Vibe-Coding-Security-Scanner im Vergleich, unserer eingeschlossen

Du hast "bester Vibe-Coding-Security-Scanner" in ein Suchfeld getippt, und der erste Vergleich, der zurückkam, war von einem der Scanner geschrieben. Der Hinweis darauf stand da, in einer Zeile unter der Tabelle.

Reeve ist eines der acht Tools weiter unten, diese Seite hat also dasselbe Problem. Reeve ist ein kostenloser Security-Scanner, der eine Live-URL in etwa zwanzig Sekunden ohne Konto liest, und ein bezahltes Abo, das die App danach weiter beobachtet und eine geprüfte Kopie ihrer Datenbank hält. Was wir gegen den Interessenkonflikt tun können, ist offenzulegen, wie wir gearbeitet haben. Jede Zeile wurde auf der Seite des jeweiligen Anbieters gelesen, zuerst am 7. September 2026 und erneut am 5. November 2026, jeder Preis steht hier, unserer eingeschlossen, nichts davon ist bezahlte Platzierung, und gegen Ende steht ein Abschnitt, der die drei Aufgaben auf dieser Seite benennt, die Reeve gar nicht erledigt.

Und hier ist, was die Anbietervergleiche auslassen. Die meisten dieser Tools lesen dieselbe Oberfläche. Sie laden deine Live-App, holen das JavaScript herunter, das sie an den Browser ausliefert, lesen die Header, die mitkamen, stellen deiner Datenbank eine Frage, die jeder Fremde stellen könnte, und schreiben auf, was geantwortet hat. Der Scan ist der Teil, den sie gemeinsam haben. Drei Fragen trennen sie:

1. Kann es einen Schlüssel, der in deine App gehört, von einem unterscheiden, der es nicht tut?
2. Sagt es, wenn eine Prüfung keine Antwort bekam?
3. Passiert irgendetwas an dem Tag, an dem deine Daten wirklich weg sind?

Welcher Vibe-Coding-Security-Scanner ist der beste?

Der, der die Oberfläche lesen kann, auf der dein Problem sitzt. Diese Frage sortiert die Liste schneller als jede Funktionsliste, und sie teilt acht Tools in drei Gruppen, wobei einige inzwischen in mehr als einer stehen.

Tools, denen du eine URL gibst. LaunchGuard, Vibe App Scanner, VibeEval, SupaExplorer und Reeve. Du fügst eine Adresse ein, sie laden deine App so, wie ein Besucher es täte, und innerhalb einer Minute oder zwei kommt ein Bericht zurück. Nichts zu installieren, nichts von dir zu verbinden.

Tools, denen du deinen Code gibst. CheckVibe liest eine Live-URL und liest auch ein GitHub-Repository, wenn du eines verbindest, und Vibe App Scanner prüft in seinen bezahlten Tarifen inzwischen ein Repository oder ein ZIP deines Quellcodes. Quellcode zu lesen beantwortet Fragen, die ein URL-Scan nicht stellen kann, und bringt einen eigenen blinden Fleck mit, weshalb sich was ein URL-Scan übersieht lohnt, bevor du für eines von beidem zahlst.

Tools, denen du dein Supabase-Konto gibst. Der Security Advisor von Supabase selbst sitzt in deinem Dashboard und liest die Konfiguration des Projekts. Supabomb ist ein quelloffenes Kommandozeilenwerkzeug für Leute, die das beruflich machen. CheckVibe und SupaExplorer verbinden sich ebenfalls mit einem Supabase-Projekt, wenn du eines verknüpfst. Sie alle erreichen aus dem Konto heraus Dinge, die nichts sehen kann, was außerhalb deiner App steht.

Wenn du auf Supabase bist und den Security Advisor noch nie geöffnet hast, öffne den, bevor du irgendjemanden auf dieser Seite bezahlst. Er ist kostenlos, er läuft von allein, und er schreibt dem Projektinhaber eine E-Mail, wenn eine Tabelle mit abgeschalteter Row Level Security auftaucht. Er ist auch kein Konkurrent zu irgendetwas hier: er liest deine Konfiguration, wo ein Scan liest, was deine Konfiguration gegenüber Fremden tut, und diese beiden gehen auseinander, öfter als irgendwer erwartet.

Was liest jeder Scanner tatsächlich?

Sechs der acht laufen mit einer URL. Die anderen zwei wollen etwas, für dessen Übergabe du dich einloggen musst, und das ist die Spalte, die man vor jeder Funktionsliste liest. Die beiden rechts entscheiden, ob du ein Tool heute Vormittag ausprobieren kannst: vier scannen ganz ohne Konto, und drei dieser vier zeigen dir den ganzen Bericht.

Jede Zeile wurde am 7. September 2026 und erneut am 5. November 2026 auf den eigenen Seiten des jeweiligen Tools gelesen. Zwei Tools aus der ersten Fassung dieser Seite gibt es nicht mehr. Die Seite von SafeToShip antwortete am 4. und 5. November mit "This Deployment is paused by the owner", und Defencecore verkauft inzwischen Penetrationstests und bietet sein Supabase-Produkt nicht mehr an. Das ist eine junge Kategorie und die Seiten bewegen sich, also behandle jede Zeile als älter als die Seite, von der sie stammt.

An dieser Tabelle hören die meisten Vergleiche auf, und sie ist der Teil, der diese Tools am wenigsten trennt.

Die drei Fragen, Tool für Tool

Reeve ist das einzige der acht, das alle drei mit Ja beantwortet. Zwei andere beantworten inzwischen die zweite schriftlich, was wir bei keinem fanden, als diese Seite zuerst geschrieben wurde.

"Seine Seite sagt es nicht" heißt genau das. Wir können lesen, was diese Tools über sich selbst veröffentlichen; den Bericht, den du bekämst, können wir nicht sehen. Die drei Abschnitte unten erklären jede Spalte und geben dir einen Weg, das an deiner eigenen App zu prüfen, indem du sie mit zwei dieser Tools scannst und die zwei Berichte nebeneinander liest.

Kann es deine sicheren von deinen gefährlichen Schlüsseln unterscheiden?

Reeve kann es, indem es den Schlüssel entschlüsselt und die Rolle liest, die darin steht. Diese eine Fähigkeit ist der Unterschied zwischen einem Bericht, mit dem du etwas anfangen kannst, und einer Liste aus vierzig Dingen, an denen du vorbeizuscrollen lernst.

Fang damit an, warum die Anzahlen so weit auseinanderliegen. Eine Zahl von Prüfungen ist eine Werbezahl und keine Messung: CheckVibe wirbt mit über hundert, Reeve führt neun aus und veröffentlicht, wie oft jede der neun über 30.998 Apps überhaupt anschlägt. Eine längere Liste über dieselbe App ist eine längere Liste. Der größere Grund ist, dass manche Scanner jeden Schlüssel in deinem JavaScript als Problem behandeln, und manche dieser Schlüssel gehören dort hin.

Dein veröffentlichbarer Supabase-Schlüssel gehört in dein Frontend. Ein Stripe-Schlüssel, der mit pk_live_ beginnt, auch. Beide reisen absichtlich zu jedem Besucher, weil die Anfrage, die sie ausweisen, aus dem Browser des Besuchers kommt, und keiner von beiden gewährt für sich genommen irgendetwas. Welche Schlüssel in deinem Frontend sicher sind ist dieser Unterschied in ganzer Länge.

Am 7. September 2026 führte die Startseite von VibeEval "Stripe pk_live_ found in /assets/app.js" unter fünf Beispielfunden auf, markiert als CRIT. Das ist ein veröffentlichbarer Schlüssel, an genau der Stelle, an der Stripe ihn veröffentlicht. Als wir die Seite im November wieder lasen, war das Beispiel verschwunden, und wir können die Berichte nicht sehen, die diese Tools ihren echten Kunden schicken, lies es also als eine Werbeseite und nicht als Urteil über das Produkt. Es ist trotzdem ein sauberes Beispiel für das, worauf man prüfen sollte, und der Schaden ist nicht die eine falsche Zeile. Ein Scanner, der dir einen kritischen Fund dafür gibt, dass du etwas richtig gemacht hast, bringt dir bei, beim nächsten mit den Schultern zu zucken, und der nächste ist der echte Fund.

Ein älterer Supabase-Schlüssel ist ein JWT, und sein mittlerer Abschnitt sagt "role": "anon" oder "role": "service_role" in lesbarem Text. Reeve liest dieses Wort. Ein veröffentlichbarer Schlüssel in deinem Bundle kommt unter einer Überschrift zurück, die sagt, dass du das richtig gemacht hast, und kostet dich nichts, und ein service_role Schlüssel im selben Bundle ist das Schlimmste, was der Scanner zu finden weiß. Die beiden sehen im Supabase-Dashboard fast gleich aus und liegen nebeneinander, und so wird der falsche kopiert.

Sagt es, wenn eine Prüfung keine Antwort bekam?

Reeve tut es, mit genau diesen Worten. Eine Prüfung endet auf drei Arten und nur eine davon ist bestanden: sie findet etwas, sie bekommt ein klares Nein, oder sie bekommt gar nichts, weil die Anfrage in eine Zeitüberschreitung lief, der Host sie abwies oder die Seite nie fertig lud. Dieses dritte Ende ist das leere Feld rechts im Bild oben. Es steht als "Konnte nicht prüfen" da und lässt deine Note in Ruhe.

Das ist das Leiseste auf dieser Seite und das, was entscheidet, ob ein Bericht irgendetwas wert ist, denn eine Sonde ohne Antwort sieht genauso aus wie eine Sonde, die sauber zurückkam, sobald jemand sie zu einem Haken aufgerundet hat. Du würdest nach diesem Haken handeln. Dahinter ist nichts.

Am 7. September 2026 fanden wir dasselbe Versprechen auf keiner der anderen Seiten. Bis zum 5. November gaben es zwei von ihnen. Die Vorschau von Vibe App Scanner zeigt dir die "checks that could not run", und die Methodik von VibeEval gibt jedem Scan einen Abdeckungswert und sagt: "When upstream protection blocks our probes we say so." LaunchGuard sagt es über eine Sache, seine Schreibtests, die übersprungen und gemeldet werden, wenn deine Datenbank nicht bestätigen kann, dass sie sie zurückrollt. Bei den übrigen fanden wir keine solche Zeile. Das ist kein Beleg dafür, dass sie aufrunden, und es bleibt die Zeile, nach der man sucht, bevor man einem grünen Bericht über eine App glaubt, an der einem liegt.

Dieselbe Regel gilt für die Zahlen, die Reeve über alle anderen veröffentlicht. Zwischen dem 12. und 14. August 2026 haben wir alle neun Prüfungen über 30.998 lebende vibe-codete Apps laufen lassen, gebaut auf Lovable, Bolt, v0, Cursor, Replit, Windsurf und Base44, haben jede Kennzahl unter CC BY 4.0 freigegeben, damit sie jeder weiterverwenden kann, und haben aufgeschrieben, wie oft jede Prüfung anschlug, welchen Anteil der Apps sie nicht erreichte und wie diese gezählt wurden. Eine Prüfung ohne Antwort sitzt in einer eigenen Spalte und nicht im sauberen Stapel, sodass nichts auf dieser Seite dadurch aufgebläht ist, dass Schweigen als Sicherheit gezählt wird. Die Startseite von Vibe App Scanner führt einen laufenden Zähler seiner Scans und der Schwachstellen, die sie gefunden haben. Welche Zahl ein Tool auch druckt, unsere eingeschlossen: frag, wie es die Apps gezählt hat, die es nicht erreichte.

Was passiert an dem Tag, an dem deine Daten weg sind?

Nichts, bei sieben der acht. Ein Scanner findet die offene Tür. Er kann dir nicht sagen, wer schon hindurchgegangen ist, und er kann keine Tabelle zurückbringen, die jemand am Dienstag geleert hat.

Reeve Care ist das achte, und diese Lücke zu schließen ist der Grund, warum es diese Firma gibt. Es nimmt nach Zeitplan Kopien deiner Supabase-Datenbank, öffnet jede Kopie und zählt sie gegen das, was hineinging, bevor die Kopie als Backup gilt, hält sie außerhalb deines Supabase-Kontos, sodass ein gesperrtes Projekt oder ein Login, an den du nicht mehr kommst, sie dort lässt, wo sie sind, und ersetzt deine Daten aus einer davon, wenn du darum bittest. Eine Kopie des aktuellen Stands wird zuerst genommen, bevor irgendetwas ersetzt wird.

Deine hochgeladenen Dateien reisen mit den Zeilen mit, sobald du einen Storage-Zugang verbindest, und das ist ein zweiter Schlüssel, der getrennt erfragt wird und der einzige, den Reeve hält und der schreiben kann, weil Supabase für Dateien keinen nur lesenden Schlüssel ausgibt. Was das genau tut ist auf der Backup-Seite ausgezeichnet.

Supabase ist das Einzige, was Care sichern kann, wenn deine Daten also in Firebase oder anderswo liegen, steht dir dieser ganze Abschnitt nicht offen und die scannende Hälfte ist das, was Reeve dir zu bieten hat. Vibe App Scanner und LaunchGuard prüfen beide Firebase-Sicherheitsregeln, und das ist das Nächste dazu auf dieser Seite.

Was bekommst du für ein Monatsabo?

Bei den anderen mehr Scans. Bei Reeve die Scans und dazu das, was passiert, nachdem einer von ihnen etwas gefunden hat.

Diese Zahlen der anderen sind das, was die Anbieter am 5. November 2026 zeigten: CheckVibe $24, $49 oder $99, Vibe App Scanner $29 oder $49, VibeEval $25 neben durchgestrichenen $49 mit einer Team-Stufe zu $75 und SupaExplorer $9. LaunchGuard verkauft kein Abo: sein tieferer Scan, ein Fix und 30 Tage Überwachung sind eine einzige Zahlung von $19 pro App. Lies den aktuellen Preis auf der Seite des Anbieters, bevor du irgendetwas kaufst, und das gilt auch für unseren, der manchmal unter der Listenzahl hier liegt und nie darüber.

Unsere Preise stehen in Euro, weil wir dir in Euro abrechnen. Die Zahlen der anderen stehen in Dollar, weil ihre Seiten sie so angeben, und wir rechnen sie nicht um.

Die meisten bezahlten Tarife hier lassen sich testen, bevor sie abrechnen. Reeve gibt dir sieben Tage, VibeEval wirbt mit vierzehn ohne Karte und CheckVibe mit vierzehn mit Karte. Vibe App Scanner und SupaExplorer bieten stattdessen einen kostenlosen ersten Scan.

Aus dieser letzten Zeile folgen zwei Dinge. Reeve Monitor kostet €12 im Monat für drei Apps, im unteren Preisbereich der Abos hier, und ist die ganze beobachtende Hälfte: stündliche Nachscans, eine Uptime-Sonde im 60-Sekunden-Takt, Warnungen, wenn sich etwas ändert, und ein Monatsbericht. Und Reeve Care kostet €49 im Monat, dieselbe Preisklasse wie CheckVibe Pro und Vibe App Scanner Pro, und ist dabei das einzige Abo auf der Seite, das außerdem eine geprüfte Kopie deiner Datenbank hält und sie auf Wunsch zurückspielt. Darüber ergänzt Care Pro für €79 fünf Apps, Backups zweimal täglich und eine öffentliche Statusseite, und Care Max für €139 nimmt sie viermal täglich.

Wo Reeve nicht die Antwort ist

Drei Aufgaben auf dieser Seite, die Reeve gar nicht erledigt.

• Deinen Quellcode lesen. CheckVibe tut es, wenn du GitHub verbindest, Vibe App Scanner in seinen bezahlten Tarifen, und die spezialisierten Secret-Scanner für diese Aufgabe gehen tiefer als wir alle. Es ist außerdem der einzige Weg, einen Schlüssel zu finden, der vor Monaten aus deiner App verschwand und noch in ihrer Historie sitzt.
• Die App im eingeloggten Zustand testen, oder indem man in sie schreibt. VibeEval unterstützt Scans mit Zugangsdaten, und der Pro-Tiefenscan von Vibe App Scanner loggt sich mit einem Testkonto ein, das du ihm gibst. Der Tiefenscan von LaunchGuard für $19 bleibt draußen, versucht aber, durch jede offene Tür zu schreiben und zu löschen, die er findet, und rollt seine Testschreibvorgänge zurück. Reeve loggt sich nie ein, schreibt nie und lädt nie eine Zeile herunter, was es sicher macht, es auf eine produktive App mit echten Kunden zu richten, und was zugleich der Grund ist, warum ein Fehler, der sich nur einem eingeloggten Nutzer zeigt, für uns unsichtbar bleibt.
• Offen sein, oder von deinem Agenten gesteuert werden. Supabomb ist quelloffen und in Python geschrieben. Vibe App Scanner veröffentlicht einen MCP-Server, CheckVibe zieht seine Funde nach Claude oder Cursor, und der Advisor von Supabase ist über den eigenen MCP-Server von Supabase erreichbar. Reeve veröffentlicht weder seinen Quellcode noch einen MCP-Server.

Wo Reeve die Antwort ist: deine App ist live, du willst wissen, was sie Fremden gerade jetzt aushändigt, ohne dafür irgendein Konto zu verbinden, du willst einen Bericht, der dir so klar sagt, was du richtig gemacht hast, wie das, was offen steht, und du hättest gern jemanden, der an dem Tag, an dem es schiefgeht, eine geprüfte Kopie deiner Datenbank hält.

Was gibst du her, wenn ein Tool deinen Code liest?

Dauerhaften Zugriff auf alles im Repository, und das ist eine viel größere Sache als die App.

Dein Repository ist nicht deine App. Darin liegt jeder Schlüssel, den du je eingecheckt und später herausgenommen hast, die Seed- und Fixture-Dateien mit echt aussehenden Kundendaten darin, der halbfertige Branch, den niemand ausgerollt hat, und die Anweisungen, die du für deinen KI-Builder geschrieben hast. Das Letzte überrascht die Leute. Deine CLAUDE.md, deine .cursorrules, deine AGENTS.md, der lange Prompt, der beschreibt, wie sich das Produkt verhalten soll: das ist dein Produktdenken, in Klartext, im Repository. Ein URL-Scan sieht die App, die deine Besucher sehen. Eine Repository-Verbindung sieht alles davon, und eine zweite Firma hält nun eine Kopie.

Drei Dinge, die man vor einer Freigabe prüft:

• Es ist Dauerzugriff und kein Besuch. Eine GitHub App oder eine OAuth-Freigabe arbeitet weiter, bis du sie widerrufst, sie liest also auch, was du nächsten Monat pushst. Finde heraus, ob du sie auf ein Repository begrenzen kannst, und finde den Widerruf-Knopf, bevor du ihn brauchst.
• Ihr Einbruch wird zu deinem. Was ein Anbieter über dich hält, liegt offen, sobald der Anbieter offenliegt, also frag, was er nach dem Scan behält.
• Ein Tool, das sich einloggt oder schreibt, kann Dinge ändern. Ein Scanner, der einen Browser durch deinen Login fährt, tut, was ein Nutzer tut, auf deinen echten Daten. Lies nach, was er anzuklicken verspricht und was nicht. Die FAQ von LaunchGuard ist ein gutes Muster für die Antwort, nach der man sucht: es prüft, dass Testschreibvorgänge zurückgerollt werden, bevor es einen versucht, und sagt, dass Datenbank-Trigger bei einem zurückgerollten Schreibvorgang trotzdem auslösen können.

Das ist ein Tauschgeschäft und keine Warnung. Ein Repository-Scanner findet den Schlüssel, den du im April gelöscht hast, und nichts, was deine Live-Seite liest, wird das je tun, wenn du also diese Frage hast, ist der Zugriff der Preis für die Antwort.

Welches solltest du nehmen?

Fünf Situationen, und zwei davon enden nicht bei uns.

• Du willst gerade jetzt kostenlos wissen, was deine App Fremden zeigt.Der Scan von Reeve oder LaunchGuard. Keiner von beiden verlangt eine Registrierung, und beide kommen innerhalb einer Minute zurück. SupaExplorer scannt ebenfalls ohne Konto.
• Du bist auf Supabase und hast den Security Advisor noch nie geöffnet. Der zuerst, vor allem auf dieser Seite, was einen Preis hat. Er ist kostenlos und liest, was kein Scan von außen lesen kann.
• Du willst deinen Quellcode gelesen oder die App im eingeloggten Zustand getestet haben. CheckVibe oder ein bezahlter Tarif von Vibe App Scanner für das Repository, VibeEval oder Vibe App Scanner Pro für hinter dem Login. Lies den Abschnitt oben darüber, was dieser Zugriff kostet, bevor du ihn freigibst.
• Du willst die App beobachtet haben und rechnest mit spitzem Bleistift. Reeve Monitor, €12 im Monat für drei Apps: stündliche Nachscans, eine Uptime-Sonde im 60-Sekunden-Takt, Warnungen und ein Monatsbericht, und gar keine Backups.
• Du hast echte Kunden und niemanden, der unter Druck ein Zurückspielen ausführt. Reeve Care, €49 im Monat, also das Scannen und das Beobachten und eine geprüfte Kopie deiner Datenbank, die auf einen Knopfdruck zurückgeht. Liegen deine Daten nicht in Supabase, gilt die Backup-Hälfte für dich nicht.

Was du diese Woche tun solltest

Der kostenlose Security-Scan von Reeve liest eine Live-URL in etwa zwanzig Sekunden ohne Konto, benotet, was er gefunden hat, und listet neben dem, was offen steht, auch das auf, was du richtig gemacht hast. Eine App danach beobachten zu lassen beginnt bei €12 im Monat, Backups mit Wiederherstellung auf Knopfdruck bei €49; die Tarife stehen hier. Wenn du deine App lieber erst selbst durchgehen willst, ist die 10-Minuten-Sicherheitscheckliste derselbe Boden ohne ein Werkzeug dazwischen.