Code Review: Architektur, Skalierung und Sicherheit im Check

Systematische Analyse von KI-generiertem Code auf Architekturschwächen, Skalierungsprobleme und Sicherheitslücken – mit priorisiertem Ergebnisbericht.

Kurz erklärt

Ein Code Review ist die systematische Prüfung bestehender Software durch erfahrene Entwickler. Man kann es sich vorstellen wie ein Gutachten für ein gebrauchtes Gebäude: Von außen sieht alles ordentlich aus, geprüft wird, ob die Statik trägt.

Ein Test prüft, ob etwas funktioniert. Ein Review prüft, ob es auch morgen noch funktioniert – bei mehr Nutzern, mehr Daten und wenn jemand versucht, es zu missbrauchen.

Angeschaut werden drei Bereiche: der Aufbau (lässt sich das erweitern oder wird jede Änderung zum Umbau?), die Belastbarkeit (was passiert bei zehnmal so vielen Nutzern?) und die Sicherheit (wo lassen sich Rechte umgehen oder Daten abgreifen?).

Warum das für euch zählt

Bei Software, die mit KI erstellt wurde, ist ein Review besonders wichtig. Solcher Code sieht überzeugend aus und funktioniert in der Vorführung – trifft aber stillschweigend Annahmen, die im Prototyp harmlos und im echten Betrieb gefährlich sind.

Der häufigste Fund in der Praxis: Die Rechteprüfung findet nur in der Oberfläche statt. Wer die Adresszeile im Browser verändert, sieht die Daten anderer Kunden. In einer internen Testversion fällt das niemandem auf.

Ein Review vor dem Livegang ist deutlich günstiger als ein Datenschutzvorfall danach – und es schafft eine Entscheidungsgrundlage, bevor weiteres Geld investiert wird.

Unsere Leistungen

Wir prüfen unter anderem:

  • Architektur: Ist die Struktur tragfähig oder wird jede Erweiterung zum Umbau?
  • Skalierung: Was passiert bei zehnfacher Nutzerzahl oder Datenmenge? Wo liegen die Engpässe?
  • Sicherheit: fehlende Input-Validierung, unsichere Authentifizierungs- und Session-Flows, offengelegte Zugangsdaten, unzureichende Rechteprüfung
  • Datenhaltung: Datenmodell, Migrationen, Backups, Trennung von Mandanten
  • Wartbarkeit: Testabdeckung, Abhängigkeiten, Dokumentation, Lesbarkeit

Ihr bekommt keinen 80-seitigen Report zum Ablegen, sondern einen priorisierten Ergebnisbericht: Was ist kritisch, was ist wichtig, was ist Kür – jeweils mit Aufwandseinschätzung. Auf dieser Basis entscheidet ihr, was ihr selbst umsetzt und was wir übernehmen.

Abrechnung nach Aufwand (Stunden- oder Tagessatz).

Beispiele

  • 1Eine Prüfung zeigt, dass Nutzer über die Adresszeile auf Datensätze anderer Kunden zugreifen können, weil die Rechteprüfung nur in der Oberfläche stattfindet.
  • 2Eine Anwendung lädt bei jedem Aufruf den kompletten Datenbestand – bis rund 200 Nutzer läuft das, darüber wird sie unbenutzbar langsam.
  • 3Ein Prototyp hat kein Verfahren für Datenbankänderungen, sodass jede Erweiterung Datenverlust riskiert.
  • 4Eine Pflege-App, die Angehörige über den Gesundheitszustand informieren soll, zeigt bei der Prüfung eine Datenschutzlücke: Nachrichten waren ohne Anmeldung einsehbar.
  • 5Ein Bürgerportal-Prototyp besteht die Vorführung, offenbart im Review aber, dass ein Nutzer mit der richtigen Adresszeile auch fremde Anträge einsehen könnte.

Häufige Fragen

Wie finde ich heraus, ob unsere Software ein Code Review braucht?

Sobald personenbezogene Daten verarbeitet werden, mehrere Abteilungen mit der Anwendung arbeiten oder ein Dienstleisterwechsel ansteht, lohnt sich ein Review. Bei einem Werkzeug, das eine einzelne Person für sich selbst nutzt, ist der Aufwand meist nicht gerechtfertigt.

Was bekommen wir nach einem Code Review in die Hand?

Einen Bericht mit den konkreten Befunden, geordnet nach Dringlichkeit, jeweils mit Risikoeinschätzung und Aufwandsschätzung. Verständlich formuliert, sodass auch Nicht-Entwickler die Entscheidungen treffen können.

Müssen wir euch danach mit der Umsetzung beauftragen?

Nein. Die Prüfung ist eine eigenständige Leistung. Viele Kunden setzen einen Teil selbst um und geben nur die kritischen Punkte an uns.

Welche Zugriffe braucht ihr dafür?

Lesenden Zugriff auf den Programmcode und idealerweise ein Testsystem. Zugang zu Produktivsystemen oder echten Kundendaten brauchen wir in der Regel nicht.

Wie lange dauert ein Code Review?

Bei überschaubaren Anwendungen wenige Tage, bei umfangreicheren Systemen ein bis zwei Wochen inklusive Auswertung und Besprechung der Ergebnisse.

Lohnt sich das auch für eine kleine interne Anwendung?

Sobald personenbezogene Daten verarbeitet werden oder mehrere Abteilungen damit arbeiten, ja. Bei einem Werkzeug, das eine Person für sich nutzt, meist nicht.

Prüft ihr auch Software, die ein anderer Dienstleister gebaut hat?

Ja, das ist ein häufiger Anlass – etwa vor einer Abnahme, bei Unzufriedenheit mit dem Ergebnis oder vor einem Dienstleisterwechsel.