KI schreibt inzwischen fast die Hälfte des Codes. Eine Dev-Agentur zu prüfen ist gerade schwerer geworden.

Zwei Zahlen stecken das Problem ab. GitHubs Telemetrie zeigt, dass Copilot inzwischen rund 46 % des Codes schreibt, den die Entwickler produzieren, die es nutzen, gegenüber 27 % beim kommerziellen Start 2022. Gartner erwartet, dass bis Ende dieses Jahres 60 % allen neuen Codes KI-generiert sein werden. Welche Agentur man auch gleich beauftragt: KI schreibt einen großen Teil des Produkts. Dieser Teil ist entschieden.

Nicht entschieden ist, wie man die Agentur auswählt. Die Signale, an denen Gründer Agenturen schon immer verglichen haben, poliertes Portfolio, Demo-Tempo, Tagessatz, waren nie besonders gut. Inzwischen sind sie nahezu nutzlos, weil KI genau die Teile der Arbeit komprimiert hat, die diese Signale früher gemessen haben.

Warum die alten Signale nicht mehr funktionieren

Eine polierte Demo hat früher etwas bedeutet. Ein sauberes UI, funktionierende Authentifizierung und ein glaubwürdiger Ablauf vor Kundenaugen kosteten Wochen kompetenter Arbeit, also war die Demo zugleich ein Beleg für ein kompetentes Team. Heute belegt dieselbe Demo ein Abo für zwanzig Dollar im Monat. Jede Zwei-Personen-Bude kann sie an einem Tag zusammenbauen. Viele tun genau das.

Auch das Tempo hat sich eingeebnet. Googles DORA-Forschung ergab, dass Teams mit KI rund 20 % mehr Pull Requests pro Entwickler ausliefern und die Zahl der Incidents pro Änderung parallel um 23,5 % stieg. Es geht mehr Code raus, und jedes Stück davon macht mit etwas höherer Wahrscheinlichkeit etwas kaputt. Wenn jede Agentur, mit der man spricht, schnell ist, taugt Geschwindigkeit nicht mehr als Auswahlkriterium.

Und der Preis unterscheidet aus der anderen Richtung nicht mehr. Angebote für denselben Umfang liegen inzwischen zwischen ein paar tausend Dollar und dem Zwanzigfachen davon, und das billige Ende lügt nicht unbedingt. Sie können es zu diesem Preis wirklich bauen. Was das Angebot nicht verrät, ist der Zustand des Codes danach, und wer später für diesen Zustand bezahlt. Meistens man selbst.

Wie ungeprüfter KI-Code nach sechs Monaten aussieht

Die Forschung dazu ist unmissverständlich. GitClear hat über 600 Millionen Code-Änderungen analysiert und festgestellt, dass sich der Code-Churn, also Zeilen, die binnen Wochen nach dem Schreiben wieder umgeschrieben oder weggeworfen werden, seit 2022 ungefähr verdoppelt hat. Duplizierte Codeblöcke haben sich in einem einzigen Jahr verachtfacht. Refactoring, die unglamouröse Konsolidierungsarbeit, die eine Codebasis wartbar hält, ging um rund 70 % zurück. Code entsteht schneller und wird weniger geordnet.

Die Sicherheit erzählt dieselbe Geschichte. Veracode hat mehr als 100 Modelle durch 80 Coding-Aufgaben geschickt und in 45 % der Ergebnisse eine Sicherheitslücke gefunden. Ließ sich eine Aufgabe sicher oder unsicher lösen, wählten die Modelle regelmäßig den unsicheren Weg. Bei Cross-Site-Scripting lag die Fehlerquote sogar bei 86 %.

Und hier der Teil, den ich bezeichnend finde: Die Menschen, die diesen Tools am nächsten sind, vertrauen ihnen am wenigsten. In der Stack-Overflow-Umfrage 2025 sagten 46 % der Entwickler, sie trauten der Genauigkeit von KI-Output nicht, gegenüber 33 %, die es tun, und die erfahrensten Entwickler waren die skeptischsten von allen. Fast die Hälfte nannte das Debuggen von KI-generiertem Code einen Zeitfresser. Die Nutzung stieg trotzdem weiter, auf 84 %. Entwickler haben nicht aufgehört, KI zu nutzen. Sie haben aufgehört anzunehmen, dass sie recht hat.

Nichts davon macht KI-gestützte Entwicklung zu einem Fehler. Wir nutzen diese Tools täglich, und der Tempogewinn ist real. Aber der Gewinn kommt sofort und die Schulden kommen in Monat drei, weshalb die Rettung KI-gebauter Apps zu einer eigenen Dienstleistung geworden ist, mit eigener Preisliste. Die Agenturen, die diese Rettungsarbeit erzeugen, und die Agenturen, die sie erledigen, sehen im Pitch-Meeting identisch aus. Beide sind schnell. Der Unterschied steckt in Prozessen, die man in keiner Demo sieht.

Sieben Fragen, die Agenturen noch unterscheiden

Man kann keine Codebasis prüfen, bevor man die Leute beauftragt hat, die sie schreiben würden. Man kann aber genau hinhören, wie eine Agentur über Prozesse spricht. Bei diesen Fragen geben disziplinierte und undisziplinierte Shops sichtbar unterschiedliche Antworten.

1. Wie setzen Sie KI in der Entwicklung ein? Beide Extremantworten sind schlecht. "Gar nicht" ist entweder unwahr oder ein Zeichen, dass man Handwerkspreise für Massenware zahlt. "Die KI macht das meiste" ohne alles Weitere ist schlimmer. Die Antwort, die man hören will, nennt konkrete Tools und beschreibt dann unaufgefordert, wie der Output geprüft wird.
2. Wer prüft KI-generierten Code, und wie? Auf Mechanik achten: Pull Requests, ein namentlich benannter Reviewer, Review vor dem Merge statt nach dem Launch. "Die KI kontrolliert sich selbst" oder "unsere Seniors behalten das im Blick" heißt übersetzt beides: Niemand prüft ihn.
3. Wie sieht Testing in einem echten Projekt aus? Am besten die CI-Pipeline eines ausgelieferten Projekts zeigen lassen. Eine Agentur, die mit KI-Tempo arbeitet, hat entweder ernsthaftes automatisiertes Testing oder liefert diese 45-%-Sicherheitsstatistik direkt in die eigene Produktion.
4. Können Sie ein Projekt zeigen, das Sie seit über einem Jahr betreuen? Portfolios zeigen Launches. Die GitClear-Zahlen beschreiben, was nach dem Launch passiert: Churn, Duplikate, Code, den niemand konsolidiert. Ein Shop, der noch Wartungsverträge aus dem Jahr 2024 hält, hat Code, der den Kontakt mit der Realität überlebt hat. Das stärkste Signal auf dieser Liste.
5. Wo sind in diesem Angebot die Stunden für Review und Testing geblieben? Liegt der Preis bei der Hälfte des Erwarteten, wurde irgendetwas gestrichen. Manchmal hat die KI die Stunden wirklich reduziert und das Angebot ist ehrlich. Die Positionen durchgehen lassen und darauf achten, ob Review und Testing den Rabatt überlebt haben.
6. Führen Sie Security-Scans durch, und an welcher Stelle? Die Antwort sollte statische Analyse innerhalb der CI-Pipeline enthalten, nicht ein einmaliges Audit am Ende. Wenn fast die Hälfte des rohen KI-Outputs eine Lücke enthält, ist laufendes Scannen der Unterschied zwischen einem Fund am Dienstag und einem Anruf vom Kunden.
7. Wie sieht die Übergabe aus, wenn wir uns trennen? Duplizierter, ständig umgeschriebener Code ist feindliches Terrain für jedes Team, das ihn nicht geschrieben hat. Man will Dokumentation, Deployment-Zugänge und eine Codebasis, die eine andere Agentur übernehmen könnte. Wird es an dieser Stelle vage, ist das Chaos womöglich die Kundenbindungsstrategie.

Man beachte: Keine dieser Fragen verlangt, Code zu lesen. Sie verlangen, dass die Agentur ihren eigenen Prozess konkret beschreibt, was disziplinierten Shops leichtfällt, weil sie einfach erzählen, was sie heute Morgen getan haben. Undisziplinierte Shops lenken das Gespräch zurück auf ihre Tools. Tools sind das Einzige, das niemanden mehr unterscheidet.