Online in einer Stunde. Ihre API‑Schlüssel und Kundendaten auch.
Bereit.
Quellen: Veracode, GenAI Code Security Report, 30.07.2025 · Escape, 29.10.2025 · NVD, CVE-2025-48757
Ihr Vertrieb baut ein Kundenportal mit Bolt, das Marketing eine Kampagnenseite mit Lovable oder v0. Beides ist an einem Nachmittag online, ohne Ticket bei der IT. Damit die App funktioniert, landen API-Schlüssel und Datenbank-Zugänge oft im Code, den jeder Browser lädt. Wer die Seite öffnet, kann sie lesen.
Bei der Plattform Moltbook reichte genau das. Ein Supabase-Schlüssel im JavaScript öffnete die Datenbank mit 1,5 Mio. API-Tokens und 35.000 E-Mail-Adressen. Wiz brauchte dafür keinen Angriff, nur den normalen Aufruf der Seite (Wiz, 02.02.2026).
Ob solche Apps in Ihrem Haus laufen, weiß Ihre IT oft nicht. Nur 29 % der deutschen Unternehmen sind sicher, dass ihre Beschäftigten keine privaten KI-Tools nutzen. Regeln dafür haben 23 % (Bitkom, 21.10.2025).
Hullwise sieht Ihre Apps so, wie ein Angreifer sie sieht, nur früher. Sie bekommen jeden Befund mit Fundstelle und Anleitung zur Behebung. Mit Business scannen wir jede Woche neu, und Ihr Team bekommt eine Mail, sobald sich eine Note verschlechtert.
Alles hier steckt im Code, den der Browser lädt. Hullwise zeigt es Ihnen zuerst, mit Fundstelle und dem nächsten Schritt.
Mit einem Supabase-Generalschlüssel, einem OpenAI-Schlüssel oder einem Datenbank-Passwort aus dem JavaScript liest ein Fremder Ihre Kundendaten oder bucht auf Ihre Rechnung. Hullwise nennt Art und Fundstelle, zeigt den Wert nur gekürzt und erklärt, wie Sie den Schlüssel sperren.
Fehlen auf einer Supabase-Tabelle die Zugriffsregeln (Row Level Security), liest jeder Besucher die ganze Tabelle mit. Der Scan meldet, wenn der Browser die Datenbank direkt anspricht. Ob die Regeln greifen, prüft das Security Audit.
Ruft die App OpenAI oder Anthropic ohne eigenen Server auf, steckt der Schlüssel im Browser. Wer ihn kopiert, verbraucht Ihr KI-Budget, und die Rechnung geht an Sie. Ein kleiner Server-Endpunkt, der den Schlüssel hält, schließt die Lücke.
Bekannte Lücken stehen öffentlich im Netz, samt Beschreibung. Wer in Ihrer App eine veraltete Version erkennt, weiß, wo er ansetzen kann. Hullwise erkennt die Versionen von Bausteinen wie Next.js oder React und gleicht sie mit der Lückenliste OSV.dev ab. Meist schließt ein Update die Lücke.
Mit einem Slack- oder Teams-Webhook aus dem Code schreibt jeder in Ihre Kanäle, etwa eine gefälschte Anweisung an Ihr Team. Ein GitHub-Token führt zu Ihrem Quellcode. Hullwise findet auch Schlüssel für Stripe, AWS, SendGrid und Twilio. Die Anleitung zeigt, wie Sie sie austauschen.
Der Bericht zeigt, ob eine App mit Lovable, Bolt, v0, Replit oder Base44 entstanden ist und wo sie läuft, etwa bei Vercel oder Netlify. So sehen Sie, welche Ihrer Apps aus einem KI-Baukasten stammen, auch die, von denen Ihre IT nichts weiß.
Jedes Deployment kann einen neuen Schlüssel in den Code bringen. Business scannt bis zu 10 Domains jede Woche neu. Verschlechtert sich eine Note, bekommt Ihr Team eine Mail. Der Verlauf dient als Nachweis gegenüber Prüfern.
Ihre Entwickler hängen den Scan an jedes Deployment, per API oder als MCP-Server in Claude Code und Cursor.
GET /api/v1/scan?url=…
→ 200 { "grade": "E" }Lovable sieht die Verantwortung für offene Datenbanken beim Kunden (CVE-2025-48757). Für ein Datenleck aus einer App Ihrer Abteilung haftet Ihr Unternehmen.
Führt ein offener Zugang zu einer Datenpanne, haben Sie 72 Stunden für die Meldung an die Aufsichtsbehörde. Bei hohem Risiko müssen Sie auch die betroffenen Kunden informieren.
Hullwise zeigt das Leck, damit Sie es schließen, bevor jemand die Daten findet.
Quelle: Art. 33 und 34 DSGVO
NIS2 gilt in Deutschland seit dem 06.12.2025. Die Geschäftsleitung muss die Sicherheitsmaßnahmen umsetzen und überwachen. Bei schuldhafter Pflichtverletzung haftet sie dem Unternehmen gegenüber persönlich.
Hullwise liefert Belege für Ihre NIS2- und DSGVO-Pflichten. Jeder Scan steht mit Datum und Befunden im Verlauf.
Quelle: BSI, 05.12.2025 · § 38 BSIG
Wer einen offenen OpenAI- oder Anthropic-Schlüssel findet, schickt seine Anfragen auf Ihre Kosten. GitGuardian zählt 1.275.105 geleakte Schlüssel für KI-Dienste, 81 % mehr als im Vorjahr.
Hullwise erkennt Schlüssel für OpenAI, Anthropic, OpenRouter, Groq und xAI. Sie sperren ihn beim Anbieter und legen den neuen auf den Server.
Bei hoher Nutzung von Schatten-KI kostete ein Datenleck im Schnitt 670.000 US-$ mehr. Dazu kommt der Schaden, wenn Kunden aus der Presse erfahren, dass ihre Daten offen lagen.
Tragen Sie die Adressen ein, die Ihre Abteilungen nutzen. Hullwise zeigt in Sekunden, was darin offen liegt.
Quelle: IBM, Cost of a Data Breach 2025
Der Scan öffnet Ihre App wie ein Browser und greift nichts an. Gefundene Schlüssel benutzt er nie, ihren vollständigen Wert speichert er nie. Was hinter dem Login liegt, prüfen wir im Security Audit von Hand.
Sie sehen sofort die Note und die zwei dringendsten Befunde. Den vollständigen Bericht gibt es einmalig für 79 €, jede weitere Prüfung derselben Domain für 39,50 €. Business überwacht bis zu 10 Domains für 149 € im Monat.
Hullwise verkauft nur an Unternehmen. Alle Preise sind Endpreise, nach § 19 UStG wird keine Umsatzsteuer berechnet.
Der erste Blick auf eine App
Für Unternehmen mit mehreren Apps und Domains
Für Konzerne, NIS2-Einrichtungen und regulierte Branchen
Eine App, eine Domain, jetzt wissen, was offen liegt. Sie bekommen jeden Befund mit Anleitung, dauerhaft unter einem privaten Link und als PDF.
Gefixt und neu prüfen? Jeder weitere Bericht für dieselbe Domain kostet nur 39,50 €.
Der Scan sieht, was von außen offen liegt. Im Audit prüfen wir von Hand, was dahinter liegt, etwa ob die Zugriffsregeln Ihrer Datenbank greifen und was hinter dem Login passiert.
Mehr im Hilfe-Center.
Der erste Scan ist kostenlos. Er zeigt die Note, die Zahl der Befunde je Bereich und die zwei dringendsten Befunde vollständig.
Der Einzelbericht kostet einmalig 79 €. Dafür bekommen Sie den vollständigen Bericht genau dieses Scans mit jedem Befund und der Anleitung zur Behebung, dauerhaft unter einem privaten Link und als PDF. Jede weitere Prüfung derselben Domain kostet 39,50 €.
Business kostet 149 € im Monat, bei jährlicher Zahlung 119 € im Monat. Bis zu 10 Domains werden jede Woche gescannt, und sobald sich eine Note verschlechtert, geht eine Mail an Ihr Team. Business richten wir derzeit persönlich für Sie ein, eine kurze Mail an cem@cdcapital-group.com genügt. Enterprise gibt es ab 490 € im Monat, das Security Audit ab 1.500 € je Anwendung.
Alle Preise sind Endpreise. Nach § 19 UStG wird keine Umsatzsteuer berechnet.
Nein. Der Scan lädt die Seite und die JavaScript-Dateien, die sie selbst einbindet, so wie jeder Browser. Dazu kommen das Zertifikat und zwei öffentliche Einträge der Domain.
Wir probieren keine versteckten Pfade durch, senden keine Formulare ab und melden uns nirgends an. Die ganze Liste steht unter Was wir nicht prüfen.
Wir nennen Art und Fundstelle und zeigen den Wert nur gekürzt, etwa sk_live_…9f2A, damit Sie den Schlüssel beim Anbieter zuordnen können. Den vollständigen Wert zeigen, speichern und benutzen wir nie.
Sie sperren den Schlüssel beim Anbieter und legen einen neuen an, der nur auf dem Server liegt. Wie das je Anbieter geht, steht im Bericht. Danach scannen Sie erneut.
Fragen Sie Marketing und Vertrieb nach den Links, die sie an Kunden oder Kollegen schicken. Typisch sind Adressen auf lovable.app, vercel.app, netlify.app oder replit.app.
Jede dieser Adressen scannen Sie hier in Sekunden. Mit Business behalten Sie bis zu 10 davon dauerhaft im Blick.
Scannen Sie nur Apps, die Ihrem Unternehmen gehören oder für die Sie eine Erlaubnis haben. Der Scan liest zwar nur, was öffentlich ausgeliefert wird. Die Regel gilt trotzdem. Details stehen in den Nutzungsregeln.
Hullwise liefert Belege für Ihre NIS2- und DSGVO-Pflichten. Jeder Scan landet mit Datum und Befunden im Verlauf. Damit dokumentieren Sie die regelmäßige Überprüfung Ihrer Webanwendungen, die Art. 32 DSGVO und § 30 BSIG verlangen.
Ob Ihre Maßnahmen insgesamt ausreichen, bewertet Ihr Informationssicherheitsbeauftragter oder Ihre Rechtsberatung.
Nicht unbedingt. Note A heißt, dass von außen nichts Kritisches offen liegt. Ob die Zugriffsregeln der Datenbank greifen und was hinter dem Login passiert, sieht ein Scan von außen nicht.
Das prüfen wir im Security Audit von Hand, nachdem Sie gezeigt haben, dass Ihnen die Domain gehört.
Ohne Konto speichern wir das Ergebnis nicht. Mit Konto landet es in Ihrem Verlauf. Ergebnisse sind nie öffentlich und tauchen in keiner Suchmaschine auf.
Das kann passieren, etwa wenn ein Text nur aussieht wie ein Schlüssel oder eine Versionsnummer nur im Dateinamen steht. Darum heißen Versions-Funde bei uns „möglicherweise betroffen“. Melden Sie uns den Fall, wir sehen uns jeden an. Mehr unter Fehlalarme.
Claude Code kann nach jedem Deployment scannen
scan_websiteCursor kann einen Befund erklären und die Stelle im Code suchen
scan_websiteChatGPT kann den Bericht für die Geschäftsführung zusammenfassen
scan_websiteCodex kann nach der Korrektur erneut scannen
scan_websiteVS Code kann zeigen, wonach der Scan sucht
list_checksDafür tragen Sie einmal eine Adresse als MCP-Server ein, ohne Schlüssel und ohne Konto, bis zu 20 Scans pro Stunde. Kaufen kann ein Assistent nichts. Den vollständigen Bericht, Business und Audit bucht immer ein Mensch.
Hullwise findet die Lecks, bevor es andere tun: offene Schlüssel, Datenbank-Zugänge und veraltete Software. Zu jedem Befund gibt es eine Anleitung zur Behebung.
Klicken Sie auf einen Befund, um ihn als behoben zu markieren.
Ship fast. Stay hullwise.