KI & Software · Stand November 2026

REA und KI-Reverse-Engineering: Was sich für das Geschäft mit Software ändert

Software zu verstehen, ohne ihren Quellcode zu haben, war lange Arbeit für wenige Fachleute. Mit dem Open-Source-Werkzeug REA erledigt ein KI-Agent einen großen Teil davon. Das ist nicht das Ende der Softwarebranche. Es ändert aber, was an einem Softwareprodukt noch geschützt ist und womit Anbieter künftig Geld verdienen.

Das Wichtigste in Kürze

  • REA verbindet KI-Agenten mit Analysewerkzeugen: Der Agent untersucht Programme, Apps und Websites und erklärt, wie eine Funktion arbeitet.
  • Neu sind die Kosten, nicht die Technik: Reverse Engineering gibt es seit Jahrzehnten. Die KI macht die mühsame Kleinarbeit billiger.
  • Am stärksten trifft es Code beim Kunden: Desktop-Software, Electron-Apps und Lizenzprüfungen im Programm. Reine Serverlogik bleibt besser geschützt.
  • Das Recht schützt anders, als viele glauben: Funktionen und Ideen sind in der EU nicht urheberrechtlich geschützt, der Code selbst schon.
  • Der Wert wandert: weg vom bloßen Besitz des Codes, hin zu Daten, Betrieb, Haftung und Vertrauen.

Was REA ist

REA steht für „Reverse Engineer Anything“. Es ist ein Server nach dem Model Context Protocol und ein Kommandozeilenwerkzeug unter MIT-Lizenz. Agenten wie Claude Code, Codex oder Cursor bekommen damit Zugriff auf Analysewerkzeuge, die bisher von Hand bedient wurden. Die Analyse läuft auf dem eigenen Rechner. Für tiefe Einblicke in kompilierte Programme nutzt REA vorhandene Werkzeuge wie Ghidra, Hopper oder IDA (README des Projekts).

Das Projekt wirbt offen damit, worum es geht: Sie sehen in einer App eine Funktion, die Sie im eigenen Produkt haben möchten, und der Agent soll sie untersuchen, erklären und „eine Version für Ihr Projekt bauen“. Das Interesse ist enorm. Anfang Oktober 2026 meldete AICoder rund 13.000 Sterne auf GitHub, am 09.11.2026 zeigte die Projektseite 446.700. Sterne messen allerdings Aufmerksamkeit, nicht Nutzung.

Was REA untersuchen kann

Die Liste im README ist lang. Dies sind die Bereiche, die für Softwareanbieter am wichtigsten sind (Version 6.8.0):

Untersuchtes ObjektWas der Agent bekommt
Programme für Windows, macOS und LinuxPseudocode, Assembler, Texte, Symbole und Aufrufe, über Ghidra, Hopper oder IDA
Electron- und JavaScript-AppsModule, Source Maps, Routen und die Verbindung zwischen Oberfläche und Hauptprozess
.NET-ProgrammeMetadaten, Zwischencode, Abhängigkeiten und Vergleiche zwischen Versionen
Android-AppsManifest, Klassen und dekompilierte Methoden
Websites und MitschnitteSeitenaufbau, Skripte, Netzwerkverkehr und übertragene Daten
Firmware, Datenbanken, KI-ModelldateienBereiche und Inhalte, Tabellen, Metadaten von Modellen

Wie das aussieht, zeigt das Projekt an Beispielen. Bei Notion Desktop verfolgt es einen Kopiervorgang von der Oberfläche bis in den Hauptprozess (Fallstudie). Bei einem alten Spiel wurde eine Berechnung so genau rekonstruiert, dass sie 3.205 Testfälle bestand und das Kompilat Byte für Byte passte (README).

Neu sind die Kosten, nicht das Zerlegen

Reverse Engineering ist alt. Schon 1992 entschied ein US-Berufungsgericht im Fall Sega gegen Accolade darüber. Was sich ändert, ist der Aufwand. Bisher schützte Software oft schlicht, dass ihre Analyse teuer war und seltene Fachleute brauchte. Der Entwickler Fabio Akita beschreibt es nüchtern: Die Disziplin ist 40 Jahre alt, die KI beschleunigt vor allem die Fleißarbeit (Akita, 13.10.2026).

Das passt zu dem, was beim Neuschreiben von Software gerade passiert. Akita nennt Nachbauten von Adobe-Programmen, die in wenigen Wochen mit KI-Hilfe entstanden sind, und die Umstellung der Laufzeitumgebung Bun von Zig auf Rust: 535.000 Zeilen in 11 Tagen für rund 165.000 US-Dollar. Das Beispiel zeigt die Richtung, belegt aber nicht, dass dabei REA im Einsatz war, und ein Nachbau ist noch lange kein gleichwertiges Produkt. Akita selbst widerspricht der Schlagzeile, Adobe sei damit erledigt.

Was REA heute nicht kann

  • Das Ergebnis ist nicht das Original. In der Studie DecompileBench war Code aus KI-Dekompilern verständlicher, funktional aber um 52,2 % weniger korrekt als bei kommerziellen Dekompilern.
  • Bestandene Tests täuschen. Eine Untersuchung von September 2026 fand KI-Dekompilate, die alle mitgelieferten Tests bestehen und trotzdem vom Original abweichen, im Schnitt in 4,9 % der Fälle und bei einem System in bis zu 13 %.
  • Die Agenten werden aber schnell besser. Im Vergleich CrackMeBench löste das beste Modell im Mai 2026 11 von 12 generierten Aufgaben, das schwächste getestete 5. Das sind kleine Übungsprogramme, keine Produkte mit Millionen Zeilen.
  • Serverlogik bleibt verborgen. Was nur auf dem Server des Anbieters läuft, sieht auch REA nicht. Es sieht nur, was im Browser und im Netzwerkverkehr ankommt.

Was rechtlich gilt

Das Recht zieht eine Linie, die viele Anbieter überschätzen. Geschützt ist der Code, nicht die Idee. In Deutschland sind die Ideen und Grundsätze hinter einem Programm nicht geschützt (§ 69a Abs. 2 UrhG). Der Europäische Gerichtshof hat 2012 klargestellt, dass auch Funktionalität, Programmiersprache und Dateiformate nicht unter den Schutz fallen (C-406/10, SAS Institute).

  • Beobachten ist erlaubt: Wer ein Programm benutzen darf, darf sein Funktionieren beobachten, untersuchen und testen (§ 69d Abs. 3 UrhG). Das lässt sich vertraglich nicht verbieten (§ 69g Abs. 2 UrhG).
  • Dekompilieren ist eng begrenzt: Es ist erlaubt, wenn es für die Zusammenarbeit mit einem unabhängig geschaffenen Programm unerlässlich ist. Die Erkenntnisse dürfen nicht für ein Programm mit im Wesentlichen ähnlicher Ausdrucksform genutzt werden (§ 69e UrhG, Art. 6 Richtlinie 2009/24/EG). Auch zur Fehlerbeseitigung darf der rechtmäßige Erwerber dekompilieren (C-13/20, Top System).
  • Schutzmaßnahmen sind besonders geschützt: Mittel, die allein dazu bestimmt sind, Programmschutz zu umgehen, fallen unter § 69f Abs. 2 UrhG.
  • Geschäftsgeheimnisse: Das Untersuchen eines rechtmäßig erworbenen Produkts ist erlaubt, wenn keine Pflicht dagegensteht (§ 3 Abs. 1 Nr. 2 GeschGehG). Das rechtfertigt aber keine Urheberrechtsverletzung.

Weltweit sieht das anders aus. In den USA gibt es eine Ausnahme für Interoperabilität (17 U.S.C. § 1201(f)), und Disassemblieren kann Fair Use sein. Dort kann ein Lizenzvertrag Reverse Engineering aber wirksam verbieten (Bowers gegen Baystate, 2003). Dieselbe Klausel kann also in einem Land greifen und im anderen nichtig sein.

REA selbst schließt die Hilfe bei Umgehung von Kopierschutz, Lizenzprüfungen und beim Kopieren fremder Programme aus und stellt klar, dass ein Analyseergebnis keine Rechte am Original verschafft (Disclaimer). Technisch verhindert diese Erklärung nichts, und die MIT-Lizenz wird dadurch ausdrücklich nicht geändert.

Die Gefahren für Softwarefirmen

  • Der Funktionsvorsprung schmilzt. Wenn ein Wettbewerber eine Funktion in Stunden versteht statt in Wochen, hält ein Vorsprung kürzer. Das Nachbauen der Idee ist in der EU meist zulässig, wenn der Code neu geschrieben wird.
  • Lizenzmodelle auf dem Gerät werden schwächer. Softwarehersteller klagen schon heute: 31 % nennen Piraterie einen wichtigen Grund für Umsatzverluste (Revenera, 13.11.2025). Sinkt der Aufwand für Angriffe auf Prüfungen im Programm, wird das eher mehr. Belastbare Zahlen zu KI-Werkzeugen gibt es dazu noch nicht.
  • Sicherheit durch Unkenntnis trägt nicht mehr. Eigene Protokolle und versteckte Schnittstellen waren nie ein echter Schutz. Künftig sind sie noch schneller gefunden, von Sicherheitsforschern genauso wie von Angreifern.
  • Updates verraten Lücken. REA kann Versionen vergleichen. Das hilft beim Prüfen, zeigt aber auch, was ein Sicherheitsupdate repariert hat. Wer langsam patcht, bleibt länger offen.
  • Geheimnisse im Paket werden sichtbar. API-Schlüssel, interne Adressen und noch nicht angekündigte Funktionen in ausgelieferten Apps sind leichter zu finden.
  • Eigene Teams geraten in ein Rechtsrisiko. Wer fremde Software untersuchen lässt und das Ergebnis übernimmt, kann geschützten Code ins eigene Produkt holen, ohne es zu merken.
  • Die Werkzeuge sind selbst Angriffsfläche. Ein untersuchtes Programm kann den Agenten in die Irre führen (Santos-Grueiro, 2026). Das Projekt warnt zudem vor Nachahmern mit ähnlichem Namen.

Welche Geschäftsmodelle wie stark betroffen sind

Das ist meine Einschätzung, keine Messung:

GeschäftsmodellRisikoWarum
Dauerlizenz, Desktop-SoftwareHochDie ganze Logik liegt beim Kunden. Funktionen lassen sich günstig untersuchen und nachbauen.
Electron- und JavaScript-AppsHochDer Code ist nur gepackt. Besonders viel verraten mitgelieferte Source Maps.
Lizenzprüfung nur im ProgrammHochWas auf dem Rechner des Nutzers entschieden wird, bleibt dort angreifbar. Der Schutz ist vor allem ein juristischer.
SaaS mit Abo je NutzerMittelDie Serverlogik bleibt verborgen, Oberfläche und Schnittstellen nicht. Der größere Druck kommt hier von KI-Agenten, die weniger Nutzerkonten brauchen.
Open CoreMittelDer offene Teil war nie geschützt. Die Bezahlfunktionen müssen tragen, also am besten als Dienst laufen.
Plattformen mit Daten und NetzwerkeffektNiedrigDer Wert steckt in Daten, Kunden und Partnern. Die lassen sich aus keinem Programm herauslesen.
Geprüfte Software mit HaftungNiedrigZulassung, Zertifikat, Wartung und jemand, der für Fehler einsteht, sind nicht im Binärcode enthalten.

Was das für die Softwarebranche weltweit bedeutet

Ein Zusammenbruch ist nicht in Sicht. Gartner erwartet für 2026 weltweite Softwareausgaben von 1,43 Billionen US-Dollar, mehr als 15 % über dem Vorjahr (CIO, 25.09.2026). Zugleich sieht Gartner 234 Milliarden US-Dollar an Ausgaben für Unternehmenssoftware durch KI-Agenten gefährdet, etwa 20 % der SaaS-Ausgaben für Unternehmensanwendungen bis 2030. Dort heißt es, das „breche die Verbindung zwischen Nutzerwachstum und Umsatzwachstum“ (IT Brief, 02.07.2026). Das betrifft KI-Agenten allgemein, nicht REA. Beides wirkt aber in dieselbe Richtung, und Anleger reagieren bereits nervös (ITPro, 05.02.2026).

Ich erwarte vor allem diese Verschiebungen:

  • Der Code verliert an Wert, der Betrieb gewinnt. Bezahlt wird für Verfügbarkeit, Updates, Support und jemanden, der Verantwortung übernimmt.
  • Mehr Server, weniger Programm beim Kunden. Wer Logik schützen will, verlagert sie. Das erhöht wiederum die Abhängigkeit vom Anbieter und ist nicht überall erlaubt oder gewollt, etwa in sensiblen Netzen.
  • Kleine Einzelfunktionen geraten zuerst unter Druck. Ein Werkzeug, das nur eine Sache gut kann, ist am leichtesten ersetzt. Plattformen mit Daten und Partnern halten länger.
  • Die Länder driften auseinander. Wo Verträge Reverse Engineering verbieten können, schützt das Anbieter stärker als dort, wo das Gesetz es erlaubt. Globale Lizenzmodelle werden komplizierter.

Die andere Seite: Was besser wird

Dieselbe Technik hilft vielen. Sicherheitsteams analysieren Schadsoftware schneller. Unternehmen retten Altsysteme, deren Hersteller es nicht mehr gibt, und verbinden Programme, die nie zusammenarbeiten sollten. Kunden können prüfen, ob eine App wirklich tut, was der Anbieter verspricht. Der Lock-in, von dem manche Geschäftsmodelle leben, wird schwächer. Für Kunden ist das eine gute Nachricht.

Was Softwarefirmen jetzt tun sollten

  1. Gehen Sie davon aus, dass jeder ausgelieferte Code gelesen wird. Was Ihren Vorsprung ausmacht, gehört auf den Server.
  2. Legen Sie keine Schlüssel, Zugangsdaten oder unveröffentlichten Funktionen in die App. Liefern Sie keine Source Maps an Kunden aus.
  3. Prüfen Sie Lizenzen und Rechte auf dem Server. Eine Prüfung im Programm darf nur eine Bequemlichkeit sein.
  4. Lassen Sie Lizenzverträge für jedes Land prüfen. Ein Verbot, das in den USA greift, kann in Deutschland nichtig sein.
  5. Spielen Sie Sicherheitsupdates schneller aus. Der Vergleich zweier Versionen zeigt zunehmend leicht, was repariert wurde.
  6. Regeln Sie intern, ob und wie Ihr Team fremde Software mit KI untersucht, und halten Sie unabhängige Entwicklung nachweisbar fest.
  7. Betreiben Sie Analyse-Agenten getrennt vom Firmennetz und beziehen Sie Werkzeuge nur aus der offiziellen Quelle.
  8. Bauen Sie aus, was niemand kopieren kann: Daten, Service, Haftung, schnelle Weiterentwicklung und Vertrauen.

Wie offen ist Ihre Software?

Sprechen wir darüber, was bei Ihrer Anwendung beim Kunden liegt, was auf den Server gehört und wo Ihr Vorsprung künftig steckt.

Erstgespräch anfragen

Quellen

Dieser Artikel gibt meine Einschätzung wieder (Stand November 2026) und ist keine Rechtsberatung. Für diesen Text habe ich das Paket rea-agents 6.8.0 und seine Unterlagen gelesen. Zahlen stammen aus den genannten Quellen. Reverse Engineering kann je nach Land und Vertrag verboten sein.