KI-gebaute Software im Mittelstand – Turbo oder tickende Zeitbombe?

Mit Werkzeugen wie Claude Code, Lovable oder Cursor bauen heute Beraterinnen, Ingenieure, Ärztinnen und Kanzleien oft in wenigen Wochen und ohne selbst eine Zeile Code zu schreiben ihre eigenen Softwarelösungen. Was als Prototyp beeindruckt, wird im Echtbetrieb jedoch schnell zum Risiko: Sicherheitslücken, fehlende Compliance und Daten, die unbemerkt bei außereuropäischen Anbietern landen. Einer, der genau an dieser Schnittstelle arbeitet, ist Stefan Kohl. Der Gründer von AnvilStack mit Sitz in Graz bringt KI-gebaute Anwendungen sicher, regelkonform und auf europäischer Infrastruktur in den Produktivbetrieb.

Sein Weg dorthin führte über die Spieleentwicklung und rund sechseinhalb Jahre als Geschäftsführer eines eigenen Softwareentwicklungsunternehmens in Taiwan mit bis zu 20 Mitarbeitenden. Seit 2019 lebt er in Taipeh und verbindet asiatisches Umsetzungstempo mit europäischem Anspruch an Datenschutz und digitale Souveränität.

Im Interview erklärt er, warum KI zwar das Bauen löst, aber nicht das Dürfen, welche Regulierungen von NIS2 bis zum AI Act auf kleine Unternehmen zukommen, warum ein Serverstandort in Frankfurt allein noch keine Souveränität garantiert, und weshalb Europa seine klaren Regeln als Wettbewerbsvorteil begreifen sollte.

Das Gespräch mit Stefan Kohl zeigt: Digitale Souveränität beginnt nicht erst in Brüssel oder in Konzernzentralen, sondern bei jeder einzelnen Anwendung, die ein Unternehmen in Betrieb nimmt.

Silicon Valley Europe: Herr Kohl, Sie kommen aus der App- und Spieleentwicklung, haben in Taiwan ein Softwareunternehmen aufgebaut und unterstützen nun mit AnvilStack Unternehmen bei KI-gebauten Anwendungen. Wie kam es zu diesem Schritt und wobei genau hilft AnvilStack seinen Kunden?

Stefan Kohl: Ich habe meine Laufbahn in der Spieleentwicklung begonnen. Spiele sind eine harte Schule: Sie müssen auf Tausenden Geräten stabil laufen, und Nutzer verzeihen nichts. Danach habe ich in Taiwan rund sechseinhalb Jahre ein Softwareentwicklungsunternehmen geführt, mit bis zu 20 Mitarbeitenden und Projekten für Kunden in Europa.

In dieser Zeit hat sich die Art, wie Software entsteht, grundlegend verändert. Heute bauen Fachexperten mit KI-Werkzeugen in wenigen Wochen eigene Anwendungen und stehen dann vor der Frage: Darf ich das so überhaupt mit echten Kundendaten betreiben? Genau hier setzt AnvilStack an. Wir machen aus einem KI-Prototyp ein sicheres, regelkonformes Produktionssystem auf europäischer Infrastruktur und begleiten den Betrieb auch nach dem Launch. Der Code und die Infrastruktur gehören dem Kunden. Wir sorgen dafür, dass beides stabil läuft.

Silicon Valley Europe: Vibe Coding ist in aller Munde: Fachexperten beschreiben in natürlicher Sprache, was sie brauchen, und die KI schreibt den Code. Erleben wir gerade die Demokratisierung der Softwareentwicklung, oder eine gefährliche Illusion?

Stefan Kohl: Beides. Es ist eine echte Demokratisierung: Eine Steuerberaterin oder ein Ingenieur weiß oft viel besser als jede Agentur, welches Problem eine Software lösen muss. Dass diese Menschen ihre Idee heute selbst greifbar machen können, ist ein enormer Fortschritt. Ein funktionierender Prototyp ist die beste Spezifikation, die ich je bekommen habe.

Die Illusion beginnt dort, wo man „funktioniert auf meinem Bildschirm“ mit „ist bereit für den Markt“ verwechselt. Die KI liefert sehr schnell sichtbare Ergebnisse: Oberfläche, Formulare, Logik. Was man nicht sieht, sind Rechteverwaltung, Verschlüsselung, Backups, Redundanz, Protokollierung und Wartbarkeit. Das ist wie bei einem Hausbau: Die Fassade steht in einer Woche, aber ob das Fundament trägt, merkt man erst, wenn jemand einzieht.

Silicon Valley Europe: Studien zufolge enthält fast die Hälfte des KI-generierten Codes Sicherheitslücken. Woran scheitern KI-Prototypen typischerweise, wenn sie mit echten Kunden und echten Daten in Betrieb gehen sollen?

Stefan Kohl: Meist nicht an der Idee, sondern an den unsichtbaren Teilen. Typische Muster sind API-Schlüssel, die im Frontend landen, Datenbanken, auf die jeder Nutzer die Daten aller anderen Nutzer lesen kann, fehlende Rechteprüfungen auf dem Server und Passwort- oder Login-Logik, die die KI selbst „erfunden“ hat. Untersuchungen von Sicherheitsanbietern haben in einigen Tausend vibe-gecodeten Anwendungen weit über tausend Schwachstellen gefunden, viele davon trivial ausnutzbar.

Dazu kommt der Betrieb: Es gibt keine automatisierten Tests, kein Monitoring, keine Backups, und niemand weiß, was passiert, wenn um drei Uhr früh der Server ausfällt. Die KI optimiert darauf, dass die Anwendung jetzt funktioniert. Produktionsreife bedeutet aber, dass sie auch in einem Jahr noch funktioniert, und zwar mit zehnmal so vielen Nutzern und nach dem zehnten Sicherheitsupdate.

Silicon Valley Europe: Einer Ihrer Leitsätze lautet: „KI löst das Bauen. Nicht das Dürfen.“ NIS2, AI Act, Cyber Resilience Act, neue Barrierefreiheitspflichten. Welche Regulierungen sollten kleine Unternehmen und Selbstständige wirklich auf dem Schirm haben, und wo droht der Geschäftsführung sogar persönliche Haftung?

Stefan Kohl: Die KI kann Ihnen in einem Nachmittag ein Kundenportal bauen. Sie sagt Ihnen aber nicht, ob Sie es betreiben dürfen. Die DSGVO gilt ohnehin für jede Anwendung mit personenbezogenen Daten. Dazu kommen je nach Branche und Größe die NIS2-Umsetzung, die vor allem mittlere und größere Unternehmen in kritischen Sektoren direkt betrifft, über die Lieferkette aber zunehmend auch deren kleine Dienstleister. Der AI Act bringt Transparenzpflichten, sobald KI-Funktionen mit Kunden interagieren. Der Data Act und der Cyber Resilience Act verändern die Anforderungen an digitale Produkte, und für viele Angebote an Endkunden gelten inzwischen Barrierefreiheitspflichten.

Besonders unterschätzt wird, dass NIS2 die Geschäftsleitung ausdrücklich in die Verantwortung nimmt, bis hin zur persönlichen Haftung. Mein Rat: Nicht jede Regulierung betrifft jedes Unternehmen, aber man sollte es geprüft haben, bevor man live geht, und nicht erst, wenn die erste Anfrage einer Behörde oder eines Großkunden kommt.

Silicon Valley Europe: Digitale Souveränität ist eines der Kernthemen von Silicon Valley Europe. Was bedeutet Souveränität für Sie ganz konkret – nicht auf Ebene der Politik, sondern bei der einzelnen Anwendung eines kleinen Unternehmens?

Stefan Kohl: Für mich ist Souveränität zuerst eine Fähigkeit, keine Ideologie: die Fähigkeit, jederzeit selbst zu entscheiden. Ganz konkret heißt das für eine einzelne Anwendung drei Dinge. Erstens: Ich weiß, wo meine Daten liegen und wer rechtlich darauf zugreifen kann. Zweitens: Mir gehören der Quellcode, die Datenbank und die Deployment-Skripte, d.h. ich kann den Dienstleister wechseln, ohne bei null anzufangen. Drittens: Ich kann den Anbieter meiner Infrastruktur wechseln, weil alles auf offenen Standards läuft. Abhängigkeiten entstehen selten durch eine große Entscheidung, sondern durch viele kleine, bequeme. Ein Login-Dienst hier, eine Datenbank-Plattform dort. Und nach zwei Jahren kann man nicht mehr raus. Souveränität beginnt bei der ersten Architekturentscheidung.

Silicon Valley Europe: Viele Unternehmen beruhigen sich mit dem Hinweis, ihre Daten lägen ja in einem Rechenzentrum in Frankfurt. Warum reicht das aus Ihrer Sicht nicht und welche Rolle spielt dabei der US CLOUD Act?

Stefan Kohl: Weil der Standort des Rechenzentrums nicht entscheidet, welches Recht gilt, sondern wem es gehört. Der US CLOUD Act verpflichtet amerikanische Anbieter, US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten zu geben, unabhängig davon, ob diese in Virginia oder in Frankfurt gespeichert sind. Die Region „Europa“ in der Konsole von AWS, Azure oder Google ändert daran nichts.

Das ist kein theoretisches Problem. Wer als Arztpraxis, Kanzlei oder Beratungsunternehmen sensible Daten verarbeitet, steht damit in einem Spannungsfeld zur DSGVO, das sich vertraglich nur begrenzt auflösen lässt. Dasselbe gilt übrigens für Login-Dienste: Viele kleine Anwendungen speichern ihre Daten brav in Europa, schicken aber jede Anmeldung über einen US-Identitätsanbieter. Wir setzen deshalb konsequent auf europäische Anbieter ohne US-Mutterkonzern und betreiben auch die Benutzerverwaltung selbst auf Basis von Open-Source-Software wie Keycloak.

Silicon Valley Europe: Europäische Infrastruktur gilt oft als weniger komfortabel und teurer als AWS, Azure oder Google Cloud. Ist Souveränität ein Luxus, den sich nur Konzerne leisten können?

Stefan Kohl: Im Gegenteil, das ist einer der hartnäckigsten Mythen. Bei reiner Rechenleistung und Speicher sind europäische Anbieter wie Hetzner im Vergleich zu den großen US-Hyperscalern oft um ein Mehrfaches günstiger. Der Komfort der Hyperscaler ist real, aber er hat einen Preis: proprietäre Dienste, die man nur schwer wieder verlässt, und Rechnungen, die mit dem Erfolg überproportional wachsen.

Was stimmt: Souveräne Infrastruktur verlangt mehr Know-how beim Aufsetzen. Monitoring, Backups, Zertifikate, Benutzerverwaltung, all das muss man selbst sauber bauen, statt es zusammenzuklicken. Genau diese Arbeit nehmen wir unseren Kunden ab. Wir setzen auf einen standardisierten, erprobten Stack mit Kubernetes, Open-Source-Monitoring und automatisierten Deployments. Damit ist Souveränität kein Luxus mehr, sondern für ein kleines Unternehmen leistbar und langfristig oft günstiger als die vermeintlich bequeme Lösung.

Silicon Valley Europe: Mit dem ANVIL-System haben Sie einen festen Fünf-Schritte-Prozess entwickelt. Wie sieht der Weg vom Prototyp zum Produktionssystem in der Praxis aus – und warum bauen Sie die Anwendung dabei neu auf, statt den bestehenden Code zu reparieren?

Stefan Kohl: ANVIL steht für fünf Schritte. Wir beginnen mit der Analyse: Wir sehen uns Prototyp, Code, Infrastruktur und Compliance-Lage an und liefern einen Bericht mit priorisierter Roadmap und Kostenplan. Danach folgt die Neugestaltung, eine dokumentierte Blaupause mit Zielarchitektur, Datenmodell und Oberfläche, die dem Kunden gehört. In der Validierung bauen wir schnell und KI-gestützt einen Prototyp, den echte Nutzer früh testen. Bei der Implementierung und Härtung entsteht das eigentliche Produkt mit automatisierten Tests, Sicherheitsprüfungen nach anerkannten Standards und einem Senior-Review. Zum Schluss kommen der Launch und der laufende Betrieb mit Monitoring und Begleitung.

Warum neu bauen? Weil es in der Praxis meist schneller und günstiger ist, als KI-generierten Code Zeile für Zeile zu reparieren, dessen Struktur niemand bewusst entworfen hat. Der Prototyp ist dabei nicht verloren: Er ist die wertvollste Anforderungsbeschreibung, die es gibt. Ob er mit Claude Code, Lovable oder einem anderen Werkzeug entstanden ist, spielt für uns keine Rolle.

Silicon Valley Europe: Wenn Fachexperten ihre Software zunehmend selbst bauen, welche Rolle bleibt dann noch für professionelle Entwickler? Und wie setzen Sie selbst KI in Ihrer täglichen Arbeit ein?

Stefan Kohl: Die Rolle verschiebt sich vom Schreiben zum Verantworten. Code zu produzieren ist durch KI fast kostenlos geworden. Knapp und wertvoll ist das Urteilsvermögen: eine Architektur, die auch in drei Jahren noch trägt, das Wissen, wo die Sicherheitsrisiken liegen, und die Erfahrung, was im Betrieb schiefgeht. Senior-Entwickler werden wichtiger, nicht unwichtiger. Was es in Zukunft deutlich schwerer haben wird, ist reine Umsetzungsarbeit ohne eigenes Urteil.

Ich selbst arbeite täglich mit KI-Agenten, beim Programmieren, beim Testen, bei der Dokumentation. Wir sind dadurch um ein Vielfaches schneller als noch vor zwei Jahren. Die Grenze ist für mich klar: Die KI schlägt vor, ein Mensch entscheidet und unterschreibt. Jedes Feature, das in Produktion geht, wird von einem erfahrenen Entwickler geprüft. Diese Geschwindigkeit mit dieser Disziplin zu verbinden – darum geht es.

Silicon Valley Europe: Eine professionelle Umsetzung ist für kleine Unternehmen eine spürbare Investition. Wie begegnen Sie dem Einwand, dass der funktionierende Prototyp doch eigentlich reicht und wann raten Sie selbst von einem solchen Projekt ab?

Stefan Kohl: Mit einer Gegenfrage: Was kostet es Sie, wenn es schiefgeht? Ein Datenleck bei einer Anwendung mit Kunden- oder Patientendaten bedeutet Meldepflichten, mögliche Bußgelder und vor allem einen Vertrauensverlust, der sich kaum reparieren lässt. Die Kosten für Sicherheit und Compliance fallen ohnehin an, entweder geplant vor dem Launch oder ungeplant und deutlich teurer danach. Wir arbeiten deshalb mit festen Preisen und planbaren Raten, damit das Risiko für den Kunden überschaubar bleibt.

Ich rate aber auch ab, und zwar öfter, als man denkt. Wenn eine Anwendung nur intern genutzt wird und keine sensiblen Daten verarbeitet, reicht der Prototyp oft völlig aus. Und wenn noch nicht klar ist, ob überhaupt jemand für das Produkt bezahlen will, sollte man zuerst das Geschäftsmodell validieren und nicht die Infrastruktur perfektionieren. Ein ehrliches Nein im Erstgespräch ist mir lieber als ein Projekt, das sich für den Kunden nicht rechnet.

Silicon Valley Europe: Sie leben seit vielen Jahren in Taiwan, Ihr Unternehmen sitzt in Graz. Was kann Europa vom Umsetzungstempo in Asien lernen und wo könnte der europäische Weg mit Datenschutz und klaren Regeln sogar zum Wettbewerbsvorteil werden?

Stefan Kohl: In Taiwan habe ich gelernt, wie viel Tempo möglich ist, wenn man Dinge einfach ausprobiert. Entscheidungen fallen schneller, Prototypen gehen früher an echte Nutzer, und Scheitern ist weniger stigmatisiert. Diese Haltung würde Europa guttun, gerade im Mittelstand, wo Projekte oft monatelang in Abstimmungsschleifen hängen, bevor die erste Zeile Code entsteht.

Gleichzeitig sehe ich von außen deutlicher, was Europa einzigartig macht. Datenschutz und klare Regeln werden bei uns oft nur als Bremse wahrgenommen. Weltweit wächst aber das Bedürfnis nach Technologie, der man vertrauen kann. „Made in Europe“ könnte für digitale Produkte das werden, was es für Maschinen längst ist: ein Qualitätsversprechen. Dafür müssen wir aufhören, Regulierung nur zu verwalten, und anfangen, Sicherheit und Souveränität als Produkteigenschaft zu verkaufen. Die Kombination aus asiatischem Tempo und europäischem Anspruch ist für mich der Kern von AnvilStack.

Silicon Valley Europe: Wenn Sie fünf Jahre nach vorne blicken: Wie wird sich Softwareentwicklung in kleinen und mittleren Unternehmen verändern. Und was braucht es, damit Europa diese Chance nutzt, statt neue Abhängigkeiten aufzubauen?

Stefan Kohl: Ich bin überzeugt, dass in fünf Jahren in fast jedem kleinen und mittleren Unternehmen eigene Software entsteht, gebaut von den Menschen, die das Fachwissen haben. Die Frage ist nicht mehr, ob ein Unternehmen eigene digitale Werkzeuge hat, sondern wem diese gehören und wo sie laufen. Entwicklung wird zur Kooperation zwischen Fachexperten, KI und erfahrenen Ingenieuren, die für Stabilität und Sicherheit sorgen.

Damit Europa diese Chance nutzt, braucht es drei Dinge: Erstens ein Bewusstsein in den Geschäftsführungen, dass jede Architekturentscheidung auch eine Souveränitätsentscheidung ist. Zweitens europäische Infrastruktur, die so einfach nutzbar ist wie die der Hyperscaler. Da sind wir näher dran, als viele glauben. Und drittens den Mut, die Werkzeuge der Zukunft nicht nur zu regulieren, sondern selbst zu bauen. Die Ideen und das Know-how haben wir in Europa. Jetzt geht es darum, sie auch in die Produktion zu bringen.

Silicon Valley Europe: Ganz herzlichen Dank für diese klaren Worte und den Blick hinter die Kulissen KI-gebauter Software. Und natürlich auch die besten Grüße nach Taiwan.