Wie Supabase zum Standard-Backend wurde

Bitten Sie einen KI-App-Builder um eine App mit Benutzerkonten und einer Datenbank, landen die Daten oft bei Supabase. Im Juni teilte das Unternehmen mit, dass mehr als 60 Prozent der neuen Datenbanken auf seiner Plattform «von irgendeiner Art KI-Werkzeug» gestartet werden.

Wir sollten offenlegen, wo wir stehen. Werk, unsere App-Plattform, nutzt Supabase dort, wo es zu einem Projekt passt, wir kennen es also aus der täglichen Arbeit. Hier lesen Sie, wie es so weit kam, was gut ist, was nicht, und unser Urteil.

Was es ist

Supabase wurde 2020 von Paul Copplestone und Ant Wilson gegründet und startete bei Y Combinator. Das Versprechen war eine Open-Source-Alternative zu Firebase von Google, gebaut nicht auf einem proprietären Speicher, sondern auf Postgres, der Datenbank, die viele Entwickler bereits kennen und der sie vertrauen. Darum herum liegt, was eine App als Nächstes braucht: Anmeldung, aus den Tabellen generierte APIs, Dateispeicher und ein Werkzeugkasten für die Vektorsuche.

Heute beschreibt es sich in einer Zeile: «Supabase ist die Postgres-Entwicklungsplattform.» Der Code ist unter der Lizenz Apache 2.0 öffentlich. Gebaut ist es für Menschen, die eine echte Datenbank wollen, ohne selbst eine zu betreiben: Gründer mit einer ersten Version, Produktteams, Agenturen und inzwischen die Werkzeuge, die für sie alle Apps schreiben.

Wie die KI-Builder es zum Standard machten

Genau das brauchten die App-Builder: einen Dienst für Datenbank, Anmeldung und Speicher einer generierten App. Als Lovable im September 2025 Lovable Cloud lancierte, schrieb Supabase: «Hinter jedem Projekt, das in Lovable Cloud entsteht, läuft im Hintergrund Supabase.» Täglich würden mehr als 40'000 neue Datenbanken auf seiner Plattform gestartet, hiess es. Wenige Tage später nannte TechCrunch in einem Bericht über die nächste Finanzierungsrunde von Supabase Lovable und Bolt unter den Vibe-Coding-Werkzeugen, deren Backends es nutzen.

Dann kamen die Coding-Agenten. Im Juni 2026 meldete Supabase, die Zahl neu gestarteter Datenbanken sei innert eines Jahres um 600 Prozent gewachsen, und fast 10 Millionen Entwickler bauten darauf, mehr als doppelt so viele wie acht Monate zuvor. Das Wachstum habe sich seit Januar beschleunigt, schrieb das Unternehmen, da «Claude Code und Codex die Zahl der Menschen erweitern, die bauen können».

Das Geld

Supabase sammelte 2024 in einer Series C 80 Millionen Dollar ein, 2025 200 Millionen bei einer Bewertung von 2 Milliarden und im Oktober 2025 100 Millionen bei 5 Milliarden, in einer Runde, in der auch Mitglieder seiner Community Anteile kaufen konnten. Im Juni 2026 nahm es 500 Millionen Dollar bei einer Bewertung von 10 Milliarden vor der Kapitalerhöhung auf, angeführt von GIC, wobei Stripe ein zweites Mal investierte und Salesforce Ventures neu dazukam. Ein Teil davon finanziert Liquidität für die Mitarbeitenden, die in jeder Runde einen Teil ihrer bereits erdienten Anteile verkaufen dürfen.

Was wirklich gut ist

Das Beste an Supabase ist, dass es Postgres ist. Das Schema ist schlichtes SQL, die Daten liegen in Tabellen mit echten Relationen und Transaktionen, und das Können und die Werkzeuge, die ein Team bereits hat, gelten weiter. Nach unserer Erfahrung ist es deshalb auch ein guter Boden für Agenten: Ein Schema, das als SQL-Migrationen geschrieben ist, ist explizit, lesbar und prüfbar, und das passt zu Code, den KI schreibt, besser als ein loser Dokumentenspeicher.

Der Einstieg geht schnell. Der Gratisplan umfasst eine Datenbank mit 500 MB und 50'000 monatlich aktive Nutzer, genug, um eine Idee mit echten Menschen zu testen. Und es ist offen. Die Plattform ist Open Source und lässt sich selbst hosten, und weil die Datenbank gewöhnliches Postgres ist, kann ein Team seine Daten mit normalen Werkzeugen anderswohin mitnehmen.

Worauf zu achten ist

An erster Stelle steht die Sicherheit. Der Schlüssel im Browser ist bewusst öffentlich. Was die Daten schützt, ist Row Level Security: Regeln in der Datenbank, die festlegen, wer welche Zeile lesen oder schreiben darf. Die Dokumentation von Supabase ist beim Standard präzise: «Tabellen, die über das Supabase Dashboard erstellt werden, haben RLS standardmässig aktiviert.» Bei Tabellen, die im SQL-Editor oder «über ein anderes Werkzeug» entstehen, muss sie ausdrücklich eingeschaltet werden, und genau so legen Agenten und Migrationen sie meist an.

Die Lücke ist sichtbar geworden. Im Mai 2025 meldete der Forscher Matt Palmer, dass bei 170 von 1'645 Apps, die Lovable präsentierte, die Row Level Security fehlte oder falsch konfiguriert war, wodurch Daten wie E-Mail-Adressen, Telefonnummern und Zahlungsangaben offenlagen. Lovable bestritt den daraus entstandenen Schwachstelleneintrag und erklärte, jeder Kunde sei selbst für den Schutz seiner Daten verantwortlich.

Im September 2026 fand das Sicherheitsunternehmen UpGuard mehr als 16'000 Supabase-Datenbanken mit Tabellen, die jeder lesen konnte, mehr als die Hälfte davon mit Personendaten. BleepingComputer nannte als Ursache «fehlende oder unwirksame Row-Level-Security-Richtlinien und den Missbrauch öffentlicher Schlüssel», wobei die Scans nicht belegten, dass jede Website mit einem KI-Agenten gebaut worden war. Der Sicherheitschef von Supabase, Bil Harmer, sagte gegenüber TechCrunch, Projekte seien «standardmässig sicher», und die Kunden bestimmten selbst, wie ihre eigenen Projekte konfiguriert sind.

An zweiter Stelle stehen die Kosten. Pro beginnt bei 25 Dollar im Monat und enthält 10 Dollar Rechenleistung, genug für die kleinste Instanz. Jedes weitere Projekt bezahlt seine Rechenleistung voll, von 10 Dollar im Monat für die kleinste Grösse bis 3'730 Dollar für die grösste aufgeführte, und Datentransfer über 250 GB hinaus kostet 0,09 Dollar pro GB. Bei Pro ist eine Ausgabenobergrenze standardmässig aktiviert, und der Team-Plan beginnt bei 599 Dollar. Aus unserer Sicht sind die Preise fair und klar veröffentlicht, doch die Rechnung folgt Rechenleistung und Datenverkehr, und viele kleine Projekte summieren sich.

Der Lock-in ist aus unserer Sicht geringer als bei den meisten Plattformen dieser Art. Die Datenbank lässt sich leicht mitnehmen. Bei Anmeldung, Speicher und den Client-Bibliotheken wächst eine App in Supabase hinein, und dort würde ein Umzug echte Arbeit bedeuten.

Unser Urteil

Supabase verdient seinen Platz als Standard-Backend für neue Web- und Mobile-Apps, die Benutzerkonten und Daten brauchen, und der Grund ist unspektakulär: Es ist Postgres, mit guten Werkzeugen, fairen, veröffentlichten Preisen und einem Weg hinaus. Seine Schwäche teilt es mit jedem schnellen Werkzeug. Es macht eine funktionierende App einfach und eine sichere App zu einem eigenen Schritt, den ein Agent nicht immer geht.

Nutzen Sie es also, und behandeln Sie Sicherheit als Teil des Baus: Row Level Security auf jeder Tabelle, die von aussen erreichbar ist, Richtlinien, die getestet statt angenommen werden, geheime Schlüssel nur auf dem Server und eine Ausgabenobergrenze, bis Sie Ihren Datenverkehr kennen. So setzen wir es in Werk ein, wo Supabase einer der Bausteine ist, die wir pro Projekt wählen, neben Next.js, React und Expo. KI schreibt den Grossteil des Codes, Menschen prüfen jedes Release, und Rollen, Anmeldung, Verschlüsselung und automatisierte Tests sind ab der ersten Version dabei.