# Security Review für Vibe-Coded Projekte: KI-Code sicher live bringen > Security Review für Vibe-Coded Apps (Lovable, Cursor, Bolt): RLS, Secrets, Auth, DSG. Bericht ab 5 Arbeitstagen. Vereinbarter Festpreis ab CHF 3'900. - Quelle: https://www.sidd.swiss/leistungen/vibe-coding-security-review - Sprache: de-CH - Stand: 2026-10-17 - Herausgeber: SIDD Institut für Datenschutz und Datensicherheit, eine Marke der Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Schweiz OWASP Top 10:2025 · Supabase RLS · Art. 8 DSG Mit Lovable, Cursor oder Claude Code entsteht eine App in Tagen. Niemand prüft die Sicherheit. Oft sieht jeder Besucher die Daten. Vor dem Go-live prüfen wir Code, Datenbank, laufende App und Datenschutz. Nach fünf oder zehn Arbeitstagen erhalten Sie einen Bericht mit Fixes für Ihr Werkzeug. Vereinbarter Festpreis ab CHF 3'900 Fixes als Prompt oder Code-Diff Bericht ab 5 Arbeitstagen Kostenlos und unverbindlich · 30 Minuten · vertraulich unter NDA · Lesezugriff und Testkonten genügen **Technische Leitung dieses Mandats** **Oliver Stutz** Co-Founder · InfoSec & Cybersecurity Expert · Bachelor of IT (Bond University) Oliver Stutz ist Co-Founder und leitet das SIDD-Entwicklungszentrum für technische Informationssicherheit und Cloud-Sicherheit. Er baut selbst mit generativer KI. Sein Team liest Ihren Code, testet die laufende App und schreibt die Fixes. Dazu kommt das Team von Dr. Dominic Staiger, LL.M., Dr. iur., CIPP/E, Attorney at Law (New York) und Solicitor (UK). Es bearbeitet die Datenschutz-Launch-Checkliste. [LinkedIn-Profil](https://www.linkedin.com/in/oliverstutz/) ## Was ist ein Security Review für Vibe-Coded Projekte? > **Kurzdefinition** > > Der Security Review für Vibe-Coded Projekte prüft von KI geschriebene Apps auf Sicherheit und Datenschutz nach DSG und DSGVO. Wir prüfen Code, Einstellungen und laufende App. Massstab ist die OWASP Top 10:2025, die Liste der häufigsten Web-Schwachstellen. Der Bericht nennt je Befund Schweregrad, Schritte zum Nachstellen und einen Fix. Er heisst auch Vibe-Code-Audit oder KI-Code-Review. Andrej Karpathy prägte den Begriff Vibe-Coding im Februar 2025: Man folgt der KI und liest den Code nicht mehr. Der Code entsteht in Stunden und besteht die Tests. Seine Sicherheit prüft aber niemand. Der Browser spricht hier meist direkt mit der Datenbank. Den öffentlichen Schlüssel dafür sieht jeder Besucher. Schutz bietet nur die RLS-Policy: eine Regel, wer welche Tabellenzeile sehen darf. Fehlt sie oder ist sie falsch, kann jeder Daten lesen und schreiben. **Der Review klärt deshalb drei Fragen: Wer darf was? Wo liegen die Schlüssel? Was passiert mit den Personendaten?** ## Brauchen Sie einen Vibe-Coding Security Review? Der Review lohnt sich für jede KI-App mit echten Personendaten, Zahlungen oder externen Nutzern. Ab dem 09.12.2026 erfasst die neue EU-Produkthaftung (Richtlinie (EU) 2024/2853) auch neu auf den Markt gebrachte Software. Nach dem Launch kostet jeder Befund mehr: Schlüssel wechseln, Kunden informieren, eventuell die Datenpanne melden. 1. **Go-live mit Kundendaten, Login oder Zahlung:** Ab dem ersten Personendatensatz gelten DSG und DSV. Vor dem Launch klären Sie: Können fremde Nutzer Daten lesen? Liegt der Service-Key im Browser-Code, der Generalschlüssel zur Datenbank? 2. **Ein Enterprise-Kunde, ein Investor oder Ihr Agenturkunde fragt nach:** Ein Sicherheitsfragebogen oder eine Due Diligence verlangt einen benannten Prüfer mit rechtlicher Einordnung. Der Scan der Plattform ist nur ein Anfang. 3. **Ein internes Tool mit HR- oder Finanzdaten:** Mitarbeitende bauen es ohne die IT. Im Mai 2026 fand [RedAccess](https://www.wired.com/story/thousands-of-vibe-coded-apps-expose-corporate-and-personal-data-on-the-open-web/) rund 380'000 öffentlich erreichbare Vibe-Coding-Assets, etwa 5'000 davon ohne Login-Schutz. Inventar und Regeln liefert der [AI Governance Check](https://www.sidd.swiss/leistungen/ai-governance-check). 4. **Ein Vorfall oder eine Warnung:** Ein Sicherheitsforscher oder Supabase meldet offene Tabellen. Dann klären wir: Wie weit reichte der Zugriff? Ist eine Meldung an den EDÖB oder eine EU-Aufsicht fällig? 5. **Die App hat KI-Funktionen:** Der KI-Schlüssel liegt oft ohne Kostenlimit im Browser. Der EU AI Act (KI-VO) verlangt seit dem 02.08.2026: Ein Chatbot für EU-Nutzer gibt sich als KI zu erkennen. Wir prüfen das mit. Für Agenten im Betrieb empfehlen wir die tiefere [AI-Security-Prüfung](https://www.sidd.swiss/leistungen/ai-security). Was uns einzigartig macht ## Drei Disziplinen für Code, den eine KI geschrieben hat Unsere Engineers prüfen den Code und unsere Jurist:innen ordnen jeden Befund rechtlich ein. **Diese Kombination kann weder eine reine Rechtsanwaltskanzlei noch eine klassische Beratung leisten.** Der Bericht zeigt dem Entwickler die Fixes und der Geschäftsleitung, ob sie live gehen darf. ### Tiefe rechtliche Expertise Dafür steht das Team von Dr. Dominic Staiger, LL.M., Dr. iur., CIPP/E, Attorney at Law (New York) und Solicitor (UK). Es prüft unter seiner Verantwortung die Datenschutzerklärung und einen Auftragsverarbeitungsvertrag mit einem Dienstleister, meist dem Backend-Anbieter. Weitere Verträge prüfen wir nach Aufwand. Dazu kommen Daten auf Servern ausserhalb der Schweiz und der Meldeprozess für Datenpannen. ### Eigene Software-Engineers SIDD entwickelt die [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform) im eigenen Entwicklungszentrum. Unsere Engineers kennen daher die Bausteine von Lovable- oder Cursor-Projekten wie React, Postgres und Stripe. Sie lesen RLS-Policies und Login-Code selbst. ### Eigene KI-Entwicklung Wir entwickeln eigene LLM-Systeme und bauen selbst mit Coding-Agenten. So kennen wir ihre Abkürzungen unter Zeitdruck: Service-Key im Browser, Policy auf true, fehlende Validierung. ## Was prüfen wir? Wir prüfen vor allem die Trust Boundaries. Dort wechseln Daten zwischen Browser, Server und fremden Diensten. Hier versagt KI-Code am häufigsten. - **Threat Model light (STRIDE):** Eine Seite nennt Assets, Rollen, Missbrauchsfälle und Trust Boundaries. Daraus folgt die Testmatrix: Was darf welcher Nutzer? - **Manueller Code-Review plus SAST:** Bei SAST sucht ein Werkzeug wie Semgrep automatisch Fehler im Quellcode. Von Hand lesen wir Login, Autorisierung, Datenzugriff, Uploads und Zahlung. - **Secrets und Schlüssel:** gitleaks durchsucht Git-Historie und Browser-Code nach geheimen Schlüsseln und Passwörtern. Gesucht sind vor allem Service-Keys, die jede Datenbankregel umgehen. Funde tauschen Sie am selben Tag aus. - **Autorisierung und Row-Level-Security:** Wir lesen jede RLS-Policy, Firestore-Regel und Edge Function. Im Go-Live Review testen wir bevorzugt auf Staging mit Testkonten: anonym, User A, User B, Admin. Wir suchen Rechte-Eskalation, IDOR und Mass Assignment. Bei IDOR zeigt eine geänderte Nummer fremde Datensätze. Bei Mass Assignment ändert ein Nutzer etwa seine Rolle oder sein Guthaben. - **Abhängigkeiten und SBOM:** Die SBOM listet alle eingebauten Software-Pakete. Wir prüfen jedes Paket auf bekannte Lücken und ob es überhaupt existiert. Laut [Spracklen et al., USENIX Security 2025](https://www.usenix.org/conference/usenixsecurity25/presentation/spracklen) war 2025 bis zu jedes fünfte von KI vorgeschlagene Paket erfunden. [Churilov, arXiv 2605.17062](https://arxiv.org/abs/2605.17062) findet bei aktuellen Modellen noch mehrere Prozent. Angreifer registrieren solche Namen, genannt Slopsquatting. - **Backend- und Hosting-Konfiguration:** Das Backend ist der Server mit Datenbank und Login. Bei Supabase prüfen wir RLS auf jeder Tabelle, Storage-Policies, Edge Functions und Auth-Einstellungen. Bei Firebase prüfen wir Firestore- und Storage-Rules sowie App Check. Beim Hosting prüfen wir Umgebungsvariablen mit Client-Präfix, Preview-Schutz, Security Headers und CORS. - **Dynamischer Test der deployten App (Go-Live Review):** Wir testen die laufende App per DAST und von Hand nach dem OWASP Web Security Testing Guide. Wir decken die OWASP Top 10:2025 ab, etwa Injection, XSS, CSRF und Rate Limiting. Dazu kommen Webhook-Signaturen, Paywall-Umgehung und Preis-Manipulation. - **KI-Funktionen, wo vorhanden:** Wir prüfen KI-Schlüssel, Kostenlimits und Prompt Injection nach der OWASP Top 10 for LLM Applications 2025. Für Agenten mit Werkzeugzugriff empfehlen wir die [AI-Security-Prüfung](https://www.sidd.swiss/leistungen/ai-security). - **Datenschutz-Launch-Checkliste:** Im Launch Check leiten wir Datenkarte und Auftragsverarbeiter-Liste aus dem Code ab. Im Go-Live Review prüft das Team von Dr. Staiger zudem Datenschutzerklärung und Impressum. Vertieft prüft es einen Auftragsbearbeitungsvertrag (Art. 9 DSG) beziehungsweise Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit einem Dienstleister, meist dem Backend-Anbieter. Weitere Verträge prüfen wir nach Aufwand. Dazu kommt die Bekanntgabe ins Ausland nach Art. 16 f. DSG beziehungsweise Art. 44 ff. DSGVO. Gemeint sind Server ausserhalb der Schweiz. Ebenso der Meldeprozess für Datenpannen (Art. 24 DSG) und der Auslöser einer Datenschutz-Folgenabschätzung (Art. 22 DSG). Bei KI-Funktionen für EU-Nutzer prüfen wir die Transparenz nach Art. 50 KI-VO. - **Behebung und Re-Test:** Jeden Fix erhalten Sie als Prompt für Ihr Werkzeug oder als Code-Diff. Die Geschäftsleitung erhält eine einseitige Go-live-Empfehlung. Pull Requests für Critical- und High-Befunde liefern wir auf Wunsch nach Offerte. Der Re-Test bestätigt die Behebung und liegt als Nachweis in der [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform). Nicht enthalten sind Managed SOC, Incident-Response-Bereitschaft und Aufbau einer DevSecOps-Pipeline. Eine Compliance-Garantie gibt es nicht. Wächst Ihr Team über das MVP hinaus, folgt der [Security Architecture Review](https://www.sidd.swiss/leistungen/security-architecture-review). ## Typische Befunde in Vibe-Coded Apps Diese Lücken finden wir auf allen Plattformen, geordnet nach Häufigkeit und Schaden: - **1. Fehlende oder falsche Autorisierung:** Tabellen haben keine RLS-Policy oder eine, die jeden durchlässt. Serverless-Funktionen nutzen den Service-Key und prüfen selbst keine Rechte. - **2. Secrets im Browser-Code oder in der Git-Historie:** etwa Supabase-Service-Key, Stripe- oder LLM-Key. - **3. Unsichere Standardeinstellungen bei Backend und Hosting:** öffentliche Storage-Buckets und Preview-Versionen. Google indexiert Produktions-Apps ohne Login. - **4. IDOR und BOLA in generiertem CRUD-Code:** Zugriff auf fremde Datensätze per ID. - **5. Fehlende Eingabeprüfung:** Das öffnet die Tür für XSS und Injection. Uploads landen ungeprüft in öffentlichen Buckets. - **6. Kein Rate Limiting:** Registrierung, Einmal-Codes und KI-Aufrufe sind unbegrenzt oft möglich. - **7. Erfundene oder veraltete Abhängigkeiten:** Pakete existieren nicht oder werden seit Jahren nicht gepflegt. - **8. Admin-, Debug- und Testrouten im Live-Betrieb:** Ihre Fehlermeldungen verraten zu viele Details. - **9. Ungeprüfte Webhook-Signaturen und Paywalls nur im Browser:** Die App prüft die Stripe-Signatur nicht und die Zahlung nur im Browser. - **10. Kein Logging, keine Backups, keine Umgebungstrennung:** Das Log enthält Personendaten oder fehlt ganz. Backups wurden nie testweise zurückgespielt. Oft hat ein KI-Agent Zugang zur Produktion. Meist fehlt zudem der Auftragsbearbeitungsvertrag mit Supabase, Vercel oder OpenAI. Ebenso fehlen oft eine passende Datenschutzerklärung und ein Meldeprozess für Datenpannen. ## Zahlen, die den Review begründen Drei datierte und nachprüfbare Zahlen aus Studien seit 2025: - **45 %** der KI-generierten Code-Beispiele wählten die unsichere Variante. Getestet wurden 80 Aufgaben mit über 100 Sprachmodellen. Neuere Modelle waren nicht besser. Quelle: Veracode GenAI Code Security Report vom 30.07.2025. - **16'326** Supabase-Datenbanken zeigten ihre Nutzertabelle jedem mit dem öffentlichen Schlüssel aus dem Browser-Code. Über die Hälfte enthielt Personendaten. Quelle: UpGuard vom 25.09.2026. Die Abhilfe: RLS auf jeder Tabelle. - **91 %** von 200 live geschalteten Apps aus Claude Code und Lovable hatten mindestens eine Schwachstelle. Zwei Drittel der 1'186 Befunde waren Critical oder High. Quelle: arXiv-Preprint 2606.23130, Version vom 14.09.2026. ## Pakete und Preise Alle Preise verstehen sich exkl. MwSt. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch. Die Einstiegspreise gelten für eine App mit einem Repository und einem Backend, dem Server mit Datenbank und Login. ### Launch Check Vereinbarter Festpreis ab CHF 3'900 1 App · Bericht in 5 Arbeitstagen Für eine App bis rund 10'000 Zeilen KI-Code. Geeignet vor dem ersten externen Nutzer, für interne Tools ohne besonders schützenswerte Daten und zur Abnahme einer Agentur-Übergabe. - Login, Sitzungen und alle Zugriffsregeln wie RLS-Policies - Secrets wie Schlüssel im Browser-Code und in der Git-Historie, Storage-Rechte, Edge Functions und Stripe-Webhooks - Abhängigkeiten, auch von der KI erfundene Pakete - A01 bis A03 der OWASP Top 10:2025, bei KI-Funktionen auch Prompt-Injection - Datenschutz-Quick-Check: welche Personendaten, wo gespeichert, welche Dienstleister - Bericht mit Fix-Prompts, 30-Minuten-Besprechung und ein Re-Check der Critical- und High-Befunde innert 30 Tagen ### Go-Live Review Vereinbarter Festpreis ab CHF 6'900 empfohlen · Bericht in 10 Arbeitstagen Für Apps mit Personendaten oder Zahlungen, im Firmeneinsatz oder vor einer Kundenabnahme. Alles aus dem Launch Check, dazu Tests mit Login und Infrastruktur. Die volle Datenschutz-Checkliste ordnet das Team von Dr. Staiger ein. Der Einstiegspreis gilt bis etwa 25'000 Zeilen KI-Code und 25 Endpunkte oder Tabellen. Zwei Backends, einen Mobile-Client oder grösseren Umfang klären wir im Scoping. - Autorisierungs-Matrix mit einem Testkonto pro Rolle gegen Staging oder Live-API. Wir suchen IDOR, also fremde Daten per geänderter Nummer. Dazu Mandantentrennung und Rollen-Eskalation. - Zahlungen mit Stripe-Webhook-Signaturen und Preis-Manipulation, Datei-Upload, E-Mail- und OTP-Flows - Infrastruktur: Hosting-Einstellungen, Backups mit Wiederherstellungstest, Logging, getrennte Umgebungen und Notfallkontakt - 45-Minuten-Threat-Model mit Ihrem Team: Wer könnte was angreifen? - Prüfung eines Auftragsbearbeitungs- beziehungsweise Auftragsverarbeitungsvertrags, weitere nach Aufwand. Bekanntgabe ins Ausland an Server ausserhalb der Schweiz, Datenschutzerklärung, Impressum und Meldeprozess für Datenpannen. Rechtliche Einordnung durch das Team von Dr. Staiger. - Fixes als Code oder Prompt, Evidenzpaket in der Priverion-Plattform, ein Re-Test der Critical- und High-Befunde innert 60 Tagen ### Due Diligence und Portfolio Vereinbarter Festpreis ab CHF 10'500 3–5 Apps oder 1 App in voller Tiefe Für Investoren vor der Seed-Runde, Agenturen und Konzerne mit mehreren Apps ohne IT-Freigabe. Dauer drei bis vier Wochen. - Alles aus dem Go-Live Review, bei Portfolios für die riskanteste App - Architektur-Übersicht als Grundlage für den Security Architecture Review - Lizenzen und geistiges Eigentum an KI-Code und Abhängigkeiten - Karte der Datenstandorte und Unterauftragnehmer, KI-Transparenz bei Chatbots mit EU-Nutzern - Hinweis zur Produkthaftung nach Richtlinie (EU) 2024/2853 ab 09.12.2026 und zum CRA für Produkte mit digitalen Elementen in der EU - Risiko-Memo, auf Wunsch Präsentation vor Geschäftsleitung oder Investoren Welches Paket zu Ihrer App passt, klären wir im [Erstgespräch](https://www.sidd.swiss/kontakt) in 30 Minuten. ## So läuft der Review in fünf oder zehn Arbeitstagen ab Die Tage gelten für den Launch Check. Im Go-Live Review folgt der Bericht nach zehn Arbeitstagen. Sie brauchen keine Installation, keinen eigenen Entwickler und nur eine Ansprechperson. ### Tag 0: Scoping in 30 Minuten Sie zeigen uns App, Daten und Nutzergruppen. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch. Sie geben Lesezugriff auf das Repository, die URL der Live-App und je Rolle ein Testkonto. Im Backend genügt eine befristete Mitgliedschaft mit wenig Rechten. ### Tag 1: Threat Model light und Scans Wir erfassen schützenswerte Daten, Rollen und Trust Boundaries. Dort wechseln Daten in fremde Hände, etwa zu einem KI-Dienst. Daraus folgt die Testmatrix: Welche Rolle darf was? Parallel laufen drei Scans: SAST für Fehler im Code, Secret-Scan der Git-Historie und SBOM als Paketliste. ### Tag 2–3: Prüfung von Hand und Tests Wir lesen von Hand den Code für Login, Datenzugriff, Zahlung und KI. Jede RLS-Policy prüfen wir einzeln. Im Go-Live Review testen wir die Rollenmatrix mit den Testkonten gegen Staging oder nach Absprache gegen die laufende App. Dazu kommt ein dynamischer Test nach OWASP WSTG. ### Tag 3–4: Datenschutz-Check Aus dem Code entstehen Datenkarte und Liste der Dienstleister. Im Launch Check endet hier der Datenschutz-Quick-Check. Im Go-Live Review prüft das Team von Dr. Staiger die volle Datenschutz-Checkliste. Dazu gehört die Prüfung eines Auftragsbearbeitungs- beziehungsweise Auftragsverarbeitungsvertrags, weitere nach Aufwand. ### Tag 5: Bericht und Besprechung Jeder Befund erhält einen Fix als Code-Änderung oder Prompt für Ihr Werkzeug. Die Geschäftsleitung erhält eine einseitige Go-live-Empfehlung. In der Besprechung klären wir Reihenfolge und Verantwortliche. ### Innert 30 bis 60 Tagen: Re-Test und Nachweis Wir prüfen die behobenen Critical- und High-Befunde nach und wiederholen die Scans. Das Ergebnis legen wir als Evidenzpaket in der [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform) ab. Auf Wunsch liefern wir eine RLS-Testsuite für Ihre CI. So fällt die nächste Tabelle ohne Policy auf. ## Warum SIDD Was die drei Disziplinen Ihrer App bringen: ### Wir bauen selbst mit KI Wir arbeiten täglich mit Coding-Agenten. Eine per Migration angelegte Supabase-Tabelle startet etwa ohne RLS-Policy. Dann regelt nichts, wer welche Zeile sieht. Solche Stellen prüfen wir zuerst. ### Zugriffsrechte von Hand geprüft Ob jede Policy zu Ihren Rollen passt, prüfen wir von Hand. Im Go-Live Review testen wir jede Rolle mit Testkonten. ### Go-live-Entscheid mit Rechtsgrundlage Jeder Befund nennt die Rechtspflicht nach DSG oder DSGVO, die er berührt. So weiss die Geschäftsleitung, ob sie live gehen darf. ### Fixes, die Sie einfügen können Entwickler übernehmen den Code-Diff Zeile für Zeile. Ohne Entwickler genügt ein Prompt für Lovable oder Cursor. ### Vertraulich, Prüfung in der Schweiz Die Analyse läuft auf unserer Infrastruktur in der Schweiz, ohne Kopie Ihres Codes bei Dritten. KI-Werkzeuge nutzen wir nur mit Ihrer Zustimmung und ohne Trainingsnutzung. Für die rechtliche Einordnung unter der Verantwortung von Dr. Staiger gilt zudem das anwaltliche Berufsgeheimnis nach Art. 321 StGB. ### Prüffähiger Nachweis Befunde, Behebungsstatus und Re-Test liegen prüffähig in der [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform). Diesen Nachweis zeigen Sie Kunden, Investoren und dem ISO-27001-Auditor. Schreiben wir Fixes selbst, steht das im Bericht. Verlangt ein Kunde eine unabhängige Prüfung, trennen wir die Mandate. ## Scanner, Review und Penetrationstest im Vergleich Ein Scanner meldet bekannte Muster. Ein Penetrationstest greift ein reifes System von aussen an. Der Review liegt dazwischen und sucht die typischen Fehler von KI-Code. | Automatischer Scanner | Vibe-Coding Security Review | Klassischer Penetrationstest | | --- | --- | --- | | Prüfgegenstand: Code oder laufende App, bekannte Muster | Prüfgegenstand: Code, Backend-Konfiguration und laufende App | Prüfgegenstand: laufende App, Netzwerk, API | | RLS-Logik: findet fehlende RLS, nicht falsche Regeln | RLS-Logik: liest jede Policy, testet sie je Rolle | RLS-Logik: testet nur von aussen | | Secrets: aktueller Code, Historie teilweise | Secrets: gesamte Git-Historie plus Code im Browser | Secrets: Code im Browser, Git-Historie meist nicht | | Datenschutz: Verträge, Bekanntgabe ins Ausland, Meldepflicht ungeprüft | Datenschutz: Launch-Checkliste durch Jurist:innen, Prüfung eines Auftragsbearbeitungs- oder Auftragsverarbeitungsvertrags | Datenschutz: nicht Teil des Tests | | Fixes: allgemeine Hinweise | Fixes: Code-Diff oder Prompt pro Befund, Re-Test inklusive | Fixes: Behebungsempfehlung, Re-Test nach Vereinbarung | | Dauer: Minuten | Dauer: 5 bis 10 Arbeitstage | Dauer: 3–10 Tester-Tage über 2–4 Wochen, Einstiegspaket 5 Tage | | Preis: kostenlos oder Plattform-Credits | Preis: Vereinbarter Festpreis ab CHF 3'900 | Preis: Einstiegspaket ab CHF 1'490, Web-App-Projekte CHF 12'000–25'000 | | Passt für: jede Code-Änderung, als Frühwarnung | Passt für: Go-live, Übergabe, Investor, Schatten-IT | Passt für: reife Systeme, Zertifizierung, FINMA | Wächst die App zu einem System für viele Kundenfirmen, folgt der [klassische Penetrationstest](https://www.sidd.swiss/leistungen/penetrationstest). Bekannte Lücken findet regelmässig der [Schwachstellenscan](https://www.sidd.swiss/leistungen/schwachstellenscan). Das Design prüft ein [Security Architecture Review](https://www.sidd.swiss/leistungen/security-architecture-review). Unser Werkzeug: LexCommand ## Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform). ### Souverän in der Schweiz Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren. ### Kein Zitat, kein Anspruch Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen. ### Vom Aufwand zum Urteil LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt. ### Drei Disziplinen, ein Bild Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen. Konkret für diesen Review: LexCommand belegt jeden Befund mit der Pflicht aus DSG, DSGVO oder KI-VO. Es entwirft Auftragsverarbeiter-Liste und Meldeprozess mit Quellen. Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort. ## Häufige Fragen ### Was kostet der Security Review für Vibe-Coded Projekte? Launch Check: Vereinbarter Festpreis ab CHF 3'900, Bericht in fünf Arbeitstagen. Go-Live Review: Vereinbarter Festpreis ab CHF 6'900, Bericht in zehn Arbeitstagen. Due Diligence und Portfolio: Vereinbarter Festpreis ab CHF 10'500, alle Preise exkl. MwSt. Den Festpreis vereinbaren wir nach einem ersten Scoping-Gespräch. ### Brauchen Sie den Quellcode, und welche Plattformen prüfen Sie? Wir brauchen Lesezugriff auf das Repository, die Live-URL und ein Testkonto pro Rolle. Für das Backend genügt eine befristete Mitgliedschaft oder ein Export von Schema, Policies und Rules. Wir prüfen Apps aus Lovable, Bolt, Replit, v0, Base44, Cursor, Windsurf, Claude Code und GitHub Copilot. Dazu kommen Backends wie Supabase, Lovable Cloud oder Firebase, Hosting wie Vercel oder Netlify und nach Absprache andere Stacks. ### Wir haben keinen Entwickler. Wer behebt die Befunde? Jeder Befund kommt mit einem Fix für Ihr Werkzeug: als Prompt oder als Code-Diff, Zeile für Zeile. Kritische Befunde beheben wir auf Wunsch per Pull Request, mit eigens erteiltem Schreibzugriff und vorab offeriertem Aufwand. Ein Re-Test bestätigt und dokumentiert danach die Behebung. ### Worin unterscheidet sich das von Penetrationstest und AI-Security-Prüfung? Ein klassischer [Penetrationstest](https://www.sidd.swiss/leistungen/penetrationstest) greift die App nur von aussen an, ab CHF 1'490 mit Bericht in fünf Tagen. Projekte mit drei bis zehn Tester-Tagen über zwei bis vier Wochen lohnen sich bei Enterprise-Kunden und eigener Infrastruktur. Der Launch Check kostet mehr, weil er zusätzlich Code, Git-Historie, jede RLS-Policy, den Datenschutz und einen allfälligen Chatbot prüft. [AI Security](https://www.sidd.swiss/leistungen/ai-security) testet ab CHF 8'000 pro Anwendung das KI-System selbst und lohnt sich für produktive Agenten. ### Lovable bietet Scanner und Pentest. Reicht das nicht? Beides ist ein guter Anfang und sollte nach jedem grösseren Release laufen. Ob eine Policy zu Ihren Rollen und Datenflüssen passt, sieht der Scanner nicht. Verträge mit Dienstleistern, Datenschutzerklärung und Meldeprozess prüft kein Plattform-Tool. Der Review baut auf dem Scan auf und liefert Enterprise-Kunden und Investoren eine zweite Meinung mit benanntem Prüfer. ### Testen Sie auf unserer Produktion? Gefährdet das den Betrieb? Wir testen bevorzugt auf einer Testumgebung, in der Produktion nur mit eigenen Testkonten und Testdaten. Wir senden keine zerstörerischen Anfragen und halten schriftlich vereinbarte Testregeln ein. Zahlungen prüfen wir im Stripe-Testmodus und löschen danach unsere Testdaten. Der Launch Check greift die App ohnehin nicht an und liest nur Code, Konfiguration und Secrets wie Passwörter. ### Dürfen wir mit Kundendaten überhaupt live gehen? Ja, sobald Datensicherheit, Datenschutzerklärung, Dienstleisterverträge und Meldeprozess geregelt sind (Art. 7–9, 19 und 24 DSG, Art. 1–6 DSV). Wer DSV-Mindestanforderungen vorsätzlich missachtet, riskiert auf Antrag eine persönliche Busse bis CHF 250'000 (Art. 61 lit. c DSG). Die Launch-Checkliste nennt die offenen Punkte samt Auftragsverarbeiter-Liste und Prüfung eines Auftragsbearbeitungs- beziehungsweise Auftragsverarbeitungsvertrags, weitere nach Aufwand. Danach hilft das Mandat [externe:r Datenschutzberater:in](https://www.sidd.swiss/leistungen/datenschutzberater-schweiz) oder das Projekt [DSG-Konformität](https://www.sidd.swiss/leistungen/ndsg-konformitaet) weiter. ### Was passiert, wenn Befunde kritisch sind? Kritische Befunde melden wir sofort mit Fix, noch vor dem Bericht. So beheben Sie offene Tabellen oder einen Generalschlüssel im Browser-Code noch am selben Tag. Waren Personendaten tatsächlich zugänglich, prüft das Team von Dr. Staiger die Meldepflicht. Die Meldung ginge an den EDÖB (Art. 24 DSG) oder eine EU-Aufsicht (Art. 33 DSGVO, 72 Stunden). ### Wie geht es nach dem Launch weiter? Jedes KI-Release kann neue Tabellen ohne Policy, neue Schnittstellen und neue Abhängigkeiten bringen. Nach grösseren Änderungen empfehlen wir einen erneuten Launch Check. Wächst die App zum Produkt mit Enterprise-Kunden, folgt das [Security Architecture Review](https://www.sidd.swiss/leistungen/security-architecture-review): vereinbarter Festpreis ab CHF 6'900. Es liefert eine Zielarchitektur und ein Threat Model: wer was angreifen könnte. Für [SaaS-Anbieter](https://www.sidd.swiss/leistungen/saas-anbieter) kommen die [Verträge mit Auftragsverarbeitern](https://www.sidd.swiss/leistungen/saas-anbieter-datenschutz-auftragsverarbeiter) dazu. *Diese Seite ersetzt keine Rechtsberatung im Einzelfall.* Auf dieser Seite - Was ist das? - Brauchen Sie das? - Warum nur SIDD - Leistungen - Typische Befunde - Zahlen und Quellen - Pakete und Preise - Vorgehen - Warum SIDD - Scanner vs. Review - LexCommand - FAQ --- Dieses Dokument ist die Markdown-Fassung der oben verlinkten Seite. Zitieren Sie bitte die HTML-URL.