1–2: Alles gleichzeitig bauen und ohne Kriterien starten
„Baue mir ein komplettes SaaS mit Login, Zahlungen, Dashboard und KI“ verbindet mehrere Risiken in einem Auftrag. Wenn später etwas nicht funktioniert, weißt du kaum, welche Änderung die Ursache war. Starte mit einem Nutzer, einem Problem und einem Kernablauf.
Ohne Erfolgskriterien bewertet man vor allem das Aussehen. Formuliere vorher: Welche Eingabe ist erlaubt? Was soll beim Speichern passieren? Welche Fehlermeldung erscheint? Prüfe diese Punkte nach jeder wesentlichen Änderung.
3–4: Speicherung annehmen und Geheimnisse in Prompts einfügen
Eine Liste im Browser ist nicht automatisch dauerhaft gespeichert. Prüfe Neuladen, Schließen und erneutes Öffnen. Unterscheide Testdaten, lokale Speicherung und serverseitige Datenbank. Frage explizit, welche Variante verwendet wird.
API-Schlüssel, Passwörter und Zugriffstokens gehören nicht in öffentlichen Code, Screenshots oder Chattexte. Verwende die vorgesehene Secrets-Verwaltung. Ein Schlüssel, der an den Browser ausgeliefert wird, ist auch dann nicht geheim, wenn er aus einer Umgebungsvariable stammt.
5: Versteckte Buttons mit echtem Zugriffsschutz verwechseln
Wenn ein Button ausgeblendet ist, kann der darunterliegende Server-Endpunkt trotzdem erreichbar sein. Zugriffsschutz muss am Server geprüft werden. Für eine Anwendung mit mehreren Nutzern muss zusätzlich jeder Datensatz der richtigen Person zugeordnet sein.
Prüfe mit zwei getrennten Testkonten: Kann Person B die Daten von Person A durch eine andere URL oder ID sehen? Bei sensiblen Daten sollte eine qualifizierte Prüfung hinzukommen. Das ist kein Bereich für blindes Vertrauen.
6–7: Ohne Rücknahme arbeiten und zu früh veröffentlichen
Halte einen nachvollziehbaren funktionierenden Stand fest, bevor du größere Änderungen angehst. Checkpoints und Versionsverwaltung helfen bei Codeänderungen. Prüfe separat, ob und wie Daten gesichert und wiederhergestellt werden; Code-Rücknahme und Datenwiederherstellung sind nicht dasselbe.
Vor dem Teilen brauchst du mehr als eine schöne Startseite. Prüfe Links, Formulare, leere Zustände, Fehler, mobile Ansicht, Kosten und rechtliche Angaben. Gehe mit einem kleinen risikoarmen Funktionsumfang online, nicht mit halbfertigen Sicherheitsfunktionen.
- Kernabläufe mit normalen und ungültigen Eingaben prüfen.
- Speicherung nach Neuladen bestätigen.
- Geheimnisse und Zugriffsrechte prüfen.
- Funktionierenden Stand und Daten separat sichern.
- Laufende Kosten und Rücknahme vor Veröffentlichung klären.
Häufige Fragen
Kann ich den Code einfach von der KI prüfen lassen?
Eine KI-Prüfung kann zusätzliche Hinweise liefern, ist aber keine Garantie. Führe Tests selbst aus und hole bei kritischen Anwendungen qualifizierte Unterstützung hinzu.
Was mache ich, wenn eine Änderung alles kaputt macht?
Stoppe weitere große Änderungen, dokumentiere den Fehler und prüfe den letzten funktionierenden Stand. Kläre vor einer Rücknahme gesondert die Auswirkungen auf gespeicherte Daten.