Maßgeschneidert schlägt zusammengeklickt

Bei einem früheren Arbeitgeber, irgendwann um 2021, liefen unsere Urlaubsfreigaben über einen Power-Automate-Flow, den eine Kollegin aus dem Controlling an einem ruhigen Freitagnachmittag gebaut hatte. Zwei Jahre lang funktionierte das. Dann verließ sie die Firma, die IT deaktivierte ihr Konto, und die Freigaben blieben einfach stehen. Der Flow war die ganze Zeit unter ihrem Login gelaufen. Aufgefallen ist es, als drei Leute aus dem Urlaub zurückkamen und ihre Anträge noch in einer Warteschlange lagen, die es nicht mehr gab.

Jeder kennt eine Version dieser Geschichte. Die Retool-App, die nur ein einziger Entwickler anzufassen wagt. Die Airtable-Basis, die still zum eigentlichen CRM geworden ist. Die SharePoint-Liste mit vierzehn berechneten Spalten, über die irgendwie das ganze Onboarding läuft.

Das ist es, was "Fachabteilungen bauen ihre Tools selbst" in der Praxis bedeutet: Software mit allen Pflichten von Software, aber ohne deren Fundament.

Das Versprechen war richtig, das muss man sagen

Die Diagnose hinter Low-Code stimmt, und das will ich klar sagen, bevor ich kritisiere. IT-Backlogs werden in Quartalen gemessen. Die Menschen, die einen Prozess am besten verstehen, sind die, die täglich darin arbeiten. Sechs Monate auf ein Formular zu warten ist absurd.

Der Markt hat es geglaubt. Gartner beziffert Low-Code auf 26,9 Milliarden Dollar für 2023, mit fast 20 % Wachstum pro Jahr. Power Apps, Retool, Mendix, OutSystems und ein paar hundert mehr. Nach dieser Logik müsste interne Software längst ein gelöstes Problem sein.

Ich habe es auch geglaubt. Ich habe Power Apps mehr als einem Team empfohlen, mit einiger Überzeugung. Falsch lag ich bei der Frage, wo die Arbeit eigentlich steckt.

Die Arbeit verschwindet nicht, sie zieht um

Wer eine Low-Code-Plattform kauft, besitzt danach eine Leinwand. Das Datenmodell bleibt Ihre Aufgabe. Die Rechte und Rollen bleiben Ihre Aufgabe, pro App, im jeweiligen Dialekt des Tools. Was beim Löschen eines Datensatzes passiert, auch Ihre Aufgabe. Low-Code hat diese Arbeit von den Entwicklern wegverlagert und dem gegeben, der gerade einen freien Freitag hatte. Ohne Versionskontrolle, ohne Review, und ohne dass jemand davon weiß, bis etwas kaputtgeht.

Dazu die Preise. Lesen Sie einmal Microsofts eigene Seite zur Power-Automate-Lizenzierung: Nutzerlizenzen, Kapazitätslizenzen, Process-Lizenzen, bis zu zehnfach stapelbar pro Flow, Premium-Konnektoren je nach Stufe. Ich saß in einem Meeting, in dem die Frage, ob sich ein Flow lohnt, länger dauerte als sein Bau, weil niemand die Kosten ausrechnen konnte. (Der Konnektor, den wir brauchten, war Premium. Natürlich war er das.)

Eine ehrliche Ausnahme: Wenn Sie Entwickler haben und Ihre Daten in eigenen Datenbanken liegen, ist Retool wirklich gut, und wir schreiben das auch in unserem Vergleich. Nur bauen dann wieder Entwickler die internen Tools, also genau die Situation, die Low-Code beenden wollte.

Jetzt dasselbe Versprechen, mit KI am Code

Die neue Version des Versprechens heißt Lovable, Bolt, v0. Sie beschreiben Ihre App, sehen echten Code entstehen, klicken auf Deploy. Als Demo ist das spektakulär, und für einen Prototyp oder eine Landingpage würde ich diese Tools ohne Zögern nehmen.

Unternehmenssoftware scheitert an einer Stelle, an der die Demo nie vorbeikommt. Der sichtbare Teil eines internen Tools, das Formular, die Tabelle, der Button, ist vielleicht ein Zehntel. Die anderen neun Zehntel schaffen es auf keinen Screenshot: wer welche Datensätze sehen darf, was protokolliert wird, was mit den Daten eines Ausgeschiedenen passiert, wo gehostet wird und ob das Ganze zur DSGVO passt.

Seit letztem Jahr ist das keine Theorie mehr. Ein Sicherheitsforscher fand über 170 produktive Lovable-Apps, die Nutzerdaten offenlegten, Namen, E-Mail-Adressen, API-Keys, sogar Zahlungsdaten, weil die generierten Backends ohne Row-Level-Security auskamen. Daraus wurde CVE-2025-48757, Schweregrad 9,3 von 10.

Ich erzähle das nicht, um auf Lovable einzuprügeln. Das Problem steckt im Bauprinzip. Wenn jede App eine frisch generierte Codebasis ist, wird auch die Sicherheit jedes Mal frisch generiert, von einem Modell, dessen Ziel eine funktionierende Demo ist. Manchmal macht es das richtig. "Manchmal" ist kein Sicherheitsmodell für das System, in dem Ihre Kundendaten liegen. Diese Meinung verteidige ich gerade deshalb, weil ich selbst KI-gebaute Software verkaufe.

Was maßgeschneidert heute bedeutet

Maßgeschneidert hieß früher: eine Agentur, ein sechsstelliges Angebot und ein Wartungsvertrag. Für eine Urlaubsfreigabe-App war das nie realistisch, und genau in diese Lücke ist Low-Code gewachsen.

Cordango fängt am anderen Ende an. Das Fundament, Identität, Rechte und Rollen, Audit-Log, EU-Hosting, existiert vor der ersten App und wird von jeder weiteren geteilt. Sie beschreiben das Tool, das Sie brauchen, beantworten ein paar Fragen, und die App wird auf dieses Fundament generiert. Der Generator kann die Sicherheitsschicht nicht vergessen, weil er sie nie anfasst. Und wenn etwas wirklich zu komplex zum Generieren ist, baut unser Team es individuell, auf demselben Kern, als Teil des Produkts und nicht als Beratungsumweg.

Meine Kollegin aus dem Controlling war übrigens die richtige Person für diese Freigabe-App. Sie kannte den Prozess besser, als die IT ihn je kennen würde. Sie hätte nur nie für dessen Authentifizierung verantwortlich werden dürfen.

Ein kleiner Test

Suchen Sie den einen Flow oder die eine App in Ihrer Firma, die nur eine Person versteht. Fragen Sie, was an dem Tag passiert, an dem das Konto dieser Person deaktiviert wird. Wenn die Antwort länger ist als ein Satz, ist das die App, die Sie mitbringen sollten. Buchen Sie eine Demo, und wir bauen sie vor Ihren Augen neu, Fundament inklusive.