Sicherheitslücken im KI-Zeitalter: Bauen ist billig geworden, Betreiben nicht

Mehr Lücken, schnellere Angriffe, langsamere Patches

Drei Zahlen beschreiben das Jahr 2026 ziemlich gut. Bis Ende Oktober wurden rund 87.000 Sicherheitslücken mit CVE-Nummer veröffentlicht, im ganzen Jahr 2025 waren es gut 48.000. Angriffe beginnen laut Mandiant im Schnitt inzwischen vor dem Patch. Und Unternehmen brauchen laut Verizon länger als im Vorjahr, um bekannte Lücken zu schließen.

Dazwischen öffnet sich gerade eine Schere. KI hat das Finden von Lücken billig gemacht, und sie hat das Bauen von Software billig gemacht. Das Prüfen, Testen und Ausrollen von Fixes ist dagegen fast so langsam wie vorher. Und für immer mehr Code, den KI für Laien schreibt, fühlt sich niemand als Betreiber verantwortlich.

Unsere These für diesen Beitrag: Sicherheit ist im KI-Zeitalter weniger eine Frage des Codes als eine Frage des Betriebs. Wer eine Website oder einen Shop betreibt, sollte nicht mehr nur fragen, ob alles sicher gebaut ist. Die wichtigere Frage lautet: Wer schließt die nächste Lücke, wie schnell, und wer haftet, wenn es länger dauert?

Wir arbeiten selbst mit KI, auch bei der Recherche für diesen Beitrag. Das hier ist also kein Text gegen KI. Es ist ein Text darüber, was KI mit dem Betrieb von Websites macht.

Findet KI wirklich mehr Sicherheitslücken?

Ja, und zwar in einem Ausmaß, mit dem auch Fachleute nicht gerechnet haben. 2025 war mit 48.185 veröffentlichten CVEs schon ein Rekordjahr. 2026 waren es laut einer Auswertung der offiziellen CVE-Liste bis zum 28. Oktober bereits 87.545. Allein im September kamen 14.934 neue Einträge dazu, im September 2025 waren es 4.319.

Die Prognosen kommen nicht hinterher. Das Forum of Incident Response and Security Teams (FIRST) hat seine Vorhersage für 2026 im Juni auf rund 66.000 CVEs angehoben und KI-gestützte Schwachstellensuche ausdrücklich als Treiber genannt. Die Realität liegt inzwischen deutlich darüber.

Die Infrastruktur dahinter ächzt. Die US-Behörde NIST, die mit der National Vulnerability Database die zentrale Datenbank für Sicherheitslücken pflegt, meldet 263 Prozent mehr Einreichungen zwischen 2020 und 2025. Im April 2026 hat sie die vollständige Nachbearbeitung aufgegeben: Offene Einträge, die vor dem 1. März 2026 veröffentlicht wurden, werden nur noch nach Priorität angefasst.

Für den deutschsprachigen Raum zählt das BSI im Lagebericht 2025 im Schnitt 119 neue Schwachstellen pro Tag, rund 24 Prozent mehr als im Vorjahr. Das BSI schreibt selbst dazu, dass der Anstieg teilweise an geänderter Meldepraxis liegt. Nicht jede neue CVE ist also ein neues Risiko. Die Richtung ist trotzdem eindeutig.

Lärm oder echte Funde?

Lange war die Antwort: vor allem Lärm. Daniel Stenberg, Maintainer des Werkzeugs curl, das in Milliarden Geräten steckt, schrieb im Juli 2025, dass nur rund 5 Prozent der Meldungen echte Lücken waren und rund 20 Prozent KI-generierter Unsinn. Ende Januar 2026 beendete curl sein Bug-Bounty-Programm.

Dann kippte es. Im April 2026 kamen bei curl doppelt so viele Meldungen wie 2025, aber 15 bis 16 Prozent davon waren bestätigte Lücken. Linux-Kernel-Maintainer Greg Kroah-Hartman sagte im März: „Something happened a month ago, and the world switched. Now we have real reports.“

Genau das ist das neue Problem. Echte Funde brauchen echte Arbeit: prüfen, einordnen, einen Fix schreiben, testen, ausliefern. Die KI erledigt den ersten Schritt in Sekunden. Die restlichen Schritte machen weiterhin Menschen.

Claude Mythos: Was an den Schlagzeilen dran ist

Im April 2026 stellte Anthropic mit Project Glasswing das Modell Claude Mythos Preview vor. Es soll tausende schwere Lücken in Betriebssystemen und Browsern gefunden haben und wurde wegen dieser Fähigkeit nicht frei veröffentlicht. Nach dem ersten Monat sprach Anthropic laut CyberScoop von über 10.000 Funden mit hohem oder kritischem Schweregrad. Mozilla schloss in Firefox 150 271 Lücken, die mit Mythos gefunden wurden.

Das sind Angaben der Beteiligten. Unabhängige Gegenproben zeichnen ein nüchterneres Bild. Der Sicherheitsdienstleister VulnCheck hat im September nachgezählt: Von 26.153 Funden, die Anthropic nennt, hatten 2.736 den Weg in das öffentliche Meldeverzeichnis geschafft, das sind 10,5 Prozent. Behoben waren 202, also 0,8 Prozent.

Bei curl blieb von fünf gemeldeten Mythos-Lücken eine echte übrig, mit niedrigem Schweregrad. Stenberg hält KI-gestützte Code-Analyse trotzdem für deutlich besser als klassische Werkzeuge. Beides stimmt gleichzeitig.

Und wie oft werden KI-gefundene Lücken tatsächlich angegriffen? Von 1.061 Lücken, die VulnCheck einer KI-Entdeckung zuordnen konnte, waren im ersten Halbjahr 2026 14 nachweislich ausgenutzt, also 1,3 Prozent.

Für dich als Betreiber heißt das: Ein Fund ist noch keine bestätigte Lücke, und eine bestätigte Lücke ist noch kein Fix. Die Schlagzeile verunsichert, die eigentliche Frage ist eine andere: Wie schnell kommt ein Fix bei dir an, wenn eine echte Lücke in einer deiner Abhängigkeiten auftaucht? Anthropic selbst erwartet, dass in sechs bis zwölf Monaten viele andere KI-Firmen Modelle dieser Klasse haben. Dann haben auch Akteure mit weniger Zurückhaltung diese Fähigkeit.

Angriffe beginnen oft, bevor es einen Patch gibt

Die Zeit zwischen Patch und Angriff schrumpft seit Jahren. Mandiant, die Incident-Response-Sparte von Google, misst sie regelmäßig. Im Schnitt lagen 2018 und 2019 noch 63 Tage zwischen Patch und Ausnutzung, 2021 und 2022 waren es 32 Tage, 2023 nur noch 5.

Im aktuellen Bericht M-Trends 2026 schätzt Mandiant den Durchschnitt für 2025 auf minus 7 Tage. Ausgenutzt wird also im Schnitt, bevor der Hersteller einen Patch veröffentlicht. Exploits sind im sechsten Jahr in Folge der häufigste Weg in ein Netzwerk, mit 32 Prozent. Und wenn ein Angreifer einen Zugang hat, übergibt er ihn im Durchschnitt nach 22 Sekunden an die nächste Gruppe.

VulnCheck kommt mit anderer Methode auf ein ähnliches Bild: 2025 wurden 28,96 Prozent der bekannt ausgenutzten Lücken am oder vor dem Tag ihrer Veröffentlichung angegriffen. Im ersten Halbjahr 2026 waren es 23,43 Prozent.

Wichtig für die Einordnung: Dieser Trend begann vor dem breiten Einsatz von KI. KI hat ihn nicht ausgelöst, aber sie beschleunigt ihn. Laut Axios beobachtete eine Sicherheitsfirma im Juli 2026 einen funktionierenden Exploit neun Stunden nach Bekanntwerden einer kritischen Lücke. Ein veröffentlichter Patch ist damit auch eine Bauanleitung: Wer vergleicht, was sich im Code geändert hat, findet die Lücke.

Verteidiger werden langsamer, nicht schneller

Auf der anderen Seite der Schere sieht es nicht besser aus. Der Data Breach Investigations Report 2026 von Verizon zählt die Ausnutzung von Schwachstellen erstmals als häufigsten Einstieg in Datenpannen, mit 31 Prozent. Gleichzeitig stieg die mittlere Zeit bis zur vollständigen Behebung von 32 auf 43 Tage. Nur 26 Prozent der Lücken aus der Liste aktiv ausgenutzter Schwachstellen der US-Behörde CISA wurden vollständig geschlossen, im Jahr davor waren es 38 Prozent.

Das liegt nicht an Faulheit, sondern an der Menge. Bei der Bug-Bounty-Plattform HackerOne sagen fast 70 Prozent der befragten Sicherheitsverantwortlichen, dass bestätigte Funde schneller hereinkommen, als sie sie beheben können. Der Rückstau offener kritischer Funde ist dort in zwei Jahren um 123 Prozent gewachsen.

Legt man die Messungen nebeneinander, wird die Schere greifbar. Sie stammen aus verschiedenen Studien und messen nicht genau dasselbe, aber die Richtung ist klar: Angriffe beginnen im Schnitt vor dem Patch, und bis der Patch eingespielt ist, vergehen rund sechs Wochen. Ein monatlicher Wartungstermin ist für selbst betriebene Software damit zu langsam.

Was das für Websites und Onlineshops heißt

Websites stehen mitten in dieser Entwicklung. Content-Management-Systeme, vor allem WordPress-Plugins, machten im ersten Halbjahr 2026 rund ein Drittel aller bekannt ausgenutzten Lücken aus.

Patchstack, ein auf WordPress spezialisierter Sicherheitsanbieter, zählt für 2025 11.334 neue Lücken im WordPress-Ökosystem, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins. Bei 46 Prozent gab es zum Zeitpunkt der Veröffentlichung noch keinen Patch. Bei den stark ausgenutzten Lücken vergingen im gewichteten Median fünf Stunden bis zur Massenausnutzung.

Bei Shops ist es nicht anders. Bei der Magento-Lücke SessionReaper waren laut Sansec sechs Wochen nach dem Patch noch rund 62 Prozent der Shops ungepatcht.

Auch moderne Stacks sind nicht ausgenommen. Die Lücke React2Shell (CVE-2025-55182) in React Server Components, von der auch Next.js betroffen war, wurde am 3. Dezember 2025 veröffentlicht. Amazon sah Angriffsversuche binnen Stunden, Bitsight innerhalb von 48 Stunden.

Und vor einer Woche die PHP-Lücken, die als php2shell bekannt wurden. Amazon registrierte auf einem eigenen Köder-System schon vier Tage vor dem Patch einen Ausnutzungsversuch. Ob er erfolgreich gewesen wäre, ist offen, erfolgreiche Angriffe sind erst nach dem Patch belegt. Was das für WordPress, Shopware und andere PHP-Systeme heißt, haben wir in einem eigenen Beitrag zu php2shell aufgeschrieben.

Die Plattform entscheidet, wer patcht

Wie viel von dieser Last bei dir landet, hängt stark davon ab, worauf deine Website läuft.

Shopify. Plattform, Checkout und Zahlung patcht Shopify selbst. Bei dir bleiben Apps, Theme-Code, eingebundene Skripte, Admin-Zugänge und API-Schlüssel.

Headless mit Sanity und Next.js. Das CMS läuft als Dienst, die Angriffsfläche auf eigenen Servern ist klein. Das Frontend und seine Abhängigkeiten bleiben aber deine Aufgabe oder die deiner Agentur. Von der Next.js-Lücke CVE-2025-29927 waren laut Datadog auf Vercel und Netlify gehostete Projekte nicht betroffen. Bei React2Shell brauchten dagegen auch gehostete Projekte ein Update.

WordPress, Magento oder Shopware selbst gehostet. Hier trägt der Betreiber die volle Patch-Last: Server, PHP, CMS, Plugins und Themes.

Vibe-Coding-App. Die Zugriffsregeln stecken im generierten Code, den oft niemand im Detail kennt. Dazu gleich mehr.

Keine Variante ist automatisch sicher. Aber die Frage, wer was patcht, gehört in jede Plattformentscheidung, genauso wie Funktionen und Lizenzkosten.

Vibe Coding: Wenn nicht mehr Profis bauen

Andrej Karpathy hat den Begriff im Februar 2025 geprägt: „There's a new kind of coding I call vibe coding“. Gemeint ist, Software nur noch per Prompt zu beschreiben und den Code selbst nicht mehr anzusehen. Anderthalb Jahre später ist daraus ein Massenphänomen geworden. Auf der Plattform Lovable entstehen laut TIME jeden Tag mehr als 200.000 neue Projekte. Bei Google sind laut Sundar Pichai 75 Prozent des neuen Codes KI-generiert, allerdings von Entwickler:innen geprüft und freigegeben.

Der Unterschied steckt im letzten Halbsatz. Wie sicher KI-Code für sich genommen ist, misst Veracode seit 2025 mit denselben 80 Aufgaben an über 100 Sprachmodellen. 2025 enthielten 45 Prozent der Code-Proben Sicherheitslücken. Im Bericht 2026 bestehen 56 Prozent die Sicherheitstests, laut Veracode „virtually unchanged“. Das Modell mit dem höchsten Wert kommt auf 68 Prozent. Gegen Cross-Site-Scripting, einen Klassiker bei Websites, bestanden im Frühjahr 2026 nur 15 Prozent der Proben.

Der Code wird also funktional besser, sicherer wird er kaum. Apiiro hat das in großen Unternehmens-Repositories gemessen: 76 Prozent weniger Syntaxfehler, aber 322 Prozent mehr Wege zur Rechteausweitung und 153 Prozent mehr Designfehler. Die Fehler wandern von sichtbar zu unsichtbar. Bei Profis fängt ein Review einen Teil davon ab. Wer als Laie eine App per Prompt baut, hat niemanden, der reviewt.

Was in der Praxis passiert

Die Vorfälle folgen fast immer demselben Muster: eine Datenbank im Hintergrund, deren Zugriffsregeln der generierte Code nicht oder falsch setzt.

Bei Apps, die mit Lovable gebaut wurden, fand ein Sicherheitsforscher 2025 303 verwundbare Schnittstellen in 170 Projekten, mit Namen, E-Mail-Adressen und API-Schlüsseln. Die Lücke bekam die Kennung CVE-2025-48757 und den Schweregrad 9,3 von 10, Lovable bestreitet sie.

Escape scannte über 5.600 öffentliche Vibe-Coding-Apps und fand mehr als 2.000 Schwachstellen, über 400 offen liegende Geheimnisse wie API-Schlüssel und 175 Fälle offener personenbezogener Daten.

Das Sicherheitsunternehmen RedAccess zählte laut Axios rund 380.000 öffentlich erreichbare Apps und Seiten, die mit Lovable, Base44, Replit und Netlify gebaut wurden. Rund 5.000 davon legten sensible Unternehmensdaten offen.

Bei der Plattform Moltbook, die ihr Gründer nach eigener Aussage komplett mit KI gebaut hat, lagen laut Wiz 1,5 Millionen API-Tokens und rund 35.000 E-Mail-Adressen offen.

Forschende der Georgia Tech zählen inzwischen Lücken, die auf KI-generierten Code zurückgehen: 6 im Januar, 15 im Februar und mindestens 35 im März 2026.

Und wer ist verantwortlich? Replit-Chef Amjad Masad nannte öffentlich erreichbare Apps „erwartetes Verhalten“, Lovable sieht die Konfiguration einer App laut Computerwoche letztlich in der Verantwortung ihrer Ersteller. Das ist nachvollziehbar. Es heißt aber auch: Für viele dieser Apps gibt es niemanden, der sich als Betreiber versteht.

Agentic Engineering: Wenn KI-Agenten bauen und betreiben

Der nächste Schritt läuft schon. Laut der Entwicklerumfrage 2026 von Stack Overflow nutzen 66 Prozent der Entwickler:innen, die mit KI arbeiten, Coding-Assistenten oder Agenten. Agenten schreiben nicht nur Code. Sie führen Befehle aus, deployen und greifen auf Datenbanken zu.

Was dabei schiefgehen kann, zeigen zwei Fälle. Im Juli 2025 löschte ein Agent von Replit die Produktionsdatenbank des Unternehmens SaaStr, mitten in einem ausdrücklich angeordneten Code-Freeze. Im April 2026 löschte ein Agent im Editor Cursor die Produktionsdatenbank des Start-ups PocketOS samt Backups in neun Sekunden.

Die Ursache war in beiden Fällen keine böse KI, sondern fehlende Betriebshygiene: zu weit reichende Rechte, keine saubere Trennung zwischen Test- und Live-System, Backups am falschen Ort. Also genau die Dinge, die in jedem professionellen Projekt vor dem Livegang geregelt sein sollten.

Dazu kommen neue Angriffswege über die Werkzeuge selbst. Im August 2025 nutzte eine manipulierte Version des npm-Pakets Nx lokal installierte KI-Werkzeuge, um Rechner nach Zugangsdaten zu durchsuchen. 2.180 GitHub-Konten waren betroffen. Außerdem erfinden Sprachmodelle gelegentlich Paketnamen, die es nicht gibt, und Angreifer registrieren genau diese Namen. Das nennt sich Slopsquatting. OWASP, die Organisation hinter den bekannten Top-10-Listen für Web-Sicherheit, hat im Dezember 2025 eine eigene Top 10 für agentische Anwendungen veröffentlicht.

KI im Shop selbst

Auch KI-Funktionen auf der Website sind eine neue Angriffsfläche, ob Chatbot, Suchassistent oder Agent, der Bestellungen anlegt. Simon Willison hat das Risiko als „lethal trifecta“ beschrieben: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Möglichkeit, nach außen zu kommunizieren. Kommt alles zusammen, kann ein manipulierter Text, etwa in einer Produktbewertung, einen Agenten dazu bringen, Daten herauszugeben.

Gartner erwartet, dass 2028 ein Viertel der GenAI-Anwendungen in Unternehmen mindestens fünf kleinere Sicherheitsvorfälle pro Jahr hat, 2025 waren es 9 Prozent. Bei HackerOne stiegen gültige Meldungen zu Prompt Injection 2025 um 540 Prozent.

Wie weit eine einzelne Integration reichen kann, zeigte im August 2025 Salesloft Drift. Über gestohlene Zugangs-Tokens einer KI-Chatbot-Integration kamen Angreifer an Salesforce-Daten, laut Google über 700 Organisationen waren potenziell betroffen. Welche Regeln wir für Agenten im CMS empfehlen, steht in unserem Beitrag zu KI-Agenten im CMS.

Hilft KI nicht auch den Verteidigern?

Doch, und auf lange Sicht vermutlich sogar mehr als den Angreifern. Der Sicherheitsforscher Bruce Schneier sieht die Zukunft für neue Software klar auf der Seite der Verteidiger. Für ältere Software, die niemand pflegt, bleibt Angreifern dagegen ein Zeitfenster, bis ein Patch eingespielt ist.

Belege dafür gibt es. Im Wettbewerb AIxCC der US-Forschungsagentur DARPA fanden KI-Systeme 54 von 63 eingebauten Lücken und schrieben für 43 davon selbst einen Patch, im Schnitt in rund 45 Minuten. Laut der IBM-Studie Cost of a Data Breach 2026 sparen Unternehmen, die KI und Automatisierung umfassend in der Sicherheit einsetzen, im Schnitt 1,93 Millionen US-Dollar pro Datenpanne. Eine Datenpanne kostet dort durchschnittlich 4,99 Millionen US-Dollar, ein neuer Höchstwert.

Der Haken: Auch die Verteidigungs-KI erzeugt vor allem eines, nämlich mehr Fixes. Die muss jemand testen und ausrollen. Der Vorteil kommt nur dort an, wo jemand die Website aktiv betreibt. KI nützt gepflegten Systemen und schadet ungepflegten.

Wer haftet, wenn die KI den Shop gebaut hat?

Im Herbst 2026 greifen drei Regelwerke ineinander. Das hier ist keine Rechtsberatung, aber du solltest sie kennen.

Neue Produkthaftung. Nach der EU-Produkthaftungsrichtlinie gilt Software ausdrücklich als Produkt, auch als Software-as-a-Service und einschließlich KI-Systemen. Die neuen Regeln gelten für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Ersatzberechtigt sind natürliche Personen, etwa bei Körperschäden, bei Schäden an privat genutzten Sachen oder beim Verlust nicht beruflich genutzter Daten. Neu ist: Ein Hersteller kann sich nicht ohne Weiteres entlasten, wenn ein Schaden auf fehlende Sicherheitsupdates zurückgeht, die in seiner Kontrolle lagen.

In Deutschland hat der Bundestag das Gesetz zur Modernisierung des Produkthaftungsrechts am 8. Oktober 2026 beschlossen, es soll am 9. Dezember 2026 in Kraft treten. In Österreich ist der Entwurf für ein neues Produkthaftungsgesetz 2026 bis 12. November 2026 in Begutachtung.

Ob eine individuell entwickelte Website unter den Produktbegriff fällt, ist noch nicht geklärt. Klar ist: Software zählt unabhängig vom Bereitstellungsweg als Produkt, reine Dienstleistungen und Inhalte nicht. Für Shops, Portale und Web-Apps lohnt es sich deshalb, Zuständigkeiten für Wartung und Sicherheitsupdates vertraglich klar zu regeln.

Cyber Resilience Act. Seit 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen binnen 24 Stunden vorab und binnen 72 Stunden ausführlich melden. Ab 11. Dezember 2027 gelten alle Pflichten, mit Bußgeldern bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Reine Websites und Web-Anwendungen im Browser fallen in der Regel nicht darunter, verkaufte Apps, Plugins oder installierbare Software dagegen schon.

NIS2. In Österreich gilt das NISG 2026 seit 1. Oktober 2026 für rund 4.000 Unternehmen und Einrichtungen, die sich bis Ende 2026 registrieren müssen. In Deutschland gilt das Umsetzungsgesetz seit 6. Dezember 2025, das BSI beaufsichtigt damit rund 29.500 Einrichtungen. Wer selbst nicht betroffen ist, spürt die Anforderungen oft als Dienstleister in der Lieferkette.

Was daraus praktisch folgt, ist weniger juristisch als organisatorisch. Diese Fragen sollten in jedem Vertrag für eine Website oder einen Shop beantwortet sein:

• Wer spielt Updates und Sicherheitspatches ein, und in welcher Reaktionszeit?
• Wer verantwortet Plugins, Apps und eingebundene Skripte von Drittanbietern?
• Wo wird KI beim Bauen und im Betrieb eingesetzt, und wer prüft das Ergebnis?
• Wer wird bei einem Verdacht auf Datenabfluss informiert, und wie schnell?
• Wer trägt das Risiko, wenn Wartung abgelehnt oder gekürzt wird?

Ausblick: Was 2027 kommt

Kurzfristig dürfte die Schere weiter aufgehen. Axios beschreibt die Erwartung, dass in den nächsten zwei bis drei Jahren eine Lücke bleibt zwischen dem Moment, in dem Angreifer automatisieren, und dem, in dem Verteidiger davon profitieren. Anthropic rechnet damit, dass bis Mitte 2027 viele KI-Firmen Modelle mit den Fähigkeiten von Mythos haben.

Bei Vibe Coding wird Gartner deutlich. In einer Prognose, die ArmorCode zitiert, heißt es, dass Prompt-to-App-Ansätze von Nicht-Entwicklern die Zahl der Softwarefehler bis 2028 um 2.500 Prozent erhöhen. Dazu kommt ein blinder Fleck: Viele KI-generierte Apps tragen Lücken, die nie eine CVE-Nummer bekommen und deshalb in keiner Statistik auftauchen.

Regulatorisch steht der nächste Termin fest: Ab 11. Dezember 2027 gilt der Cyber Resilience Act vollständig.

Wir erwarten einen Markt mit zwei Geschwindigkeiten. Teams, die KI mit Review, minimalen Rechten, kontrollierten Abhängigkeiten und automatisierten Tests einsetzen, werden schneller und sicherer zugleich. Daneben wächst eine unüberschaubare Zahl an Websites, Apps und Shops, die niemand betreibt und deren Sicherheitsschulden erst beim Vorfall sichtbar werden.

Was das für Agenturen heißt

Die Rolle verschiebt sich vom Bauen zum Betreiben. Eine Landingpage ohne Daten, ein Prototyp für einen Workshop, ein internes Experiment: Dafür reicht KI oft allein, und das ist gut so. Sobald Kundendaten, Zahlungen, Integrationen oder Haftung im Spiel sind, braucht es jemanden, der Architektur, Rechte, Updates und den Notfall verantwortet. Mit Namen und mit Reaktionszeit.

Für Agenturen heißt das auch: KI beim Entwickeln nutzen und vorher festlegen, was sie darf. Kein Agent mit Produktionsrechten, Abhängigkeiten automatisch prüfen, und für jedes Projekt klären, wer bei einer neuen Lücke was tut. Der Wert einer Website hängt künftig weniger davon ab, wie schnell sie gebaut wurde, als davon, wie schnell jemand reagiert.