Hullwise vs Lovable Security Scan
Lovable prüft Projekte, die in Lovable gebaut werden, von innen: Ein Quick Scan läuft beim Veröffentlichen und prüft Datenbankregeln und Abhängigkeiten, ein Deep Scan auf Anfrage auch den Code. Beides ist kostenlos, Korrekturen per KI kosten nach zehn freien Credits.
Hullwise ruft die Seite einmal ab und liest Schutz-Header, Zertifikat, E-Mail-Schutz, Software-Versionen, das ausgelieferte HTML und die JavaScript-Dateien, die die Seite einbindet. Unten steht, wo sich das mit Lovable Security Scan überschneidet.
Prüfpunkte nebeneinander
Wo Lovable Security Scan mehr kann, steht es in der Tabelle und ist grün markiert. Das betrifft hier: Versionen mit bekannten Lücken, Geheimnisse im HTML, Erklärung der Befunde.
| Prüfpunkt | Hullwise | Lovable Security Scan |
|---|---|---|
| Schutz-Header | Ja, sechs Header auf Vorhandensein, dazu Server- und Technik-Angaben | Nicht genannt |
| TLS und Zertifikat im Detail | Grundlagen: gültig, Ablaufdatum, TLS 1.0 oder 1.1. Keine Prüfung der Verschlüsselungsverfahren | Nicht genannt |
| SPF und DMARC | Ja, per öffentlichem DNS, dazu MTA-STS oder DANE und die Grenze von 10 SPF-Abfragen | Nicht genannt |
| Versionen mit bekannten Lücken | Ja, erkannte JavaScript-Bibliotheken live gegen OSV.dev, priorisiert nach CISA KEV (aktiv ausgenutzt) und FIRST EPSS, dazu Supportende über endoflife.date und unsichere WordPress-Versionen über WordPress.org | Ja, npm-Abhängigkeiten des Projekts gegen bekannte Lücken; als Befund erscheinen nur kritisch bewertete Lovable Security Scan kann hier mehr |
| Technik erkennen | Ja, mit den Regeln von webappanalyzer (Fork der Wappalyzer-Regeln) und Retire.js, dazu Plattformen und Hoster wie Lovable, Bolt, v0, Replit, Vercel, Netlify und Supabase | Nicht genannt |
| Geheimnisse im HTML | Ja, dieselben Muster wie in den JavaScript-Dateien, auch in eingebetteten Daten wie __NEXT_DATA__, dazu Google-API-Schlüssel als Hinweis. Gemeldet werden Art und Fundstelle, der Wert nur gekürzt | Ja, im Deep Scan: Geheimnisse im Quellcode und im Repository. Dazu ein Hinweis, wenn jemand einen Schlüssel in den Chat einfügt Lovable Security Scan kann hier mehr |
| Schlüssel in JavaScript-Dateien von Vibe-Coding-Apps | Ja, 16 eigene Arten geheimer Schlüssel und Zugangsdaten, etwa Supabase service_role, OpenAI, Anthropic, Stripe und AWS, dazu über 100 Anbieter aus den Regeln von gitleaks. Gelesen werden bis zu 50 Dateien von derselben Domain: eingebundene, beim Seitenwechsel nachgeladene Teile, bei Next.js die Teile aller Seiten und Konfigurationsdateien wie /config.json, die der Code beim Start abruft. Gemeldet werden Art und Fundstelle, der Wert nur gekürzt, etwa sk_live_…9f2A, nie vollständig | Prüft den Quellcode im Projekt, nicht die ausgelieferten Dateien der Live-Seite |
| Fremde Skripte ohne SRI | Ja | Nicht genannt |
| Cookies | Ja, Secure und HttpOnly | Nicht genannt |
| Malware und Blocklisten | Nein | Nicht genannt |
| Erklärung der Befunde | Auf Deutsch, ein bis zwei Sätze je Befund, mit Link zur Anleitung. Ohne bezahlten Plan sind zwei Befunde vollständig, alle ab Business | Befunde im Security-Bereich des Projekts, Behebung per KI direkt im Projekt (zehn Korrekturen frei, danach Credits) Lovable Security Scan kann hier mehr |
| API | Ja, mit kostenlosem Schlüssel 100 Checks pro Stunde und gekürztem Bericht, vollständig ab Business. Ohne Schlüssel keine REST-API, nur MCP | Nicht genannt |
| MCP für KI-Agenten | Ja, für Claude, ChatGPT, Cursor, Codex und VS Code. Ohne Schlüssel 20 Checks pro Stunde und gekürzter Bericht, vollständig ab Business | Prüft, ob ein MCP-Server der App ohne Anmeldung erreichbar ist. Einen MCP-Zugang zum Scan selbst nennt die Security-Doku nicht |
| Wöchentliche Überwachung | Ja, mit Business bis zu 10 Domains, Mail, sobald eine Note schlechter wird | Geplante Deep Scans über mehrere Projekte nur im Enterprise-Plan |
| Prüfung von Hand (Audit) | Ja, ab 1.500 € je Anwendung, erst nach Besitznachweis | KI-Pentest über die Integration mit Aikido, separat von Aikido abgerechnet |
Stand: Oktober 2026. „Nicht genannt“ heißt: Auf den unten verlinkten Seiten von Lovable Security Scan steht dazu nichts. Es kann die Funktion dort trotzdem geben. Was Hullwise genau prüft, steht unter So prüfen wir.
Wann Lovable Security Scan besser passt
- Sie bauen selbst mit Lovable und haben Zugriff auf das Projekt. Dann prüft der Quick Scan vor jeder Veröffentlichung kostenlos Datenbankregeln (Row Level Security), Speicherregeln und Abhängigkeiten, also genau das, was wir von außen nicht sehen.
- Sie wollen Befunde direkt im Projekt per KI beheben lassen.
Sie können beide Tools nebeneinander nutzen. Hullwise gibt Ihnen einen Überblick über sechs Bereiche, für einen einzelnen Bereich sehen Sie bei Lovable Security Scan genauer hin.
Was Ihr KI-Agent damit kann
Hullwise hat einen MCP-Server. Tragen Sie ihn in Claude, ChatGPT, Cursor, Codex oder VS Code ein, prüft Ihr Agent mit scan_website selbst und zeigt mit list_checks, was geprüft wird. Über MCP gehen ohne Schlüssel 20 Checks pro Stunde, mit kostenlosem Schlüssel 100. Die REST-API braucht immer einen Schlüssel. Ohne bezahlten Plan liefern API und MCP zwei Befunde vollständig, ab Business den ganzen Bericht.
Die Security-Doku von Lovable nennt keinen MCP-Zugang und keine API für den Scan selbst. Lovable prüft aber MCP-Server, die eine App anbietet.
Was nach dem Befund passiert
Lovable prüft das Projekt von innen, Hullwise die Live-Seite von außen, für jede Plattform. Das passt, wenn Sie Apps prüfen wollen, auf deren Projekt Sie keinen Zugriff haben, etwa von Dienstleistern oder aus Fachabteilungen, oder wenn Sie einen Nachweis für Geschäftsführung und Prüfer brauchen. Header, Zertifikat, Mail-Schutz, Datenschutz und DNS nennt die Lovable-Doku nicht. Beides zusammen ist sinnvoll.
Bei Hullwise führt jeder Befund zu einer Anleitung, wie Sie ihn beheben. Mit Business prüfen wir danach bis zu 10 Domains jede Woche und schicken Ihnen eine Mail, sobald eine Note schlechter wird (149 € im Monat). Das Security Audit ist eine Prüfung von Hand, die erst nach Ihrem Besitznachweis beginnt. Dabei sehen wir uns auch an, was von außen nicht sichtbar ist, etwa offene Datenbanken und Zugriffsrechte. Es kostet ab 1.500 € je Anwendung.
Alle Marken gehören ihren Inhabern, kein Bezug zu Hullwise. Angaben zu Lovable Security Scan nach dessen eigenen Seiten, Stand: Oktober 2026.
Ist Ihre App
wasserdicht?
Hullwise findet die Lecks, bevor es andere tun: offene Schlüssel, Datenbank-Zugänge und veraltete Software. Zu jedem Befund gibt es eine Anleitung zur Behebung.
Klicken Sie auf einen Befund, um ihn als behoben zu markieren.
Ship fast. Stay hullwise.