KI-App-Radar DACH
Wie steht es um KI-gebaute Apps im DACH-Raum?
Alle drei Monate scannen wir passiv — wie ein Browser — die auffindbare Population KI-gebauter Web-Apps mit Bezug zu Deutschland, Österreich und der Schweiz und veröffentlichen die Anteile. Keine Hostnamen, keine Screenshots, kein Befund, der einer Seite zuzuordnen wäre: nur Zahlen über Gruppen ab 20 Apps, zitierfähig unter CC-BY 4.0.
n = 454 auffindbare KI-Apps mit DACH-Bezug · Lauf Panel 2026-10-01 · abgeschlossen am 2. Oktober 2026
99 % der 455 eingeplanten Ziele waren erreichbar; nur erreichbare Apps zählen.
Die Prüfung im echten Browser lief bei 86 % der Apps. Befunde, die nur dort sichtbar sind, zählen nur über diese Apps.
1 %
4 Apps
81 %
367 Apps
18 %
83 Apps
Was auffällt
Die häufigsten Befunde der Stichprobe. Der Anteil sagt, bei wie vielen Apps die Regel angeschlagen hat — gezählt nur über die Apps, bei denen sie überhaupt prüfen konnte. Er sagt nicht, ob der Befund im Einzelfall stimmt.
Defekte
Befunde ab mittlerer Schwere, die einen beobachteten Zustand beschreiben — eine lesbare Tabelle, ein Tracker vor der Einwilligung, Nutzereingaben ungefiltert im HTML. Sie entscheiden das Verdikt.
- Mittel — SchwereRSC-ACC-004Barrierefreiheits-Verstöße im gerenderten Zustandvon 392 Apps, bei denen die Prüfung laufen konnte76 %
- Mittel — SchwereRSC-ARC-005Nicht existierende Pfade antworten mit 20072 %
- Mittel — SchwereRSC-PRV-001Google Fonts zur Laufzeit geladen36 %
- Mittel — SchwereRSC-PRV-006Daten an Drittland-Dienstevon 392 Apps, bei denen die Prüfung laufen konnte33 %
- Mittel — SchwereRSC-SCL-007Schwerer erster Seitenaufrufvon 392 Apps, bei denen die Prüfung laufen konnte25 %
- Mittel — SchwereRSC-ARC-001Inhalt nur clientseitig gerendert25 %
- Mittel — SchwereRSC-SEC-035Browser schreibt direkt in die Datenbank24 %
- Mittel — SchwereRSC-PRV-007Tracker ohne Consent-Oberfläche17 %
- Mittel — SchwereRSC-PRV-017Dienst nicht in der Datenschutzerklärung genannt16 %
- Mittel — SchwereRSC-PRV-002US-Tracking ohne sichtbare Einwilligung16 %
- Hoch — SchwereRSC-PRV-003Pflichtangaben nicht sichtbar16 %
- Hoch — SchwereRSC-PRV-005Tracker feuern vor der Einwilligungvon 392 Apps, bei denen die Prüfung laufen konnte15 %
- Mittel — SchwereRSC-SCL-002Sehr großes JavaScript-Bundle14 %
- Mittel — SchwereRSC-SEC-019Rollenprüfung im Client-Bundle13 %
- Hoch — SchwereRSC-PRV-008Tracking-Cookies ohne Einwilligung gesetztvon 392 Apps, bei denen die Prüfung laufen konnte12 %
Härtung und Hygiene
Fehlende Schutzschichten und Hygiene — ein Header, eine DNS-Zeile. Sie schlagen auf fast jeder Seite an, weil kaum jemand sie setzt, und kippen kein Verdikt. Häufigkeit ist kein Maß für Schwere.
- Niedrig — SchwereRSC-SEC-092Kein CAA-Eintrag99 %
- Mittel — SchwereRSC-SEC-003Keine Content-Security-Policy98 %
- Niedrig — SchwereRSC-SEC-005Kein Clickjacking-Schutz90 %
- Niedrig — SchwereRSC-SCL-004Keine Cache-Strategie64 %
- Niedrig — SchwereRSC-ARC-004Kein Canonical-Link46 %
- Niedrig — SchwereRSC-SEC-087DMARC mit `p=none`38 %
- Niedrig — SchwereRSC-PRV-022Kontaktdaten im ausgelieferten JavaScript33 %
- Niedrig — SchwereRSC-SEC-004MIME-Sniffing nicht unterbunden32 %
- Niedrig — SchwereRSC-SEC-024Keine Referrer-Policy32 %
- Niedrig — SchwereRSC-SEC-093Keine security.txt — keine Meldestelle für Sicherheitslücken26 %
- Niedrig — SchwereRSC-ARC-006Keine robots.txt und keine Sitemap23 %
- Niedrig — SchwereRSC-PRV-012Datenschutzerklärung: Pflichtangaben nicht gefunden14 %
- Mittel — SchwereRSC-SEC-084Kein SPF und kein DMARC — E-Mail-Fälschung ungeschützt14 %
- Niedrig — SchwereRSC-PRV-011Impressum: Pflichtangaben nicht gefunden13 %
- Mittel — SchwereRSC-SEC-085Kein DMARC-Eintrag12 %
Nach Plattform
| Plattform | Apps | Stop | Iterate | Go |
|---|---|---|---|---|
| Lovable187 Apps | 187 | 0 % | 75 % | 25 % |
| Base44122 Apps | 122 | 2 % | 87 % | 11 % |
| Bolt110 Apps | 110 | 0 % | 84 % | 16 % |
Nach Rechtsraum
| Rechtsraum | Apps | Stop | Iterate | Go |
|---|---|---|---|---|
| Deutschland172 Apps | 172 | 0 % | 77 % | 23 % |
| Schweiz204 Apps | 204 | 1 % | 87 % | 12 % |
Gruppen mit weniger als 20 Apps stehen hier nicht — nicht mit „0 %“, sondern gar nicht. Aus so wenigen Zeilen ließe sich sonst eine einzelne App heraushören.
Von Lauf zu Lauf
Jeder Lauf ist ein Quartal. Anteile erscheinen erst, wenn der Lauf die Schwelle von 20 Apps erreicht. Die Stichprobe wechselt von Lauf zu Lauf, und jede Zeile nennt ihre Methodik-Version: Zwischen zwei Versionen haben sich Regeln geändert. Trends sind deshalb Hinweise, keine Beweise.
| Lauf | Abgeschlossen | Methodik | Apps | Erreichbar | Stop | Iterate | Go |
|---|---|---|---|---|---|---|---|
| DACH 2026-09 Lauf 34. September 2026 · Methodik 2026.15 · 78 Apps · 100 % erreichbar | 4. September 2026 | 2026.15 | 78 | 100 % | 0 % | 77 % | 23 % |
| DACH 2026-09 Lauf 44. September 2026 · Methodik 2026.16 · 118 Apps · 100 % erreichbar | 4. September 2026 | 2026.16 | 118 | 100 % | 0 % | 73 % | 27 % |
| DACH 2026-09 Lauf 78. September 2026 · Methodik 2026.17 · 478 Apps · 99 % erreichbar | 8. September 2026 | 2026.17 | 478 | 99 % | 1 % | 86 % | 13 % |
| Panel 2026-10-012. Oktober 2026 · Methodik 2026.33 · 454 Apps · 99 % erreichbar | 2. Oktober 2026 | 2026.33 | 454 | 99 % | 1 % | 81 % | 18 % |
Methodik
Der Radar misst, was auffindbar ist. Die Ziele kommen aus fünf öffentlichen Quellen: den Verzeichnissen der Baukästen, den öffentlichen Zertifikatsprotokollen (Certificate Transparency) und dem Web-Archiv des Internet Archive (Wayback Machine) für Builder-Subdomains wie *.lovable.app oder *.bolt.host, dem offenen Web-Index Common Crawl (dort nur deutschsprachige Seiten) und dem Scan-Dienst urlscan.io, der Apps auf eigener Domain zeigt, die ein Skript eines Baukastens laden. Dazu kommen Ziele, die ein früherer Abruf gefunden hat und die noch keine 90 Tage alt sind. Apps auf eigener Domain ohne solche Spuren sind untererfasst. Vor dem Scan prüfen wir Erreichbarkeit und DACH-Bezug mit einem einzigen Aufruf der Startseite: Domain-Endung .de, .at oder .ch, deutsche Seitensprache oder ein Verweis auf Impressum und Datenschutz — nur solche Apps kommen in die Stichprobe. Richtig ist deshalb „x % der n auffindbaren Apps mit DACH-Bezug“, nie „x % der deutschen Lovable-Apps“. Die Zuordnung zu DE, AT oder CH passiert nach dem Scan über Domain-Endung und Rechtsbefunde; was sich nicht zuordnen lässt, zählt als nicht zuordenbar und dient als Kontrollgruppe.
Der Scan läuft passiv und browser-äquivalent: Er lädt, was jeder Browser beim Aufruf lädt, klickt nichts, füllt kein Formular aus und legt kein Konto an. Der User-Agent nennt uns und diese Seite, und robots.txt wird respektiert — wer uns dort ausschließt, wird übersprungen.
Geladen wird
- HTML, Bundles und HTTP-Header
- die Seite im Headless-Browser: Tracker vor der Einwilligung, Cookies, Barrierefreiheit
- öffentlich ausgelieferte Source Maps
- robots.txt, Sitemap und verlinkte Rechtsseiten
Nie
- sensible Pfade wie /.env oder /.git
- Backend-Sonden — Datenbank-Schema, Zeilenzählung, Buckets
- Konto anlegen oder Anmelde-Drosselung testen
Veröffentlicht werden nur Anteile über Gruppen mit mindestens 20 Apps. Kein Hostname, keine URL, kein Screenshot und kein Befund, der einer Seite zuzuordnen wäre. Die Rohdaten tragen intern einen Hash, der die Datenbank nie verlässt; die Ziel-Liste verfällt 90 Tage nach dem letzten Scan.
Vor jeder neuen Methodik-Version prüfen wir den Scanner an einer Kontrollgruppe gepflegter Profi-Seiten — jeder schwere Treffer dort gilt als möglicher Fehlalarm und wird vorher behoben. Zuletzt am 7. September 2026 an 47 echten Seiten: sechs Arten von Fehlalarm, alle behoben (Methodik 2026.17). Eine Fehlalarm-Quote je Regel veröffentlichen wir noch nicht. Die Zahlen hier sind Anteile über eine Stichprobe, keine Beweise für die einzelne App.
Wer die eigene Domain nicht im Radar haben will, trägt sie aus: Nachweis per DNS-TXT, Datei oder Meta-Tag — danach löschen wir alle Beobachtungen und das Ziel und nehmen die Domain in keinen weiteren Lauf auf. Ohne DNS-Zugriff genügt eine Mail.
Domain austragenZitieren
decivo KI-App-Radar DACH, Lauf Panel 2026-10-01, Methodik 2026.33, decivo.de/scan/radar
Zahlen und JSON stehen unter CC-BY 4.0. Bitte als „decivo KI-App-Radar DACH“ mit Link zitieren. Rohzahlen als JSON