Lovable, Bolt und v0 Assess
Überblick
Lovable, Bolt und v0 generieren Full-Stack- oder UI-Prototypen aus natürlicher Sprache für schnelle Product Discovery (Lovable, Bolt, v0).
Assess für Prototypen und Design-Spikes. Generierter Code sollte nicht ohne Security Review, Tests und Architektur-Alignment in Produktion gehen. Vercels v0 ist von v0.dev auf v0.app umgezogen und läuft seit Februar 2026 in einer Sandbox, die bestehende GitHub-Repositories importieren kann (Introducing the new v0).
Adoptionssignale
- Lovable hat am 12. August 2026 eine Series C über 400 Mio. USD bei einer Bewertung von 13,3 Mrd. USD abgeschlossen, angeführt von Menlo Ventures und mitgeführt vom von EQT verwalteten Scaleup Europe Fund; das Unternehmen meldet über 60 Millionen Projekte, mehr als 900 Millionen monatliche Besuche auf damit gebauten Apps sowie Kunden wie Adidas, NVIDIA, Deutsche Telekom und Zendesk (Antler Pressemitteilung).
- Bolt.new (StackBlitz) kündigte am 5. Mai 2026 Azure-Deployment, Integration in Microsoft 365 und Teams, Microsoft-Entra-Identität und Beschaffung über den Microsoft Marketplace an; als Beispiel nennt der Anbieter Digital Virgo, das die Entwicklungszeit einer Streaming-App von 12 auf 3–4 Monate verkürzte (Bolt.new on Microsoft Azure).
- Bolt Cloud (August 2025) bündelt Hosting, Datenbanken, Authentifizierung und Zahlungen; StackBlitz schloss im Januar 2025 eine Series B über 105,5 Mio. USD ab (Sacra: Bolt.new).
- Das neue v0 (3. Februar 2026) brachte ein Git-Panel mit einem Branch pro Chat, Pull Requests gegen main, Deploy on Merge sowie Integrationen mit Snowflake- und AWS-Datenbanken (Introducing the new v0).
Risiken
- Unsichere generierte Backends. CVE-2025-48757 (CVSS 9.3) beschreibt unzureichende Row-Level-Security in von Lovable generierten Supabase-Projekten; Forschende konnten in 170 von 1.645 geprüften Apps Daten lesen oder schreiben. Lovable bestreitet den CVE und verweist auf die Verantwortung der jeweiligen App-Betreiber (CVE-2025-48757).
- Schatten-IT mit echten Daten. RedAccess fand rund 5.000 mit Lovable, Replit, Base44 und Netlify gebaute Apps, die per URL oder hinter einer einfachen E-Mail-Anmeldung erreichbar waren; etwa 40 % davon legten Daten wie Krankenakten, Finanzdaten oder Strategiedokumente offen (Wired via Freevacy).
- Plattformbindung. Jedes Tool bringt eigenes Hosting, eigene Datenbank und eigene Auth mit; die Überführung eines erfolgreichen Prototyps auf Unternehmensinfrastruktur bedeutet meist, diese Schichten zu ersetzen.
- Datenabfluss. Prompts, hochgeladene Dokumente und angebundene Datenbanken werden auf den SaaS-Plattformen der Anbieter und bei deren Modellanbietern verarbeitet; vor der Nutzung von Geschäftsdaten sind ein Auftragsverarbeitungsvertrag und eine Datenklassifizierungsregel nötig.
- Wartbarkeit. Code aus langen Prompt-Chats hat häufig keine Tests und keine konsistente Architektur; ein Prototyp, der weiterlebt, wird schnell zu technischer Schuld.
Vorteile & Nachteile
Vorteile
- Sehr kurzer Weg von der Idee zur klickbaren, deployten App: Product Manager und Designer können Flows in Stunden mit echten Nutzern validieren, und Lovable meldet mehr als 60 Millionen erstellte Projekte seit Ende 2024.
- Die Tools reichen inzwischen in Enterprise-Stacks hinein: Bolt.new deployt nach Azure mit Microsoft-Entra-Identität, v0 importiert bestehende GitHub-Repositories und öffnet Pull Requests, und Lovable nennt Adidas, NVIDIA, Deutsche Telekom und Zendesk als Kunden.
- Das Ergebnis ist gewöhnlicher React-/TypeScript-Code in einem Git-Repository, sodass ein validierter Prototyp an das Engineering übergeben werden kann, statt ihn anhand von Screenshots neu zu bauen.
Nachteile
- Generierte Backends sind oft standardmäßig unsicher: CVE-2025-48757 (CVSS 9.3) fand fehlende Supabase-Row-Level-Security in 170 von 1.645 geprüften Lovable-Apps; Lovable bestreitet den CVE und sieht die Verantwortung beim Kunden.
- Jede Person im Unternehmen kann eine Live-App mit echten Daten außerhalb der IT-Kontrolle veröffentlichen; eine Studie vom August 2026 fand rund 5.000 öffentlich erreichbare Vibe-Coding-Apps ohne echte Authentifizierung, von denen etwa 40 % sensible Daten preisgaben.
- Hosting, Datenbanken und Auth sind in die Plattform des jeweiligen Anbieters gebündelt (Lovable-Hosting, Bolt Cloud, Vercel); Prototypen sind so leicht zu starten und schwer unter unternehmensweite Security- und Datenresidenz-Regeln zu überführen.
Empfehlung
Lovable, Bolt und v0 im Assess als Prototyping-Werkzeuge für Product Discovery bewerten: klickbare Demos, Design-Spikes und kurzlebige interne Tools, ausschließlich mit synthetischen oder öffentlichen Daten. Vor dem Start empfehlen sich ein freigegebener Account mit SSO, die Regel, dass keine personenbezogenen oder Kundendaten in Prompts oder angebundene Datenbanken gelangen, und private (nicht öffentliche) Freigabe als Standard.
Die Überführung in Produktion ist eine eigene Engineering-Entscheidung: Das generierte Repository durchläuft die normale Pipeline mit Code Review, Tests, Security Scanning und einer Prüfung der Datenbank-Zugriffsregeln, und das Hosting wechselt auf die eigene Plattform. Als Vergleich bieten sich Figma Make für designgetriebenes Prototyping und Replit Agent für interne Apps an; ein unkontrollierter Rollout an Nicht-Entwickler entspricht dem im Radar-Eintrag zu AI-accelerated Shadow IT beschriebenen Anti-Pattern.
Quellen
Beratung
Vom Radar zur Umsetzung
Du hast Technologien bewertet — wir helfen dir, sie sicher und messbar in produktive Systeme zu bringen.
