Ist meine Lovable-App sicher? Was du jetzt wissen solltest

Ob deine Lovable-App sicher ist, lässt sich von außen nicht sagen, auch nicht von dir selbst beim Benutzen. Viele Apps sind gut aufgestellt, bei anderen können Fremde Daten sehen, die nicht für sie bestimmt sind. Laut Handelsblatt vom 2. November 2026 betrifft das offenbar Zehntausende mit Lovable gebaute Seiten. Das liegt meist an der Art, wie solche Apps entstehen: Lovable baut, was du beschreibst, und wer was sehen darf, beschreibt kaum jemand. Klarheit bringt ein Blick auf deine konkrete App. Dabei geht es um vier Fragen: Wer kann was sehen, was kostet die App, wo läuft sie, und wer betreut sie?

Was das Handelsblatt berichtet hat

Die Meldung stammt von Handelsblatt-Redakteurin Lina Knees. Grundlage sind Analysen von IT-Sicherheitsexperten, die der Zeitung exklusiv vorliegen. Demnach sind auf Zehntausenden Webseiten, die mit Lovable gebaut wurden, offenbar sensible Nutzerdaten offen zugänglich. Die Redaktion bekam die Hinweise nach eigenen Angaben Mitte August, prüfte sie und legte sie Lovable vor. Das Problem besteht laut Bericht möglicherweise seit mindestens einem Jahr, und weitere Recherchen deuten darauf hin, dass es über Lovable hinausreicht. Lovable selbst spricht von einem branchenweiten Problem.

Vieles ist noch offen. Der frei lesbare Teil des Berichts nennt weder die Experten noch die Art der Daten noch die genaue Ursache. Bis zum 3. November 2026 haben wir keine Folgeberichte gefunden, die das klären. Wir schreiben deshalb nichts in den Fall hinein, was nicht belegt ist.

Dass die Nachricht so viele Menschen beschäftigt, liegt an der Verbreitung. Lovable meldete im August 2026 mehr als 60 Millionen Projekte seit dem Start im November 2024 und über 900 Millionen Besuche pro Monat auf Apps, die damit gebaut wurden. Hinter vielen dieser Projekte stehen Menschen aus Marketing, Vertrieb, Einkauf oder der Geschäftsführung, die sich in wenigen Tagen ein Kundenportal, ein Buchungstool oder ein internes Dashboard gebaut haben. Das ist eine echte Leistung. Die Frage, wie es danach weitergeht, kommt meist erst später.

Warum die Frage bei KI-gebauten Apps fast immer offen ist

Wer eine App mit Lovable, Bolt, Replit oder Claude baut, erlebt etwas Neues: Man beschreibt, was man braucht, und nach kurzer Zeit läuft es. Genau diese Stärke erklärt, warum Sicherheit, Kosten und Betrieb oft ungeklärt bleiben. Vier Gründe kommen dabei fast immer zusammen.

Die Werkzeuge bauen, was du beschreibst

Ein KI-Builder richtet sich nach deinen Wünschen. Du schreibst, dass Kunden ihre Bestellungen sehen sollen, und die App zeigt Bestellungen. Was du nicht beschreibst, kann das Werkzeug nur erraten. Vieles, was für dich selbstverständlich ist, schreibt kaum jemand dazu. Für das Werkzeug ist es eine Anforderung, die es nie gehört hat.

Das gilt auch, wenn du die KI hinterher bittest, ihre Arbeit zu prüfen. Die KI schaut dann mit denselben Annahmen auf die App, mit denen sie sie gebaut hat. Was beim Bauen gefehlt hat, fehlt dann auch beim Prüfen.

Man sieht es der App nicht an

Eine App, die zu viel zeigt, verhält sich im Alltag völlig normal. Du meldest dich an, siehst deine Daten, alles funktioniert. Ob jemand anderes mehr sehen kann als du, merkst du beim Benutzen nicht. Es gibt keine Fehlermeldung und keinen Warnhinweis. Für Kosten, Auffindbarkeit und Ausfallsicherheit gilt dasselbe: Solange alles läuft, wirkt alles in Ordnung.

Die Forschung zeigt, wie leicht dieser Eindruck täuscht. In einer Studie der Stanford University schrieben Teilnehmende mit KI-Assistent unsichereren Code und hielten ihn gleichzeitig häufiger für sicher. Der Sicherheitsanbieter Veracode ließ 2025 mehr als 100 Sprachmodelle jeweils 80 Programmieraufgaben lösen. In 45 Prozent der Fälle enthielt das Ergebnis bekannte Sicherheitslücken, und größere Modelle schnitten kaum besser ab. KI-Werkzeuge bleiben trotzdem ein großer Gewinn. Ein Ergebnis, das fertig aussieht, braucht aber einen zweiten Blick.

Veröffentlichen geht mit einem Klick

In klassischen Entwicklerteams geht kaum eine Änderung direkt online. Eine zweite Person sieht sie sich an, bevor sie live geht. Diese Schritte gibt es, weil niemand seine eigenen blinden Flecken sieht. Bei KI-Buildern stellt ein Klick die App unter eine öffentliche Adresse, und niemand sonst muss zustimmen. Der Übergang vom Ausprobieren zum Betrieb mit echten Kunden fühlt sich deshalb an wie ein weiterer Arbeitsschritt.

Bei Lovable kommt seit Oktober 2026 ein Punkt hinzu. Laut Lovable-Dokumentation sind die Daten, mit denen du beim Bauen arbeitest, die Daten deiner veröffentlichten App. Wer eine neue Funktion ausprobiert, arbeitet also direkt mit den Daten echter Nutzer. Das ist bequem, macht aber jede Änderung zu einer Änderung im laufenden Betrieb.

Den Schritt in den Betrieb übernimmt niemand

Der vierte Grund ist organisatorisch. Die App hat eine Person gebaut, oft neben dem eigentlichen Job. Diese Person kennt die Prompts, die Zugänge und die Eigenheiten. Wer für Sicherheit, Datenschutz, Kosten und Updates zuständig ist, wurde nie festgelegt, weil das Projekt als Versuch begann. Aus dem Versuch wurde ein Werkzeug, das Kunden oder Kollegen täglich nutzen.

Lovables Nutzungsbedingungen sind an dieser Stelle klar. Du bist dafür verantwortlich, die Ergebnisse der KI zu prüfen und zu testen, bevor du sie einsetzt. Du bist auch verantwortlich für die Apps, die du damit baust, und für die Rechtsgrundlage der Daten, die sie verarbeiten. Das ist fair, denn nur du kennst dein Geschäft. Es heißt aber auch, dass jemand diesen Schritt bewusst übernehmen muss.

Was bisher öffentlich bekannt wurde

Der Handelsblatt-Bericht ist nicht der erste Fall. Die bekannten Fälle der letzten Monate betrafen meist Apps einzelner Nutzer und einmal die Plattform selbst. Lovable hat jeweils öffentlich Stellung genommen, und diese Sicht gehört dazu.

2025: Der Entwickler Matt Palmer untersuchte im März 2025 1.645 Projekte aus Lovables öffentlicher Projektgalerie. Bei 170 davon, also rund jedem zehnten, waren Daten offen einsehbar, darunter Namen, E-Mail-Adressen, Telefonnummern und Zahlungsdaten. Die Lücke wird als CVE-2025-48757 geführt und in der US-Schwachstellendatenbank NVD als kritisch eingestuft. Lovable bestreitet laut diesem Eintrag die Schwachstelle mit der Begründung, jeder Kunde sei selbst für den Schutz seiner Daten verantwortlich.
Februar 2026: Eine Lern-App, die Lovable auf seiner Discover-Seite vorstellte, machte nach Angaben des Forschers Taimur Khan 18.697 Nutzerdatensätze einsehbar, darunter 4.538 Konten von Studierenden und Schülern. Die App hatte mehr als 100.000 Aufrufe. Lovable wies gegenüber The Register darauf hin, dass das Projekt auch Code enthielt, den Lovable nicht erzeugt hatte, dass die Hinweise des eingebauten Sicherheitschecks nicht umgesetzt worden waren und dass die betroffenen Daten nicht bei Lovable lagen.
April 2026: Diesmal betraf es die Plattform. Vom 3. Februar bis 20. April 2026 konnten andere Lovable-Nutzer Code und KI-Chats öffentlicher Projekte einsehen, laut Lovable wegen einer Änderung an den Berechtigungen im Februar. Lovable erklärte zunächst, es habe kein Datenleck gegeben. Später räumte Lovable ein, dass unklar beschrieben war, was „öffentlich“ bei einem Projekt bedeutet, und entschuldigte sich für die erste Stellungnahme.
Mai 2026: Das katalanische Nachrichtenportal APD Notícies berichtete über eine Studie des Sicherheitsanbieters RedAccess. Demnach waren bei fast 40 Prozent von mehr als 5.000 untersuchten KI-gebauten Web-Apps auf Lovable, Replit, Base44 und Netlify sensible Informationen nicht ausreichend geschützt. Eine veröffentlichte Methodik haben wir nicht gefunden, die Zahlen sind nicht unabhängig geprüft.

Lovables Hinweis auf ein branchenweites Thema ist nachvollziehbar, denn dieselben Fragen stellen sich bei anderen KI-Buildern auch. In den meisten Fällen lag die Antwort allerdings in der einzelnen App. Ein Update der Plattform klärt deshalb nicht automatisch, ob deine App gut aufgestellt ist.

Was für dich auf dem Spiel steht

Die meisten Lovable-Apps tun genau das, wofür sie gebaut wurden. Trotzdem lohnt es sich, in Ruhe durchzugehen, was an einer App hängt, sobald echte Menschen sie nutzen.

Das Vertrauen deiner Kunden

Wer sich in deinem Kundenportal anmeldet, ein Formular ausfüllt oder einen Termin bucht, vertraut dir seine Daten an. Erfährt ein Kunde, dass Fremde diese Daten sehen konnten, fragt er nicht, mit welchem Werkzeug die App gebaut wurde. Er verbindet es mit deinem Unternehmen. Dieses Vertrauen zurückzugewinnen dauert länger, als die App vorher prüfen zu lassen.

Deine Pflichten nach der DSGVO

Wer eine App für sein Unternehmen betreibt, ist in der Regel Verantwortlicher im Sinne der DSGVO, also derjenige, der über Zweck und Mittel der Verarbeitung entscheidet. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz der Daten. Dazu gehört ausdrücklich ein Verfahren, mit dem du regelmäßig überprüfst, ob diese Maßnahmen wirken.

Nach Art. 4 Nr. 12 DSGVO zählt schon der unbefugte Zugang zu personenbezogenen Daten als Verletzung ihres Schutzes. Liegt eine solche Verletzung vor, meldest du sie nach Art. 33 unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Die Frist beginnt nach den Leitlinien des Europäischen Datenschutzausschusses, sobald du mit hinreichender Gewissheit weißt, dass personenbezogene Daten betroffen sind. Bei voraussichtlich hohem Risiko sind nach Art. 34 auch die Betroffenen zu benachrichtigen. Dokumentieren musst du jede Verletzung.

Ob ein konkreter Fall meldepflichtig ist, bewerten Datenschutzbeauftragte oder Anwälte. Dieser Abschnitt ist keine Rechtsberatung. Für ihre Bewertung brauchen sie Fakten über die App, und die lassen sich am leichtesten in Ruhe klären, bevor es eilig wird.

Kosten, die du nicht siehst

Viele Apps nutzen im Hintergrund bezahlte Dienste, etwa KI-Modelle, Zahlungsanbieter oder den Versand von E-Mails. Die Rechnung dafür geht an dich. Was passiert, wenn die Nutzung plötzlich steigt, sieht man der App ebenfalls nicht an. Dazu kommen laufende Kosten für Plattform und Hosting, die mit der Zahl der Nutzer wachsen können. Es hilft, diese Zahlen zu kennen, bevor die App wächst.

Sichtbarkeit bei Google und KI-Assistenten

Soll deine App oder die Website dazu neue Kunden bringen, kommt eine weitere Frage hinzu: Finden Google und KI-Assistenten wie ChatGPT sie überhaupt, und verstehen sie, worum es geht? Bei vielen KI-gebauten Seiten ist das ungeklärt, obwohl sie im Browser tadellos aussehen. Wie du das einordnest, steht in unserem Beitrag zu SEO und GEO für KI-gebaute Websites.

Ausfälle und die Abhängigkeit von einer Person

Wo läuft deine App eigentlich, und in welchem Land liegen die Daten? Was passiert, wenn der Anbieter eine Störung hat oder versehentlich Daten gelöscht werden? Kommt die App dann zurück, und wie schnell? Und wer kümmert sich, wenn die Person, die sie gebaut hat, im Urlaub ist oder das Unternehmen verlässt? Diese Fragen stellt man sich selten am Anfang. Wichtig werden sie, sobald andere sich auf die App verlassen. Wir ordnen sie im Beitrag Hosting, Backups und DSGVO bei KI-Apps ausführlich ein.

Was Lovable selbst schon mitbringt

Lovable hat Sicherheitsprüfungen eingebaut, die vor dem Veröffentlichen laufen und echte Probleme finden. Das ist ein guter Anfang, und ihre Hinweise verdienen Aufmerksamkeit. Lovable schreibt selbst, dass diese Werkzeuge keine vollständige Sicherheit garantieren und keine gründliche Sicherheitsprüfung ersetzen. Gegenüber The Register sagte Lovable im Februar 2026 außerdem, es liege letztlich bei den Nutzern, die Hinweise umzusetzen.

Dazu kommt eine Grenze, die kein automatischer Check überwinden kann. Ob deine App genau das zeigt, was sie zeigen soll, hängt von deinem Geschäft ab. Die Antworten darauf stehen in keinem Werkzeug. Du kennst sie aus deinem Alltag, und jemand muss sie mit der App abgleichen.

Wann sich ein App-Check lohnt

Nicht jede App braucht dieselbe Aufmerksamkeit. Ein Prototyp, den nur du nutzt, ist etwas anderes als ein Kundenportal. Diese Signale sprechen dafür, dass sich ein zweiter Blick lohnt:

Die App enthält echte Kundendaten, etwa Namen, Adressen, Bestellungen oder Dokumente.
Nutzer melden sich mit einem eigenen Konto an.
Über die App laufen Zahlungen oder Buchungen.
Kollegen oder Partner arbeiten täglich damit.
Die App oder die Website dazu soll bei Google und in KI-Assistenten gefunden werden.
Nur eine Person weiß, wie die App aufgebaut ist und wo sie läuft.

Trifft eines davon zu, lohnt sich ein Blick, bevor die App weiter wächst. Treffen mehrere zu, gehört der App-Check weit nach oben auf deine Liste. Und wenn dir jemand schreibt, dass Daten einsehbar sein könnten, hol dir am besten gleich Unterstützung. Dann laufen technische Klärung und rechtliche Fristen parallel, und es hilft, wenn jemand mit Erfahrung den Überblick behält.

Was wir für dich klären

Brixon AI baut und betreibt selbst Websites und Apps mit Claude Code auf Cloudflare, auch diese Website. Die Fragen aus diesem Beitrag beantworten wir also zuerst für uns selbst. Im App-Check schauen wir uns deine Lovable-App gemeinsam mit dir an und klären:

wer welche Daten deiner App sehen kann und ob das zu deinem Geschäft passt,
was die App heute kostet und was sie kosten könnte, wenn die Nutzung steigt,
ob Google und KI-Assistenten sie finden und verstehen,
wo sie läuft und ob sie nach einer Störung zurückkommt,
wer sie betreut, wenn du gerade nicht da bist.

Du bekommst eine klare Liste der nächsten Schritte, sortiert nach Dringlichkeit. Falls Daten offen lagen, enthält sie die Fakten, die dein Datenschutzbeauftragter oder Anwalt für seine Bewertung braucht. Auf Wunsch setzen wir die Schritte um und betreuen die App danach. Du baust wie gewohnt mit Lovable weiter.

Das Gespräch kostet nichts. Preis und Umfang der Umsetzung stehen im schriftlichen Angebot nach dem Gespräch. Mehr zum Ablauf findest du auf unserer Seite Lovable-App absichern. Wenn du direkt loslegen willst: App-Check anfragen.

Häufige Fragen

Ist meine Lovable-App sicher?

Das lässt sich von außen nicht sagen. Viele Lovable-Apps sind gut aufgestellt, bei anderen können Fremde Daten sehen, die nicht für sie bestimmt sind. Beim Benutzen merkst du den Unterschied nicht. Klarheit bringt ein Blick auf deine konkrete App.

Betrifft der Handelsblatt-Bericht meine App?

Das lässt sich aus dem Bericht nicht ablesen. Welche Apps die Experten gefunden haben, ist nicht öffentlich. Lovable spricht von einem branchenweiten Problem. Ob deine App betroffen ist, zeigt nur ein Blick auf deine App selbst.

Kann ich das nicht einfach Lovable fragen?

Lovable baut sehr gut, was du beschreibst, und prüft vor dem Veröffentlichen einiges automatisch. Was in deinem Geschäft vertraulich ist, weiß es nur, wenn du es beschreibst. Lovable schreibt selbst, dass seine Werkzeuge keine vollständige Sicherheit garantieren. Ein Blick von außen ergänzt das.

Ist Lovable unsicher?

Lovable ist ein gutes Werkzeug, um schnell funktionierende Apps zu bauen. Die bekannten Fälle zeigen, dass der Schritt vom Prototyp in den sicheren Betrieb nicht von selbst passiert. Dieselben Fragen stellen sich bei anderen KI-Buildern genauso.

Brauche ich einen Entwickler?

Zum Bauen mit Lovable nicht. Sobald echte Kunden, Zahlungen oder vertrauliche Daten dazukommen, lohnt sich jemand mit Erfahrung im Betrieb von Apps, der einmal draufschaut und bei Bedarf die Betreuung übernimmt. Du kannst danach wie gewohnt weiterbauen.

Was kostet ein App-Check?

Der App-Check im Gespräch kostet nichts. Preis und Umfang der Umsetzung stehen im schriftlichen Angebot nach dem Gespräch.

Quellen

Brixon AI ist unabhängig und nicht mit Lovable oder den anderen genannten Anbietern verbunden.