Was zeigt der Free Scan, und was kostet er?
Er kostet nichts. Der Free Scan ist technisch derselbe Durchlauf wie der Quick Scan, aber ohne Rückfragen. Du siehst das Ergebnis als Balken, je zwei Blocker und Risiken und zwei bestandene Prüfungen ohne Behebung, dazu einen Sammel-Prompt für die Probleme. Alle weiteren Befunde mit Fundstelle, Bewertung und Behebung siehst du, wenn du auf den Quick Scan upgradest, und zwar für genau diesen Scan, ohne neuen Lauf. Dazu kommen die Rückfragen, die klären, was sich nicht messen lässt. Du brauchst ein Konto, aber keine Zahlungsdaten.
Wie lange dauert der Free Scan?
In der Regel wenige Minuten. Deine Seite wird auf unserem Server aufgerufen und gemessen. Laufen gerade viele Prüfungen gleichzeitig, kann es etwas länger dauern.
Muss ich meinen Quelltext hochladen?
Nein, in keiner Stufe, auch nicht im Free Scan. Du wählst deine ZIP-Datei aus, und dein Browser prüft unterstützte Textdateien an Ort und Stelle, einschließlich .env. Ausgelassene oder gekürzte Inhalte werden als Prüfungslücke erfasst. Dein Quelltext wird nicht übertragen und nicht gespeichert. Zu uns geht je Fund eine Zeile wie diese:
supabase/migrations/20250612_profiles.sql:18
· Tabelle profiles · Zugriffsregel umgekehrt · Konfidenz sicher
Aus einem Schlüssel wird sk_live_… · 32 Zeichen, auch das letzte Zeichen bleibt bei dir. Für Dateiinhalt gibt es kein Feld: Was eines mitbrächte, wird abgewiesen, nicht bereinigt.
Was ist der Unterschied zwischen Quick Scan und Deep Scan?
Quick ist für einzelne Vibe Coder, die gerade starten oder kein Vorwissen in Technik und Security haben. Deep ist für kleinere Unternehmen und junge Startups. Beide nutzen dasselbe Regelwerk. Quick prüft die Startseite, Rechtstexte und unterstützte Textdateien im Projektarchiv. Dazu gehört der Abgleich bekannter Sicherheitslücken für exakt erkannte npm-Versionen aus deinem Archiv. Deep ergänzt einen begrenzten Lauf über Unterseiten und Formulare, passende Cookie- und Bestellszenarien sowie automatisierte Prüfungen der mobilen Startseite und ihrer Barrierefreiheit. Hinzu kommen dein Webhost, die üblichen Nebenadressen deiner Domain und ihre E-Mail-Einstellungen; Versand und Empfang werden getrennt betrachtet.
Beide Stufen stellen die Fragen bis zum Bericht. Deep ergänzt Vertiefen: alle weiteren Fragen kapitelweise. Der Bericht zeigt geprüfte Dateien, Seiten und Zustände sowie offene Nachweise. Beide Stufen enthalten vorhandene Fix-Prompts zu passenden Befunden, einzeln und als Sammel-Prompt.
Was prüft der Checker nicht?
Nichts hinter dem Login. Alle Prüfungen laufen anonym; wir melden uns nirgends an. Der Loginbereich sowie Rollen- und Mandantenrechte, also ob ein Nutzer die Daten eines anderen sieht, bleiben ungeprüft.
Keine Angriffe. Der Checker ist kein Penetrationstest: Wir nutzen keine Lücken aus und probieren keine Angriffe an deiner Seite aus.
Nur npm. Bekannte Sicherheitslücken gleichen wir für exakt erkannte npm-Versionen ab, nicht für Python, PHP oder andere Paketquellen.
Keine vollständige Barrierefreiheitsprüfung. Der Deep Scan testet automatisiert; die vollständige BFSG-Konformität prüft er nicht.
Keine Seite hinter Bot-Schutz. Blockiert eine Firewall oder ein Bot-Schutz unsere Prüfung, gibt es keinen Bericht, sondern eine Seite, die erklärt, wie du uns freigibst.
Muss ich Entwickler sein, um damit etwas anzufangen?
Nein. Der Bericht ist für die Person geschrieben, die das Produkt gebaut hat. Zu jedem Fund steht, wie aufwändig die Behebung ist: von „in fünf Minuten selbst erledigt“ über „ein Entwickler braucht dafür etwas Zeit“ bis „gehört in die Hand der Kanzlei“. So siehst du sofort, was du selbst machst und was du weitergibst.
Was kostet es, und wie komme ich wieder raus?
Der Free Scan kostet nichts. Der Quick Scan kostet 49,00 € im Monat, der Deep Scan 99,00 € im Monat, jeweils zzgl. 19 % USt., also 58,31 € beziehungsweise 117,81 €. Unternehmen aus einem anderen EU-Staat mit gültiger USt-IdNr. zahlen netto (Reverse-Charge). Den Endbetrag für deine Anschrift zeigt die Kasse vor dem Bezahlen. Es gibt keine Mindestlaufzeit und keine Einrichtungsgebühr.
Kündigen kannst du jederzeit zum Ende des laufenden Abrechnungsmonats, im Konto und ohne dass du dich dafür bei jemandem melden musst.
Wie oft darf ich prüfen?
Deine eigene Seite: bis zu 20 Läufe am Tag über dein Konto, dieselbe Domain höchstens 10-mal, als Deep Scan 3-mal. Das reicht für die Schleife, für die das Werkzeug gebaut ist: Fehler beheben, nachsehen, weitermachen.
Seiten, die nicht deine sind: höchstens 3 Prüfungen am Tag je fremder Domain, über alle Konten hinweg.
Brauche ich ein Konto?
Ja, aber keine Zahlungsdaten. Ein Prüfvorgang trägt Pfad und Zeilennummer aus deinem Projektarchiv. Ohne Konto gäbe es niemanden, dem er gehört, und jeder mit der Adresse dürfte ihn lesen. Den Free Scan startest du direkt nach der Registrierung. Für die Details brauchst du eine laufende Stufe, den Quick Scan oder den Deep Scan.
Was passiert mit meiner E-Mail-Adresse?
Sie ist dein Zugang zum Konto: zum Anmelden und für Nachrichten zu deinem Konto. Werbung schicken wir dir nur mit deiner ausdrücklichen Einwilligung. Was wir wie lange speichern, steht in der Datenschutzerklärung.
Ist der Bericht eine Rechtsberatung?
Nein. Der Bericht ist eine Messung: Er sagt, was gefunden wurde, mit welcher Konfidenz und an welcher Stelle. Rechtsberatung entsteht erst im Termin mit der Kanzlei, und dort wird sie auch als solche erbracht. Durch die Nutzung des Checkers kommt kein Mandatsverhältnis zustande.
Was, wenn der Scan nichts findet?
Dann zeigt der Balken keine Befunde. Das heißt nicht, dass alles in Ordnung ist: Was sich von außen und im Archiv nicht entscheiden lässt, steht im Bericht als offen. Und eine automatisierte Prüfung ersetzt nicht den Blick auf deinen Einzelfall. Für den finalen Launch fragst du deshalb eine Beratung an, rechtlich und technisch.
Wo läuft das, was nicht in meinem Browser läuft?
Deine Adresse wird wirklich aufgerufen und gemessen, das macht unser Server, nicht dein Rechner. Die Server stehen bei Hetzner in Deutschland, die Datenbank liegt bei Supabase in Frankfurt am Main, der Mailversand läuft über Resend in der EU-Region (Irland). Die Zahlung wickelt Stripe ab; Zahlungsdaten sehen wir nicht.
Welche Angabe an wen geht und welche wie lange bleibt, steht mit Frist im Verarbeitungsverzeichnis der Datenschutzerklärung.
Darf ich damit fremde Seiten prüfen?
Nur im begrenzten Beobachtungsmodus: öffentliche Seitenantworten, festgelegte öffentliche Adressen und Verbindungsmerkmale. Interaktionen mit Cookie-Bannern, Shops oder Testkonten und zusätzliche Prüfungen eigener Infrastruktur setzen bestätigte Verfügungsbefugnis voraus. Auch ein Deep-Tarif erweitert den Beobachtungsmodus nicht. Fix-Prompts und Übergabepakete gehören zur Eigenprüfung.
Wer betreibt den Vibecode-Checker?
Betreiber des Werkzeugs und dein Vertragspartner ist die BYB Agency GmbH (BYB Labs). Die Kanzlei WBS.LEGAL übernimmt die anwaltliche Beratung im Termin. Die Zahlung läuft über den Zahlungsdienstleister Stripe.
