---
title: "Reverse Engineering mit KI: Was REA kann und was erlaubt ist"
description: "Reverse Engineering mit KI: Was das Open-Source-Werkzeug REA kann, was in Deutschland erlaubt ist und was es für die Software deines Unternehmens bedeutet."
canonical: "https://kiprozess.com/blog/reverse-engineering-ki-rea"
author: "Florian Albert"
datePublished: 2026-10-14
dateModified: 2026-10-14
category: "Tools"
language: "de"
site: "https://kiprozess.com"
---

# Reverse Engineering mit KI: Was REA kann und was erlaubt ist

*Ein KI-Agent liest fertige Programme bis in den Maschinencode. Was dahintersteckt, wo die Grenzen liegen und was du daraus mitnehmen solltest.*

REA (Reverse Engineer Anything) ist ein kostenloses Open-Source-Werkzeug, mit dem ein KI-Agent fertige Programme untersucht, ohne deren Quellcode zu kennen: Desktop-Programme, Apps, Webseiten. Du fragst zum Beispiel „Wie berechnet dieses Programm den Rabatt?“, und der Agent liefert eine Erklärung mit der genauen Stelle im Programm als Beleg. In Deutschland darfst du Software, die du rechtmäßig nutzt, beobachten und testen. Dekompilieren, also aus Maschinencode wieder lesbaren Code machen, ist nur für Schnittstellen erlaubt, und fremden Code übernehmen bleibt verboten. Für Unternehmen ist die wichtigste Folge eine andere: Alles, was auf den Geräten deiner Kundinnen und Kunden läuft, kann jetzt jeder mit wenig Aufwand lesen.

## Key Takeaways

- REA ist ein kostenloses Open-Source-Werkzeug, mit dem KI-Agenten wie Claude Code oder Codex fertige Programme untersuchen, ohne deren Quellcode zu haben.
- Jede Aussage des Agenten kommt mit der Stelle im Programm, auf die sie sich stützt, und ist als Beobachtung, Schlussfolgerung oder offen markiert.
- In Deutschland darfst du ein Programm, das du rechtmäßig nutzt, beobachten und testen. Dekompilieren ist nur für Schnittstellen erlaubt, Code kopieren und Schutz umgehen bleiben verboten.
- Was auf deinem Rechner oder dem deiner Kundinnen und Kunden läuft, kann jeder lesen. Zugangsdaten und Geschäftslogik gehören deshalb auf den Server.
- Starke Verschleierung bremst KI-Agenten bisher aus, und die Ergebnisse sind Rekonstruktionen, die erst Tests belastbar machen.

## Was ist REA?

REA ist ein MCP-Server, also ein Zusatz, über den ein KI-Agent weitere Werkzeuge bedienen kann. Er funktioniert mit Claude Code, Codex, Cursor, Gemini CLI und anderen Agenten. REA verbindet den Agenten mit Disassemblern, Programmen, die Maschinencode in lesbare Befehle zurückübersetzen. Für tiefe Analysen nutzt es Ghidra, IDA oder Hopper. JavaScript, Electron-Apps (Desktop-Programme, die im Kern eine Webseite sind) und .NET-Programme liest es ohne Zusatzprogramm.

Was REA untersuchen kann, laut Projektseite:

- Programme: Windows-, Mac- und Linux-Programme, auch in Go oder Rust geschrieben
- Apps: Android-Apps, Flutter-Apps, Electron-Apps
- Web: Webseiten und aufgezeichneter Netzwerkverkehr
- Sonstiges: Firmware, SQLite-Datenbanken, WebAssembly

Das Besondere ist nicht der Disassembler, den gibt es seit Jahrzehnten. Neu ist, dass der Agent die Arbeit dazwischen übernimmt: Er sucht die passende Stelle, liest Tausende Zeilen Maschinencode und erklärt sie in normaler Sprache. Jede Aussage ist als Beobachtung, Schlussfolgerung oder offen markiert und nennt die Adresse im Programm, auf die sie sich stützt. So kannst du nachprüfen, was der Agent behauptet.

Das Projekt steht unter MIT-Lizenz, das [Repository auf GitHub](https://github.com/morluto/rea) gibt es seit April 2026, die erste Version kam am 12. Juli 2026. Anfang Oktober stand es ganz oben in den GitHub-Trends. Stand 14. Oktober 2026 hat es rund 236.000 Sterne, eine der schnellsten Kurven, die es auf GitHub gab.

## Was REA zeigt: zwei belegte Beispiele

Viele Beiträge zu REA zählen beeindruckende Nachbauten auf. Nachprüfen lassen sich vor allem die Beispiele, die das Projekt selbst mit Tests dokumentiert:

| Beispiel | Was gesucht war | Wie geprüft |
| --- | --- | --- |
| Aegis Authenticator (Android-App, 3.077 Klassen) | Wie die App alle 30 Sekunden einen sechsstelligen Anmeldecode erzeugt | 133 Testfälle, dazu alle sechs offiziellen Testwerte des Standards RFC 6238 |
| DX-Ball (Windows-Spiel von 1996) | Wie das Spiel aus der Ballposition berechnet, ob ein Geräusch links oder rechts klingt | 3.205 Testfälle gegen die Originalfunktion, das neu geschriebene C ergibt nach dem Übersetzen dieselben 63 Bytes |

Beide Beispiele zeigen dasselbe Muster. Der Agent findet die Funktion, erklärt die Rechnung und baut sie in neuem Code nach. Ob der Nachbau stimmt, entscheidet dann kein Gefühl, sondern ein Test: dieselben Eingaben in Original und Nachbau, dieselben Ergebnisse heraus.

> **Merksatz:** Eine Erklärung des Agenten ist eine Vermutung mit Quellenangabe. Belastbar wird sie erst, wenn ein Test zeigt, dass Original und Nachbau gleich rechnen.

## Was in Deutschland erlaubt ist

Das Urheberrecht schützt bei Software den Code, nicht die Idee dahinter. § 69a Abs. 2 UrhG sagt das ausdrücklich: Ideen und Grundsätze eines Programms, auch die von Schnittstellen, sind nicht geschützt. Daraus ergibt sich, was du darfst und was nicht.

| Handlung | Erlaubt? | Grundlage |
| --- | --- | --- |
| Ein Programm, das du rechtmäßig nutzt, beobachten, untersuchen und testen | Ja | § 69d Abs. 3 UrhG |
| Dekompilieren, um dein eigenes Programm an dieses anzubinden | Ja, nur die dafür nötigen Teile und nur, wenn der Hersteller die Infos nicht ohnehin bereitstellt | § 69e UrhG |
| Dekompilieren, um ein ähnliches Konkurrenzprodukt zu bauen | Nein | § 69e Abs. 2 UrhG |
| Fremden Code in dein eigenes Programm übernehmen | Nein | Urheberrecht des Herstellers |
| Lizenzprüfung, Kopierschutz oder Anti-Cheat umgehen | Nein | Lizenzvertrag, auch REA schließt es in seinen Nutzungsregeln aus |

Ein Punkt überrascht viele: Ein Lizenzvertrag kann das Recht zum Beobachten und Testen nicht ausschließen. Klauseln, die § 69d Abs. 3 oder § 69e widersprechen, sind nach § 69g Abs. 2 UrhG nichtig.

Wer ein Programm nachbauen will, ohne in Schwierigkeiten zu kommen, arbeitet nach dem Reinraumverfahren. Eine Person oder ein Agent untersucht das Original und schreibt nur auf, was es tut. Eine andere Person oder ein frischer Agent ohne Zugriff auf das Original schreibt aus dieser Beschreibung neuen Code. So landet keine Zeile fremden Codes im Ergebnis. Das Verfahren ist Jahrzehnte alt, mit KI-Agenten wird es nur deutlich billiger.

> **Achtung:** Das ist eine Einordnung, keine Rechtsberatung. Wenn du ein fremdes Programm untersuchen willst, um daraus ein eigenes Produkt zu machen, sprich vorher mit einer Anwältin oder einem Anwalt für IT-Recht.

## Was das für dein Unternehmen bedeutet

Die meisten Betriebe werden REA nie selbst starten. Betroffen sind sie trotzdem, aus drei Richtungen.

**Deine eigene Software ist lesbar.** Wenn du eine App, ein Desktop-Programm oder ein Kundenportal hast bauen lassen, liegt ein Teil davon auf den Geräten deiner Nutzerinnen und Nutzer. Bisher brauchte es Fachleute und Tage, um daraus etwas herauszulesen. Heute reichen dafür ein Agent und deutlich weniger Zeit. Steckt in der App ein API-Schlüssel, eine Preisregel oder eine Rabattlogik, ist sie praktisch öffentlich. Lass prüfen, was in deiner App steckt, und verschiebe Zugangsdaten und Geschäftsregeln auf den Server.

**Alte Software wird verständlich.** Viele Betriebe arbeiten mit einem Programm, dessen Hersteller es nicht mehr gibt: eine Branchensoftware für Aufträge, ein altes Kassensystem, ein Kalkulationsprogramm. Die Daten stecken in einem Format, das niemand mehr erklären kann. Hier hilft das Recht aus § 69e: Um dein neues System anzubinden, darfst du die Schnittstelle untersuchen. Ein Agent mit REA kann herausfinden, wie die Daten gespeichert sind, damit ihr sie sauber übernehmt.

**Rechenwege lassen sich nachprüfen.** Wenn ein Programm eine Zahl liefert, die keiner nachvollziehen kann, etwa einen Zuschlag in der Kalkulation, kann ein Agent die Berechnung aus dem Programm lesen und erklären. Bei Software, die du rechtmäßig nutzt, ist das Beobachten und Testen gedeckt. Für diese Fälle reicht oft schon die Electron- oder JavaScript-Analyse, die ohne zusätzliche Werkzeuge läuft.

Mehr zur Frage, wo Agenten im Betrieb überhaupt sinnvoll sind, steht in [Was ist KI-Prozessautomatisierung?](https://kiprozess.com/blog/was-ist-ki-prozessautomatisierung).

## Wo REA an Grenzen stößt

- Server: REA liest nur, was auf deinem Gerät liegt. Was ein Anbieter auf seinen Servern rechnet, bekommst du nie zu sehen.
- Rekonstruktion: Dekompilierter Code ist eine Annäherung, nicht der Originalcode. Namen, Kommentare und Struktur fehlen und werden vom Modell ergänzt. Deshalb braucht jeder Nachbau Tests.
- Verschleierung: Programme, die absichtlich unlesbar gemacht wurden, bremsen KI-Agenten stark. Elastic Security Labs hat im April 2026 Claude Opus 4.6 auf 20 verschleierte Aufgaben angesetzt. Gelöst wurden 40 %, bei mehreren kombinierten Verschleierungen keine einzige. Ein gescheiterter Versuch kostete im Schnitt 4,83 Dollar, ein erfolgreicher 2,39 Dollar.
- Daten: Die Analyse läuft lokal, die Ergebnisse gehen aber an das Sprachmodell deines Agenten. Für Software mit Kundendaten oder Geschäftsgeheimnissen ist das eine Frage für deinen Datenschutz.
- Werkzeuge: Ghidra ist kostenlos, IDA und Hopper sind kostenpflichtig. REA bringt keine Lizenzen mit.

> **Faustregel:** Je älter und unverschleierter ein Programm ist, desto besser funktioniert die Analyse. Bei moderner, geschützter Software sind die Kosten schwer planbar.

## So gehst du vor, wenn du es ausprobieren willst

1. Nur eigene oder rechtmäßig genutzte Software untersuchen, und vorher klären, wofür das Ergebnis gedacht ist: Verständnis, Datenübernahme oder Sicherheitsprüfung.
2. Auf einem Testrechner arbeiten, nicht auf dem Rechner mit der Buchhaltung. REA kann Programme auch ausführen.
3. Klären, welche Daten an den KI-Anbieter gehen, und das Programm notfalls ohne echte Kundendaten untersuchen.
4. Mit einer klaren Frage starten, etwa „Wo speichert das Programm die Aufträge, und in welchem Format?“, statt das ganze Programm auf einmal zu analysieren.
5. Jede Aussage, auf die du dich verlassen willst, mit einem Test bestätigen.

Für die eigene Software reicht oft ein einfacher erster Schritt: Frag deinen Dienstleister, welche Zugangsdaten und Regeln in der App stecken und welche auf dem Server liegen. Wenn du eine alte Software ablösen oder Daten daraus übernehmen willst, schauen wir uns das im kostenlosen [Automatisierungs-Check](https://kiprozess.com/#termin) gemeinsam an.

Klassiker für solche Altlasten sind Branchen mit Jahrzehnte alter Software: In [Steuerkanzleien](https://kiprozess.com/automatisierung-fuer-steuerkanzleien) etwa geht es meist nicht nur um die Übernahme, sondern auch um die Abläufe rund um die Kanzleisoftware.

## Häufige Fragen

### Ist Reverse Engineering in Deutschland legal?

Teilweise. Wer ein Programm rechtmäßig nutzt, darf nach § 69d Abs. 3 UrhG beobachten, untersuchen und testen, wie es funktioniert. Dekompilieren erlaubt § 69e UrhG nur, um eine Schnittstelle zu einem eigenen Programm herzustellen, und Lizenzverträge können diese Rechte nicht ausschließen.

### Was ist REA?

REA (Reverse Engineer Anything) ist ein Open-Source-Werkzeug unter MIT-Lizenz, das KI-Agenten wie Claude Code, Codex oder Cursor an Disassembler und Analysewerkzeuge anbindet. Der Agent kann damit fertige Programme, Apps und Webseiten untersuchen und erklärt, wie eine Funktion arbeitet.

### Schickt REA meine Programme an einen KI-Anbieter?

Die Analyse läuft auf deinem Rechner. Die Ergebnisse, also Codeauszüge und Erklärungen, gehen aber an das Sprachmodell deines Agenten, und dafür gelten die Datenregeln dieses Anbieters.

### Kann REA Software auf fremden Servern auslesen?

Nein. REA liest nur, was auf deinem Gerät liegt oder dort abläuft. Was ein Anbieter auf seinen Servern rechnet, bekommst du nie als Programmdatei und kannst es deshalb auch nicht zerlegen.

### Wie schütze ich meine eigene Software davor?

Zugangsdaten, Preise und Geschäftsregeln gehören auf den Server, nicht in die App. Verschleierung bremst KI-Agenten zwar deutlich, ersetzt aber keine saubere Trennung zwischen dem, was beim Kunden läuft, und dem, was bei dir bleibt.

## Quellen

- [GitHub: morluto/rea, Reverse engineer anything with agents](https://github.com/morluto/rea)
- [REA: Disclaimer und verantwortungsvolle Nutzung](https://github.com/morluto/rea/blob/main/DISCLAIMER.md)
- [REA: Dokumentation und FAQ](https://rea.tools/faq/)
- [REA Showcase: Aegis Authenticator](https://rea.tools/showcase/aegis/)
- [REA Showcase: DX-Ball, Berechnung des Stereo-Panoramas](https://rea.tools/showcase/dx-ball/)
- [Elastic Security Labs: LLM-driven reverse engineering vs. iterative LLM obfuscation (21. April 2026)](https://www.elastic.co/security-labs/llm-reversing-vs-llm-obfuscation)
- [§ 69a UrhG: Gegenstand des Schutzes](https://www.gesetze-im-internet.de/urhg/__69a.html)
- [§ 69d UrhG: Ausnahmen von den zustimmungsbedürftigen Handlungen](https://www.gesetze-im-internet.de/urhg/__69d.html)
- [§ 69e UrhG: Dekompilierung](https://www.gesetze-im-internet.de/urhg/__69e.html)
- [§ 69g UrhG: Anwendung sonstiger Rechtsvorschriften; Vertragsrecht](https://www.gesetze-im-internet.de/urhg/__69g.html)

---
Quelle: https://kiprozess.com/blog/reverse-engineering-ki-rea
Autor: Florian Albert, Gründer & Redaktion. Termin für einen kostenlosen Automatisierungs-Check: https://kiprozess.com/#termin