KI-generierter Code: Die Illusion der Korrektheit ist gefährlicher als ein echter Bug

Zu sauber, um verdächtig zu sein

96% der Entwickler vertrauen dem von KI generierten Code nicht. Dennoch überprüfen nur 48% ihn, bevor er in die Produktion geht. Das ist kein technisches Paradoxon. Es ist ein menschliches: Wir wissen, dass der Code fragwürdig ist, aber er sieht so sauber aus, dass wir weitermachen.

Jason Schmitt, CEO von Black Duck, hat eine treffende Formel für das Problem gefunden: die "Illusion der Korrektheit". Code, der kompiliert, grundlegende Tests besteht, ordentlich kommentiert ist. Nichts blinkt rot. Doch unter der polierten Oberfläche warten Sicherheitslücken geduldig darauf, ausgenutzt zu werden.

Drei Anfang 2026 veröffentlichte Studien kommen zum gleichen Ergebnis. Das größte Risiko bei KI-Code ist nicht, dass er abstürzt. Sondern dass er aussieht, als würde er funktionieren.

Das Volumen übersteigt die Prüfkapazität

Um das Ausmaß zu verstehen, muss man sich die Produktionszahlen ansehen. Laut der Aikido-Studie (450 befragte Fachleute in Europa und den USA) werden 24% des Produktionscodes inzwischen von KI geschrieben. In den USA steigt dieser Wert auf 29%. Die Sonar-Umfrage unter 1.100 Entwicklern spricht von 42% des gesamten committeten Codes. Die Prognosen für 2027 liegen bei 65%.

Es ist wie eine Fabrik, die ihre Produktionsrate verdoppelt, ohne die Qualitätskontrolle zu verstärken. Das Fließband beschleunigt, aber die gleichen müden Augen prüfen das Ergebnis mit den gleichen alten Werkzeugen.

61% der von Sonar befragten Entwickler räumen ein, dass KI-Code "korrekt aussieht, aber nicht zuverlässig ist". Und 38% sagen, dass die Überprüfung von KI-Code mehr Aufwand erfordert als die Überprüfung von menschlichem Code. Der Grund liegt auf der Hand: Gut formatierter KI-Code löst nicht die gleichen Alarmreflexe aus wie schlampig geschriebener menschlicher Code. Die Schwachstellen sind subtiler, besser in einer sauberen Struktur getarnt. Der Engpass hat sich verschoben: Wir kämpfen nicht mehr damit, Code zu schreiben, sondern damit, ihn zu verifizieren.

Jede 5. Schwachstelle stammt bereits aus KI-Code

Die Folgen sind bereits messbar. Die Aikido-Studie zeigt, dass eine von fünf Sicherheitslücken inzwischen auf KI-generierten Code zurückgeht. 69% der befragten Organisationen haben Schwachstellen entdeckt, die durch KI-Code in ihre eigenen Systeme eingeführt wurden.

Der Veracode-Report (zitiert von SoftwareSeni) geht noch weiter: KI-Code enthält 2,74-mal mehr Schwachstellen als menschlicher Code. Bei Java steigt die Sicherheits-Fehlerquote auf 72%.

Beim Verhalten sieht es nicht besser aus. 44% der Entwickler umgehen Sicherheitskontrollen, wenn sie diese als zu einschränkend empfinden. 37% ignorieren Warnmeldungen schlichtweg. Es ist der klassische Reflex: Wenn der Alarm zu oft auslöst, zieht man irgendwann den Stecker.

Die Kosten sind konkret. Aikido schätzt, dass 15% der Engineering-Zeit für die Triage von Sicherheitswarnungen verloren gehen. Für ein Unternehmen mit 250 Entwicklern bedeutet das 1,4 Millionen Dollar pro Jahr. Nicht durch ausgenutzte Schwachstellen: allein durch die Zeit, die für das Sortieren von Rauschen aufgewendet wird.

Europa steht besser da (vorerst)

Ein interessantes Detail in den Aikido-Daten: Die Geografie macht den Unterschied. 43% der US-Organisationen melden schwerwiegende Vorfälle mit KI-Code, gegenüber 20% in Europa. Das Verhältnis ist mehr als doppelt so hoch, und es lässt sich nicht allein durch eine intensivere Nutzung jenseits des Atlantiks erklären.

Die wahrscheinlichste Erklärung ist der regulatorische Druck. Der europäische Cyber Resilience Act drängt Unternehmen dazu, ihren Ansatz zur Softwaresicherheit zu strukturieren. Der BSIMM16-Bericht von Black Duck (111 evaluierte Organisationen) bestätigt den Trend: SBOM-Einführung (Software Bill of Materials) um 30% gestiegen, automatisierte Infrastrukturprüfung um 50%.

Man könnte sagen, Regulierung bremst Innovation. Man könnte aber auch sagen, sie zwingt Organisationen dazu, zu prüfen, was sie deployen. Beim Thema KI-Code sprechen die Zahlen eher für Letzteres.

KI-Code wird eines Tages zuverlässig sein, aber nicht allein

96% der von Aikido befragten Fachleute glauben, dass KI eines Tages sicheren und zuverlässigen Code schreiben wird. Die Nuance liegt im "Wie": Nur 21% glauben, dass dies ohne menschliche Aufsicht geschehen wird. 44% setzen den Zeithorizont bei 3-5 Jahren an.

Das unmittelbare Problem ist die Übergangsphase. Wir befinden uns in einer Phase, in der das Volumen von KI-Code explodiert, die Verifizierungswerkzeuge nicht mithalten können und das menschliche Verhalten der technischen Realität hinterherhinkt. Ein Drittel der Entwickler nutzt KI-Tools über persönliche Accounts, außerhalb des Radars ihres Unternehmens. Es ist Schatten-IT, angewandt auf den Quellcode: Niemand weiß genau, wie viel KI-Code in den Repositories des Unternehmens zirkuliert, oder welches Tool ihn generiert hat.

Wenn Sie ein Team leiten, das KI-Coding-Assistenten nutzt (Copilot, Cursor, Claude Code oder andere), stellen Sie morgen eine konkrete Frage: Haben Sie einen Überprüfungsprozess speziell für KI-Code, der sich von Ihrem standardmäßigen Code-Review unterscheidet? Denn KI-Code wie menschlichen Code zu reviewen, ist wie Korrekturlesen in einem perfekt gesetzten Dokument: Das Layout beruhigt, und der Inhalt geht unter.