Vibe Coding und EU CRA: Warum du trotzdem einen Software-Partner brauchst

Ein Prompt am Morgen, eine fertige App am Abend: Mit KI-Werkzeugen wie Claude Code, Cursor oder Lovable kann heute fast jede und jeder Software bauen. Das ist ein echter Fortschritt – wir nutzen diese Werkzeuge selbst jeden Tag. Doch der Code ist nur der sichtbare Teil. Damit eine App im Betrieb funktioniert, braucht es Betrieb, Sicherheit und rechtliche Sorgfalt – vom EU Cyber Resilience Act (CRA) bis zu den Aufbewahrungsfristen. Und genau das erledigt keine KI für dich.

Vibe Coding und KI-Agenten: Was heute möglich ist

«Vibe Coding» nennt man es, wenn du einer KI in normaler Sprache beschreibst, was eine App können soll, und sie den Code schreibt. KI-Agenten gehen noch weiter: Sie legen selbständig Dateien an, installieren Bibliotheken, führen Tests aus und korrigieren ihre eigenen Fehler. Für eine einfache Zeiterfassung, ein Bestellformular oder ein internes Dashboard reicht oft ein Nachmittag.

Für Prototypen ist das grossartig. Eine Idee lässt sich in Stunden statt Wochen ausprobieren, zeigen und wieder verwerfen. Schwierig wird es in dem Moment, in dem aus dem Prototyp ein Werkzeug wird, auf das sich Mitarbeitende, Kundinnen und Kunden oder Behörden verlassen.

Der Code ist der kleinste Teil

Eine App, die im Betrieb läuft, ist kein einmaliges Projekt, sondern eine Verpflichtung über Jahre. Rund um den Code gehören dazu:

• Betrieb: Hosting, Backups, Überwachung, Updates – und jemand, der reagiert, wenn etwas ausfällt.
• Sicherheit: Schwachstellen erkennen und beheben, bevor sie jemand ausnutzt – nicht einmal, sondern laufend.
• Recht: Datenschutz, Meldepflichten, Aufbewahrungsfristen und neu der Cyber Resilience Act der EU.
• Verantwortung: Eine Ansprechperson, die die App kennt – auch dann, wenn die Person, die sie «gepromptet» hat, in den Ferien ist oder den Betrieb verlassen hat.

Betrieb: Eine App muss auch am Sonntag laufen

Die KI liefert Code, aber keinen Server. Wer eine selbst gebaute App produktiv nutzt, muss klären: Wo läuft sie? Wer spielt die Sicherheitsupdates für Betriebssystem, Datenbank und Laufzeitumgebung ein? Gibt es Backups – und wurde die Wiederherstellung je getestet? Wer merkt es, wenn die App am Sonntag nicht erreichbar ist, und wer behebt es?

Das sind keine exotischen Fragen. Sie stellen sich bei jeder Software, die Personendaten speichert oder von der die tägliche Arbeit abhängt. Ein professioneller Software-Partner beantwortet sie mit Prozessen, Überwachung und klaren Zuständigkeiten – nicht mit Hoffnung.

Sicherheit: Was die KI nicht prüft

KI schreibt Code, der funktioniert. Ob er sicher ist, ist eine andere Frage. In einer Untersuchung von Veracode (2025) mit über 100 KI-Modellen enthielt der erzeugte Code in 45 Prozent der Fälle eine bekannte Sicherheitslücke. Typische Schwachstellen in schnell gebauten Apps:

• Fehlende Berechtigungsprüfungen: Die App zeigt nur die eigenen Daten an – aber wer die Adresse leicht verändert, sieht plötzlich die Daten der Kollegin.
• Passwörter und Schlüssel im Code: Zugangsdaten zur Datenbank landen im Quellcode und damit schnell an Orten, wo sie niemand haben sollte.
• Fremdbausteine: Jede moderne App besteht zu einem grossen Teil aus Open-Source-Bibliotheken, und für diese werden täglich neue Schwachstellen bekannt. KI-Modelle erfinden zudem gelegentlich Paketnamen, die es gar nicht gibt. Angreifer registrieren genau solche Namen mit Schadcode («Slopsquatting»).

Der entscheidende Punkt: Sicherheit ist kein Zustand beim Start, sondern Arbeit an jedem Tag danach. Eine App, die heute keine bekannte Lücke hat, kann morgen eine haben, weil in einer ihrer Bibliotheken eine entdeckt wurde. Professionelles Schwachstellenmanagement heisst: Du weisst jederzeit, welche Bausteine in deiner App stecken (die Software-Stückliste oder SBOM), und wirst informiert, sobald einer davon betroffen ist.

Recht: EU CRA, Meldepflichten und Aufbewahrungsfristen

Der EU Cyber Resilience Act (CRA)

Der Cyber Resilience Act (Verordnung (EU) 2024/2847, auf Deutsch auch Cyberresilienzgesetz) regelt die Cybersicherheit von Produkten mit digitalen Elementen – von der App über Desktop-Software bis zum vernetzten Gerät –, die in der EU angeboten werden. Er gilt auch für Schweizer Unternehmen, sobald ihr Produkt in der EU erhältlich ist, etwa über den App Store oder Google Play.

Wichtig: Wer eine App entwickeln lässt und unter eigenem Namen anbietet, gilt nach dem EU CRA als Hersteller – mit allen Pflichten. Das gilt auch, wenn die App mit KI entstanden ist.

• Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden, über die Meldeplattform der EU-Cybersicherheitsagentur ENISA.
• Ab dem 11. Dezember 2027 gilt der CRA vollständig: Sicherheit ab der Entwicklung und in der Grundeinstellung, keine bekannten ausnutzbaren Schwachstellen bei der Auslieferung, Sicherheitsupdates während des Supportzeitraums (in der Regel mindestens fünf Jahre), eine Software-Stückliste (SBOM), ein geregelter Umgang mit gemeldeten Schwachstellen, technische Dokumentation und CE-Kennzeichnung.
• Bussen bei Verstössen gegen die grundlegenden Anforderungen: bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Und in der Schweiz?

Wer nur in der Schweiz anbietet, ist vom EU CRA nicht direkt betroffen – noch nicht. Der Bundesrat hat im September 2026 den Auftrag für ein Schweizer Cybersicherheitsgesetz erteilt, das sich am CRA orientieren soll. Geplant sind verbindliche Anforderungen an Hersteller, Importeure und Händler von Soft- und Hardware sowie Pflichten für Hosting- und Cloud-Anbieter. Die Vernehmlassungsvorlage wird bis Sommer 2027 erwartet.

Bereits heute gilt nach dem Informationssicherheitsgesetz (ISG): Betreiber kritischer Infrastrukturen – dazu zählen auch Cloud-Anbieter – melden Cyberangriffe innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS).

Aufbewahrungsfristen und Löschpflichten

Auch die Daten selbst haben Regeln. Wer mit einer App Arbeitszeiten erfasst, muss diese Unterlagen mindestens fünf Jahre aufbewahren (Art. 73 ArGV 1). Geschäftsbücher und Buchungsbelege sind zehn Jahre aufzubewahren (Art. 958f OR). Gleichzeitig verlangt das Datenschutzgesetz (DSG), dass Personendaten gelöscht oder anonymisiert werden, sobald sie nicht mehr gebraucht werden. Eine App muss also beides können: zuverlässig aufbewahren und rechtzeitig löschen. Und wer Hersteller nach dem EU CRA ist, hält die technische Dokumentation mindestens zehn Jahre bereit.

Ein Prompt wie «Bau mir eine Zeiterfassung» liefert davon nichts. Die KI kennt viele dieser Anforderungen sogar – aber nur, wenn du weisst, dass du danach fragen musst.

Wann selber bauen völlig in Ordnung ist

Nicht jede Software braucht einen Partner. Ein Prototyp, um eine Idee zu testen, ein Auswertungsskript für die eigene Tabelle oder ein Werkzeug, das nur du nutzt und das keine Personendaten speichert – dafür ist Vibe Coding ideal. Sobald aber Mitarbeitende oder Kunden täglich darauf angewiesen sind, Personendaten im Spiel sind oder die App in der EU angeboten wird, lohnt sich der Profi. Nicht wegen des Codes, sondern wegen allem, was danach kommt.

So arbeiten wir bei Cuberion

Cuberion wird von der Cubera Solutions AG in Meilen am Zürichsee entwickelt und betrieben. Auch wir setzen KI-Werkzeuge täglich ein – nach einer verbindlichen Richtlinie und nur mit freigegebenen Werkzeugen. Jede Änderung wird vor der Übernahme geprüft, und rundherum gilt:

• Zertifiziert: Cubera ist nach ISO 27001 (Informationssicherheit) und ISO 9001 (Qualität) zertifiziert; beide Zertifikate wurden im September 2026 erneuert.
• SBOM für jede Version: Für jede Version von Cuberion – Web, Android und iOS – entsteht automatisch eine Software-Stückliste. Alle Bausteine werden laufend auf neu bekannte Schwachstellen überwacht.
• Meldestelle für Sicherheitslücken: Hinweise nimmt security@cubera.ch entgegen; wie wir damit umgehen, regelt unsere veröffentlichte Coordinated Vulnerability Disclosure Policy.
• Meldeprozess: Verletzungen der Datensicherheit melden wir betroffenen Kunden spätestens innert 24 Stunden, Cyberangriffe zusätzlich dem BACS.
• Serverstandort Schweiz: Cuberion läuft in Schweizer Rechenzentren.
• Offen gelegt: Unsere technischen und organisatorischen Massnahmen (TOM) sind öffentlich.

Eigene App? Cubera entwickelt sie – mit allem, was dazugehört

Du brauchst keine Mitarbeiter-App, sondern eine eigene Anwendung? Die Cubera Solutions AG entwickelt seit 2003 Apps und Webanwendungen für Schweizer Unternehmen und übernimmt auf Wunsch auch Hosting und Betrieb. Für Apps, die wir im Auftrag entwickeln, liefern wir, was du als Hersteller nach dem EU CRA brauchst:

• eine SBOM für jede Version und die laufende Überwachung aller Bausteine auf Schwachstellen,
• Sicherheitsupdates über den vereinbarten Supportzeitraum,
• einen Meldeprozess, der dich bei einem Sicherheitsvorfall innert 24 Stunden informiert – damit du deine eigene Meldefrist gegenüber der ENISA einhalten kannst,
• die Einordnung, ob und wie dein Produkt unter den CRA fällt.

Häufige Fragen zum EU CRA und zu KI-generiertem Code

Was ist der EU Cyber Resilience Act (CRA)?

Der CRA (Verordnung (EU) 2024/2847) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, also für Software, Apps und vernetzte Geräte, die in der EU angeboten werden. Die Meldepflichten gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.

Gilt der EU CRA für Schweizer Unternehmen?

Ja, sobald ein Schweizer Unternehmen ein Produkt mit digitalen Elementen in der EU anbietet. Für Produkte, die nur in der Schweiz erhältlich sind, gilt er nicht direkt. Die Schweiz arbeitet aber an einem eigenen Cybersicherheitsgesetz, das sich am CRA orientieren soll.

Gilt der CRA auch für Software-as-a-Service?

Reine Cloud-Dienste (SaaS) fallen grundsätzlich nicht unter den CRA; für sie gelten andere Regeln, in der EU etwa die NIS-2-Richtlinie, in der Schweiz die Meldepflicht nach dem ISG. Apps, installierbare Software und vernetzte Geräte fallen dagegen darunter – samt der Datenverarbeitung aus der Ferne, ohne die das Produkt nicht funktioniert.

Wer ist Hersteller, wenn ich eine App entwickeln lasse?

Du – sofern die App unter deinem Namen oder deiner Marke angeboten wird. Die Pflichten aus dem EU CRA liegen dann bei dir. Ein professioneller Entwicklungspartner liefert dir die Grundlagen dafür: SBOM, Schwachstellenmanagement, Sicherheitsupdates und einen Meldeprozess.

Braucht meine App eine SBOM?

Nach dem EU CRA ja. Die Software-Stückliste (SBOM) gehört zur technischen Dokumentation, muss maschinenlesbar sein (zum Beispiel im Format CycloneDX oder SPDX) und mindestens die direkt eingebundenen Bausteine enthalten. Veröffentlichen musst du sie nicht; die Marktüberwachungsbehörden können sie verlangen.

Ist KI-generierter Code unsicher?

Nicht grundsätzlich, aber häufig. KI-Modelle übernehmen unsichere Muster und prüfen Berechtigungen nicht von sich aus. KI-generierter Code braucht deshalb dasselbe wie jeder andere Code: Review, Tests und eine laufende Überwachung der eingesetzten Bausteine.

Fazit

KI hat das Programmieren für alle zugänglich gemacht, und das ist gut so. Doch eine App zu bauen und eine App über Jahre sicher, verfügbar und gesetzeskonform zu betreiben, sind zwei verschiedene Dinge. Der Code ist in Stunden geschrieben – Betrieb, Sicherheit, Meldepflichten nach dem EU CRA und Aufbewahrungsfristen begleiten dich über Jahre. Ein professioneller Software-Partner übernimmt genau diesen Teil, damit du dich auf dein Geschäft konzentrieren kannst.