Lovable kurz vor 300-Millionen-Dollar-Finanzierung: Rekordwachstum und Sicherheitsrisiko

Zum Vergleich: Die Series B des Unternehmens im Dezember 2025 brachte 330 Millionen Dollar zu einer Bewertung von 6,6 Milliarden Dollar ein, angeführt von CapitalG (dem Wagniskapitalarm von Alphabet) und dem Anthology-Fonds von Menlo Ventures, mit Beteiligung von NVentures (Nvidia), Salesforce Ventures, Databricks Ventures und anderen .

Gründung und Hintergrund des Unternehmens

Lovable wurde 2023 in Stockholm, Schweden, von Anton Osika (CEO) und Fabian Hedin (CTO) gegründet . Das Produkt startete als GPT Engineer, ein Open-Source-Projekt, das Osika Mitte 2023 veröffentlichte und das auf GitHub rund 50.000 Sterne erhielt, bevor es kommerzialisiert und im Dezember 2024 in Lovable umbenannt wurde . Die Umbenennung signalisierte den Wandel von einem Entwickler-Tool hin zu einem breiteren, nicht-technischen Publikum .

CEO Anton Osika arbeitete zuvor am CERN an Teilchenphysik und war der erste Mitarbeiter und Ingenieur beim schwedischen KI-Einhorn Sana Labs . Beide Mitgründer wurden nach der Runde im Dezember 2025 mit 24 % Unternehmensanteil zu Milliardären, im Alter von 35 bzw. 31 Jahren, wie Forbes schätzt .

Produktfähigkeiten

Lovable ist eine KI-gestützte „Vibe-Coding“-Plattform, die aus Textanweisungen vollständige Webanwendungen generiert. Ein Benutzer beschreibt eine Idee in einfacher Sprache, und die KI erstellt in Sekundenschnelle eine funktionierende App – mit Frontend, Backend und Datenbank . Die Plattform richtet sich an nicht-technische Gründer, Solo-Unternehmer und Teams, die ohne Programmierkenntnisse Apps prototypisieren und veröffentlichen möchten .

Umsatz-Meilensteine: Das schnellste SaaS-Wachstum der Geschichte

Mehrere Quellen bezeichnen Lovables Wachstum als beispiellos in der Softwaregeschichte :

• 10 Millionen US-Dollar ARR in 60 Tagen mit nur 15 Mitarbeitern .
• 100 Millionen US-Dollar ARR in 8 Monaten, schneller als OpenAI, Cursor und Wiz .
• 400 Millionen US-Dollar ARR bis Februar 2026 mit etwa 146 Mitarbeitern .
• 500 Millionen US-Dollar ARR (annualisiert) bis Mitte 2026, bestätigt zum Zeitpunkt des Series-B-Abschlusses .

Das Unternehmen hat seinen Umsatz zwischen der früheren Runde und der Series B im Dezember 2025 verdreifacht .

Mitarbeiterzahl und Team

Bis Februar 2026 beschäftigte Lovable etwa 146 Mitarbeiter, um eine ARR-Run-Rate von 400 Millionen US-Dollar zu unterstützen . Das Unternehmen beschreibt sich auf LinkedIn als „ein kleines europäisches Team aus Seriengründern, Produktingenieuren, Physikern und Wettbewerbsprogrammierern“ .

Investoren

Lovable hat im Laufe seiner Finanzierungsrunden eine Reihe von Top-Investoren gewonnen:

Quellen:

Wettbewerbsposition im Vibe-Coding-Bereich

Lovable ist im schnell wachsenden Markt für Vibe Coding tätig, der 2026 auf schätzungsweise 4,7 Milliarden Dollar geschätzt wird, wobei 63 % der Nutzer keine Entwickler sind .

Zur Wettbewerbslandschaft gehören Cursor, Bolt.new, Replit Agent, v0 (Vercel), Windsurf und Claude Code .

Laut Upwork-Nachfragedaten von Januar 2025 bis April 2026 wurde Lovable in 6.243 Stellenausschreibungen genannt, gegenüber 5.373 für Cursor – ein klares Duo an der Spitze, weit vor Bolt und Replit . Die Anzahl der Lovable-Nennungen stieg um 627 % .

Die Branche sieht Lovable als das beste Tool für nicht-technische Nutzer, die aus einer einzigen Eingabeaufforderung eine vollständige App erstellen möchten, während Cursor die professionelle, von Ingenieuren überwachte Programmierung dominiert und Bolt.new als stark für Demos, aber schwach unter echter Komplexität gilt .

Allerdings wird Lovable durchgängig als „nicht unternehmensreif“ eingestuft – es fehlen SOC-2-, ISO- und HIPAA-Zertifizierungen –, was seine Expansion im oberen Marktsegment im Vergleich zu Plattformen wie Clarista einschränkt .

Sicherheitsbedenken: Das größte ungelöste Risiko

Dies ist das bedeutendste ungelöste Risiko für die bevorstehende 300-Millionen-Dollar-Runde – und für die gesamte Vibe-Coding-Kategorie. Drei dokumentierte Sicherheitsvorfälle trafen Lovable im Jahr 2026, die alle öffentlich eingeräumt wurden.

Der 48-tägige Datenleak (3. Februar – 20. April 2026)

Eine BOLA-Schwachstelle (Broken Object Level Authorization) erlaubte es jedem authentifizierten Benutzer, den Quellcode und die KI-Chat-Verläufe öffentlicher Projekte auf der Plattform einzusehen. Lovable räumte ein, dass der Fehler über sein Bug-Bounty-Programm gemeldet wurde, aber der Fix wurde erst 48 Tage später ausgerollt, nachdem ein Sicherheitsforscher das Problem öffentlich gemacht hatte . Lovables Postmortem erklärte, dass „private Projekte und Lovable Cloud niemals betroffen waren“ . Das Unternehmen führte das Problem auf einen Backend-Regressionsfehler im Februar zurück, der den öffentlichen Zugriff bei der Vereinheitlichung der Berechtigungen wieder aktivierte .

Weitere Vorfälle

Insgesamt drei dokumentierte Sicherheitsvorfälle legten Quellcode, Datenbankanmeldedaten und Tausende von Benutzerdaten offen . Eine Sicherheitsbewertung vom Februar 2026 förderte 16 Schwachstellen zutage, davon 6 kritische, darunter eine Authentifizierungslogik, die „buchstäblich rückwärts lief – sie blockierte eingeloggte Benutzer und ließ anonyme durch“ .

Systemisches Kategorierisiko

Mehrere Sicherheitsforscher stellen fest, dass KI-Codegeneratoren wie Lovable, Bolt, Replit Agent, v0 und Cursor routinemäßig Code produzieren, der „gut aussieht, aber keine RLS-Richtlinien enthält, Anmeldedaten in Browser-Bundles preisgibt und die Webhook-Signaturprüfung überspringt“ – weil die KI für Code optimiert ist, der läuft, nicht für Code, der sicher ist . Neue Angriffsklassen wie „TrustFall“ und „CLI-Anything“ zielen speziell auf KI-Codierungsagenten ab .

Eine Bewertung des ersten Quartals 2026 durch die Sicherheitsfirma GuardMint ergab, dass 91,5 % der per Vibe Coding erstellten Apps mindestens eine KI-zurückverfolgbare Schwachstelle aufwiesen . Das Vibe Security Radar-Projekt des Georgia Tech verfolgte allein im März 2026 35 CVEs, die auf KI-Codierungstools zurückzuführen sind; Forscher schätzen die tatsächliche Zahl auf das Fünf- bis Zehnfache .

Auswirkungen auf den Deal

Nach den aktuellsten Berichten haben die Sicherheitsvorfälle die gemeldeten 300-Millionen-Dollar-Gespräche nicht zum Scheitern gebracht – Menlo Ventures wird voraussichtlich weiterhin die Runde anführen . Diese Probleme bleiben jedoch das wichtigste Due-Diligence-Risiko. Sollte es vor dem Abschluss zu einem weiteren schwerwiegenden Sicherheitsvorfall kommen, könnten die Konditionen angepasst oder die Runde verzögert werden. Für die gesamte Vibe-Coding-Kategorie haben diese Vorfälle zu einer verstärkten Prüfung durch Unternehmenskäufer und Regulierungsbehörden geführt, und mehrere Wettbewerber bemühen sich, sich durch SOC-2-Compliance, RBAC und Prüfprotokolle in Bezug auf die Sicherheit zu differenzieren .