Ratgeber
KI-Code prüfen, ohne programmieren zu können
Veröffentlicht: · Aktualisiert:
Du hast eine KI Code schreiben lassen, und jetzt starrst du ihn an und weißt nicht, ob er gut ist, sicher, oder kurz vor der Katastrophe. Hier die beruhigende Wahrheit: Du musst keinen Code lesen, um ihn zu beurteilen. Du musst seine Auswirkung beurteilen. Ein paar Fragen in einfacher Sprache fangen das wirklich Riskante ab, auch wenn der Code für dich aussieht wie Hieroglyphen. Genau so gehen sorgfältige Leute vor, nur übersetzt für jemanden, der (noch) keine Zeile lesen kann.
Hör auf, ihn Zeile für Zeile lesen zu wollen
Code zu lesen, den du nicht verstehst, ist langsam und zermürbend, und es ist nicht mal der richtige Weg. Auch erfahrene Prüfer kontrollieren nicht jedes Zeichen. Sie schauen darauf, was der Code anrichten kann. Ein Tippfehler in einer harmlosen Anzeige-Funktion ist keine große Sache. Ein Fehler in Code, der Daten löscht, ist eine Katastrophe. Die eigentliche Fähigkeit ist also nicht Lesen, sondern zu erkennen, welche Teile zählen. Und das kannst du sehr wohl.
Schritt 1: Lass die KI sich selbst erklären
Dein erstes und bestes Werkzeug ist die KI, die den Code geschrieben hat. Frag sie in einfacher Sprache:
- „Erklär mir einfach, was dieser Code tut, so als könnte ich nicht programmieren.“
- „Was könnte dabei schiefgehen?“
- „Berührt das Passwörter, Schlüssel oder persönliche Daten?“
- „Was passiert, wenn jemand etwas Unerwartetes eingibt?“
Ein guter KI-Assistent antwortet ehrlich, und schon das Fragen zwingt die wichtigen Details ans Licht. Bleibt die Erklärung vage, oder gibt die KI zu, dass sie unsicher ist, ist das dein Signal, einen Gang runterzuschalten. Nicht, ihr mehr zu vertrauen.
Eine Warnung noch: Die KI kann sich bei ihrem eigenen Code irren, genau wie sie alles Mögliche halluzinieren kann. GitHub schreibt in seiner Dokumentation offen, dass Copilot Chat Code erzeugen kann, „der gültig erscheint, aber nicht semantisch oder syntaktisch korrekt ist“. Nimm die Erklärung also als Wegweiser, nicht als in Stein gemeißelt, gerade bei den Bereichen mit hoher Auswirkung weiter unten.
Schritt 2: Prüf die vier Hochrisiko-Fragen
Ganz gleich, was die KI sagt: Lass den Code an diesen vier Fragen vorbeilaufen. Jedes „Ja“ heißt hier genau hinschauen.
- Verarbeitet er Secrets? Passwörter, API-Schlüssel, Login-Tokens. Die dürfen nie offen herumliegen oder fest im Code stehen, wo andere sie sehen könnten.
- Berührt er das Internet? Daten online zu senden oder abzurufen öffnet die Tür für Datenlecks und Einflussnahme von außen.
- Ändert oder löscht er Daten? Alles, was Informationen überschreibt oder entfernt, kann echten, schwer rückgängig zu machenden Schaden anrichten, wenn es daneben liegt.
- Führt er Befehle auf deinem Computer aus oder installiert er etwas? Code, der Systembefehle absetzt oder fremde Bibliotheken nachlädt, verdient besondere Vorsicht. Die OWASP, eine Stiftung für Softwaresicherheit, zählt es zu den bekannten Risiken von Sprachmodellen, dass sie unsichere oder gar nicht existierende Bibliotheken vorschlagen. Angreifer veröffentlichen dann Schadpakete unter genau diesen erfundenen Namen. Lass dir also eine Liste von allem geben, was installiert wurde, und such jeden Namen einmal im Netz.
Code, der nichts davon tut, ist risikoarm, also entspann dich. Code, der irgendetwas davon tut, ist nicht automatisch schlecht, aber genau dort tun Fehler weh. Er verdient einen genauen zweiten Blick, bevor du ihm traust.
Bei Assistenten, die direkt auf deinem Rechner arbeiten, kommt eine Einstellung dazu. Laut Anthropics Dokumentation starten Claude-Code-Sitzungen im Terminal und in VS Code inzwischen im Auto-Modus: Dann prüft ein separates KI-Modell die Aktionen an deiner Stelle, statt dich jedes Mal zu fragen. Im manuellen Modus fragt Claude Code vorher. Willst du jede Aktion selbst freigeben, prüf den Modus und stell auf manuell um. Und lies jede Abfrage, bevor du zustimmst: Diese Abfrage ist deine Prüfung.
Schritt 3: Schütz deine Secrets, bevor du irgendwas teilst
Eine konkrete, häufige Falle: Wenn du Code oder Dateien zur Hilfe in eine KI einfügst, gibst du womöglich unbemerkt Passwörter, Schlüssel oder persönliche Daten mit, die darin stecken. Anthropic vergleicht einen API-Schlüssel mit einer Kreditkartennummer: Wer ihn hat, kann auf deine Kosten Gebühren verursachen. Eine der häufigsten Ursachen für Lecks ist laut Anthropic, dass ein Schlüssel versehentlich in einem öffentlichen Code-Repository landet. Vermutest du, dass das passiert ist, widerruf den Schlüssel sofort beim Dienst, der ihn ausgestellt hat, und leg einen neuen an. Bevor du teilst, lohnt sich ein Blick darauf, was wirklich drinsteckt. Unser kostenloses Tool Datenschutz-Check sagt dir, ob das, was du gleich einfügen willst, etwas enthält, das nicht nach draußen gehört. Ein simpler Schutz gegen das häufigste Anfänger-Leck.
Schritt 4: Pass deine Vorsicht dem Einsatz an
Wie viel Sorgfalt angebracht ist, hängt ganz davon ab, wofür der Code gedacht ist:
- Eine kleine Spielerei für dich allein (ein Tracker nur für dich): geringer Einsatz. Lass ihn laufen, lern daraus, mach dir keinen Stress.
- Alles mit echten Nutzern, echten Daten oder echtem Geld: hoher Einsatz. KI-Code kann Sicherheitslücken mit sich tragen, die ein Anfänger nicht sieht. Bevor das live geht, lass jemanden draufschauen, der Code lesen kann. Oder schalte zumindest einen Gang runter und vergewissere dich, dass du die Auswirkung jedes „Ja“ aus Schritt 2 verstanden hast.
Speichert deine App Namen, E-Mail-Adressen oder Telefonnummern von Kundinnen und Kunden, gilt außerdem die DSGVO. Gelangen solche Daten durch eine Lücke an Unbefugte, musst du das nach Art. 33 DSGVO in der Regel binnen 72 Stunden, nachdem du davon erfahren hast, der Datenschutzbehörde deines Bundeslandes melden, außer es besteht voraussichtlich kein Risiko für die Betroffenen. Das ist eine Orientierung, keine Rechtsberatung.
Hier geht es nicht um Angst, sondern um Augenmaß. Beim Harmlosen zügig vorangehen und genau dort auf die Bremse treten, wo ein Fehler ins Gewicht fiele.
Die Haltung, die dich sicher hält
Du wirst oft hören: „Du stehst gerade für das, was rausgeht.“ Und das stimmt, auch wenn du kein Wort selbst getippt hast. Dafür geradezustehen heißt nicht, jede Zeile zu lesen. Es heißt, für die Auswirkung Verantwortung zu übernehmen. Lass die KI erklären, prüf die vier Risikofragen, schütz deine Secrets und hol dir echte Hilfe, bevor etwas Echtes live geht. Machst du das, kannst du mit KI selbstbewusst bauen, lange bevor du Code fließend liest.
Bau mit einem Setup, das dir beim Prüfen hilft
Gute Gewohnheiten fallen mit einem guten Setup leichter. Unser kostenloses Tool KI für Entwickler hilft dir, den richtigen Assistenten zu wählen, ihn für dein Betriebssystem zu installieren und ein Starter-Setup einzurichten, bei dem das Prüfen von Änderungen (genau zu sehen, was die KI gemacht hat) fest zu deinem Ablauf gehört. Kombinier das mit der Methode oben, bei der die Auswirkung zählt, und „ich kann den Code nicht lesen“ ist kein Grund mehr, sich unsicher zu fühlen.
Weiterlesen
Häufige Fragen
Wie kann ich KI-Code prüfen, wenn ich keinen Code lesen kann? +
Beurteile ihn nach Auswirkung, nicht indem du jede Zeile liest. Lass die KI in einfacher Sprache erklären, was der Code tut, und prüf dann die Risikofragen: verarbeitet er Passwörter oder Secrets, verbindet er sich mit dem Internet, ändert oder löscht er Daten? Code, der nichts davon tut, ist risikoarm; alles andere braucht einen genauen zweiten Blick.
Ist KI-generierter Code sicher zu nutzen? +
Oft, aber nicht immer. Die KI schreibt plausiblen Code, der trotzdem Fehler oder Sicherheitslücken enthalten kann, die ein Anfänger nicht sieht. Das sagen die Hersteller selbst: GitHub warnt, dass Copilot Chat Code erzeugen kann, der gültig aussieht, aber nicht korrekt ist, und Anthropic schreibt, dass du für die Prüfung vorgeschlagener Befehle verantwortlich bist. Für ein persönliches Lernprojekt reicht ein kurzer Blick; sobald echte Daten oder Geld im Spiel sind, gehört der Code zuerst ordentlich geprüft.
Was sollte ich die KI über ihren eigenen Code fragen? +
Bitte sie, in einfacher Sprache zu erklären, was der Code tut, was schiefgehen könnte, ob er Secrets oder persönliche Daten berührt und was er bei einer fehlerhaften Eingabe täte. Ein guter Assistent antwortet ehrlich, und schon das Fragen bringt oft Risiken ans Licht, die dir sonst durch die Lappen gehen würden.
Was ist das Gefährlichste, das KI-Code tun kann? +
Die Hochrisiko-Bereiche sind: das Verarbeiten von Secrets wie Passwörtern und API-Schlüsseln, das Löschen oder Überschreiben von Daten, das Ausführen von Befehlen auf deinem System und das Senden von Daten ins Internet. Keiner ist automatisch schlecht, aber jeder verdient eine genaue Prüfung. Bist du unsicher, lass jemanden draufschauen, der Code lesen kann.