Ihr SaaS ist nur eine Woche und 1.100$ von einem Klon entfernt. Cloudflare hat es gerade bewiesen.

9 min read

Ein Kommentar in einem aktuellen Hacker News Thread über die Relizenzierung von chardet ließ mich meinen MacBook für zwei Minuten zuklappen. Roritharr, ein SaaS-Berater, erzählte die Geschichte eines Ingenieurs seines Kunden, der das Backend in einer Woche mit Claude Code reverse-engineered und eine funktional identische API ausgeliefert hatte. Er schloss mit einer brutalen Frage: "Wie schützen wir uns davor, dass ein Konkurrent das Gleiche macht?". Die tieferliegende Frage dahinter: "Wenn dein Backend trivial genug ist, um von einem Large Language Model implementiert zu werden, welchen Wert bietest du dann?".

Etwas später veröffentlichte Cloudflare vinext. Fünf Tage, 1.100 Dollar in Tokens, ein Ingenieur, 94% der Next.js API abgedeckt, MIT-Lizenz. Die Frage ist nicht mehr theoretisch.

TLDR: Cloudflare hat Next.js in fünf Tagen für 1.100 Dollar nachgebaut. Mark Pilgrim verlor chardet. Falls du dich fragst, was dein Produkt 2026 schützt – die Antwort liegt nicht in deinem Code. Das war sie nie.

Zwei Software-Entwickler an Büroschreibtischen reagieren auf einen Klon-Fertigstellungsbildschirm mit 1.100$ Kosten und 5-Tage-Zeitplan, einer panisch und einer selbstbewusst, mit einem robotischen Hummer, der Dokumente fotokopiert im Hintergrund.
Ihr Burggraben wurde gerade zu jemandes Wochenendprojekt.

Dieser Artikel wird nicht über Copyleft sprechen. Es geht um dich, deine SaaS und was übrig bleibt, wenn ein Konkurrent dein Backend für den Preis eines gebrauchten MacBooks klonen kann.

Vor sechs Wochen schrieb ein Hacker News Kommentar um, was ich für eine SaaS hielt

Roritharrs Kommentar war der erste im Thread, der sich nicht akademisch anfühlte. Der Großteil des chardet-Threads drehte sich um Anwälte, Lizenzen und ob Mark Pilgrim rechtlich eine Chance hatte. Sein Kommentar kam von der Seite: eine funktionierende SaaS, ein funktionierendes Backend, ein Ingenieur mit Claude Code, der das Ganze in seiner Freizeit geklont hatte.

Der 213-Punkte-Thread hatte 244 Kommentare, als ich ihn durchlas. Fast alle stritten über Anwälte. Seiner war der einzige, der fragte, was man am Montagmorgen tun soll, wenn der Konkurrent den gleichen Trick abzieht.

Die Antwort, die am härtesten traf, kam von einem User namens ShowalkKama: "Wenn dein Backend trivial genug ist, um von einem Large Language Model implementiert zu werden, welchen Wert bietest du dann? Ich weiß, es ist eine provozierende Frage, aber das beantwortet, warum ein Konkurrent kein Konkurrent ist.". Dieser Satz beschäftigte mich eine Weile. Sechs Wochen später landete Cloudflares vinext und machte die Frage rückwirkend konkret.

Ich bin nicht hier, um das chardet-Drama zu verhandeln. Jeder Artikel seit März hat das getan, und ich habe nichts Neues zum rechtlichen Terrain beizutragen. Ich bin hier, um zu sagen, was die meisten dieser Artikel vermieden haben: Das geht nicht um Open Source. Das geht darum, ob dein Produkt einen motivierten Konkurrenten mit 1.100 Dollar API-Credits überleben würde – und die meisten Produkte würden es nicht.

Der Code war nie der Burggraben. Die Reibung war es.

Niemand in diesem Thread wollte es laut aussprechen. (Es laut auszusprechen ist die Art von Satz, die deinen Montag ruiniert, wenn du eine Series-A-SaaS führst.)

Was wir fünfzehn Jahre lang einen "technischen Burggraben" nannten, war fast immer ein Avatar der Reproduktionsreibung. Copyleft schützte nicht den Code. Es monetarisierte die Kosten, ihn von Grund auf neu zu schreiben. Technische Komplexität war eine Rente: Solange das Klonen deines Stacks sechs Ingenieure und ein Jahr dauerte, machte sich dein Konkurrent nicht die Mühe.

Armin Ronacher, der Typ, der Flask geschrieben hat, sagte es deutlich, als The Register ihn zu chardet befragte: "Copyleft-Code wie die GPL hängt stark von Urheberrechten und Reibung ab, um durchgesetzt zu werden. Aber weil er grundsätzlich offen ist, mit oder ohne Tests, kann man ihn heutzutage trivial neu schreiben.". Der Typ, der eine der meistgenutzten Python-Bibliotheken gebaut hat, sagt dir, dass das rechtliche Gerüst um Open Source hielt, weil Neuschreiben schwer war, nicht weil Anwälte beängstigend waren.

KI brachte diese Kosten auf 1.100 Dollar und eine Woche runter. Wenn die Reibung verschwindet, gehen 80% dessen mit, was als Burggraben durchging. Dein Vorteil verschwand nicht im März 2026. Er wurde nur sichtbar. Oder seine Abwesenheit wurde sichtbar, je nachdem, auf welcher Seite des Geldbeutels du stehst.

Ein Kommentator namens 3rodents brachte es kürzer im selben Thread: "Als Ingenieure denken wir oft nur an Code, aber Code war nie das, was ein Unternehmen erfolgreich macht.".

Wir wussten das in der Business School. Wir taten in Standups so, als wäre es anders.

1.100 Dollar. Fünf Tage. 94% von Next.js. Die öffentlichen Kosten des Klonens.

Zahlen beenden Diskussionen. Hier sind die öffentlichen.

Steve Faulkner, ein Ingenieur bei Cloudflare, nutzte Claude Opus 4.6 über OpenCode in mehr als 800 Sessions, um Next.js nachzubauen. Die Rechnung: 1.100 Dollar in API-Tokens. Das Ergebnis: vinext. 67.000 Zeilen Code versus 194.000 im Next.js-Kern. 1.700+ Vitest-Tests, 380 Playwright-Tests, 94% der öffentlichen Next.js API-Oberfläche abgedeckt. Builds laufen 4,4x schneller, Bundles sind 57% kleiner. MIT-Lizenz. 7.000+ GitHub-Sterne bis April. Fast jede Zeile wurde von KI geschrieben, nach Faulkners eigenem Eingeständnis.

Cloudflare rahmte es als "pragmatische Kompatibilität, nicht Bug-für-Bug-Parität. Zielt auf 95%+ der realen Next.js-Apps ab." Übersetzung: Wenn du eine Next.js-App bei der Arbeit hast, läuft vinext sie wahrscheinlich.

Parallel schrieb Dan Blanchard chardet neu, die Python-Charset-Detection-Bibliothek, die mit 130 Millionen Downloads pro Monat ausgeliefert wird. Fünf Tage Entwicklung. 41x Performance-Verbesserung, von 11 Dateien pro Sekunde auf 451. 3.931 Zeilen insgesamt. Git-Blame-Attribution zu Mark Pilgrim, dem ursprünglichen Autor: 0%. JPlag-Ähnlichkeitsanalyse: 0,04% Durchschnitt, 1,29% Maximum. (JPlag ist der akademische Plagiatsdetektor, den Universitäten nutzen, um Studenten zu erwischen. Er fand nichts.)

The Register berichtete die Zahlen. Pilgrim, der fünfzehn Jahre vom Internet weg war, kam zurück, um die Relizenzierung zu bekämpfen. Sein Punkt war das Urheberrecht. Der Punkt dieses Artikels ist es nicht.

Jetzt der Vorbehalt, denn jeder, der dir den Traum von Ein-Wochen-Klonen verkaufen will, verkauft dir etwas. Hacktron, ein KI-Sicherheitstool, ließ ihren Scanner über vinext laufen und fand 45 Schwachstellen. 24 wurden manuell validiert. Ihr Bericht hat einen Satz, über den ich seitdem nachdenke: "Die meisten Tests, die vinext antreiben, sind funktionale Anforderungen. Schwachstellen leben nicht dort. Sie leben im negativen Raum, in komplexen Interaktionen zwischen Schichten, dem Zeug, für das niemand einen Test geschrieben hat.".

Also ja, es gibt versteckte Kosten bei KI-Rewrites. Der Klon hat Bugs, die das Original nicht hatte. Der Klon hat Sicherheitslöcher, die das Original vor zwei CVE-Zyklen gepatcht hat. Aber diese versteckten Kosten retten dich nicht. Sie bedeuten nur, dass der Klon deines Konkurrenten mit Bugs ausgeliefert wird, während er dein Mittagessen frisst.

Ich baute meinen eigenen Stack letzten Sommer von Grund auf neu, als Anthropic einen Workflow abschaltete, auf den ich angewiesen war, und der einzige Grund, warum es schmerzte, war die Zeit, nicht das Geld. Ich machte das Ganze für 15 Dollar im Monat statt 200 Dollar. Die Rechnung funktioniert in beide Richtungen; der Schmerz reist nur in eine Richtung.

Drei Burggräben, die KI-Rewrites überleben. Und drei, die es nicht tun.

Drei Burggräben, die halten, nachdem KI billig wurde. Drei Fakes, auf die du aufhören solltest zu zählen.

1. Wechselkosten, die in den Köpfen deiner Nutzer leben, nicht in deinem Code.

Nicht "Daten" im Abstrakten. Die Daten, die zählen, sind das Muskelgedächtnis, das dein Nutzer in deine Shortcuts investiert hat, die Automatisierungen, die sie konfiguriert haben und anderswo von Grund auf neu machen müssten, die Dutzend unsichtbaren Sub-Routinen, wo dein Tool in ihren täglichen Workflow eingebettet wurde. Linear versus Jira. Ein Team mit sechs Monaten Muskelgedächtnis in Linear migriert nicht für 5% besser. Du kannst Linear in drei Monaten mit Claude klonen. Du kannst nicht die 50.000 Tastaturkürzel klonen, die ihre Nutzer verinnerlicht haben.

Der Klon wird in einer Side-by-Side-Demo identisch aussehen. Deine Nutzer werden ihn aus Gründen hassen, die sie nicht vollständig artikulieren können. Dieser Hass ist der Burggraben.

2. Distribution, die erworben wurde, bevor dein Produkt existierte.

Nicht "Audience" im generischen Sinn. Nicht "Ich habe Twitter." Der Kanal, der qualifizierte Nutzer zu dir bringt, bevor du das nächste Feature auslieferst. Pieter Levels vor Nomad List. Theo Browne vor create-t3-app. Wenn du das hast, kannst du deinen eigenen Code alle sechs Monate klonen, ohne Nutzer zu verlieren. Wenn nicht, vibe-codet dein Konkurrent eine Kopie mit einer Audience und überholt dich in zwei Monaten.

Distribution ist das einzige, was in die gleiche Richtung wächst wie Code-Klone. Ein Klon deines Produkts ohne einen Klon deiner Audience ist eine kostenlose Demo für denjenigen, der den Kanal besitzt.

3. Regulatorisches Kapital und Enterprise-Integrationen.

Nicht "Compliance" generisch. SOC 2 Type II, HIPAA, ISO 27001, Enterprise-Verträge, die über sechs Monate verhandelt wurden, FINRA-Lizenzen, direkte Integration mit einem Core-Banking-System, das achtzehn Monate Onboarding beim Kunden vor Ort verlangt. Kein KI-Rewrite gibt dir das in einer Woche. Das ist der einzige Burggraben, wo Code buchstäblich keine Rolle spielt.

Der User rwmj sagte es im selben HN-Thread, als er über ernsthafte Enterprise-Software sprach: "Es ist der Vertriebskanal, der menschliche Ingenieur, der vor Ort geschickt wird, das regulatorische Framework, das sicherstellt, dass der Kunde legal operieren und eine Versicherung erhalten kann.". Dieser Satz ist es wert, ausgedruckt und an deine Wand geklebt zu werden.

Jetzt die drei Fakes. Das sind die, auf die Gründer zeigen, wenn sie mir sagen, dass sie einen Burggraben haben, und ich mein Gesicht neutral halten muss.

Brand in der frühen Phase ist nur erneuerbares Marketing. Ein Konkurrent mit 1 Million Dollar Seed kann deine Markenbekanntheit in sechs Monaten kaufen. Brand ist ein Burggraben auf Coca-Cola-Niveau. Auf Seed-Stage-SaaS-Niveau ist es ein Logo auf einer Website.

Daten-Netzwerkeffekte sind real für Google und Meta. Sie sind eine Illusion für 99% der SaaS-Gründer, die sie beanspruchen. Dein Datensatz ist kein Netzwerkeffekt, wenn ein Konkurrent einen gleichwertigen in drei Monaten bootstrappen kann, indem er deine öffentlichen Outputs scrapt und ergänzende Daten kauft. Netzwerkeffekte wachsen exponentiell. Deine CSV nicht.

24/7-Support kann von einem Konkurrenten geklont werden, der einen Discord mit drei Freelancern öffnet. Support ist ein Feature, kein Burggraben.

Wenn du die Liste durchgegangen bist und dein "Burggraben" auf der falschen Seite war, wird sich der nächste Abschnitt nicht angenehm anfühlen.

Was Vercel rettete, war nicht der Code. Das war es nie.

Vinext ist seit Februar live. MIT-Lizenz, 7.000+ Sterne, 94% API-Abdeckung, 4,4x schneller als Next.js. Wenn der Code Vercels Burggraben war, waren sie bis April tot. Sind sie nicht. Die interessante Frage ist warum.

Lass Vercel durch den Drei-Burggraben-Filter laufen.

Wechselkosten in Nutzerköpfen: enorm. Hunderttausende Entwickler haben vercel.json-Configs, Deploy-Hooks und CI-Konventionen in ihrem Muskelgedächtnis. Ein Enterprise-Projekt von Vercel zu vinext + Cloudflare Workers zu migrieren dauert Wochen des Testens und einen Senior-Ingenieur, der es tatsächlich machen will. Die meisten Teams wollen nicht. Die Hass-den-Klon-Reibung, die ich oben beschrieben habe? Vercel baute zehn Jahre davon auf.

Erworbene Distribution: Notion, Stripe, Hashicorp, CIO.gov als Showcase-Kunden. Vercel braucht Next.js nicht, um ihr nächstes Feature zu distribuieren. Sie haben eine Sales-Pipeline, die überleben würde, das Framework komplett zu verlieren. Sie könnten v0 open-sourcen, Next.js einstellen und nächstes Jahr immer noch ein 5-Milliarden-Dollar-Bewertungsgespräch haben.

Enterprise-Integrationen und Kapital: Turbopack in Rust geschrieben, das v0-Ökosystem, ein proprietäres AI SDK, Multi-Millionen-Dollar-Enterprise-Verträge. Nichts davon ist im Open-Source-Next.js-Repo. Es war nie dort.

Was Vercel also rettete, ging nie darum, den Framework-Krieg zu gewinnen. Sie hatten bereits anderswo Burggräben gebaut.

Guillermo Rauch, der CEO, postete auf X, dass "Cloudflares Mission ist es, das gesamte Entwickler-Ökosystem zu forken und Open Source zu zerstören. Vinext war eine Ausrede, um Entwickler dazu zu bringen, ihre proprietären Runtimes statt Nodejs zu nutzen.". The Pragmatic Engineer Newsletter berichtete das Zitat. Es ist der Zug von jemandem, der den falschen Burggraben verteidigt. Vercels echte Burggräben hatten nichts mit dem Framework zu tun. Tweeten rettete sie nicht. Die Burggräben, die sie vor dem Code gebaut hatten, taten es.

Hong Minhee wies auf die stille Ironie hin: "Vercel implementierte GNU Bash mit KI neu und veröffentlichte es, dann wurde sichtbar aufgebracht, als Cloudflare Next.js auf die gleiche Weise neu implementierte.". Der Geist des Teilens läuft anscheinend in eine Richtung. (Habe ich bemerkt.)

Wenn dein erster Zug beim Geklont-werden Rechtsstreit ist, hattest du keinen Burggraben.

Wenn du keinen der drei hast, hast du eine Demo

Wenn deine SaaS keinen der drei von vorhin hat, hast du kein Produkt. Du hast eine Demo, die hält, weil noch niemand die Motivation hatte, dich zu klonen. Das ist nicht dasselbe wie geschützt zu sein. Das ist unter dem Radar zu sein. An dem Tag, an dem du über unter-dem-Radar hinauswächst, beginnt dein 1.100-Dollar-Problem.

In defensiven Code zu investieren funktioniert 2026 nicht. Verschleierung, künstliche Komplexität, deine Source zu schließen, wie Cal.com es im April tat: alles davon ist Deckstühle umstellen. Das Klonen passiert an der API-Oberfläche, nicht an der Source. (Source-available-Lizenzierung ging sowieso immer mehr um VC-Optik als um Sicherheit.)

Die Arbeit, die zählt, ist in einen der drei Burggräben zu investieren, oder zu einer Nische zu pivotieren, wo du einen bauen kannst, oder zu akzeptieren, dass du eine Feature-Company mit einer Ein-Jahres-Uhr bist und entsprechend zu preisen. Dazu kommt die Shipping-Disziplin, die vibe-codete Demos in echte Software verwandelt, damit du dich weiter bewegst, während der Klon damit beschäftigt ist, zu reproduzieren, was du bereits vor sechs Monaten ausgeliefert hast.

Vercel verbrachte seinen Morgen damit, über den Tod von Open Source zu tweeten, während Cloudflare Commits zu vinext pushte. Wenigstens hat Vercel Distribution, Enterprise-Verträge und v0 am Laufen, während sie auf X streiten. Du, der das liest, was ist dein Vorteil außerhalb des Repos, das ich dieses Wochenende für den Preis einer Pizza klonen könnte?

Dein echtes Produkt ist das, was nach dem Klon übrig bleibt. Check heute Abend.

Quellen