Hosting für Vibe Coding 2026

KI-Werkzeuge bauen in Minuten eine lauffähige App – die Frage ist, wo sie danach dauerhaft läuft. Für Prototypen reichen kostenlose Tarife. Sobald echte Nutzer dazukommen, entscheidet vor allem eines: verbrauchsbasierte Abrechnung mit Kostendeckel oder fester Serverpreis.

Preise: Einstiegstarife laut Anbieter-Websites, Stand September 2026. Verbrauchsbasierte Tarife können je nach Traffic deutlich darüber liegen.

Apps, die mit Lovable, Bolt, v0, Replit, Cursor oder Claude Code entstehen, haben ein paar wiederkehrende Eigenheiten. Sie basieren fast immer auf Next.js, Vite oder React, greifen auf Supabase oder Postgres zu und enthalten API-Keys, die versehentlich im Frontend landen können.

Dazu kommt das typische Nutzungsmuster: viele Prototypen, von denen die meisten nie Traffic sehen, und gelegentlich einer, der plötzlich viral geht. Ein Hosting, das bei null Traffic nichts kostet und bei Last automatisch mitwächst, passt dazu besser als ein fester Servertarif – solange du das Kostenlimit setzt.

Verbrauchsbasierte Plattformen rechnen nach CPU-Sekunden, Bandbreite und Funktionsaufrufen ab. Eine Endlosschleife im generierten Code oder ein Bot, der eine API-Route millionenfach aufruft, kann aus 0 € über Nacht eine dreistellige Rechnung machen.

Deshalb vor dem ersten Deploy: Ausgabenlimit im Anbieter-Dashboard aktivieren (Vercel "Spend Management", Railway "Usage Limits", Render "Spending Limits"), Benachrichtigung bei 50 % einrichten und Rate-Limiting für öffentliche API-Routen einbauen. Wer das nicht will, fährt mit einem VPS zum Festpreis ruhiger – dort ist die Rechnung planbar, notfalls ist die Seite eben langsam.

PaaS (Vercel, Netlify, Railway, Render): Repository verbinden, fertig. Kein Server-Wissen nötig, HTTPS und Domain automatisch, Rollback per Klick. Für die ersten Projekte und alles, was schnell online muss, die richtige Wahl.

VPS (Hetzner, IONOS, Vultr) mit Coolify oder Dokploy: Ein Server für 4 €/Monat, auf dem beliebig viele Apps laufen. Coolify ist eine kostenlose, selbst gehostete Oberfläche, die Git-Deploys, TLS-Zertifikate und Datenbanken ähnlich komfortabel abbildet wie Vercel. Ab dem dritten oder vierten Dauerprojekt spart das deutlich Geld.

In der Praxis läuft es oft auf eine Mischung hinaus: Prototypen auf dem kostenlosen PaaS-Tarif, Projekte mit echten Nutzern auf dem eigenen Server.

• API-Keys prüfen – Schlüssel gehören in Server-Umgebungsvariablen, nie in Code mit NEXT_PUBLIC_-Präfix oder ins Frontend-Bundle.
• Row Level Security aktivieren – bei Supabase ist RLS die einzige echte Zugriffskontrolle. Ohne sie kann jeder mit dem öffentlichen Key die komplette Tabelle auslesen.
• Repository privat – generierter Code enthält erstaunlich oft noch Beispiel-Credentials.
• Rate Limiting – jede öffentliche API-Route braucht ein Limit, sonst zahlst du für fremden Traffic.
• Eingaben validieren – KI-Code prüft Nutzereingaben oft nur im Frontend. Serverseitige Validierung nachrüsten.
• Abhängigkeiten aktualisieren – generierte package.json-Dateien enthalten häufig veraltete Versionen.
• Impressum & Datenschutz – sobald die App öffentlich erreichbar ist, gelten in Deutschland die üblichen Pflichten.