Claude ist perfekt zum Bauen von Software. Und genauso gut darin, sie kaputtzumachen.

Alle feiern, wie einfach es jetzt ist, Software zu bauen. Und sie haben recht. Es war nie so zugänglich wie heute.

Aber niemand redet über die andere Seite. Dieselben Tools, mit denen ein Nicht-Programmierer an einem Nachmittag eine Full-Stack-App hochziehen kann, werden auch benutzt, um Löcher in der Software zu finden, auf die wir alle angewiesen sind. Und es macht die Wartung unerträglich.

Mein GitHub ist zum Schwachstellen-Ticker geworden

In den letzten vier Monaten habe ich in nur einem meiner Projekte 29 sicherheitsrelevante Commits gemacht, von insgesamt 94. Das ist fast ein Drittel meiner gesamten Arbeit, nur um Dinge gepatcht zu halten. An 22 einzelnen Tagen seit Dezember habe ich Dependency-Updates bearbeitet, ausgelöst durch Dependabot-Alerts. Quasi jeden zweiten Tag.

Die Pakete? axios, lodash, next, rollup, tar, undici, webpack, qs, flatted. Das sind keine obskuren Libraries. Das ist das Rückgrat moderner Webentwicklung. Und sie werden ständig geflaggt, gepatcht, wieder geflaggt.

Während dieser Commits baue ich keine neuen Features. Ich verbessere nicht das Produkt. Ich laufe auf der Stelle.

Die CVEs hören nicht auf

Ein paar echte Zahlen.

Im März 2025 hat Next.js CVE-2025-29927 veröffentlicht. Eine kritische Schwachstelle mit einem Severity-Score von 9,1 von 10. Ein Angreifer konnte deine gesamte Middleware-basierte Authentifizierung umgehen, indem er einen einzigen HTTP-Header hinzufügte. Jede Next.js-Version von 11.1.4 bis 15.2.2 war betroffen. Das sind Jahre an Releases, alle verwundbar.

Dann kam CVE-2025-57822. Server-Side Request Forgery in Next.js. Wenn du self-hosted hast und next() in Middleware benutzt hast, ohne explizit das Request-Objekt weiterzugeben, war deine App offen für SSRF-Angriffe. Behoben in 14.2.32 und 15.4.7.

Das sind keine theoretischen Szenarien. Das sind Frameworks, auf denen Millionen von Apps laufen. Meine eingeschlossen. Die meiner Kunden eingeschlossen.

KI hat die Schwachstellen nicht erschaffen. Sie findet sie nur schneller.

Das ist der Teil, der mich nachts wach hält.

Sicherheitsforscher haben schon immer nach Schwachstellen gesucht. Das ist ihr Job. Aber jetzt haben sie Claude, GPT und jedes andere LLM, das diese Arbeit um Größenordnungen beschleunigt. Code, der jahrelang nicht untersucht wurde, wird plötzlich von jedem mit einem Chat-Fenster auditiert.

Und das schließt Leute ein, die keine Sicherheitsforscher sind.

Das npm-Ökosystem spürt es bereits. Supply-Chain-Angriffe lagen Anfang 2024 bei durchschnittlich 13 pro Monat. Ende 2025 lag die Zahl bei 25 pro Monat. Über 6.000 bösartige Pakete wurden in einem einzigen Monat geflaggt. Eine Kampagne, IndonesianFoods, hat alle sieben Sekunden ein neues bösartiges Paket veröffentlicht. Über 100.000 Pakete in wenigen Tagen.

Unit 42 fand KI-generierte bösartige Payloads im Shai-Hulud-Angriff, komplett mit Kommentaren und Emojis, die schrien "das hat ein LLM geschrieben". Sonatypes Bericht von 2026 zeigte, dass 28% der LLM-unterstützten Dependency-Upgrades Paketversionen empfohlen haben, die gar nicht existierten. Angreifer registrieren diese Phantom-Pakete, und plötzlich hat dein KI-gestütztes Dependency-Update Malware installiert.

Alle reden übers Bauen. Niemand redet übers Warten.

Die Diskussion rund um KI und Software hängt bei der Erstellung fest. "Ich habe eine App in 10 Minuten gebaut!" Super. Jetzt warte sie drei Jahre lang.

Ich bin nicht gegen Nicht-Programmierer, die Software bauen. Ich bin wirklich dafür. Je mehr Menschen Dinge erschaffen können, desto besser. Aber dieselben Tools, die die Einstiegshürde zum Bauen senken, senken auch die Einstiegshürde zum Angreifen. Und die Leute, die diese Wochenend-Apps bauen, sind nicht diejenigen, die Dienstagmorgens zu Dependabot-Alerts aufwachen.

Das bin ich. Und ich werde müde.

In den letzten Monaten habe ich mehr Zeit mit Dependency-Updates verbracht als mit dem Schreiben echter Features. Du implementierst Best Practices. Du folgst Sicherheitsrichtlinien. Du denkst, du hast alles abgedeckt. Dann wachst du auf und es gibt einen neuen kritischen CVE in einem Paket, das du nicht mal direkt importiert hast. Es kam über eine Abhängigkeit einer Abhängigkeit rein.

Was das für mein Geschäft bedeutet

Das ist der eigentliche Grund, warum ich das hier schreibe. Ich habe beschlossen, bei neuen Projekten kürzer zu treten.

Nicht weil ich sie nicht bauen kann. Bauen war nie der schwierige Teil. Der schwierige Teil ist der Wartungsaufwand, der immer weiter wächst. Jedes neue Projekt ist ein weiteres Repo mit Dependabot-Alerts. Eine weitere Codebase, die Patches braucht. Eine weitere Sache, für die ich verantwortlich bin, wenn der nächste CVE rauskommt.

Und ich kann mir nur vorstellen, wie es für die Maintainer der Pakete ist, von denen ich abhänge. Wenn ich wegen meiner Handvoll Projekte gestresst bin, stell dir vor, du wartest etwas wie lodash oder webpack mit Millionen wöchentlicher Downloads. Jede Schwachstellen-Offenlegung, jeder Patch, jede Breaking Change. Für sie steht unvergleichlich mehr auf dem Spiel.

Ich habe keine Lösung

Normalerweise versuche ich, meine Posts mit irgendeiner praktischen Erkenntnis zu beenden. Dieser hier hat das nicht.

Der Trend ist klar. KI beschleunigt beide Seiten der Gleichung. Schneller bauen, schneller kaputtmachen. Mehr Software, mehr Angriffsfläche. Mehr Schöpfer, mehr Angreifer.

Es gibt kein Zurück. Es gibt keine Regulierung, die jemanden davon abhalten wird, ein LLM zu bitten, eine Codebase auf ausnutzbare Muster zu analysieren. Die Informationen sind da draußen, die Tools sind kostenlos, und die Hürde ist weg.

Was ich tun kann, ist ehrlich darüber sein, was das für die Arbeit bedeutet, die ich annehme. Wenn du Kunde bist oder darüber nachdenkst, mit mir zu arbeiten, wisse, dass ein erheblicher Teil dessen, wofür du bezahlst, nicht der initiale Build ist. Es ist die laufende Wachsamkeit. Die Patches um 7 Uhr morgens. Die Dependency-Updates, die kein einziges sichtbares Feature hinzufügen, aber deine App davor bewahren, die nächste Schlagzeile zu sein.

Diese Arbeit ist unsichtbar. Sie ist unspektakulär. Und sie wird jede Woche schwieriger.