Lovable im Test

Lovable ist der App-Builder, der aus Vibe Coding ein Geschäft gemacht hat. Sie beschreiben eine App in einem Chat, und Lovable schreibt den Code, richtet eine Datenbank und die Anmeldung ein und stellt das Ergebnis online. Das Stockholmer Unternehmen startete im November 2024. Im August nahm es 400 Millionen Dollar bei einer Bewertung von 13,3 Milliarden auf, und im September sagte Mitgründer Fabian Hedin, der annualisierte Umsatz habe 600 Millionen Dollar überschritten.

Wir bauen beruflich Web- und Mobile-Apps, deshalb betrachten wir Lovable von zwei Seiten: als Werkzeug, mit dem wir gern arbeiten, und als Ausgangspunkt für Apps, die später echte Kundinnen und Kunden und deren Daten tragen müssen. Hier steht, was Lovable gut kann, wo es zu kurz greift und was es kostet, dabeizubleiben.

Was Lovable gut kann

Für eine erste Version ist Lovable wirklich beeindruckend. In unserer Praxis wird aus einem Satz innerhalb eines Nachmittags eine funktionierende App mit Screens, Anmeldung, Datenbank und öffentlichem Link, ohne dass jemand einen Editor öffnet. Eine Idee lässt sich an echten Menschen ausprobieren, bevor jemand eine Spezifikation schreibt, und das verändert, wie frühe Ideen getestet werden.

Genau das wollen viele. Lovable gibt an, seine Nutzerinnen und Nutzer hätten seit dem Start mehr als 60 Millionen Projekte erstellt, damit gebaute Apps kämen auf mehr als 900 Millionen Besuche im Monat, und Mitarbeitende von fast zwei Dritteln der Fortune-500-Unternehmen nutzten es. In einer Umfrage unter seinen Nutzern sagten fast acht von zehn, sie bauten ein Unternehmen oder ein Nebenprojekt auf, mit dem sie Geld zu verdienen hoffen.

Lovable hat auch in Sicherheit investiert. Seit Juni prüft ein Basis-Scan bei jeder Veröffentlichung einer App die Konfiguration, das Datenbankschema und die zugehörigen Zugriffsregeln, und Administratoren können die Veröffentlichung sperren, solange kritische Probleme bestehen. Lovable benennt die Grenze offen: Der Basis-Scan untersucht den Anwendungscode nicht auf Logikfehler.

Alles sieht gleich aus

Unser wichtigster Vorbehalt betrifft den Geschmack, und das ist unsere Einschätzung aus der Praxis, keine Messung. Mit Lovable gebaute Apps sehen meist gleich aus: dieselben Layouts, dieselben Karten, dieselben weichen Verläufe, ein Stil, den man nach ein paar Launches wiedererkennt. Für einen Prototyp spielt das keine Rolle. Für eine Marke schon, denn das Erste, was eine Kundin oder ein Kunde bemerkt, ist, dass niemand entschieden hat, wie sich das Produkt anfühlen soll.

Gute Prompts, Referenzen und ein Designsystem können das Ergebnis lenken. Doch der Standard zieht zum Durchschnitt, und die meisten belassen es beim Standard.

Wer für die Sicherheit einsteht

Die ernstere Frage ist die Sicherheit. Im März 2025 stellte Matt Palmer, damals beim Konkurrenten Replit, fest, dass eine mit Lovable gebaute Website die Daten ihrer Nutzer preisgab, weil die Datenbankregeln, die festlegen, wer welche Zeilen lesen darf, fehlten oder falsch waren. Beim Scan von 1'645 Projekten aus Lovables eigenem Showcase fanden er und seine Forscherkollegen in 170 davon 303 verwundbare Endpunkte, über die Namen, E-Mail-Adressen, Zahlungsdaten und API-Schlüssel von Entwicklern offenlagen. Die Schwachstelle wurde als CVE-2025-48757 registriert, mit einem Schweregrad von 9,3 von 10. Lovable bestreitet sie mit der Begründung, jeder Kunde sei selbst dafür verantwortlich, die Daten seiner eigenen App zu schützen.

Im April 2026 zeigte ein Forscher, dass jedes Lovable-Konto den Quellcode und den KI-Chatverlauf öffentlicher Projekte anderer Nutzer lesen konnte. Lovable schrieb zuerst auf X: «Um es klarzustellen: Bei uns gab es kein Datenleck.» Zwei Tage später veröffentlichte das Unternehmen eine ausführlichere Darstellung: Eine Änderung im Februar hatte einen Zugang wieder geöffnet, den es 2025 geschlossen hatte, Meldungen an sein Bug-Bounty-Programm waren ohne Eskalation geschlossen worden, und sowohl das Produkt als auch die erste Reaktion hatten nicht genügt. The Register nannte die Episode «ein Lehrstück dafür, wie man auf Meldungen von Schwachstellen nicht reagieren sollte».

Das Muster reicht über Lovable hinaus. Im September fand die Sicherheitsfirma UpGuard rund 16'000 Datenbanken auf Supabase, dem Datenbankdienst hinter den Apps von Lovable, mit Tabellen, die jeder lesen konnte, viele davon mit personenbezogenen Daten, und TechCrunch brachte die Welle mit Apps in Verbindung, die schnell mit KI gebaut wurden. Supabase sagt, seine Projekte seien standardmässig sicher und die Kunden kontrollierten ihre Konfiguration selbst. Beides kann stimmen. Dazwischen steht oft ein Gründer, der nie lernen musste, was eine Datenbankregel ist.

Lock-in und Kosten

Der Code selbst lässt sich mitnehmen. Laut der Dokumentation von Lovable gehören die Apps, der Code und die Inhalte, die Sie erstellen, Ihnen, jeder Plan kann mit einem GitHub-Repository synchronisieren, und das Frontend lässt sich überall hosten. Beim Backend sieht es anders aus. Läuft eine App auf Lovable Cloud, führen die unterstützten Wege hinaus zu Supabase, verwaltet oder selbst gehostet. Wer nur die Datenbank umzieht, nimmt weder Anmeldung noch Dateispeicher, Echtzeitfunktionen oder Edge Functions mit, und einen Umzug zu reinem PostgreSQL oder zu einem anderen Anbieter unterstützt Lovable nach eigenen Angaben nicht. Den Editor und seinen Agenten kann man überhaupt nicht selbst hosten.

Die Kosten laufen über Credits. Pro beginnt bei 25 Dollar im Monat für 100 Credits, Business bei 50 Dollar, und beide lassen sich bis auf 10'000 Credits erweitern; 1'200 Credits kosten bei Pro 294 Dollar im Monat. Solange eine App auf Lovable bleibt, verbrauchen ihr Hosting, ihre KI-Funktionen und ihre Konnektoren dieselben Credits wie das Bauen.

Eine erste Version ist günstig. Schwer vorherzusagen sind nach unserer Erfahrung die Kosten jeder Änderung, sobald eine App gewachsen ist. Jeder Prompt bearbeitet Code, den auf Ihrer Seite niemand geschrieben oder gelesen hat, und bei Dutzenden Screens, Rollen und Zahlungsabläufen kann eine Korrektur an einer Stelle eine andere kaputt machen, und auch die Reparatur bezahlen Sie in Credits.

Unser Fazit

Lovable ist einer der schnellsten Wege, eine Idee vor Menschen zu bringen, und es macht Freude, damit zu arbeiten. Nutzen Sie es für Prototypen, für Pitches und für interne Werkzeuge, die keine sensiblen Daten enthalten. Bevor echte Kunden und ihre Daten dazukommen, verbinden Sie GitHub vom ersten Tag an, lassen jede Datenbankregel von jemandem prüfen, der sich mit Sicherheit auskennt, und entscheiden, ob die App auf Lovable Cloud bleiben soll.

Für diesen nächsten Schritt gibt es Werk. Wir bauen Web- und Mobile-Apps mit unseren Kunden auf der Plattform, die wir für unsere eigenen Produkte gebaut haben. Konten, Rollen und Zahlungen sind dort einmal gebaut und getestet, Menschen prüfen jede Veröffentlichung, und der Quellcode gehört Ihnen. Ein Lovable-Prototyp ist ein gutes Briefing.