Deine Seite ist fertig. Das hier fehlt fast sicher noch.
KI-Builder bauen erstaunlich gute Seiten und lassen dabei immer dieselben Dinge weg. Nicht aus Nachlässigkeit: Es steht einfach nicht in der Aufgabe. Hier ist die Liste, in der Reihenfolge, in der es weh tut.
Ein Builder macht, was du sagst, und niemand sagt „und mach die Datenbank zu". Die Vorlagen stammen zudem überwiegend aus den USA, wo es weder Impressumspflicht noch DSGVO gibt. Was fehlt, fehlt also systematisch und bei fast allen gleich.
Wir haben das gemessen: 343 öffentliche Lovable-Adressen, 76 davon noch am Leben. Bei 11 der 38 Seiten mit erkennbarer Datenbank kamen auf eine anonyme Anfrage echte Zeilen zurück. 97 Prozent hatten kein Impressum. Die Methode und was die Zahlen nicht beweisen, steht in der Studie.
1. Die Datenbank zumachen
Der einzige Punkt, bei dem ein Fehler sofort fremde Daten sichtbar macht. Row Level Security ist bei neuen Tabellen aus. Such außerdem im ausgelieferten JavaScript nach dem service_role-Schlüssel; wenn der im Browser liegt, hilft keine Regel mehr. Die vollständige Anleitung dazu ist verlinkt.
2. Nach Schlüsseln im Browser-Bundle suchen
Alles, was in deinem Build mit einem öffentlichen Präfix beginnt (VITE_, NEXT_PUBLIC_, REACT_APP_, EXPO_PUBLIC_), landet im Browser. Ein Schlüssel für OpenAI, Stripe, Resend oder eine Datenbank gehört dort nie hin, sondern in eine Serverfunktion. Bots durchsuchen neue Seiten binnen Minuten nach genau diesen Mustern.
3. Nachsehen, welche Dateien erreichbar sind
Ruf testweise /.env, /.git/config und /backup.sql auf deiner Domain auf. Kommt dort etwas anderes als eine Fehlerseite, hast du ein Problem, das jede Suchmaschine ebenfalls findet.
4. HTTPS erzwingen
Die Seite muss auf http:// antworten, indem sie auf https:// weiterleitet, nicht indem sie die Inhalte auch unverschlüsselt ausliefert. In den meisten Buildern ist das ein Schalter in den Domain-Einstellungen.
5. Impressum und Datenschutzerklärung, und zwar erreichbar
Zwei Dinge, die getrennt schiefgehen: Der Link fehlt, oder der Link existiert und führt bei einer Single-Page-App wieder auf die Startseite. Ruf die Adressen direkt auf, nicht nur über den Footer-Link, und schau, was wirklich kommt. Was inhaltlich hineingehört, ist eine Rechtsfrage; wir sagen nur, ob technisch etwas da ist.
6. Fremde Verbindungen beim Aufruf prüfen
Schriften von Google, eingebettete Karten, Videos, Chat-Fenster, Analyse-Skripte: Jedes davon überträgt die IP-Adresse deiner Besucher an Dritte, bevor jemand zustimmen konnte. Bei Analyse- und Werbewerkzeugen kommt § 25 TDDDG dazu, also die Einwilligung vor dem ersten Zugriff auf das Endgerät.
7. Nachsehen, was Google von deiner Seite sieht
Viele KI-gebaute Seiten rendern alles erst im Browser. Ruf deine Seite mit abgeschaltetem JavaScript auf, oder sieh dir den Quelltext an. Ist er leer bis auf ein div, dann ist er für Suchmaschinen in vielen Fällen genauso leer. Das ist kein Sicherheitsproblem, aber der Grund, warum niemand die Seite findet.
8. Und dann gegenprüfen, statt es zu glauben
Nach jeder Änderung gilt dasselbe wie bei der Datenbank: Der Test, der zählt, kommt von außen. Deckproof prüft die Punkte dieser Liste und 60 weitere in etwa dreißig Sekunden, rein lesend, ohne Anmeldung, und sagt dir für jeden, was es tatsächlich gesehen hat.
Jedes Mal, wenn die KI etwas Größeres gebaut hat. Neue Tabellen entstehen ohne Regeln, neue Einbindungen bringen neue fremde Verbindungen mit, und eine umgebaute Navigation verliert gern den Footer-Link auf das Impressum.
Wenn du es nicht selbst im Kopf behalten willst: Wir prüfen eine Seite kostenlos einmal pro Woche und schreiben dir nur, wenn die Note fällt. Anmeldung per E-Mail mit Bestätigung, Abmeldung mit einem Klick in jeder Mail.
ADRESSE DEINER WEBSITE EINFÜGENPunkt 1 und 2 nur, wenn es überhaupt eine Datenbank oder Schlüssel gibt. Punkt 3 bis 7 betreffen jede Seite, die öffentlich erreichbar ist.
Die Reparaturen ja, die Prüfung nein. Ein Builder sagt dir zuverlässig, dass er etwas erledigt hat. Ob es draußen tatsächlich wirkt, sieht nur eine Anfrage von außen.
Punkt 1 und 2. Alles andere kostet dich im schlimmsten Fall Ärger oder Reichweite. Eine offene Tabelle oder ein Schlüssel im Bundle kostet dich fremde Daten.
Ja, mit denselben Mustern. Die Voreinstellungen unterscheiden sich im Detail, die Lücken sind dieselben.
Supabase Row Level Security einschalten · Schriften selbst hosten · Die Studie mit den Zahlen
Technische Anleitung. Rechtliche Hinweise darin sind allgemeine Informationen mit Verweis auf die jeweilige Regel, keine Rechtsberatung und keine Bewertung deines Einzelfalls.