Produktiv ohne Abnahme
Das Angebotstool des Vertriebs verarbeitet längst echte Kundendaten — auf einer Preview-URL, die nie durch eine Freigabe der IT oder des Datenschutzes gegangen ist.
Für KMU mit Tools aus Lovable, Bolt, Cursor, v0 & Copilot
Ihre Fachabteilung hat ein KI-Tool gebaut. Wir machen es sicher und betriebsfähig.
Vertrieb, Einkauf oder Controlling haben mit Lovable, Bolt, Cursor, v0 oder Copilot ein internes Tool gebaut. Es läuft, es wird genutzt — und niemand in der IT hat es je geprüft. Wir prüfen Security und DSGVO, härten die Anwendung und übergeben sie betriebsfähig an Ihre IT. Zum Festpreis.
- 30 Minuten
- ehrliche Einschätzung: härten, neu bauen oder abschalten
- kein Verkaufsdruck
Befund in 5 Werktagen
Schriftlich, priorisiert, verständlich für IT und Geschäftsführung.
Übergabe an Ihre IT
Firmen-Accounts, Infrastructure as Code, Runbook — kein Lock-in.
Security & DSGVO zuerst
RLS, Secrets, AVV, AWS Frankfurt — bevor das Tool weiterläuft.
security-check — zsh
Vom Export der Fachabteilung bis zur Übergabe an die IT — in eu-central-1, als Code beschrieben.
Schatten-IT durch Vibe Coding
Das Tool läuft — aber niemand hat es abgenommen.
KI-App-Builder machen aus einer Idee in einer Woche ein funktionierendes Tool. Was sie nicht liefern: Row-Level-Security, Secret-Management, einen Auftragsverarbeitungsvertrag oder jemanden, der nachts den Ausfall merkt. Das fällt erst auf, wenn Kundendaten drin sind.
Security ist ein Blindflug
API-Keys stehen im Frontend-Code, Supabase-Tabellen haben keine Row-Level-Security, der Login wurde vom Builder generiert statt an Ihr SSO angebunden.
Keiner weiß, wem es gehört
Repo, Hosting und Domain laufen unter dem Privat-Account einer Kollegin, Daten liegen in einer US-Region, einen AVV gibt es nicht — und wenn sie das Unternehmen verlässt, ist das Tool weg.
Vorher — unsicher
db.ts — Client-Code
const supabase = createClient(
'https://xyz.supabase.co',
'eyJhbGciOiJIUzI1NiIs…' // Service-Key im Client-Bundle
)
-- Tabelle "kunden": Row-Level-Security AUS
-- jeder mit dem anon-key liest ALLE Zeilen
Nachher — gehärtet
db.ts + policy.sql
// .env — nur serverseitig
SUPABASE_SERVICE_ROLE_KEY=•••••••••••••••
create policy "eigene_zeilen"
on kunden for select
using (auth.uid() = user_id);
// Nutzer sehen nur ihre eigenen Daten
So machen wir das Tool betriebsfähig
Vom Fachbereichs-Prototyp zur abgenommenen Anwendung in 4 Schritten.
Kein Rewrite von Null. Wir prüfen und härten, was Lovable, Bolt, Cursor oder v0 bereits gebaut haben — und übergeben das Ergebnis so, dass Ihre IT es verantworten kann.
- Security- & Production-CheckRepo-Export aus Lovable, Bolt, v0 oder Cursor plus Read-only-Zugriff auf Supabase/Datenbank. Wir prüfen Code, Datenbank-Policies, Auth, Secrets und Datenflüsse — und liefern einen schriftlichen Befund für Fachbereich, IT und Datenschutz.
- HardeningRow-Level-Security aktivieren, Keys aus dem Client entfernen, Auth auf geprüften Provider oder SSO (Entra ID, Google Workspace) umstellen, Abhängigkeiten schließen, Logging und Backups einrichten.
- Betriebsfähig machenEU-Hosting auf AWS Frankfurt (eu-central-1) oder Vercel EU als Infrastructure as Code, AVV mit allen Dienstleistern, Monitoring mit Alarmierung — statt Preview-Link unter dem Account einer Kollegin.
- Übergabe an Ihre ITRepository, Doku, Runbook und alle Admin-Zugänge gehen an Ihre IT. Auf Wunsch übernehmen wir Betrieb, Updates und Weiterentwicklung — monatlich kündbar.
Der Security- & Production-Check
Was wir prüfen, bevor das Tool weiterläuft.
Acht Bereiche, ehrlich bewertet — nicht als Marketing-Liste, sondern als das, was in KI-generierten Tools tatsächlich am häufigsten fehlt. Der Befund ist so geschrieben, dass IT-Leitung, Datenschutzbeauftragter und Geschäftsführung ihn lesen können.
Auth, Sessions & SSO
Selbstgebauter Login oder geprüfter Provider? Wir prüfen Session-Handling und Passwort-Resets und binden auf Wunsch Ihr SSO (Entra ID, Google Workspace) an.
Supabase Row-Level-Security
Tabellen ohne RLS sind der häufigste Fund in KI-generierten Tools — jeder mit dem anon-key kann sonst alle Kunden- oder Mitarbeiterdaten lesen.
Exposed Keys & Secrets
Service-Role-, OpenAI- oder Stripe-Keys im Frontend-Bundle? Wir verschieben sie serverseitig, rotieren sie und prüfen die Git-Historie.
DSGVO, AVV & EU-Hosting
Wo liegen die Daten wirklich, welche Dienste sind beteiligt, fehlt ein Auftragsverarbeitungsvertrag? Zielbild: AWS Frankfurt mit sauberer AVV-Kette.
Logging & Monitoring
Wer hat wann worauf zugegriffen, und wer merkt einen Ausfall? Wir richten Logging, Error-Tracking und Alarmierung ein, die Ihre IT auswerten kann.
Backups & Wiederherstellung
Automatische Datenbank-Backups mit Wiederherstellungspunkt — getestet, nicht nur angehakt. Sonst ist ein Fehlklick in der Fachabteilung der Ernstfall.
Ownership & Infrastructure as Code
Läuft das Tool unter dem Privat-Account eines Mitarbeiters? Wir überführen Repo, Hosting und Domain in Firmen-Accounts und beschreiben die Infrastruktur als Code.
Performance & laufende Kosten
Unnötige API-Calls, fehlende Indizes und Token-Verbrauch bei LLM-Aufrufen treiben Ladezeit und Rechnung — wir machen die Betriebskosten planbar.
Der zentrale Unterschied
Weiterlaufen lassen, intern nachbauen — oder prüfen und härten?
Alle drei Wege kommen in der Praxis vor. Der Unterschied liegt in der Zeit bis zur Abnahme, in der Belastung Ihrer IT und darin, ob das Risiko sichtbar bepreist ist oder unsichtbar weiterläuft.
| Kriterium | Weiterlaufen lassen | IT baut es nach | codehero Check & Hardening |
|---|---|---|---|
| Zeit bis zur Abnahme durch die IT | nie — das Tool bleibt Schatten-IT | Wochen bis Monate neben dem Tagesgeschäft | Befund in 5 Werktagen, Hardening typisch in 2–4 Wochen |
| Supabase-, RLS- & Secrets-Expertise | |||
| DSGVO, AVV & EU-Hosting | |||
| Aufwand für Ihre IT | keiner — bis zum Vorfall | hoch: Neubau und Betrieb | Abnahme-Termin und Übergabe |
| Kostenmodell | unsichtbar — bis zum Datenschutz-Vorfall | interne Personalkosten, offenes Ende | Festpreis: Check 990 €, Hardening ab 4.900 € |
| Betrieb & Updates danach |
Das Angebot
Drei Stufen: Check, Hardening, Betrieb.
Festpreis statt Stundensatz-Risiko. Jede Stufe steht für sich — nach dem Check entscheiden Sie frei, ob und wie es weitergeht. Alle Preise netto zzgl. MwSt.
Security- & Production-Check
990 €
einmalig · schriftlicher Befund in 5 Werktagen
Für IT-Leitung und Geschäftsführung, die zuerst wissen wollen, was die Fachabteilung da betreibt — bevor etwas passiert.
- Review von Code, Supabase-Policies, Auth und Secrets
- DSGVO-Kurzcheck: Datenflüsse, Hosting-Region, AVV-Lücken
- Priorisierte Findings mit Aufwandsschätzung
- Empfehlung: härten, neu bauen oder abschalten
- Bei Beauftragung des Hardenings voll angerechnet
Hardening
ab 4.900 €
verbindlicher Festpreis nach dem Check
Alle Findings behoben, EU-Hosting als Code, Übergabe an Ihre IT — das Tool wird zur abgenommenen Anwendung.
- RLS, Secrets serverseitig, Auth-Härtung oder SSO
- EU-Hosting auf AWS Frankfurt oder Vercel EU als IaC
- Logging, Monitoring, Backups mit Restore-Test
- AVV-Setup mit allen beteiligten Dienstleistern
- Repo, Doku, Runbook und Admin-Zugänge an Ihre IT
- Gemeinsamer Abnahme-Termin mit IT und Fachbereich
Betrieb & Wartung
ab 1.490 €/Monat
monatlich kündbar · optional nach dem Hardening
Wenn Ihre IT das Tool nicht selbst betreiben will: Wir halten es sicher, aktuell und erreichbar.
- Dependency-Updates und Security-Patches
- Monitoring, Alarmierung und Incident-Reaktion
- Backup-Kontrolle und regelmäßiger Restore-Test
- Security-Review bei Änderungen aus dem Fachbereich
- Fester Ansprechpartner für Fachbereich und IT
Und wenn der Prototyp nur der Beweis war?
Manchmal zeigt das Fachbereichs-Tool vor allem, dass der Bedarf echt ist. Dann bauen wir es als Web-App zum Festpreis sauber neu — mit Anbindung an ERP, CRM oder Ihr SSO. Das legen wir aber erst nach dem Check fest, nicht vorher.
Warum codehero
Enterprise-Engineering, kein Prompt-Reparaturdienst.
Wir betreiben selbst KI-Anwendungen in Produktion — der KI-Chat unten rechts auf dieser Seite läuft auf AWS Bedrock in Frankfurt, gebaut und betrieben von uns. Dieselben Standards legen wir an das Tool Ihrer Fachabteilung an.
Zertifizierte Entwickler
AWS Certified Solutions Architect Associate und Stripe-zertifiziert — Senior-Engineers, die Security-Reviews auch für Enterprise-AWS-Umgebungen machen.
Eigene KI-Produkte live
Der KI-Chat auf dieser Website läuft in Produktion auf AWS Bedrock — mit Rate-Limiting, Logging und Prompt-Härtung, kein Fremd-Tool.
DSGVO/EU-Infrastruktur als Standard
AWS Frankfurt, Auftragsverarbeitung und Datensparsamkeit sind bei uns die Grundeinstellung, nicht das Aufpreis-Paket.
Übergabe statt Lock-in
Repository, Infrastruktur als Code, Runbook und alle Zugänge gehen an Ihre IT. Ob Sie danach selbst betreiben oder uns beauftragen, bleibt Ihre Entscheidung.
Mehr über unsere technische Basis: AWS Security Audit und AWS-Infrastruktur.
Fragen zu Check, Hardening und Betrieb von KI-gebauten Tools
Der nächste Schritt
Bereit, das Tool Ihrer Fachabteilung sauber abzunehmen?
Wie es Ihnen lieber ist: Termin direkt in den Kalender — oder kurz anfragen, dann melden wir uns. Gern auch gemeinsam mit IT-Leitung und Fachbereich.
Der schnellste Weg
Kostenloses Erstgespräch buchen.
30 Minuten, ehrliche Einschätzung, keine Verpflichtung — wir sagen offen, ob sich das Tool härten lässt, ob ein Neubau sinnvoller ist oder ob Sie es besser abschalten.
Lieber kurz anfragen?
Zwei Minuten, wir melden uns innerhalb von 24 Stunden (werktags) — telefonisch oder per E-Mail, wie Sie möchten.
Lovable, Bolt, v0, Replit, Cursor, GitHub Copilot und Supabase sind Marken ihrer jeweiligen Inhaber. codehero steht in keiner Partnerschaft oder Verbindung zu diesen Anbietern — wir prüfen, härten und betreiben von ihnen erzeugte Anwendungen.