Die meisten KI-gebauten Seiten sind schon weg. Ein Drittel vom Rest steht offen.

267 der 343 Adressen antworteten überhaupt nicht: ein 404 vom Builder oder gar nichts. Das sind 78 Prozent. Die meisten KI-gebauten Projekte sind Wochenendversuche, die liegen bleiben, und jede Studie, die das verschweigt, zählt Geister. Alles Weitere bezieht sich auf die 76 Seiten, die wirklich liefen.

Noten der 76 laufenden Seiten · Median 76 von 100 · 8 Seiten mit mindestens einem kritischen Befund

Bei 38 der 76 laufenden Seiten war ein Supabase-Backend erkennbar, weil Projektadresse und öffentlicher Schlüssel im JavaScript der Seite stehen, so wie es vorgesehen ist. Wir haben dann jede Tabelle, die die Seite in ihrem eigenen Code nennt, als anonyme Besucherin mit diesem öffentlichen Schlüssel nach einer einzigen Zeile gefragt. Bei 11 Seiten kamen Zeilen zurück. Das sind 29 Prozent der Seiten mit erkennbarer Datenbank.

Wir haben nie eine Tabelle heruntergeladen. Wir haben eine Zeile angefragt und die Gesamtzahl gelesen, die die Datenbank selbst im Antwort-Header zurückmeldet. Zusammengezählt meldeten diese 39 offenen Tabellen 5.102 Zeilen, die größte einzelne 2.192. Bei 6 Seiten trug die offene Tabelle Spaltennamen, die nach personenbezogenen Daten aussehen: E-Mail, Name, Telefon, Adresse.

Ein Teil davon ist in Ordnung. Eine Tabelle mit öffentlichen Blogbeiträgen soll lesbar sein. Eine Tabelle namens profiles oder bookings oder leads nicht, und der Builder warnt in keinem der beiden Fälle: Row-Level Security ist schlicht aus, bis jemand sie einschaltet.

Jede Seite, die sich an Menschen in Deutschland richtet, braucht ein erreichbares Impressum (§ 5 DDG) und eine Datenschutzerklärung (Art. 13 DSGVO). Von den 76 laufenden Seiten fanden wir bei zwei ein Impressum und bei zehn eine Datenschutzerklärung. Schriften direkt von Google, die ein deutsches Gericht bereits als unzulässige Übermittlung der Besucher-IP gewertet hat, lagen bei 36 Prozent.

Stichprobe: einzelne *.lovable.app-Hostnamen aus öffentlichen Certificate-Transparency-Protokollen, entdoppelt, insgesamt 343. Das ist keine Zufallsstichprobe KI-gebauter Websites. Es ist ein Builder, nur seine kostenlosen Subdomains und nur die, für die je ein öffentliches Zertifikat ausgestellt wurde. Seiten auf eigener Domain sind für diese Methode unsichtbar, und das sind die ernsteren Projekte. Das Bild kippt hier also wahrscheinlich Richtung Hobby.

Ein Durchlauf, am 13. September 2026, von einem Netzwerkstandort in Deutschland. Eine Seite, die zu langsam war oder unsere Anfrage blockiert hat, zählt in diesen Zahlen als tot. Der Anteil der toten Adressen ist damit eine Obergrenze.

Jede Anfrage war rein lesend. Wir haben abgerufen, was jede Besucherin abruft, plus je eine einzige Zeile pro Tabelle, die die Seite in ihrem eigenen Code nennt, mit dem öffentlichen Schlüssel, den die Seite selbst veröffentlicht. Wir haben nie geschrieben, uns nie angemeldet, nie ein Passwort probiert und nie eine zweite Seite von irgendetwas geholt.

Wir haben keine Zeileninhalte, keine Tabellennamen, keine Adressen einzelner Seiten und keine Belege gespeichert. Aus dem Durchlauf bleiben die Note pro Seite, die ausgelösten Prüf-IDs und die Zahlen oben. Keine Seite wird hier genannt, und auf Nachfrage wird auch keine genannt.

Kleine Zahlen: 11 offene Datenbanken von 38 sind rund 29 Prozent, aber bei dieser Stichprobengröße liegt der ehrliche Bereich zwischen etwa 16 und 45 Prozent. Nimm es als „eine große Minderheit", nicht als Nachkommastelle.

Was das nicht beweist: dass eine bestimmte Seite unsicher ist, dass in diesen Tabellen etwas Sensibles steht, oder dass Lovable schlechter ist als andere Builder. Wir haben einen Builder geprüft, weil dort die öffentlichen Adressen liegen. Wir erwarten überall dieselben Voreinstellungen und werden das ebenfalls veröffentlichen.

Deine eigene Seite dauert dreißig Sekunden

Dieselbe Prüfung, dieselbe rein lesende Methode, auf dem, was du gebaut hast. Kostenlos, ohne Anmeldung, und wir sagen dir, was davon auf dich zutrifft.