Zum Inhalt springenLockpick
So funktioniert esPreiseDokumentation

Lesen

  • BlogKlare Antworten auf häufige Sicherheitsfragen
  • AnleitungenSchritt-für-Schritt-Lösungen für gängige Setups
  • SicherheitsprüfungenJede Prüfung, die wir durchführen, erklärt

Lernen

  • Mit Pick lernenZwei-Minuten-Lektionen dazu, wie Websites angegriffen werden
  • Lockpick für ClaudeWebsites aus Claude und anderen Assistenten prüfen
  • GlossarDie Begriffe, die wir verwenden, in einfachen Worten

Unternehmen

  • ChangelogWas sich geändert hat, neueste zuerst
  • StatusOb Scans gerade laufen
  • Sicherheit und VertrauenWie wir prüfen und was wir niemals tun
AnmeldenPrüfen

Du hast es gebaut.Was ist offen geblieben?

Antivirus für mit Vibe Coding erstellte Apps, Websites, Skills und Repos.

Teste

Websites, GitHub-Repos, Skills und MCP-Server. Kostenlos, kein Konto nötig.

Willst du das ganze Bild? Registriere dich für einen kostenlosen Pulse-Scan.

Dieser Scan liest öffentliche Website- und Domain-Daten. Wir speichern Ergebnisse und bereinigte Belege. So werden Ihre Daten verwendet

57.87101234567890123456789.01234567890123456789012345678957.871 neue Schwachstellen in diesem Jahr veröffentlicht. Eine Live-Schätzung auf Basis von Zero Day Clock-Daten.

  1. Wir betrachten deine Startseite aus der Sicht eines Angreifers.Von außen, so wie jeder es könnte. Website-Scans brauchen nie deinen Code. Repo- und Skill-Checks lesen öffentlichen Code und führen ihn nie aus.
  2. Wir erklären unsere Befunde in einfachen Worten.Jeder Befund sagt, was wir gesehen haben und was jemand damit anfangen könnte. Ohne Fachjargon.
  3. Wir schreiben die Anweisung zur Behebung.Funktioniert mit Lovable, Bolt, Replit, Cursor und Claude Code.

Die Uhr läuft schneller.

Ihre öffentliche Website ist der erste Ort, an dem jemand sucht.

  • 57.87101234567890123456789.01234567890123456789012345678957.871Schwachstellen veröffentlicht weltweit im Jahr 2026, eine Live-Schätzung
  • 2,7×0123456789,0123456789×so viele im letzten Quartal wie ein Jahr zuvor, 30.000 zu 11.000
  • 135012345678901234567890123456789am Tag der Veröffentlichung ausgenutzt, erstes Halbjahr 2026
  • Nr. 1Nr. 0123456789Web-Apps und Plugins waren 2026 die am häufigsten ausgenutzte Kategorie, 211 von 679

Quellen

Ein Befund, von Anfang bis Ende.

Ein Beispiel dafür, was ein Pulse-Scan findet. Dieser Fehler ist häufig.

atlas.example
AAtlasStudio

Guten Morgen, Studio

1.248 Kunden37 offene Rechnungen

Quelltext/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. SUPABASE_SERVICE_ROLE_KEY:"eyJhbGciOiJI…"},
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_SERVICE_ROLE_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersAlle, die atlas.example öffnen

NameE-Mail
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
und 1.245 weitere ZeilenAlle 1.248 löschen

LockpickBeispiel

Datenbank-Admin-Schlüssel im Code der Website

GefundenPulse-Scan

atlas.example
AAtlasStudio

Guten Morgen, Studio

1.248 Kunden37 offene Rechnungen

Quelltext/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. Schlüssel entfernt
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_ANON_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersAlle, die atlas.example öffnen

NameE-Mail
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
und 1.245 weitere ZeilenAlle 1.248 löschen

Zugriff verweigert für Tabelle customersDer öffentliche Schlüssel der Website kann diese Tabelle nicht lesen.

LockpickBeispiel

Datenbank-Admin-Schlüssel im Code der Website

BehobenErneut geprüft

Vorher. Der Admin-Schlüssel der Atlas-Datenbank steht im Code der Website, und wer die Website öffnet, kann die Kundentabelle öffnen.

Was wir sahen

Ein Schlüssel, der die ganze Datenbank öffnet, lag im Code der Website.

Technische Details

Gefunden in 1 von 4 Skripten, die die Startseite lädt, /_next/static/chunks/app.js. Ein Supabase-JWT, das mit eyJhbGciOiJI beginnt (hier gekürzt), trägt die Rolle service_role und umgeht damit Row Level Security. Lockpick hat das Skript gelesen wie jeder Browser und den Schlüssel nicht benutzt.

Was jemand tun könnte

Jeden Kundendatensatz lesen, ändern oder löschen. Ohne Passwort.

Die Anweisung

Ein fertiger Prompt zum Einfügen in deinen Coding-Agenten. Schlüssel austauschen, auf den Server verschieben, Tabelle sperren, dann erneut prüfen.

Kostenlos starten. Deep, wenn du mehr willst.

Kostenlos

Keine Karte nötig

  • 5 kostenlose Pulse-Scans pro Monat auf einer Website
  • Deine Startseite und ihre öffentlichen DNS-, E-Mail- und Zertifikatseinträge
  • Höchstens 10 Anfragen, meist unter 15 Sekunden
  • Wöchentliche automatische Prüfungen nutzen je einen Scan
  • Keine Anmeldung, keine Formularabsendungen, keine Kundendaten

Deep

$19 im Monat oder $190 im Jahr

  • 100 Pulse- und 20 Deep-Scans pro Monat auf 3 Websites
  • Bis zu 30 Seiten, ihre Skripte und die dahinterliegende API
  • Wöchentliche automatische Prüfungen
  • Zuerst nachweisen, dass dir die Website gehört
PrüfenDeep ansehen

Master Key kommt bald.

Nur öffentliche HTTPS-Seiten. Scanne nur Websites, die du testen darfst.

Fragen, bevor du scannst.

Ist es sicher, meine Website zu scannen?

Ja. Ein Pulse-Scan liest nur, was ohnehin jeder Browser und jeder Mailserver sehen kann. Er umfasst die Startseite und die Dateien, die sie lädt, die E-Mail-Absendereinstellungen (SPF und DMARC), Sicherheits-Header und TLS sowie öffentliche DNS-, Zertifikats- und Subdomain-Einträge, in höchstens 10 Anfragen. Er meldet sich nie an und sendet nie ein Formular ab.

Brauchst du meinen Code?

Nicht für deine Website. Website-Scans prüfen deine laufende Website von außen, so wie ein Angreifer es täte, und brauchen deshalb nie deinen Code. Repo- und Skill-Checks lesen nur den öffentlichen Code eines GitHub-Links, den du einfügst, und führen ihn nie aus.

Mit welchen Buildern funktioniert es?

Mit jeder öffentlichen Website über HTTPS, egal womit sie gebaut wurde. Jeder Befund kommt mit einem Fix-Prompt für deinen Coding-Assistenten, ob Lovable, Bolt, Replit, Cursor, Claude Code oder einen anderen.

Was bedeutet „zum Testen berechtigt“?

Es bedeutet, dass die Website dir gehört oder ihr Eigentümer dir erlaubt hat, sie zu prüfen. Das bestätigst du vor einem Pulse-Scan. Ein Deep-Scan verlangt außerdem den Nachweis, dass dir die Website gehört.

Was bekommen Mitglieder von Early AI-dopters?

Mitglieder erhalten 10 Pulse-Scans im Monat auf 2 Websites und einen Gratismonat Deep. VIP-Mitglieder erhalten 20 auf 3 Websites und 2 Gratismonate Deep. Einlösen über die Lockpick-Kachel in EA Apps.

Kann ich jederzeit kündigen?

Ja. Kündige Deep jederzeit unter Abrechnung. Free hat nichts zu kündigen.

Schau genauer hin, bevor andere es tun.

Prüfen

Knacken Sie nur Schlösser, die Ihnen gehören.

Lockpick
PreiseMethodikDokumentationBlogLeitfädenSicherheitsprüfungenLernen mit PickSicherheit und VertrauenLockpick für ClaudeÄnderungsprotokollStatusFakten für KI-Assistenten

Lockpick ist ein Sicherheitsscanner für mit KI gebaute Apps. Er prüft, was deine Live-Website preisgibt und was ein GitHub-Repo oder KI-Skill tun würde, bevor du es installierst, und liefert dir einen Fix-Prompt für Lovable, Bolt, Replit, Cursor oder Claude Code.

Lockpick prüft öffentliche Seiten, zu deren Test du berechtigt bist, und öffentlichen GitHub-Code, den es nie ausführt.

© 2026 LockpickNutzungsbedingungenDatenschutzKontaktAnmelden