Ist deine Vibe-Coded App produktionsreif?

Du hast eine URL, einen Login und erste Zahlen. Für viele Validierungstests reicht das. Sobald Geld oder Vertrauen auf dem Spiel stehen, gelten andere Massstäbe: Last, Wiederherstellung, Autorisierung, Deployments, die du wiederholen kannst. Die folgenden sechs Fragen sind ein Selbstcheck. Keine Abrechnung mit einem bestimmten Tool.

«Deployed» und «produktionsreif» sind zwei verschiedene Zustände. In dieser Lücke verlieren Gründer Kunden, Daten und gelegentlich die Firma.

Das Raster ordnet ein, wo du stehst und welcher Schritt als Nächstes kommt, wenn die Validierung zu Ende geht. Es ist keine Kritik an einem einzelnen Tool.

Was Vibe-Coding-Tools wirklich können

Für bestimmte Aufgaben sind diese Tools stark. Prototypen, Hypothesentests, Investor-Demos, Concierge-MVPs, Experimente auf einer Landing Page. Überall, wo es ums Lernen geht und nicht um einen stabilen Betrieb. Für einen Prototyp gelten andere Anforderungen als für ein Produktivsystem, und diese Anforderungen erfüllen Vibe-Coding-Tools ohne weiteres.

Die eigentliche Frage ist, was danach kommt.

Die 6 Fragen zur Produktionsreife

Hält die App der zehnfachen Last stand?

Vibe-Coding-Plattformen sind für Entwicklung und moderate Nutzung gebaut. Wächst der Traffic, laufen Speicherlimits, CPU-Drosselung oder Cold Starts schnell voll. Die App wird langsam oder fällt aus. Schwerer wiegt oft etwas anderes: in vibe-coded Apps fehlen häufig die Bausteine, ohne die Skalierung gar nicht geht. Connection-Pooling für die Datenbank, Caching, brauchbare Queries, Jobs im Hintergrund.

Gegenprobe: liegt die Spitze heute bei 20 gleichzeitigen Nutzern, was passiert bei 200? Wurde das je getestet? Weisst du, wie sich die App unter Last verhält? Wenn die Antwort zweimal nein ist, gehört die Lücke geklärt, bevor zahlende Kunden auf Zuverlässigkeit angewiesen sind.

Was passiert, wenn die App um 2 Uhr nachts abstürzt?

Produktivsysteme fallen aus. Irgendwann passiert es. Entscheidend ist, wie schnell du davon erfährst und wie schnell sich das beheben lässt.

Die meisten Vibe-Coding-Plattformen liefern weder belastbares Monitoring noch Alerts oder eine automatische Wiederherstellung. Stürzt die App mitten in der Nacht ab, merkst du es im Zweifel erst, wenn am nächsten Morgen die erste Kundenmail reinkommt. Für einen Prototyp mag das reichen. Für ein Produkt, auf das jemand zahlt und das im Tagesgeschäft gebraucht wird, reicht es nicht.

Wo liegen die Daten deiner Nutzer, und sind sie gesichert?

An diesem Punkt stolpern Gründer am häufigsten. Vibe-coded Apps mischen oft plattformeigene Speicher mit externen Datenbanken. Backup und Wiederherstellung sehen für jede Kombination anders aus. Oft weiss schlicht niemand, wie das im Ernstfall läuft.

Die Fragen, die du beantworten können solltest: fällt die Hosting-Plattform heute aus und die Datenbank ist nicht erreichbar, was passiert mit den Kundendaten? Gibt es ein Backup? Wo liegt es? Wie aktuell ist es? Wie lange dauert eine Wiederherstellung? Wer darauf keine konkreten Antworten hat, hat für den Betrieb keine tragfähige Datenstrategie.

Für Gründer in Europa kommt die DSGVO dazu. In welchem Land liegen die Kundendaten? Sind die nötigen Auftragsverarbeitungsverträge unterschrieben?

Ist die Anmeldung wirklich sicher?

Eine Anmeldung haben die meisten vibe-coded Apps. Nutzer loggen sich ein, Passwörter liegen irgendwo. Häufiger hapert es an der Autorisierung: welche Person auf welche Daten zugreifen darf, welche Aktionen eine Rolle ausführen kann, und was passiert, wenn jemand den Account einer anderen Person öffnen will.

Gut möglich, dass die Auth den Normalfall abdeckt und die Ausnahmen nicht. Session-Tokens werden nicht wirklich geprüft. Autorisierungsprüfungen fehlen an API-Endpunkten und existieren nur in der Oberfläche. Ablaufzeiten von Tokens werden falsch behandelt. Bei Apps auf Supabase gilt ausserdem: automatisch erzeugte Row-Level-Security-Policies decken selten alle nötigen Fälle ab. Falsch konfiguriertes RLS gehört in der Praxis zu den häufigsten Ursachen für Datenlecks. Policies muss jemand prüfen und testen. Generieren allein reicht nicht.

Die Anmelde- und Autorisierungslogik sollte jemand prüfen, der weiss, worauf es ankommt. Bevor fremde Nutzer mit Zahlungsdaten angelegt werden.

Wie schnell kannst du einen Fix deployen?

Im Betrieb müssen Fehler schnell raus, weil ein Kunde feststeckt oder weil eine Sicherheitslücke aktiv ausgenutzt wird. Wie stabil ist der Deployment-Prozess? Gibt es einen Rollback, wenn ein neues Deployment Ärger macht? Gibt es eine Staging-Umgebung, in der Fixes vor dem Go-Live getestet werden?

Vibe Coding hat das Deployment so stark vereinfacht, dass es sich nach einer Stärke anfühlt. Was sich leicht ausrollen lässt, landet aber auch leicht kaputt in Produktion. Die Schutznetze einer ordentlichen Pipeline fehlen dann.

Misst du, was Nutzer in der App tun?

Viele Gründer überspringen diese Frage. Die anderen fünf werden erst sinnvoll, wenn du sie beantworten kannst. Wer eine Idee validiert, braucht Verhaltensdaten. Registrierungen allein sagen wenig. Du willst sehen, was die Leute gemacht haben, wo sie ausgestiegen sind und was sie ignoriert haben.

Vibe-Coding-Tools richten das nicht von selbst ein. Ein einfaches Setup mit Google Analytics 4 und dem Google Tag Manager liefert Seitenaufrufe und Session-Daten. Microsoft Clarity oder LogRocket ergänzen das um Session-Aufzeichnungen und Heatmaps. Du siehst, wo Leute zögern, was sie klicken und wo sie etwas erwarten, das nicht passiert.

Wenn du anhand der Validierung eine Go- oder No-Go-Entscheidung treffen willst, brauchst du Zahlen, denen du vertraust. Analytics sauber aufsetzen, inklusive eigener Events für die wichtigsten Aktionen im Produkt, bevor ernsthaft Traffic auf die App gelenkt wird. Eine App, die du nicht messen kannst, kannst du auch nicht sauber validieren.

Was die Antworten bedeuten

Wer drei oder mehr dieser Fragen nicht sauber beantworten kann, hat einen Prototyp. Das soll ein Prototyp auch sein: schnell gebaut, gut genug zum Testen, für den Dauerbetrieb aber nicht gehärtet.

Das Tool war damit nicht falsch gewählt. Die App trägt noch nicht, wenn sie im Arbeitsalltag eines zahlenden Kunden eine zentrale Rolle spielen soll. Zwischen «wir probieren das gerade aus», wo ein paar Ecken akzeptiert werden, und «wir zahlen dafür, weil unser Geschäft daran hängt», wo jede Ecke einen realen Preis hat, liegt ein deutlicher Unterschied.

Was nach Vibe Coding kommt

Die Antwort ist nicht «eine klassische Agentur beauftragen und alles neu aufsetzen». Näher liegt Agentic Coding auf einem Produktiv-Stack: KI-Agenten wie Cursor oder Claude Code in einer echten Engineering-Umgebung, mit Infrastruktur, Versionskontrolle, CI/CD und einem Datenbankschema, das für den Dauerbetrieb ausgelegt ist.

Das ist ein anderer Ansatz als Vibe Coding, und auch ein anderer als klassische Entwicklung. Der Geschwindigkeitsvorteil der KI-Unterstützung bleibt. Die Betriebsqualität ist von Anfang an da. Ein kleines Team mit Agentic Coding schafft heute, wofür früher ein deutlich grösseres Team nötig war. Das Ergebnis bleibt stabil, weil Menschen die Engineering-Entscheide treffen und sie nicht aus einem Prompt fallen.

Wann wechseln?

Der Auslöser ist weder eine bestimmte Nutzerzahl noch ein Umsatzwert. Es ist der Moment, in dem ein Ausfall teurer wird als ordentliche Entwicklung.

Drei Situationen verschieben diese Rechnung regelmässig. Kunden zahlen und erwarten entsprechend Zuverlässigkeit. Sensible Daten sind im Spiel und fallen unter die DSGVO oder ähnliche Vorschriften. Verfügbarkeit gehört zum Geschäftsmodell.

In jedem dieser Fälle lohnt sich echte Produktiv-Infrastruktur mehr als Flicken am bestehenden Setup. Ein Neuaufbau ist teuer. Erfahrungsgemäss bleibt er deutlich günstiger als die Summe aus verlorenen Kunden, Datenpannen und Reputationsschaden, wenn ein echtes Geschäft auf Prototyp-Infrastruktur läuft.

Erfahrungswert aus Projekten (kein Festpreis): eine Migration auf einen echten Stack nach längerer Zeit auf einer Vibe-Plattform liegt oft beim Mehrfachen dessen, was «von Anfang an richtig bauen» gekostet hätte. Das hängt vom Datenmodell und vom Traffic ab. Der Wert der Validierung kann diese Mehrkosten rechtfertigen. Rechnen musst du beides.

Produktion statt Flicken?

Discovery Call. Wir schauen Auth, Daten und Deployment an und schlagen Agentic Coding auf einem Stack vor, der zu deinem Risiko passt.