Software hat sich früher versteckt. Kompiliert, minifiziert, ohne Symbole, ausgeliefert als undurchsichtige Blöcke, an denen man nur von außen herumstochern konnte. Diese Ära endete still im April 2026, und im Oktober hatte die ganze Entwicklerwelt es bemerkt.
REA, kurz für Reverse Engineer Anything, ist eines der am schnellsten gewachsenen Repositories geworden, die GitHub je beherbergt hat: rund 262.000 Sterne und 66.000 Forks, alles in einem einzigen MIT-lizenzierten Projekt, das vor acht Monaten nicht existierte. Das ist keine Story über geleakte Datenbanken und keine Zero-Day-Panik. Es ist größer und seltsamer. REA gibt deinem KI-Coding-Agenten die Schlüssel, um jede Software zu untersuchen, bis hinunter zum rohen Assembler, und zu erklären, wie sie tatsächlich funktioniert.
Wenn du Software baust, kaufst oder verteidigst, ändert das deine Rechnung. Hier steht, was REA wirklich ist, was es kann und nicht kann, und was es für dein Geschäft bedeutet.
Was REA tatsächlich ist
REA ist eine CLI und ein MCP-Server. Der zweite Teil ist der wichtige. Das Model Context Protocol ist der offene Standard, der KI-Agenten wie Claude Code, Codex, Cursor, Gemini CLI und Grok Build erlaubt, externe Werkzeuge aufzurufen. REA steckt in diesem Slot und gibt deinem Agenten ein komplettes Toolkit für Reverse Engineering.
Richte es auf eine App, eine Binärdatei oder eine Website und stelle eine normale Frage. Warum wird der Dinosaurier schneller? Wie erzeugt dieser Authenticator meinen Anmeldecode? REA liefert die Belege zurück: Pseudocode, Assembler, Strings, Symbole, Aufrufgraphen und Laufzeitbeobachtungen. Dein Agent liest diese Belege, erklärt das Verhalten und kann die Funktion danach für dein eigenes Projekt nachbauen.
Alles läuft lokal. Nichts geht in irgendeine fremde Cloud. Und entscheidend: REA liefert seine Belege und seine Grenzen Seite an Seite. Es sagt dir, was es gefunden hat und wo die Schlussfolgerung wackelig wird.
Die Ziele, die es aufbrechen kann
Hier wird der Umfang wirklich weit. REA ist kein Decompiler mit nur einem Trick. Die offizielle Dokumentation deckt ab:
- Native Binärdateien: Pseudocode, Assembler, Strings, Symbole, Aufrufe und Referenzen, angetrieben von Hopper, Ghidra oder IDA
- JavaScript- und Electron-Apps: Module, Importe, Source Maps, Routen und IPC-Grenzen
- .NET-Assemblies: Metadaten, CIL-Instruktionen und native Abhängigkeiten
- Websites: Seitenstruktur, Skripte und Netzwerkbeobachtungen aus einer echten Browsersitzung
- Android-APKs: Manifest-Deklarationen, Klassen und dekompilierte Methoden
- Go- und Rust-Binärdateien: eingebettete Modullisten, Crate-Namen, Versionen und Abhängigkeitskanten
- Firmware, WASM, EVM-Bytecode, SQLite-Datenbanken, Flutter-Apps und Paketmitschnitte
Anleitungen, Einrichtungsschritte und Fallstudien findest du auf der Projektseite rea.tools. Die Seite geht echte Untersuchungen durch: warum der Windows-Rechner aus 200 + 10% 220 macht (er nimmt einen Prozentsatz der ersten Zahl nach einem Plus), wie Notion Rich-Text-Blockdaten in die Zwischenablage kopiert, und wie ein Spiel von 1996 die Links-Rechts-Stereo-Verteilung berechnete. Jede Behauptung verlinkt auf die tatsächlichen Instruktionen und wird gegen öffentlichen Quellcode gegengeprüft.
Was es nicht kann (lies diesen Teil zweimal)
REA stellt den ursprünglichen Quellcode nicht wieder her. Es rekonstruiert Logik und Verhalten. Dieser Unterschied trennt ein nützliches Ingenieurswerkzeug von magischem Denken, und wer mehr verspricht, verkauft dir eine Geschichte, keine Fähigkeit.
Reibungslos ist es auch nicht. Die native Analyse braucht eine echte installierte Engine: Hopper, Ghidra oder IDA. Manche Ziele brauchen zusätzliche Werkzeuge wie JADX für Android oder TShark für Pakete. Das Projekt bewegt sich schnell, du wirst also oft aktualisieren.
Dann ist da der Lärm. Ein so populäres Repository zieht Nachahmer und Betrug an. Kopier-Repositories übernehmen den Namen und schreiben das README ab, und gefälschte REA-Downloads sind bereits aufgetaucht. Die legitimen Quellen sind schmal: github.com/morluto/rea, rea.tools und das Paket rea-agents auf npm. Alles andere verdient Misstrauen.
Der Teil, den jede Geschäftsführung hören muss
Hier ist die unbequeme Wahrheit, die REA gerade offensichtlich gemacht hat: wenn deine Anwendung Logik auf die Maschine des Nutzers ausliefert, ist diese Logik kein Geheimnis mehr.
Nicht schwer zu finden. Nicht obfuskiert genug. Lesbar. Minifizierung, Packing und entfernte Symbole bremsen einen Menschen. Einen KI-Agenten bremsen sie kaum, der einem Aufrufgraphen über Tausende Instruktionen in Sekunden folgen kann.
Das heißt nicht, dass dein Produkt plötzlich wertlos ist. Es heißt, dein Burggraben muss wandern. Die verteidigbaren Teile moderner Software lagen nie wirklich im Client:
- Halte die Kronjuwelen serverseitig. Preisregeln, Scoring-Algorithmen, Betrugslogik und proprietäre Daten gehören hinter deine API, nicht kompiliert in eine App, die jemand auspacken kann.
- Liefere niemals Geheimnisse aus. API-Schlüssel, Tokens und Zugangsdaten im Client-Code waren immer eine schlechte Idee. REA hat aus jemand wird sie finden eine Gewissheit gemacht.
- Konkurriere über Erlebnis und Umsetzung, nicht über Geheimhaltung. Tolle UX, Zuverlässigkeit, Support, Integrationen und Iterationsgeschwindigkeit sind viel schwerer zu klonen als eine Funktion.
- Isoliere alles Nichtvertrauenswürdige. Ein Reverse-Engineering-Werkzeug untersucht von Natur aus feindlichen Code. Führe es in einer isolierten VM aus, nie auf einer Maschine mit deinen echten Daten.
- Kenne die rechtliche Grenze. Sicherheitsaudits, Interoperabilität, Lernen und die Wiederherstellung des eigenen verlorenen Quellcodes sind meist in Ordnung. Das Klonen eines Konkurrenzprodukts oder das Umgehen von DRM ist es nicht, und das Werkzeug wäscht die Absicht nicht rein.
Das Fazit
REA ist das klarste Signal dafür, dass Softwarentransparenz jetzt der Standard ist. Die Agenten deiner Nutzer können deine App lesen. Die Agenten deiner Konkurrenten auch. Die Frage ist nicht, ob deine Logik sichtbar ist. Sie ist, ob du etwas gebaut hast, das es übersteht, gesehen zu werden.
Für Entwickler ist das befreiend: untersuche, wie die besten Apps funktionieren, und baue etwas Besseres. Für Unternehmen ist es ein Anlass zu prüfen, was du tatsächlich auslieferst. Öffne das Client-Bundle und frag dich, was du finden würdest, wenn ein neugieriger Agent an den Fäden zu ziehen beginnt.
Denn gerade jetzt zieht der Agent von jemandem schon daran.
Quellen: das REA-Projekt (github.com/morluto/rea und rea.tools), der Deep-Dive von Nate's Newsletter zu REA sowie Berichte von Geeky-Gadgets und den REA-Community-Guides.