Sie haben mit Lovable, Bolt, v0, Replit oder einem anderen KI-Werkzeug einen Prototyp gebaut, und er läuft. Die Loaded AG prüft ihn in einem kostenlosen 60-Minuten-Review an sieben Punkten, sagt Ihnen ehrlich, ob er zu retten ist, und härtet ihn danach in 2 bis 4 Wochen: auf Ihrem Stack, in Ihren Konten, an Ihrem Code. Den Festpreis nennen wir nach dem Review.
Review kostenlos · Härten in 2 bis 4 Wochen · Code und Konten bei Ihnen
Aktualisiert am
Das Bild vom Haus, das ein Experte vor dem Einzug begutachtet: das Review, die Liste der Mängel, die Entscheidung zwischen Härten und Neubau, und was bei der Übergabe auf dem Tisch liegt.
Mit deutschen Untertiteln. Den ganzen Text lesen Sie im Transkript. Das Video lädt erst beim Abspielen von YouTube (Datenschutz). Video auf eigener Seite ansehen
Ihr Prototyp läuft. Was fehlt, damit er echte Kunden verträgt?
Mit Lovable, Bolt, v0 oder Replit ist in Tagen ein Prototyp gebaut. Bevor echte Kunden kommen, lohnt sich eine Prüfung.
Stellen Sie sich ein Haus vor, das Sie kaufen möchten. Es sieht gut aus. Trotzdem lassen Sie es von einem Experten ansehen, bevor Sie einziehen. Genau das ist unser kostenloses Review: 60 Minuten, 7 Punkte.
Wir prüfen die Zugriffsregeln, die Rollen, die Schlüssel, die Eingaben, die Backups, das Monitoring und die Testumgebung. Sie bekommen eine schriftliche Liste, und die bleibt bei Ihnen, auch wenn Sie danach nichts bei uns machen.
Dann sagen wir Ihnen ehrlich, ob sich das Haus sanieren lässt oder ob ein Neubau günstiger ist. Ist der Prototyp nicht zu retten, sagen wir das in der ersten Stunde.
Lässt er sich retten, härten wir ihn in 2 bis 4 Wochen, auf Ihrem Stack, in Ihren Konten, an Ihrem Code. Den Festpreis nennen wir nach dem Review. Am Ende gehören Code und Konten Ihnen.
Ein Prototyp aus einem KI-Werkzeug ist ein guter Anfang. Er braucht eine Prüfung, sobald mehr auf dem Spiel steht als Ihre eigene Zeit. Sie müssen dafür kein Entwickler sein. Diese sechs Lagen sind typisch:
Solange nur Sie ihn benutzen, ist ein Fehler ärgerlich. Sobald Kunden sich anmelden, ist er ein Vorfall.
Namen, E-Mail-Adressen, Gesundheits- oder Finanzdaten und Zahlungen verlangen Zugriffsregeln, die belegt sind, und Backups, die zurückgespielt wurden.
Eine schriftliche Liste dessen, was geprüft und behoben wurde, beantwortet die Frage besser als «die KI hat das gebaut».
Wenn niemand erklären kann, wie die Anwendung funktioniert, kann niemand dafür geradestehen. Das ändert sich mit einer Prüfung und einer Übergabe.
Ohne Tests und Testumgebung wird jede Anpassung zum Risiko. Beides gehört zum Härten.
Ein eigenes Team oder eine andere Agentur braucht Code, Konten, Zugänge und eine Struktur, die man verstehen kann.
Sie wissen noch nicht, ob Ihr Projekt dazugehört? Der Ratgeber zu Vibe Coding erklärt den Unterschied zwischen Prototyp und produktionsreifer Software und enthält einen Selbsttest.
Vibe Coding heißt, Software zu bauen, indem man einer KI beschreibt, was man will, und das Ergebnis übernimmt, ohne den Code genau zu prüfen. Der Begriff stammt aus dem Februar 2025. Für Prototypen ist das schnell und stark: Eine Idee ist in Tagen sichtbar, klickbar und zeigbar.
Es hört dort auf, wo jemand für das Ergebnis geradestehen muss. Sobald echte Kunden, Personendaten oder Zahlungen im Spiel sind, braucht es, was der KI niemand abnimmt: einen Plan, Entscheide über die Grundlage, Tests, Sicherheit und Betrieb. KI-Unterstützung beim Entwickeln ist heute normal. Der Unterschied liegt nicht im Werkzeug, sondern darin, ob jemand plant, prüft und die Verantwortung trägt.
Die ausführliche Erklärung mit Quellen und einem Selbsttest steht im Ratgeber Vibe Coding: was es ist, wo es endet und was produktionsreife Software ausmacht.
Das Review ist kostenlos, und die Liste, die Sie danach in der Hand halten, bleibt bei Ihnen, auch wenn Sie nichts bei uns machen. Es ist ein Blick in Projekt und Code entlang dieser sieben Punkte, kein Penetrationstest und keine Garantie.
Die Datenbank selbst prüft, wer welche Zeilen lesen oder ändern darf. Wir prüfen, ob die Regeln aktiv sind und ob Tests belegen, dass fremde Daten unlesbar bleiben.
Wenn es fehlt: Fehlen sie, kann in manchen Aufbauten jeder mit der Datenbank-Adresse und dem öffentlichen Schlüssel mehr sehen, als er dürfte.
Rechte müssen auf dem Server geprüft werden. Eine Schaltfläche im Frontend auszublenden ist keine Berechtigung.
Wenn es fehlt: Ein Nutzer, der die Anfrage selbst abschickt, umgeht jede Sperre, die nur in der Oberfläche steckt.
Zugangsschlüssel und Tokens gehören auf den Server. Entwicklung, Test und echter Betrieb brauchen getrennte Schlüssel.
Wenn es fehlt: Ein Schlüssel im Frontend ist für jeden lesbar, der die Seite öffnet.
Der Server prüft jede Eingabe. Jeder Endpunkt begrenzt, wie oft er pro Minute antwortet. Freigaben für fremde Domains sind eng gesetzt.
Wenn es fehlt: Ungeprüfte Eingaben und unbegrenzte Anfragen sind die Einladung für Missbrauch und Überlast.
Ein Backup, das nie zurückgespielt wurde, ist keins. Wir spielen es einmal zurück und halten fest, wie lange es dauert.
Wenn es fehlt: Ohne getestetes Backup ist ein Fehler oder Löschen im schlimmsten Fall endgültig.
Fehlerverfolgung und Verfügbarkeits-Alarm auf einem Kanal, den Sie tatsächlich lesen.
Wenn es fehlt: Ohne Alarm erfahren Sie von einem Ausfall zuerst von Ihren Kunden.
Eine getrennte Umgebung plus automatisierte Tests, damit eine Auslieferung kein Ereignis mehr ist.
Wenn es fehlt: Ohne sie testen Ihre Kunden jede Änderung für Sie.
Das Review ist kostenlos, und Sie behalten die Liste, auch wenn Sie danach nichts bei uns machen.
Review buchenWir behaupten nur, was sich belegen lässt. Alle Angaben Dritter stehen mit Quelle und Lesedatum im Ratgeber Vibe Coding.
Von 1'645 untersuchten Projekten aus dem Lovable-Showcase hatten 170 (rund 10,3 Prozent) unzureichende Zugriffsregeln in der Datenbank. Die Auswertung stammt von einem einzelnen Sicherheitsforscher, Matt Palmer, vom März 2025; sie betrifft nur die Startseiten der Showcase-Projekte. Das Ergebnis führte zum Eintrag CVE-2025-48757, den der Hersteller bestreitet.
Quelle: Matt Palmer (29.05.2025), NVD
Im Februar 2026 fand die Sicherheitsfirma Wiz bei Moltbook, einer Plattform, die laut ihrem Gründer ohne eigenen Code entstand, eine Datenbank mit vollem Lese- und Schreibzugriff: 1,5 Millionen API-Schlüssel und 35'000 E-Mail-Adressen waren offen. Die Lücke wurde nach der Meldung innert Stunden geschlossen. Wiz verkauft Cloud-Sicherheit.
Quelle: Wiz (02.02.2026)
In einem Test von Veracode mit 80 Aufgaben und über 100 Modellen enthielt der KI-Code in 45 Prozent der Fälle Sicherheitslücken. Das ist ein Benchmark für das Vervollständigen von Code, kein Mass für ganze Projekte, und Veracode verkauft Sicherheitssoftware.
Quelle: Veracode (30.07.2025)
Im Juli 2025 löschte der KI-Agent von Replit die Produktionsdatenbank eines Experiments des SaaStr-Gründers Jason Lemkin, obwohl ein Code-Freeze galt. Es war eine Demo-App, und die Wiederherstellung gelang am Ende. Test und Produktion lagen damals in derselben Datenbank.
Quelle: The Register (21.07.2025), heise (25.07.2025)
Das Schweizer Datenschutzgesetz verlangt vom Verantwortlichen «eine dem Risiko angemessene Datensicherheit» (Art. 8). Wer vorsätzlich die Mindestanforderungen an die Datensicherheit nicht einhält, kann auf Antrag mit einer Busse bis 250'000 Franken bestraft werden (Art. 61 Bst. c); sie trifft grundsätzlich die verantwortlichen Personen, nicht die Firma. Das ist keine Rechtsberatung.
Quelle: DSG Art. 8, 61, 64, Fedlex (Stand 07.07.2025)
Im OWASP Top 10, der Liste der kritischsten Risiken für Webanwendungen, steht «Broken Access Control» in den Ausgaben 2021 und 2025 auf Platz 1: Nutzer können Dinge tun, die ihnen nicht erlaubt sind.
Quelle: OWASP Top 10 (2021, 2025)
Alle sechs stammen aus Quellen, die wir am 31.10.2026 gelesen haben. Es sind Einzelfälle und Herstellerangaben, keine Marktzahlen: Sie zeigen, was passieren kann, nicht wie oft.
Nicht jedes Projekt lohnt die Rettung. Wir sagen es in der ersten Stunde, wenn ein Neubau günstiger und sicherer ist, und nennen den Grund. Diese fünf Signale sind es, auf die wir schauen:
| Signal | Eher härten | Eher neu bauen |
|---|---|---|
| Datenmodell | Die Tabellen bilden Ihr Geschäft nachvollziehbar ab, Beziehungen stimmen. | Doppelte oder widersprüchliche Tabellen, Daten ohne klaren Besitzer, Beziehungen, die niemand erklären kann. |
| Umfang | Überschaubar: wenige Rollen, ein klarer Anwendungsfall, wenige Schnittstellen. | Viele Rollen, mehrere Kunden auf einer Software und Abrechnung auf einer Grundlage, die dafür nie gedacht war. |
| Fehlende Sicherheit | Die Lücken sind einzelne, benennbare Punkte, die sich nachrüsten lassen. | Das Fehlen zieht sich durch die ganze Anwendung, und jede Korrektur zieht zehn weitere nach sich. |
| Struktur des Codes | Lesbar und aufgeteilt, so dass ein anderes Team sich zurechtfindet. | Ein einziger Block ohne erkennbare Struktur, Abhängigkeiten, die niemand mehr nachvollziehen kann. |
| Weiterentwicklung | Neue Funktionen lassen sich ergänzen, ohne Bestehendes umzubauen. | Jede neue Funktion verlangt, dass Bestehendes zuerst umgebaut wird. |
Der Neubau ist keine Strafe, sondern manchmal der kürzere Weg. Was Sie am Prototyp gelernt haben, bleibt: die Abläufe, die Bildschirme und die Fragen der Nutzer sind die beste Vorlage für die saubere Version. Die Preise dazu stehen unten.
Wir schauen auf das Ergebnis, nicht auf das Werkzeug. Trotzdem hat jedes Werkzeug typische Stellen, die wir zuerst ansehen. Das ist keine Wertung der Werkzeuge, sondern unsere Reihenfolge im Review.
| Werkzeug | Was dabei oft entsteht | Worauf wir zuerst schauen |
|---|---|---|
| Lovable und Bolt | Oberfläche und Datenbank-Anbindung entstehen zusammen, die Anwendung spricht oft direkt aus dem Browser mit der Datenbank. | Zugriffsregeln auf jeder Tabelle und Schlüssel im Frontend. |
| v0 | Oberflächen-Code, meist für eine Next.js-Anwendung, mit einzelnen Seiten und Komponenten. | Wo liegen die Schlüssel, und welche Prüfungen laufen auf dem Server statt im Browser? |
| Replit | Anwendung, Datenbank und Betrieb in einer gehosteten Umgebung des Anbieters. | Wem gehört das Konto, wie kommt der Code heraus, sind Test und echte Daten getrennt? |
| Cursor, Claude Code und andere Editoren | Der Code liegt in Ihrem Repository, die KI schreibt ihn mit oder für jemanden, der ihn ansieht. | Struktur, Tests, Abhängigkeiten und die Frage, wer den Code gelesen hat. |
Im Betrieb
Wir führen eigene Plattformen und Apps im Betrieb. Die Aufnahmen zeigen die öffentlichen Seiten, so wie sie heute online sind. Kundenprojekte nennen wir nur mit Freigabe.
SaaS · Immobilienverwaltung
Software für Schweizer Eigentümer und Verwaltungen: Liegenschaften, Mietverträge, Schadensmeldungen und Nebenkosten in einer Anwendung, dazu ein Mieterportal und Abos. Design und Umsetzung von loaded — ein Next.js-Frontend über einem Python-Backend.
Eigenes Produkt · Off-Market-Immobilien
Private Plattform, die geprüfte Käufer und Mieter mit Eigentümern von Off-Market-Immobilien in Zürich, Zug, Genf und darüber hinaus zusammenbringt: Zugang auf Anfrage, Mitglieder-Login, vier Sprachen. Entwickelt und betrieben von loaded, mit Next.js.
Eigenes Produkt · Verzeichnis für KI-Agenten
Schweizer Unternehmensverzeichnis, gebaut für KI-Agenten: Ein automatischer Profil-Check zeigt in rund 60 Sekunden, was Agenten über eine Website lesen können, und über eine MCP-Schnittstelle fragen Agenten Profile ab und nehmen Kontakt auf. Entwickelt und betrieben von loaded, mit Next.js.
Produktionsreif ist kein Gefühl, sondern eine Liste. Das liegt bei der Übergabe auf dem Tisch, und jeder Punkt ist prüfbar. Eine Garantie, dass nie etwas passiert, gibt es nicht. Darum gehört der Alarm dazu.
| Stufe | Inhalt | Dauer | Preis |
|---|---|---|---|
| Erstgespräch | Zweck, Nutzer, Daten und Zugänge klären | 30 Minuten | kostenlos |
| Review | Sieben Punkte, schriftliche Liste der offenen Punkte, ehrliche Einschätzung: härten oder neu bauen | 60 Minuten | kostenlos |
| Härten | Funde aus dem Review beheben, absichern, testen, übergeben | 2 bis 4 Wochen | Festpreis nach dem Review |
| Neubau als Plattform oder Webportal | Mandanten, Rollen, Anmeldung, Abrechnung, Betrieb vorbereitet | 8 bis 12 Wochen | ab CHF 25'000 |
| Neubau als native App | iPhone und Android, Backend, Einreichung bei Apple und Google, drei Monate Betreuung | 10 bis 16 Wochen | ab CHF 19'000 |
| Neubau als Progressive Web App | Läuft im Browser und auf dem Handy, Backend, Anmeldung und Datenbank | 6 bis 10 Wochen | ab CHF 9'800 |
Die Dauern sind Erfahrungswerte aus unseren Projekten, keine Garantie. Sie hängen vom Umfang ab und davon, wie schnell Entscheide fallen. Fürs Härten nennen wir keinen «ab»-Preis, weil er vom Zustand des Codes abhängt: Sie bekommen ihn nach dem Review schriftlich, mit Umfang, Termin und Ausschlussliste. Eine ausführliche Aufstellung samt dem, was andere Schweizer Anbieter veröffentlichen, steht im Ratgeber Was kostet App-Entwicklung in der Schweiz?
Ein tragfähiges Datenmodell und lesbarer Code machen das Härten schneller. Ein brüchiges Fundament kostet mehr als ein Neubau.
Zahl der Bildschirme, Funktionen und Rollen. Jede Rolle braucht Regeln, Tests und Oberflächen.
Mandantentrennung muss die Datenbank selbst erzwingen. Wo sie fehlt, ist das der aufwendigste Teil.
Abos mit Testphase, Rechnungen, Mehrwertsteuer und Kündigungen sind deutlich mehr Arbeit als ein einfacher Kauf.
Jede Anbindung an Treuhand-Software, ERP, CRM oder Kalender hat eigene Regeln und Sonderfälle.
Daten, die schon im Projekt liegen, müssen mit den neuen Regeln und dem nDSG zusammenpassen.
Hosting, Datenbank, E-Mail-Versand und, falls im Einsatz, KI-Modelle zahlen Sie direkt beim Anbieter, auf Ihrem Konto. Wir rechnen diese Kosten vor dem Härten für Ihre erwarteten Mengen aus, damit sie planbar sind.
30 Minuten
Zweck, Nutzer, Daten und Zugänge. Kostenlos und unverbindlich.
60 Minuten, kostenlos
Sieben Punkte, ein Blick in Projekt und Code. Danach eine schriftliche Liste, die bei Ihnen bleibt.
nach dem Review
Härten, teilweise neu oder neu bauen. Schriftlich, mit Umfang, Preis, Termin und Ausschlussliste.
2 bis 4 Wochen
Funde beheben, absichern, testen. Auf Ihrem Stack, in Ihren Konten, an Ihrem Code.
zum Abschluss
Code, Konten und Zugänge gehen an Sie. Ihr Team oder ein anderes kann weiterarbeiten.
Mit der vollständigen Bezahlung gehen alle übertragbaren Rechte an Code, Design und Inhalt an Sie über (AGB, Ziffer 12). Die Konten laufen auf Ihren Namen, und auf Wunsch erhalten Sie Zugang zum Quellcode-Repository. Es gibt kein Lock-in: Sie oder ein anderes Team dürfen das Projekt jederzeit weiterführen.
Wir härten Ihr Projekt auf Ihrem Stack, damit Sie nicht von uns abhängig werden. Wo Sie später Hilfe möchten, ist sie da. Wo nicht, übernimmt Ihr Team mit einer Struktur, die man verstehen kann, und mit Tests, die verhindern, dass Änderungen unbemerkt etwas anderes kaputt machen.
Bei Wünschen ausserhalb des vereinbarten Umfangs gelten unsere AGB (Ziffer 6): Wir informieren Sie vor der Ausführung über absehbare Mehrkosten und holen Ihre Freigabe ein.
Wo Ihre Daten liegen, entscheiden Sie. Schweizer Hosting ist auf Wunsch Teil des Angebots, inklusive Verzeichnis der Datenflüsse für Ihre nDSG-Dokumentation: welche Daten wohin gehen, an welchen Dienst, zu welchem Zweck. Rechtsberatung ist das nicht; dafür empfehlen wir eine juristische Fachperson.
Mehr zu Plattformen und Webportalen: SaaS Entwicklung. Mehr zum Backend: Backend Entwicklung. Mehr zu Apps: App Entwicklung. Bei Agenturwechsel: Projekt-Übernahme.
30 Minuten Erstgespräch, danach 60 Minuten Review, beides kostenlos. Sie bekommen eine schriftliche Liste und eine ehrliche Antwort, ob Härten oder Neubau der bessere Weg ist. Büro in Zürich, Projekte in der ganzen Schweiz.
Kostenloses Review buchenOder direkt: hello@loaded.ch · +41 77 277 15 93
