Die rechtlichen Herausforderungen von „Vibe Coding“

KI macht es möglich: Programmieren, sogar ganz ohne Programmierkenntnisse.

Man stelle sich vor: Ein Bekannter versucht sich gerade an einer App für Gesundheits- und Sportchallenges in seinem Team – mit der Möglichkeit, dass die App auch firmenweit eingesetzt werden könnte. Eine Freundin entwickelt eine App für Physiotherapiepraxen, über die das medizinische Personal bestimmte Übungen für Patientinnen und Patienten individuell zusammenstellen und diese dann per App an die Einzelperson bereitstellen können.
Nennenswerte Vorkenntnisse im Programmieren haben beide nicht.

Beide Apps eignen sich theoretisch auch zum kommerziellen Einsatz und Vertrieb. Dazu sind aber bestimmte rechtliche Voraussetzungen zu schaffen. Worauf ist beim Vibe Coding rechtlich also zu achten?

Was ist Vibe Coding?

„Vibe Coding“ bedeutet, dass eine Person ein KI-Tool dazu verwendet, anhand der Eingabe von Prompts eine bestimmte Software-Anwendung nach seiner oder ihrer Vorstellung zu entwickeln.

Das kann in unterschiedlichen Ausprägungen vorkommen:

Der „reine Prompter“: Als Vibe Coding im engeren Sinne bezeichnen wir nur Anwender, die der KI immer wieder einzelne Anweisungen erteilen und den KI-generierten Code unverändert übernehmen. Eine „Review“ oder manuelle Veränderung des so entwickelten Codes wird dabei nicht vorgenommen – der Anwender ist dazu auch möglicherweise mangels entsprechender Programmierkenntnisse gar nicht in der Lage.
Der Anwender führt aber einen fortlaufenden Dialog mit der KI und gibt dabei unterschiedlich detailliertes, „iteratives“ Feedback zur Verfeinerung der Funktionalität, der Logik und des Designs ein.

Der „Bastler“: In einer nächsten Stufe ist es denkbar, dass der Anwender zwar den Code durch die KI generieren lässt, aber sich für verschiedene Funktionalitäten und Umsetzungsmodalitäten Auswahlmöglichkeiten generieren lässt. Anschließend trifft er eine bewusste, kreative Auswahl, welche dieser Teile in welcher spezifischen Anordnung und Kombination zu einem größeren, funktionalen Ganzen zusammengefügt werden.

Der „Optimierer“: Zuletzt gibt es auch noch die Variante, bei der die KI als „Werkzeug“ bzw. zur Unterstützung der eigenverantwortlichen Entwicklungsleistung verwendet wird. Der Anwender lässt sich etwa Snippets oder den Code-Grundgerüst („Boilerplate“) generieren und bearbeitet, korrigiert, optimiert und erweitert diesen Code anschließend substanziell von Hand. Dabei durchdringt er die Code-Logik vollständig.

Je nachdem, wie intensiv die KI-Nutzung bei der Programmierung ist, stellen sich andere rechtliche Herausforderungen:

Die Problematik der Urheberschaft

Der KI-generierte Code hat (nicht nur) eine große Schwachstelle:

Urheberrechtlich geschützt ist nur die „persönlich geistige Schöpfung“. Rein KI-generierter Code, der ohne einen maßgeblichen, steuernden und kreativen menschlichen Eingriff generiert wird, erfüllt diese Voraussetzung nicht. Die KI selbst kann nicht Urheber sein.

Kein Urheber = Keine Urheber- und Nutzungsrechte

Die Folge ist bei geplanter kommerzieller/proprietärer Verwertung fatal: Vibe Code ist dann nicht urheberrechtlich geschützt, sondern als „gemeinfrei“ anzusehen (gehört also niemandem). Die Anwendung kann vor Dritten also nicht geschützt werden – jede und jeder kann solchen Code frei nutzen, kopieren, verändern und ebenfalls kommerziell verwerten. Soll Vibe Coding zur Entwicklung eines kommerziellen Produkts genutzt werden, ist die Begründung von Rechten daran von existenzieller Bedeutung. Investoren, Käufer und Lizenznehmer verlangen schutzfähige und übertragbare Rechte. Ein gemeinfreies Ergebnis kann das nicht bieten. Die KI muss also so verwendet werden, dass Urheber- und Nutzungsrechte entstehen, die verwertet werden können.

Vertragliche Rechteinräumung und Komplexes Prompting

Vertragliche Vereinbarungen mit Vertragspartnern helfen wenig: Wo keine entsprechenden Rechte existieren, kann man Urheber- und Nutzungsrechte auch nicht einräumen oder „gutgläubig“ erlangen.

Für Software gilt § 69a UrhG. Dieser bestimmt, dass an die Schöpfungshöhe keine hohen Anforderungen zu stellen sind (sog. „kleine Münze“). Die Eingabe auch mehrerer und komplexer Prompts reicht in aller Regel trotzdem nicht aus, um eine Urheberschaft des Anwenders am Code zu begründen.

Das hat folgenden Grund: Die erforderliche „Schöpfungshöhe“ wird beim Prompting in ein KI-Tool nicht erreicht, da der Nutzer nicht weiß, wie die KI den Prompt tatsächlich umsetzt. Die Analogie zur Nutzung von „Werkzeugen“, wie dem Pinsel der Malerin, funktioniert bei KI deswegen nicht. Den Pinsel schwingt und kontrolliert die Malerin nämlich selbst. Beim Vibe Coding trifft dagegen nicht der Mensch, sondern die KI die entscheidenden gestalterischen Entscheidungen des Codes „in der Blackbox“ und ist somit mehr als ein reines Werkzeug.

Was, wenn aber eine Serie von extrem detaillierten, kreativen und strukturierten Prompts eingegeben wird, die den Aufbau, die Logik und den Stil des Codes präzise vorgibt? Auch das hilft nicht. Die Prompts selbst können zwar als Sprachwerk (§ 2 Abs. 1 Nr. 1 UrhG) geschützt sein. Dieser Schutz schlägt nach derzeitiger Rechtsansicht aber nicht auf den generierten Code durch. Auch hier trifft die KI nämlich die Wahl hinsichtlich der Befehle, der Struktur, der Benennung von Variablen, usw. und der Anwender hat keine Kontrolle über diese konkrete Ausgestaltung des Codes.

„Bastler“ haben eine Chance, Urheberrechte am Code zu begründen: Wenn ein Bastler eine Vielzahl von KI-generierten, für sich genommen gemeinfreien Code-Snippets erzeugt und diese dann in einer originellen und individuellen Weise auswählt, anordnet und zu einem neuen, funktionalen Ganzen kombiniert, kann diese Kombinationsleistung eine schöpferische Leistung sein. Das ist jedoch stark einzelfallabhängig und nur ein unsicherer Boden, wenn eine proprietäre Anwendung entwickelt und vertrieben werden soll.

Keine Probleme mit dem Urheberrecht bekommen dagegen „Optimierer“: Wenn der Anwender den von der KI generierten Code als Ausgangsmaterial nimmt und ihn substanziell und kreativ bearbeitet, umgestaltet, korrigiert oder erweitert und so die Logik des gesamten Codes durchdringt und steuert, wird er zum Urheber des bearbeiteten Werkes im Sinne des § 3 UrhG. Wegen der „kleinen Münze“ nach § 69a UrhG genügen vergleichsweise geringe, individuelle Änderungen am Code – jedoch nur, wenn insgesamt der menschliche Beitrag das Werk prägt und gerade die „persönliche Schöpfung“ zum Ausdruck kommt.

Weitere Probleme beim Vibe Coding

Wenn Urheberrechte geklärt sind und Ihnen die Software „gehört“, müssen Sie bei der KI-unterstützten Entwicklung aber noch weitere, spezielle Punkte beachten:

1. Urheberrechtsverletzungen

Die niedrige Schutzschwelle für Software ist ein zweischneidiges Schwert. Einerseits erleichtert sie es beim Vibe Coding, durch eigene Bearbeitungen des KI-generierten Codes selbst zum Urheber zu werden. Andererseits müssen die verwendeten KI-Systeme und die zugrunde liegenden Modelle natürlich trainiert worden sein. Dies geschieht häufig mit öffentlich verfügbarem Code (z. B. von Plattformen wie GitHub), der ebenfalls urheberrechtlich geschützt sein kann.

Da die Entstehung des KI-Outputs nicht nachvollzogen werden kann, können hier schnell urheberrechtliche Verstöße passieren, wenn der von der KI generierte Output – vom Verwender unerkannt – geschützte Codeteile ausgibt. Das kann eine Kopie oder Bearbeitung eines fremden Werkes darstellen und entsprechend die Rechte des Dritten verletzen.

Hierdurch sind (mitunter teure) Auswirkungen auf den eigenen Vertrieb zu erwarten – etwa wenn Open Source lizenzierter Code mit Copyleft-Effekt verwendet wurde, der dazu führt, dass die gesamte proprietäre Software quelloffen gemacht werden muss, oder der weitere Vertrieb wegen der Rechtsverletzung sogar ganz eingestellt werden muss. Das zu erkennen kann schwierig sein, da Abhängigkeiten beim Vibe Coding schlecht erkennbar sind und die Blackbox-Thematik eine saubere SBOM erschwert.

Das GEMA gegen Open AI Urteil des LG München vom 11. November 2025 (Az. 42 O 14139/24) stellt sogar klar: Das Training von KI mit urheberrechtlich geschützten Daten ohne Genehmigung oder Lizenz ist in der Regel eine Rechtsverletzung. Werden Inhalte auf der Grundlage dieses Trainings generiert, stellt das eine unbefugte Vervielfältigung der Trainingsdaten dar.

2. Fehler im Code – Sicherheitsstandards für Software nach CRA und NIS2

Leider kann man Vibe Coding nicht als neues Wundermittel betrachten. Die so entwickelten Tools können unentdeckte Fehler enthalten, die nicht zuletzt Schwachstellen für Cyberangriffe bieten können. Das zeigten in der jüngsten Vergangenheit etwa glücklicherweise „nicht ausgefeilte“ Ransomware-Tools, welche durch Vibe Coding entwickelt wurden.

KI-generierter Code hat oft „lehrbuchartige“ Strukturen, enthält redundante oder unlogische Aussagen und denkt Randfallverhalten und domänenspezifische Logik nicht mit (sofern dies nicht ausdrücklich geprompted wird). Ohne Einblicke in den Code (Blackbox-Problematik) ist ohne umfangreiches Testen nicht klar, ob die erstellte Software die gewünschten oder sogar vertraglich versprochenen (funktionalen und nichtfunktionalen) Eigenschaften besitzt.

Für einheitliche, hohe Standards sollen dabei die EU-Gesetze NIS2 und CRA sorgen: Beide Gesetze können für Software gelten und stellen an betroffene Produkte in ihrem Anwendungsbereich bestimmte Sicherheits- und Qualitätsanforderungen. Der CRA regelt dazu unter Anderem eine Pflicht zur technischen Dokumentation hinsichtlich verwendeter Komponenten, Abhängigkeiten usw. und eine Pflicht zur „Security-by-Design“, sowie zum Vorhalten einer SBOM. NIS2 verlangt unter Anderem die Implementierung umfassender technischer und organisatorischer Maßnahmen nach dem „Stand der Technik“, um „Störungen der Verfügbarkeit, Integrität und Vertraulichkeit“ zu vermeiden. Diese Pflichten können mittels reinem Vibe Coding gerade nicht eingehalten werden.

„Reine Prompter“ dürfen Ihre Produkte unter NIS2 oder CRA also häufig gar nicht auf dem Markt anbieten. Dies gilt es zu prüfen, wenn Ihr Geschäftsmodell auf Vibe Coding aufbauen soll.

3. Rechteeinräumung der Modell-Anbieter

Anbieter von generativen KI-Systemen räumen ihren Nutzern oft vertraglich (über Nutzungsbedingungen oder AGB) bestimmte Rechte am generierten Output ein. Man muss sich also nicht nur fragen, ob überhaupt Urheber- und Nutzungsrechte an Vibe Code entstehen, sondern auch, wer diese Rechte erhält und welche Rechte am Vibe Code folglich überhaupt an die eigenen Kunden weitergegeben werden können. Es handelt sich dabei um eine vertragliche Vereinbarung zwischen KI-Anbieter und KI-Nutzer. Wenn der KI-Output, wie oft beim Vibe Coding, gemeinfrei ist, gibt es keine Rechte, die der KI-Anbieter übertragen kann. Verletzt der Output dagegen Urheberrechte eines Dritten, ist die vertragliche Zusage des KI-Anbieters im Verhältnis zum geschädigten Dritten für den Nutzer ebenfalls nicht werthaltig.

Teilweise verwenden KI-Anbieter deshalb „Indemnity“-Klauseln. Das sind Freistellungszusagen, durch welche finanzielle Kosten für bestimmte Urheberrechtsklagen gegen Nutzer übernommen werden sollen. Auch diese Klauseln lösen aber nicht das zugrunde liegende Urheberrechtsproblem. Der Vertrieb von durch Vibe Coding erstellter Software kann gerichtlich gestoppt werden und Dritte können Rechtsverletzungen des Vibe Coders geltend machen. Freistellungsabreden sind eine finanzielle Absicherung, aber keine Garantie für einen störungsfreien Geschäftsbetrieb.

Wofür eignet sich Vibe Coding und wofür nicht?

Als Zwischenfazit lässt sich also sagen, dass sich rein KI-generierter „Vibe Code“ in den seltensten Fällen also zum kommerziellen Vertrieb eignet. Vibe Coding kann aber sehr wohl in frühen Entwicklungsphasen zur Ideation und zur Erstellung von Prototypen zum Einsatz kommen und hierfür auch sehr sinnvoll sein. Es gilt aber, die eigene Leistung abzusichern.

Wie kann man sich schützen und welche Risiken sollte man minimieren?

Man muss auf Vibe Coding nicht verzichten, solange die Methode mit Verstand und in einem gesicherten Rahmen eingesetzt wird. Proaktive Maßnahmen zum Risikomanagement sind aber unerlässlich:

1. Überprüfung und Überarbeitung von Vibe Code im Entwicklungsprozess

Kaum jemand wird völlig ohne KI-Unterstützung entwickeln. Seien Sie sorgfältig bei der Entwicklung und behalten Sie von Anfang an die Herrschaft über Ihr Produkt. KI-generierter Code muss wie Software von Drittanbietern behandelt werden, d. h. er erfordert eine Lizenzüberprüfung, Herkunftsverfolgung und Sicherheitsüberprüfung. Setzen Sie spezialisierte Software-Tools zur Überprüfung von Code auf bekannte Open-Source-Lizenzen ein. Dies hilft, unbeabsichtigte und gefährliche Lizenzverstöße (insbesondere durch Copyleft-Lizenzen) frühzeitig zu identifizieren. Erstellen Sie SBOMs mit Herkunftsdaten: Wurde dieser Code generiert? Wenn ja, wie? Welche Prompts wurden verwendet? Welche Trainingsdaten und Abhängigkeiten sind bekannt?

Führen Sie detailliert Protokoll über den gesamten Entwicklungsprozess. Dokumentieren Sie alle manuellen Änderungen, Erweiterungen und kreativen Entscheidungen, die Sie getroffen haben. Dies ist die Grundlage für den Nachweis Ihrer eigenen schöpferischen Leistung.

2. Transparente Kundeninformation

Entwickler sollten Kunden und Partnern die Nutzung von KI offenlegen. Eine mangelnde Offenlegung schafft nach deutschem Vertragsrecht ein rechtliches Risiko und macht Gewährleistungsausschlüsse ggf. unwirksam.

Regeln Sie explizit die Nutzung von KI-Tools für die Leistungserbringung und legen Sie konkret fest, welche Leistung und Leistungsqualität geschuldet ist. Dazu gehört auch die Festlegung eines gemeinsamen Verständnisses zwischen Anbieter und Kunde davon, dass Vibe Code nicht den üblichen Standards an Software entspricht. Regeln Sie das transparent und legen Sie ggf. fest, dass Tools, welche aus reinem Vibe Code bestehen, nur zu bestimmten Einsatzzwecken angeboten werden, deren Risiko beherrschbar ist.

Käufer, welche sensible Einsatzzwecke für Software planen, müssen das Risiko vertraglich verlagern. Definieren Sie Qualitäts- und Sicherheitsanforderungen an die Software. Fordern Sie Überprüfbarkeit und gute Dokumentation. Der wissentliche Versand von KI-generiertem Code ohne Überprüfung seiner Herkunft oder Compliance kann dann als Akzeptanz des Risikos eines Gesetzesverstoßes angesehen werden.

3. Interne Richtlinien zur KI-Nutzung

Etablieren Sie klare und verbindliche Unternehmensrichtlinien für den Einsatz von KI in der Softwareentwicklung, die Ihren Mitarbeitenden den rechtlichen Rahmen und „Best Practices“ vorgeben. Gerade im Rahmen von CRA und NIS2 wollen Sie im Ernstfall nachweisen können, dass ausreichende Vorgaben existiert haben und ein Risikobewusstsein bei Ihren Mitarbeitenden vorhanden war.

Vibe Coding und KI-gestützte Entwicklung bringen rechtlich also einige Herausforderungen mit sich. Gute Vertragsbedingungen und transparente Dokumentation und Kommunikation sind der Schlüssel, um mit diesen Herausforderungen gut zurechtzukommen.

Wir bieten Ihnen gern unsere Unterstützung bei der rechtlichen Absicherung Ihrer Entwicklungsprozesse. Sprechen Sie uns an.