Wie steht es um KI-gebaute Apps im DACH-Raum?

Der Radar misst, was auffindbar ist: Apps in Builder-Verzeichnissen, auf Builder-Subdomains (etwa *.lovable.app oder *.bolt.host) und mit erkennbarem Builder-Fingerabdruck, ergänzt um Certificate-Transparency-Logs und den Common-Crawl-Index. Apps auf eigener Domain ohne Marker sind untererfasst. Richtig ist deshalb „x % der n auffindbaren Apps mit DACH-Bezug“, nie „x % der deutschen Lovable-Apps“. Die Zuordnung zu DE, AT oder CH passiert nach dem Scan über Domain-Endung und Rechtsbefunde; was sich nicht zuordnen lässt, zählt als nicht zuordenbar und dient als Kontrollgruppe.

Der Scan läuft passiv und browser-äquivalent: Er lädt, was jeder Browser beim Aufruf lädt, klickt nichts, füllt kein Formular aus und legt kein Konto an. Der User-Agent nennt uns und diese Seite, und robots.txt wird respektiert — wer uns dort ausschließt, wird übersprungen.

Veröffentlicht werden nur Anteile über Gruppen mit mindestens 20 Apps. Kein Hostname, keine URL, kein Screenshot und kein Befund, der einer Seite zuzuordnen wäre. Die Rohdaten tragen intern einen Hash, der die Datenbank nie verlässt; die Ziel-Liste verfällt 90 Tage nach dem letzten Scan.

Vor jeder Veröffentlichung läuft der Feld-Sweep über eine Kontrollgruppe gepflegter Profi-Seiten — jeder schwere Treffer dort ist ein Fehlalarm-Kandidat. Der letzte Sweep (24. August 2026) fand fünf Fehler in der Plattform-Erkennung; alle sind behoben. Die Fehlalarmschätzung je Regel steht im Quartalsbericht. Die Zahlen hier sind Anteile über eine Stichprobe, keine Beweise für die einzelne App.

Wer die eigene Domain nicht im Radar haben will, trägt sie aus: Nachweis per DNS-TXT, Datei oder Meta-Tag — danach löschen wir alle Beobachtungen und das Ziel und nehmen die Domain in keinen weiteren Lauf auf. Ohne DNS-Zugriff genügt eine Mail.