischen Security-Maßnahmen – das ist das Baseline für jedes System, das echte Nutzerdaten verarbeitet. KI-Coding verändert diese Baseline nicht. Es macht sie nur leichter zu übersehen.

Das Fazit

KI-Coding-Tools sind genuin nützlich. Sie bringen aber auch Kosten mit sich, die real, vorhersehbar und in so gut wie keinem Marketing-Material erwähnt werden.

Die Teams, die am schnellsten liefern, sind nicht die, die KI für alles einsetzen. Es sind diejenigen, die sie strategisch einsetzen – dort, wo der Speed-Up real ist – und dabei die Teile schützen, wo Korrektheit wichtiger ist als Geschwindigkeit.

Wenn du ein MVP auf Vibe Hosting baust, nutze KI-Tools, um bei den Teilen schnell zu sein, die sich ändern können. Nutze sie sorgfältig bei den Teilen, die richtig sein müssen.

Und wenn du nicht sicher bist, was wovon – das ist vermutlich deine nächste Frage.