KI-App-Radar DACH: Lauf 2026-Q4-recall
KI-App-Radar DACH
Diese Seite zeigt die Zahlen genau dieses Laufs. Sie ändert sich nicht, wenn neue Läufe dazukommen — das ist die Adresse zum Zitieren.
n = 3.728 auffindbare KI-Apps mit DACH-Bezug · Lauf 2026-Q4-recall · abgeschlossen am 8. November 2026
99 % der 3.734 eingeplanten Ziele waren erreichbar; nur erreichbare Apps zählen.
Die Prüfung im echten Browser lief bei 88 % der Apps. Befunde, die nur dort sichtbar sind, zählen nur über diese Apps.
1 %
17 Apps
81 %
3.027 Apps
18 %
684 Apps
Was auffällt
Die häufigsten Befunde der Stichprobe. Der Anteil sagt, bei wie vielen Apps die Regel angeschlagen hat — gezählt nur über die Apps, bei denen sie überhaupt prüfen konnte. Er sagt nicht, ob der Befund im Einzelfall stimmt.
Defekte
Befunde ab mittlerer Schwere, die einen beobachteten Zustand beschreiben — eine lesbare Tabelle, ein Tracker vor der Einwilligung, Nutzereingaben ungefiltert im HTML. Sie entscheiden das Verdikt.
- Mittel — SchwereRSC-ACC-004Barrierefreiheits-Verstöße im gerenderten Zustand75 %
- Mittel — SchwereRSC-ARC-005Nicht existierende Pfade antworten mit 20056 %
- Mittel — SchwereRSC-PRV-001Google Fonts zur Laufzeit geladen46 %
- Mittel — SchwereRSC-SEC-035Browser schreibt direkt in die Datenbank34 %
- Mittel — SchwereRSC-ARC-001Inhalt nur clientseitig gerendert26 %
- Mittel — SchwereRSC-SCL-007Schwerer erster Seitenaufruf23 %
- Mittel — SchwereRSC-PRV-017Dienst nicht in der Datenschutzerklärung genannt22 %
- Mittel — SchwereRSC-PRV-006Daten an Drittland-Dienste18 %
- Mittel — SchwereRSC-PRV-007Tracker ohne Consent-Oberfläche17 %
- Hoch — SchwereRSC-PRV-005Tracker feuern vor der Einwilligung13 %
- Mittel — SchwereRSC-SCL-001Abfragen ohne Limit12 %
- Hoch — SchwereRSC-PRV-003Pflichtangaben nicht sichtbar11 %
- Mittel — SchwereRSC-SCL-002Sehr großes JavaScript-Bundle11 %
- Hoch — SchwereRSC-PRV-008Tracking-Cookies ohne Einwilligung gesetzt7 %
- Hoch — SchwereRSC-SEC-078Ausgelieferte Bibliothek mit bekannter Schwachstelle6 %
Härtung und Hygiene
Fehlende Schutzschichten und Hygiene — ein Header, eine DNS-Zeile. Sie schlagen auf fast jeder Seite an, weil kaum jemand sie setzt, und kippen kein Verdikt. Häufigkeit ist kein Maß für Schwere.
- Niedrig — SchwereRSC-SEC-092Kein CAA-Eintrag99 %
- Mittel — SchwereRSC-SEC-003Keine Content-Security-Policy98 %
- Niedrig — SchwereRSC-SCL-004Keine Cache-Strategie93 %
- Niedrig — SchwereRSC-SEC-005Kein Clickjacking-Schutz90 %
- Niedrig — SchwereRSC-ARC-004Kein Canonical-Link50 %
- Niedrig — SchwereRSC-SEC-087DMARC mit `p=none`43 %
- Niedrig — SchwereRSC-SEC-093Keine security.txt — keine Meldestelle für Sicherheitslücken43 %
- Niedrig — SchwereRSC-PRV-022Kontaktdaten im ausgelieferten JavaScript36 %
- Niedrig — SchwereRSC-PRV-002US-Tracker im ausgelieferten Code eingebunden20 %
- Niedrig — SchwereRSC-SCL-003Bilder ohne Optimierung16 %
- Niedrig — SchwereRSC-PRV-012Datenschutzerklärung: Pflichtangaben nicht gefunden15 %
- Mittel — SchwereRSC-SEC-085Kein DMARC-Eintrag14 %
- Niedrig — SchwereRSC-ARC-006Keine robots.txt und keine Sitemap13 %
- Niedrig — SchwereRSC-PRV-011Impressum: Pflichtangaben nicht gefunden13 %
- Mittel — SchwereRSC-SEC-084Kein SPF und kein DMARC — E-Mail-Fälschung ungeschützt11 %
Nach Plattform
| Plattform | Apps | Stop | Iterate | Go |
|---|---|---|---|---|
| Lovable | 3.030 | 1 % | 81 % | 18 % |
| Base44 | 383 | 2 % | 79 % | 19 % |
| Kein Builder erkannt | 129 | 2 % | 74 % | 24 % |
| Bolt | 107 | 0 % | 79 % | 21 % |
| Wix | 49 | 0 % | 100 % | 0 % |
Nach Rechtsraum
| Rechtsraum | Apps | Stop | Iterate | Go |
|---|---|---|---|---|
| Deutschland | 2.190 | 1 % | 80 % | 20 % |
| Schweiz | 1.307 | 1 % | 84 % | 15 % |
Gruppen mit weniger als 20 Apps stehen hier nicht — nicht mit „0 %“, sondern gar nicht. Aus so wenigen Zeilen ließe sich sonst eine einzelne App heraushören.
Zitieren
Zahlen und JSON stehen unter CC-BY 4.0. Bitte als „decivo KI-App-Radar DACH“ mit Link zitieren. Rohzahlen als JSON
Wie die Stichprobe entsteht, was der Scan lädt und was nie, und wie ihr eure Domain austragt: Methodik des Radars