Sicherheitscheck für KI-gebaute Apps
Sicherheitscheck für KI-gebaute Apps: was ein fremdes Konto in Ihrer App erreicht.
Mit Lovable, Bolt, Cursor oder v0 steht eine App mit Datenbank, Anmeldung und Dateispeicher in Tagen statt Monaten. Ob ein angemeldeter Nutzer dabei nur seine eigenen Daten sieht, zeigt sich im eigenen Test nicht, denn dort sieht man immer nur sich selbst. Unser Sicherheitscheck prüft genau das: mit zwei echten Testkonten und ohne Anmeldung, gegen Ihre laufende App, mit Supabase- oder Firebase-Backend. Jeder Befund kommt mit Nachweis und Korrekturvorschlag, und nach Ihrer Korrektur bestätigt ein Nachtest, dass die Lücke zu ist.
- Für Gründer und Teams, die mit KI-Werkzeugen schnell gebaut haben und vor Launch, Investoren- oder Kundengespräch Sicherheit brauchen.
- Im Zentrum stehen die Zugriffsregeln der Datenbank, geprüft mit zwei Konten, dazu Secrets, Storage, Anmeldung, Serverfunktionen und KI-Funktionen.
- Manuelle Prüfung gegen die laufende App im schriftlich vereinbarten Umfang, kein reiner Scanner-Lauf.
- Bericht mit Nachweis und Korrekturvorschlag je Befund, verständlich auch ohne Security-Team, plus Nachtest.
Für wen der Check gedacht ist
Für Gründerinnen, Gründer und kleine Teams, die eine App mit einem KI-Werkzeug gebaut haben oder bauen lassen und jetzt an einem dieser Punkte stehen:
- Vor dem Launch. Echte Nutzer, echte Daten, vielleicht schon Zahlungen. Sie wollen wissen, ob die App hält, bevor jemand anderes es herausfindet.
- Vor dem Investorengespräch. In der Due Diligence kommt die Frage, wie die Daten der Nutzer geschützt sind. Ein Bericht mit belegten Befunden und Nachtest ist eine bessere Antwort als „Lovable hat gescannt“.
- Vor dem ersten Geschäftskunden. Der Kunde schickt einen Sicherheitsfragebogen und fragt nach einem Prüfnachweis.
- Nach schnellem Wachstum. Die App ist Prompt für Prompt gewachsen, und niemand im Team hat die Zugriffsregeln je vollständig gelesen.
Typische Werkzeuge sind Lovable, Bolt, Cursor, v0 oder vergleichbare, typische Backends Supabase oder Firebase. Andere Kombinationen klären wir im Erstgespräch.
Warum KI-gebaute Apps eine eigene Prüfung brauchen
Bei Supabase und Firebase steht der öffentliche Schlüssel absichtlich im Frontend. Was er erreicht, entscheiden allein die Zugriffsregeln: bei Supabase die Row-Level-Security-Policies, bei Firebase die Security Rules. Beide Anbieter schreiben das so in ihrer Dokumentation (Supabase, Firebase). Fehlt eine Regel oder ist sie zu weit, kann jeder mit dem öffentlichen Schlüssel an die Daten.
KI-Werkzeuge bauen, was beschrieben ist. Beschrieben wird meist, was die App tun soll, selten, was sie nicht tun darf. Eine zu weite Regel erzeugt keine Fehlermeldung, die App funktioniert einfach. Die eingebauten Scanner der Plattformen sind ein guter Anfang, sie lesen aber Code und Konfiguration. Ob Konto B tatsächlich an die Daten von Konto A kommt, zeigt nur der Versuch. Mehr zur Mechanik im Ratgeber Lovable-Sicherheit.
Was wir prüfen
Zugriffsregeln mit zwei Konten
Row Level Security bzw. Security Rules auf jeder Tabelle und Sammlung: Wir legen mit Konto A Daten an und versuchen sie als Konto B und ohne Anmeldung zu lesen, zu ändern und zu löschen.
Schlüssel und Secrets im Frontend
Welche Schlüssel im ausgelieferten JavaScript stehen, ob ein geheimer oder privilegierter Schlüssel darunter ist und ob Drittanbieter-Schlüssel offen im Browser liegen.
Storage-Buckets
Ob sensible Dateien in öffentlichen Buckets liegen, ob sich Inhalte auflisten lassen und ob ein Nutzer fremde Dateien lesen, überschreiben oder löschen kann.
Anmeldung und Konten
Registrierung, Passwort-Reset, E-Mail-Bestätigung, Sitzungen und Rollen: wo sich ein Schritt überspringen oder ein Konto übernehmen lässt.
API-Endpunkte und Edge Functions
Ob jede Serverfunktion prüft, wer aufruft und ob ihm der Datensatz gehört, auch wenn sie direkt und nicht über die App aufgerufen wird. Dazu Zahlungs- und Freischaltlogik.
Rechte zwischen Mandanten
Wenn sich Teams, Firmen oder Kunden eine App teilen: ob ein Mandant Daten, Einladungen oder Aktionen eines anderen erreicht und ob sich Rollen selbst hochstufen lassen.
KI-Funktionen und Prompt-Injection
Falls Ihre App selbst KI nutzt: ob sich das Modell per Eingabe oder Dokumentinhalt zu Aktionen oder Datenabfragen bringen lässt, die der Nutzer selbst nicht dürfte.
Der Scope wird pro Projekt festgelegt. Was geprüft wird und was ausdrücklich nicht, halten wir schriftlich fest, bevor der Test beginnt. Wir prüfen nur Systeme, für die Sie uns schriftlich beauftragt haben.
So läuft der Check ab
Scope schriftlich
Im Erstgespräch klären wir, welche App, welche Umgebung und welche Funktionen geprüft werden, und halten Umfang, Zeitraum und Regeln schriftlich fest. Am besten prüfen wir eine Test- oder Staging-Umgebung mit realistischen Daten.
Testkonten
Sie richten uns mindestens zwei Konten ein, bei mehreren Rollen oder Mandanten je Rolle eines. So lässt sich zeigen, was ein Konto beim anderen erreicht.
Manuelle Prüfung
Wir arbeiten gegen die laufende App und ihre API, nicht nur gegen den Code. Werkzeuge helfen beim Sammeln, entschieden wird von Hand.
Nachweis je Befund
Nur was sich mit einem ausgeführten Nachweis belegen lässt, wird als Befund geführt. Verdachtsfälle ohne Beleg landen nicht im Bericht.
Bericht
Management-Zusammenfassung, Befunde mit Einstufung, Nachweis und konkretem Korrekturvorschlag, so formuliert, dass Sie ihn direkt in Ihr Werkzeug übernehmen oder an Ihre Entwickler geben können.
Nachtest
Nach Ihren Korrekturen prüfen wir die behobenen Befunde erneut und dokumentieren den Stand, damit die Behebung belegt ist.
Was Sie bekommen
- Einen schriftlichen Bericht mit Management-Zusammenfassung für Geschäftsführung, Investoren oder Kunden.
- Je Befund: Beschreibung, Einstufung, ausgeführten Nachweis und konkreten Korrekturvorschlag, etwa die passende Policy oder Prüfung in der Serverfunktion.
- Eine klare Abgrenzung, was geprüft wurde und was nicht.
- Einen Nachtest der behobenen Befunde mit dokumentiertem Stand.
Wie das aussieht, zeigt unser Musterbericht am Beispiel eines öffentlichen Funds.
Warum CyberSec42
- Öffentlich nachprüfbar. CVE-2026-15583 (Grafana MCP Server), CVE-2026-114123 (d365fo-mcp-server), CVE-2026-104776 (mcp-server-kubernetes), CVE-2026-110787 (pREST): koordiniert gemeldet, von den Maintainern behoben. Alle Funde ansehen
- So sieht Ihr Bericht aus. Management-Zusammenfassung, Befund mit Nachweis, Nachtest: am Beispiel eines öffentlichen Funds. Musterbericht ansehen
- Geprüft wird das Verhalten, nicht nur der Code. Ob Konto B die Daten von Konto A erreicht, zeigt der Versuch gegen die laufende App.
- Nachweis pro Befund. Jeder gemeldete Befund kommt mit einem ausgeführten Nachweis. Kein Melden auf Verdacht.
- Ehrliche Einordnung. Ein sauberes Ergebnis heißt kein Befund auf dem, was wir geprüft haben, nie ein Freibrief.
Bevor echte Nutzer kommen: Ihre App prüfen lassen
In einem kostenlosen Erstgespräch klären wir, wie Ihre App aufgebaut ist, welche Daten sie verarbeitet und welcher Umfang für den Check sinnvoll ist. Danach erhalten Sie ein schriftliches Angebot zum Festpreis.
App-Sicherheitscheck anfragenCyberSec42 ist eine unabhängige technische Sicherheitsprüfung, keine akkreditierte Zertifizierungsstelle und keine Rechtsberatung. CyberSec42 steht in keiner Verbindung zu Lovable, Bolt, Cursor, v0, Supabase oder Firebase.
Häufige Fragen
Reicht der Security-Scan der Plattform?
Plattform-Scanner sind ein guter Anfang und finden häufige Fehler wie fehlende Zugriffsregeln oder offene Policies. Sie lesen aber Code und Konfiguration. Ob die Logik Ihrer Rechte hält, also ob ein echtes zweites Konto an fremde Daten kommt, prüfen sie nicht mit zwei echten Konten. Genau das macht dieser Check.
Wie lange dauert das?
Das richtet sich nach dem Scope: Zahl der Rollen, Tabellen, Serverfunktionen und Integrationen. Den Zeitrahmen nennen wir nach dem Erstgespräch schriftlich, zusammen mit dem Angebot.
Müssen wir den Code teilen?
Nicht zwingend. Der Kern der Prüfung läuft gegen die laufende App mit Testkonten. Lesezugriff auf den Code oder die Datenbank-Konfiguration macht die Prüfung gründlicher, besonders bei Policies und Serverfunktionen. Was Sie teilen, legen wir gemeinsam im Scope fest.
Was kostet das?
Festpreis pro Auftrag, nach dem Erstgespräch schriftlich.
Was, wenn Sie etwas finden?
Jeder Befund kommt mit Nachweis und konkretem Korrekturvorschlag, den Sie selbst oder Ihr Werkzeug umsetzen können. Nach Ihren Korrekturen prüfen wir die behobenen Stellen in einem Nachtest erneut und dokumentieren den Stand.