Risiken von Vibe Coding: Was die Leitung verantwortet

Wenn Ihr Team mit Claude Code, Cursor oder Lovable in wenigen Tagen eine Anwendung baut, fühlt sich das zunächst nach einem reinen Effizienzthema an. Spätestens wenn diese Software zu Kunden geht, wird es ein Verantwortungsthema. Denn das europäische Recht unterscheidet nicht danach, ob ein Mensch oder eine KI den Code geschrieben hat. Es fragt, wer die Software in Verkehr bringt und ob sie so sicher ist, wie man es erwarten darf.

Zwei EU-Regelwerke verschieben gerade die Lage für alle, die Software herstellen oder ausliefern: die neue Produkthaftungsrichtlinie und der Cyber Resilience Act. Beide sind für die Geschäftsleitung relevant, unabhängig davon, wie der Code entstanden ist. Dieser Beitrag ordnet sie aus Leitungssicht ein. Er ist keine Rechtsberatung; für Ihren konkreten Fall brauchen Sie juristischen Rat.

Software ist jetzt ausdrücklich ein Produkt

Die neue Produkthaftungsrichtlinie (EU) 2024/2853 ersetzt die alte Richtlinie von 1985. Die Mitgliedstaaten müssen sie bis spätestens 9. Dezember 2026 in nationales Recht umsetzen. Bisher war umstritten, ob eigenständige Software überhaupt als Produkt gilt. Diese Frage ist nun geklärt: Software zählt ausdrücklich dazu, egal ob sie für sich steht oder in ein anderes Produkt eingebaut ist. Ausgenommen ist nur Open-Source-Software, die nicht im Rahmen einer geschäftlichen Tätigkeit bereitgestellt wird.

Was das in der Praxis bedeutet, beschreibt ein Fachbeitrag zweier Anwälte der Kanzlei reuschlaw für die International Bar Association (IBA):

• Verschuldensunabhängige Haftung. Geschädigte müssen keine Fahrlässigkeit nachweisen. Sie müssen den Fehler, den Schaden und den Zusammenhang belegen.
• Erleichterte Beweisführung. Ist ein Fehler da und ist der Schaden eine typische Folge davon, wird der Zusammenhang vermutet. Bei komplexer Software dürfte diese Vermutung nach Einschätzung der Autoren häufig greifen. Zudem können Gerichte Hersteller verpflichten, Beweismittel offenzulegen.
• Pflicht über die Auslieferung hinaus. Solange Sie Ihre Software per Update absichern können, wird erwartet, dass Sie das auch tun. Fehlerfrei ausgeliefert zu haben, entlastet nicht automatisch.
• Erweiterte Schäden. Auch der Verlust oder die Beschädigung von Daten zählt künftig als Schaden, sofern die Daten nicht beruflich genutzt werden. Immaterielle Schäden sind ersatzfähig, wenn das nationale Recht das vorsieht.
• Keine Haftungsobergrenze mehr. Das deutsche Recht kannte bisher einen Höchstbetrag von 85 Millionen Euro. Die neue Richtlinie sieht keine solche Grenze vor.

Die Verjährung beträgt drei Jahre ab Kenntnis von Schaden, Fehler und Haftendem, die Höchstfrist in der Regel zehn Jahre, bei verborgenen Schäden 25 Jahre. Für kleine und Kleinstunternehmen gibt es Erleichterungen bei Regressansprüchen, wenn ihre Software in das Produkt eines anderen Herstellers eingebaut wird.

Cyber Resilience Act: Die Meldepflichten gelten bereits

Der Cyber Resilience Act (CRA) setzt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, also Hard- und Software. Nach Darstellung der EU-Kommission betreffen die Pflichten der Hersteller Planung, Entwurf, Entwicklung und Wartung. Hersteller müssen Schwachstellen über den gesamten Lebenszyklus behandeln. Konforme Produkte tragen die CE-Kennzeichnung, und für besonders sicherheitsrelevante Produkte kann eine Prüfung durch eine unabhängige Stelle nötig sein.

Die Fristen, die Sie kennen sollten:

• In Kraft getreten ist der CRA am 10. Dezember 2024.
• Die Meldepflichten gelten seit dem 11. September 2026.
• Die wesentlichen übrigen Pflichten gelten ab dem 11. Dezember 2027.

Ende Juli 2026 hat die Kommission zudem einen praktischen Leitfaden für Hersteller und Unternehmen jeder Größe veröffentlicht. Ob und in welcher Rolle Ihr Unternehmen betroffen ist, hängt davon ab, welche Produkte Sie auf den Markt bringen. Das sollten Sie nicht selbst abschätzen, sondern prüfen lassen.

Warum ungeprüfter KI-Code hier besonders heikel ist

Vibe Coding im engen Sinn bedeutet, Software mit KI zu bauen, ohne den Code zu prüfen. Genau das kollidiert mit beiden Regelwerken. Sowohl die Produkthaftung als auch der CRA verlangen, dass ein Hersteller seine Software über ihre Lebensdauer im Griff hat: Fehler erkennen, Updates liefern, Schwachstellen behandeln. Wer den eigenen Code nicht versteht, kann das schwer leisten.

Die IBA-Autoren empfehlen Softwareherstellern deshalb ein belastbares Compliance-System, das im Haftungsfall Entlastungsbeweise liefern kann. Übersetzt in Leitungssprache: Sie müssen später zeigen können, wer was geprüft und freigegeben hat. Das entsteht nicht durch ein zusätzliches Regelwerk, sondern durch die Arbeitsweise Ihres Entwicklungsteams oder Dienstleisters: Prüfung, Tests und Freigaben müssen nachvollziehbar festgehalten werden. Wenn KI das Schreiben von Code beschleunigt, verschiebt sich die Arbeit dorthin – und genau diese Zeit muss im Plan stehen. Die Abgrenzung zwischen harmlosem Prototyp und ausgelieferter Software beschreiben wir in Vibe Coding im Unternehmen: Die Entscheidungsgrundlage.

Was das für Ihre Entscheidung bedeutet

Die Haftung landet nicht beim KI-Werkzeug, sondern bei dem, der die Software in Verkehr bringt. Für die Geschäftsleitung heißt das, vor jeder Freigabe einige Fragen beantworten zu lassen:

• Reichweite: Welche unserer Anwendungen gehen an Kunden oder werden in Produkte eingebaut, und welche bleiben rein intern? Wie Ihre Rechtsberatung interne Werkzeuge einordnet, sollten Sie ausdrücklich klären.
• Prüfung: Wer liest und testet KI-generierten Code, bevor er ausgeliefert wird, und wie wird das dokumentiert?
• Lebenszyklus: Wer ist dafür verantwortlich, Schwachstellen zu behandeln und Updates zu liefern, auch Jahre nach dem Start?
• Budget: Sind Prüfung, Updates und Schwachstellenbehandlung über die gesamte Nutzungsdauer im Business Case eingeplant, nicht nur der schnelle Bau?
• Meldewege: Ist geklärt, wer im Ernstfall die Meldepflichten aus dem CRA erfüllt?
• Dienstleister: Wenn eine Agentur für Sie mit KI entwickelt: Wer trägt welche Pflichten, und steht das im Vertrag?

Eine kompakte Abwägung: Die Chance bleibt, Software schneller zu bauen. Das Risiko wächst, wenn Tempo die Prüfung ersetzt, denn ohne Haftungsobergrenze und mit erleichterter Beweisführung werden Lücken teurer. Der nächste Schritt ist eine klare Zuständigkeit für Prüfung, Pflege und Meldungen, bevor die erste KI-gebaute Anwendung das Haus verlässt. Was diese Absicherung kostet, gehört in den Business Case; dazu mehr in Was kostet Vibe Coding wirklich?

Begriffe wie Produkthaftung oder Cyber Resilience Act sind im Glossar kurz erklärt. Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung.

Sie wollen mit Ihrem Führungsteam klären, welche dieser Pflichten Sie betreffen und wer im Haus wofür einsteht? Das soll ein Schwerpunkt des geplanten Seminars sein, als Inhouse-Format auch an Ihren eigenen Anwendungen. Melden Sie unverbindlich Ihr Interesse an oder fragen Sie ein Inhouse-Seminar an.