Fluch und Segen von KI in der Webentwicklung

Wer KI programmieren lässt, bekommt schnell eine funktionierende Website oder Funktion, aber selten eine, die auf das nächste Update vorbereitet ist. Eine Studie der Carnegie Mellon University verglich 806 Open-Source-Projekte, die den KI-Editor Cursor eingeführt haben, mit 1.380 ähnlichen Projekten. Das Ergebnis: ein kurzer Geschwindigkeitsschub und ein dauerhafter Anstieg der Komplexität (He et al., Carnegie Mellon, 2025).

Mit Vibe Coding meinen wir: so lange Prompts schreiben, bis etwas läuft, und den Code übernehmen, ohne ihn wirklich zu lesen. Die Studie untersucht Cursor allgemein, zeigt aber das Muster auch für Vibe Coding. Im ersten Monat nach der Einführung stieg die Zahl der hinzugefügten Zeilen um 281 %. Statistisch signifikant war der Tempogewinn nur in den ersten zwei Monaten.

Zwei andere Effekte blieben. Die Warnungen der statischen Analyse stiegen um 30,3 %, die Code-Komplexität um etwa 42 %, und beides ging nicht wieder zurück. Genau diese beiden nennen die Autoren als wesentliche Faktoren der späteren Verlangsamung. Eine Einschränkung gehört dazu: Es ist eine Beobachtungsstudie an Open-Source-Projekten, bei Kundenwebsites kann es anders aussehen.

Der DORA-Report 2025 von Google, der auf Antworten von knapp 5.000 IT-Fachleuten beruht, bringt es in einem Satz auf den Punkt: KI repariere kein Team, sie verstärke, was schon da ist (im Original: "AI doesn't fix a team; it amplifies what's already there."). Derselbe Report fand, dass der KI-Einsatz weiterhin negativ mit der Stabilität der Software-Auslieferung zusammenhängt (im Original: "AI adoption does continue to have a negative relationship with software delivery stability") (Google Cloud, DORA 2025, 2025).

GitClear sieht in den eigenen Daten ein ähnliches Muster. Von 2021 bis 2024 stieg der Anteil per Copy-and-paste eingefügter Zeilen von 8,3 % auf 12,3 %. Zeilen, die auf Refactoring zurückgehen, sanken von 25 % auf unter 10 % (GitClear, 2025). Erstmals gab es mehr kopierten als verschobenen Code, und verschobener Code ist ein typisches Zeichen für Aufräumarbeit. GitClear verkauft Werkzeuge zur Code-Analyse, und die Zahlen zeigen nur eine Korrelation.

Für eine Website heißt das: Die nächste Person oder die nächste KI-Sitzung muss mehr Code mit weniger Struktur verstehen. Das macht jedes spätere Update schwerer.

Ohne Styleguide fallen KI-Werkzeuge gern auf einen generischen Look zurück. Die Nielsen Norman Group hat KI-Prototyping-Tools getestet und festgestellt: Ohne visuelle Vorgaben liefern sie einen ähnlichen, generischen Look, und viele KI-generierte Oberflächen wirken flach und austauschbar (im Original: "a similar, generic look" und "many AI-generated screens appear flat and interchangeable") (Nielsen Norman Group, 2025). Das Urteil über diesen Standardstil: Ihm fehlten visuelle Identität und Emotion (im Original: "it lacks visual identity and emotion").

Laut NN/g greifen die Tools standardmäßig auf Komponentenbibliotheken wie shadcn und Frameworks wie Tailwind CSS zurück. Anthropic, das Unternehmen hinter Claude, sagt über das eigene Modell: Ohne Anleitung halte es sich fast immer an Inter-Schriften, violette Verläufe auf weißem Grund und minimale Animationen (im Original: "will almost always conform to Inter fonts, purple gradients on white backgrounds, and minimal animations") (Anthropic, 2025). Anthropic nennt das "distributional convergence" und schreibt, diese generische Ästhetik untergrabe die Markenidentität (im Original: "this generic aesthetic undermines brand identity").

Keine Studie misst, wie schnell ein Corporate Design erodiert. Das ist also unsere Einschätzung, gestützt auf die Quellen oben: Jedes Element, das eine KI ohne Anleitung ergänzt, weicht ein Stück von deinem Stil ab. Ein einzelner schiefer Button fällt niemandem auf. Zwanzig davon verändern über ein paar Jahre, wie deine Marke aussieht.

NN/g stellte außerdem fest, dass angehängte Design-Dateien die Ergebnisse verbessern: Je detailgetreuer die angehängte Datei, desto genauer wurde das Design umgesetzt (im Original: "the higher the fidelity of the attached file, the more accurately the design was translated"). Im Smashing Magazine empfiehlt Vitaly Friedman eine Token-Ebene, damit die KI aus einem geschlossenen Satz benannter Variablen wählt (im Original: "closed set of named variables") (Smashing Magazine, 2026). Er warnt auch: KI könne ohne gute Anleitung technische Schulden und Design-Schulden nicht einfach wegzaubern (im Original: "cannot magically resolve technical debt or design debt").

So arbeiten wir ohnehin: erst der Styleguide, dann jedes Content-Element aus festen Variablen und Mixins für Farbe, Abstand und Schrift. Auf unserer eigenen Website liegt jede Farbe und jede Abstandsstufe in einer Variablen-Datei und jede Schriftgröße in einem Satz Typografie-Mixins. Setzt ein KI-geschriebenes Element einen Hex-Wert oder einen Pixel-Abstand fest ein, fällt das bei der Code-Durchsicht sofort auf.

Gleichzeitig werden mehr Lücken gefunden als je zuvor. Epoch AI zählte im Juli 2026 rund 2.500 Sicherheitslücken mit hohem oder kritischem Schweregrad (CVEs) von 21 großen Organisationen, etwa das Fünffache des bisherigen Monatsrekords von rund 490 (Epoch AI, 2026). Als wahrscheinlichsten Grund sieht Epoch die leichtere Entdeckung.

Der bekannteste Fall dieses Herbsts war php2shell. Am 20. und 21. Oktober 2026 veröffentlichte das PHP-Projekt die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12, die zwei kritische Lücken schließen, CVE-2026-109618 und CVE-2026-109619, bewertet mit CVSS 9,2 (Qualys, 2026). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte mit Warnstufe 3 (orange) und das heute journal im ZDF berichtete darüber (zdfheute, 2026). Unter den betroffenen Systemen wurden WordPress, TYPO3, Drupal und Joomla genannt.

Contao hat seine angekündigten Sicherheitsupdates am Vormittag des 11. November 2026 veröffentlicht: Die Versionen 5.3.54, 5.7.17 und 6.0.6 beheben zehn Hinweise (Advisories), von denen drei auf GitHub als kritisch eingestuft sind (Contao Security Advisories). Die kritischen betreffen Cross-Site-Scripting über präparierte Dateinamen und über den Figure-Insert-Tag sowie die Scope-Prüfung bei Passkey-Logins. Wie du dich vorbereitest, haben wir in unserer Meldung zu den Contao-Sicherheitsupdates beschrieben.

Das ist kein Grund für Alarm, bestätigt aber einen alten Rat: Mehr gefundene Lücken bedeuten mehr Fixes, und jeder Fix schützt dich erst, wenn er eingespielt ist. Ein fester Update-Termin ist deshalb heute mehr wert als vor zwei Jahren.

Das ist der Segen, und zwar ein großer. In unseren Projekten halbiert KI die Zeit für ein CMS-Upgrade ungefähr, bei jedem System, das wir bisher damit aktualisiert haben, manchmal sogar mehr. Das gilt für kleine individuelle Websites genauso wie für mittlere und große CMS-Seiten, und besonders für TYPO3, dessen Upgrades knifflig sein können.

Zwei aktuelle Beispiele, ohne Kundennamen. Eine recht große TYPO3-Website wurde von v12 auf v14 aktualisiert. Für ein Upgrade dieser Größe planen wir üblicherweise rund 45 Stunden, hier war es die Hälfte. Eine kleine Contao-Website wurde in mehreren Schritten von der uralten Version 3.5 auf 5.7 gebracht. Dafür planen wir normalerweise 10 bis 12 Stunden, es wurden 4,5.

Wo die KI die Zeit spart: Sie führt die automatischen PHP-Upgrades aus und prüft durchgehend per Linting auf veralteten Code. Außerdem geben wir ihr die offiziellen Upgrade-Hinweise jeder Hauptversion, damit nichts vergessen wird und sie neben der Syntax auch Änderungen an Logik und Struktur abdeckt. Die Qualitätssicherung übernehmen die automatisierten Test-Agenten, die wir eingerichtet haben: Sie vergleichen das Ergebnis Seite für Seite mit der alten Website und prüfen Statuscodes, Links, Layout und Barrierefreiheit. Das hilft enorm.

Was ein Upgrade für deine eigene Website bedeutet, steht auf unseren Seiten zum Contao-Upgrade und zum TYPO3-Upgrade.

Auch Google berichtete über eine große interne Migration von 32-Bit- auf 64-Bit-IDs: 80 % der übernommenen Code-Änderungen stammten vollständig von der KI (im Original: "80% of the code modifications in the landed CLs were fully AI-authored"), und die Ingenieure schätzten, dass sich die Gesamtzeit um etwa 50 % verringerte (Google, arXiv 2501.06972, 2025).

Thoughtworks stufte KI für Code-Migrationen im November 2025 im Technology Radar in den Ring "Trial" ein. Allein auf KI zu setzen sei oft teuer und anfällig für ausufernde Dialoge gewesen, schreibt Thoughtworks (im Original: "has often proven costly and prone to meandering conversations"). Die erfolgreichen Teams zerlegten den Prozess in kleinere, prüfbare Schritte (im Original: "broke the process into smaller, verifiable steps") (Thoughtworks, 2025).

Dries Buytaert, der Gründer von Drupal, berichtet von mehr als 175 KI-generierten Rector-Regeln für Drupal-Upgrades. Er dämpft die Erwartungen: KI-generierter Code sei weit von perfekt, und solche Regeln würden die Upgrade-Arbeit so bald nicht vollständig beseitigen (im Original: "AI-generated code is far from perfect" und "will not eliminate all upgrade work anytime soon") (Dries Buytaert, 2026). Deshalb bleibt die Prüfung bei uns.

Extended Support bekommt einen neuen Konkurrenten: das Upgrade selbst. TYPO3 ELTS, der kostenpflichtige Langzeitsupport für alte TYPO3-Versionen, kostet 2.800 € pro Lizenz und Jahr für v10 und v11 und 3.200 € für v12, vor Abzug von Mitgliederrabatten (TYPO3 News, 2026). Angeboten wird er auf typo3.com, einer Website der TYPO3 GmbH.

Der Preis für v12 liegt rund 15 % höher. TYPO3 begründet das mit den steigenden Kosten, TYPO3-Versionen über ihren kostenlosen Support-Zeitraum hinaus zu pflegen und abzusichern (im Original: "the rising costs of maintaining and securing TYPO3 versions beyond their free support lifecycle"). Das ist ein nachvollziehbarer Grund, und ELTS bleibt eine sinnvolle Brücke, wenn ein Upgrade noch nicht möglich ist.

Unsere Einschätzung, und nur das: Wenn ein sauberes Upgrade mit KI weniger kostet als ein oder zwei Jahre Extended Support, werden sich viele Website-Betreiber lieber für das Upgrade entscheiden. Das ist gut für die Sicherheit, weil mehr Websites auf Versionen mit regulärem Community-Support laufen. Für Anbieter von Extended Support verändert das ebenfalls die Rechnung.