MITTEILUNG UEBERMITTELT VON BUSINESS WIRE. FUER DEN INHALT IST ALLEIN DAS BERICHTENDE UNTERNEHMEN VERANTWORTLICH.

• Speziell für die Softwareentwicklung konzipierte KI-Modelle sind nicht sicherer als Allzweckmodelle
• Trotz erheblicher Verbesserungen bei Geschwindigkeit, Leistungsfähigkeit und Schlussfolgerungsvermögen von KI zeigt der Bericht von Veracode, dass fast die Hälfte des von KI generierten Codes Sicherheitsprüfungen nach wie vor nicht besteht

BURLINGTON, Massachusetts --(BUSINESS WIRE)-- 28.07.2026 --

Veracode, der Weltmarktführer für Anwendungsrisikomanagement, hat heute seinen 2026 GenAI Code Security Report veröffentlicht, dem zufolge die Sicherheit trotz rascher Fortschritte bei den Programmierfähigkeiten der KI stagniert. Die durchschnittliche Erfolgsquote bei den Sicherheitstests liegt über vier Test-Snapshots und mehr als 100 seit Beginn des Programms erfassten Modellen hinweg bei 56 Prozent, was im Vergleich zum Vorjahresbericht praktisch keine Veränderung darstellt. Jedes Modell wurde hinsichtlich Code-Generierungsaufgaben in mehreren Programmiersprachen und verschiedenen Schwachstellenkategorien unter standardisierten Bedingungen und ohne sicherheitsspezifisches Prompting bewertet. KI generiert inzwischen etwa die Hälfte des gesamten festgeschriebenen Codes, doch die Sicherheitslücke wird nicht kleiner.

Diese Pressemitteilung enthält multimediale Inhalte. Die vollständige Mitteilung hier ansehen: https://www.businesswire.com/news/home/20260728693483/de/

Der Kontrast könnte kaum größer sein: Modelle generieren kompilierbaren Code mit einer nahezu universellen Syntax-Erfolgsquote von ~100 Prozent. In puncto Sicherheit versagen sie jedoch zu fast 44 Prozent, wenn ihnen keine sicherheitsspezifischen Vorgaben gegeben werden.

„Durch die zunehmende Geschwindigkeit der KI-gestützten Codierung sehen sich Entwickler mit einer Flut von Compliance-Risiken, Sicherheitswarnungen und Qualitätsproblemen konfrontiert“, so Chris Wysopal, Mitbegründer und Chief Security Evangelist bei Veracode. „Wir beobachten einen rapiden Anstieg des Einsatzes von KI-gestützten Tools zum Schreiben von Code und zur Softwareentwicklung. Das Grundproblem bleibt jedoch bestehen: Die Modelle sind zwar vielleicht syntaktisch nahezu perfekt, versagen jedoch immer noch bei fast der Hälfte aller Aufgaben, bei denen Sicherheitsaspekte eine wichtige Rolle spielen. Diese Zahl sollte jedes Unternehmen alarmieren.“

Das GenAI Code Security Report Leaderboard: Sommer 2026

GPT-5.5 von OpenAI ist mit 68 Prozent Spitzenreiter im diesjährigen Bericht, während sechs der 11 Modelle im Bereich zwischen 50 und 53 Prozent liegen. Alibabas Qwen3.7-max liegt mit 50 Prozent auf dem letzten Platz und generiert in diesem Test bei jeder zweiten Ausgabe anfälligen Code. Auch das derzeit beste verfügbare Modell scheitert noch immer an fast jeder dritten Sicherheitsaufgabe. Ein bemerkenswerter Punkt ist, dass frühere Ausgaben des Berichts von westlichen KI-Modellen dominiert wurden. Dies ist heute nicht mehr der Fall, da Kimi-K2.6 und MiMo-V2.5 verschiedene westliche Modelle leistungsmäßig übertreffen. Für Sicherheitsteams in Unternehmen spielt neben der Erfolgsquote bei Sicherheitstests auch die Herkunft des Modells eine wichtige Rolle bei Beschaffungsentscheidungen.

Für das Codieren und größere LLMs entwickelte Modelle sind nicht sicherer

Zwei weit verbreitete Annahmen halten einer Überprüfung anhand der vorliegenden Daten nicht stand. Erstens: Speziell für das Schreiben von Software-Code entwickelte Modelle sind nicht sicherer als Allzweck-KI. Spezialisierte Modelle für das Codieren erreichten im Durchschnitt eine Sicherheitserfolgsquote von 51 Prozent, verglichen mit 52 Prozent bei Allzweckmodellen. Die Tests wurden anhand der Rohmodelle durchgeführt und nicht anhand von Agenten oder Produktionsumgebungen, in denen zusätzliche Tools, Sicherungsmaßnahmen oder menschliche Überprüfungen im Prozess integriert waren. Das bedeutet, dass Entwickler, die sich aufgrund der Annahme, dass sie damit Sicherheitsrisiken minimieren, für Tools entscheiden, die auf das Codieren optimiert sind, letztendlich genauso häufig anfälligen Code veröffentlichen wie alle anderen auch.

Zweitens: Die Modellgröße hat keinen Einfluss auf die Sicherheitsleistung. Große Modelle (über 100 Milliarden Parameter) erreichen im Durchschnitt 53 Prozent, mittelgroße Modelle 51 Prozent und kleine Modelle ebenfalls 51 Prozent. Der einzige architektonische Faktor, der tatsächlich hilfreich ist: Modelle mit Schlussfolgerungsfunktionen erzielen mit 56 Prozent gegenüber 51 Prozent bei Modellen ohne Schlussfolgerungsfunktionen einen beständigen Sicherheitsvorsprung. Dies spricht dafür, dass erweiterte Schlussfolgerungsfunktionen als eine Form der internen Codeüberprüfung fungieren.

Java ist immer noch Schlusslicht — doch die Entwicklung geht in die richtige Richtung

Die Erfolgsquote liegt je nach Programmiersprache zwischen 63 Prozent bei Python und nur 30 Prozent bei Java. Java bleibt damit mit deutlichem Abstand die risikoreichste Sprache für die KI-gestützte Codegenerierung. Trotz der suboptimalen Performance ist Java aber die einzige Sprache, die im vergangenen Jahr einen klaren, beständigen Aufwärtstrend verzeichnen konnte.

„Ich war schon immer ein klarer Befürworter davon, fortschrittliche KI-Modelle wie Claude Fable und Mythos sowohl Entwicklern als auch Sicherheitsfachleuten zur Verfügung zu stellen — und daran halte ich auch weiterhin fest“, schloss Wysopal. „Die richtige Antwort ist nicht, den Zugang einzuschränken, sondern transparente, evidenzbasierte Sicherheit. Diese Studie zeigt deutlich, dass KI-generierter Code wie jeder andere ungeprüfte Code behandelt werden muss: Er muss gescannt und korrigiert werden und darf niemals ungeprüft veröffentlicht werden. Solange LLMs Sicherheit nicht auf dieselbe Weise bewerten wie Syntax, sind Schutzmaßnahmen im Entwicklungsworkflow unverzichtbar.“

Risikomanagement im Zeitalter von KI

Veracode empfiehlt Unternehmen, die folgenden Schritte zu unternehmen, um die Sicherheitslücke bei KI-generiertem Code zu schließen:

• KI-gestützte Tools wie Veracode Fix in die Arbeitsabläufe der Entwickler zu integrieren, um Sicherheitsrisiken in Echtzeit zu beheben.
• Integration von Sicherheit in agentische Arbeitsabläufe, um Standards für sicheres Programmieren automatisch durchzusetzen.
• Nutzung der Software Composition Analysis (SCA) zur Erkennung von Schwachstellen durch Abhängigkeiten von Drittanbietern und Open-Source-Komponenten in KI-generiertem Code.
• Einsatz der Package Firewall, um anfällige, bösartige oder nicht konforme Pakete zu blockieren, bevor sie die Entwicklungsumgebung erreichen.

Um den vollständigen GenAI Code Security Report 2026 herunterzuladen, besuchen Sie bitte die Website von Veracode. Besucher der Black Hat in Las Vegas vom 4. bis 7. August sind herzlich eingeladen, am Stand Nr. 4927 vorbeizuschauen. Dort erhalten Sie weitere Informationen zur Sicherheit von KI-Code sowie zu den Ergebnissen des Berichts.

Über Veracode

Veracode ist ein Weltmarktführer im Bereich Anwendungsrisikomanagement für das KI-Zeitalter. Die Veracode-Plattform basiert auf Billionen von Code-Scans und einer proprietären KI-gestützten Engine zur Fehlerbehebung und wird von Unternehmen weltweit für die Entwicklung und Wartung sicherer Software eingesetzt, von der Code-Erstellung bis zur Cloud-Bereitstellung. Tausende der weltweit führenden Entwicklungs- und Sicherheitsteams nutzen Veracode jeden Tag rund um die Uhr, um genaue und umsetzbare Einblicke in potenzielle Risiken zu erhalten, Schwachstellen in Echtzeit zu beheben und ihre Sicherheitsrisiken auf breiter Ebene zu reduzieren. Veracode ist ein mehrfach ausgezeichnetes Unternehmen, das Funktionen zur Sicherung des gesamten Softwareentwicklungslebenszyklus anbietet, einschließlich Veracode Fix, Static Analysis, Dynamic Analysis, Software Composition Analysis, Container Security, Application Security Posture Management, Malicious Package Detection, Package Firewall und Penetration Testing.

Weitere Informationen finden Sie unter www.veracode.com, im Veracode-Blog und auf LinkedIn und X.

Copyright © 2026 Veracode, Inc. Alle Rechte vorbehalten. Veracode ist eine eingetragene Marke von Veracode, Inc. in den Vereinigten Staaten und kann in bestimmten anderen Ländern registriert sein. Alle anderen Produktnamen, Marken oder Logos sind Eigentum ihrer jeweiligen Inhaber. Alle anderen hier genannten Marken sind Eigentum ihrer jeweiligen Inhaber.

Die Ausgangssprache, in der der Originaltext veröffentlicht wird, ist die offizielle und autorisierte Version. Übersetzungen werden zur besseren Verständigung mitgeliefert. Nur die Sprachversion, die im Original veröffentlicht wurde, ist rechtsgültig. Gleichen Sie deshalb Übersetzungen mit der originalen Sprachversion der Veröffentlichung ab.

Originalversion auf businesswire.com ansehen: https://www.businesswire.com/news/home/20260728693483/de/

Presse und Medien
Katy Gwilliam
Head of Global Communications, Veracode
kgwilliam@veracode.com