Code-Review oder Pentest: was Sie wirklich brauchen

Code-Review: lesen, was gebaut wurde

Ein Code-Review ist eine lesende Prüfung. Der Prüfer sichtet Code und Konfiguration, lässt automatische Analysewerkzeuge darüber laufen und bewertet, ob die Grundlagen stimmen: Zugangsdaten, Rechte, Eingaben, Datenflüsse, Fehlerbehandlung, Abhängigkeiten, Backups, Wartbarkeit. Er greift das System nicht an und braucht keinen Zugang zum Live-System.

Stärke: Ein Review findet die Ursache, nicht nur das Symptom. Es zeigt, an welcher Stelle im Code eine Regel fehlt, und auch Probleme, die von aussen nicht sichtbar sind, etwa schlechte Wartbarkeit oder fehlende Backups. Grenze: Es weist nicht nach, dass ein Angreifer eine Lücke tatsächlich ausnutzen kann.

Penetrationstest: angreifen, was läuft

Ein Penetrationstest ist ein autorisierter Angriff auf das laufende System. Spezialisierte Tester versuchen, einzudringen, Rechte auszuweiten und an Daten zu kommen, so wie ein echter Angreifer. Das Ergebnis zeigt, welche Lücken von aussen tatsächlich ausnutzbar sind.

Stärke: der Nachweis unter realen Bedingungen, einschliesslich Server, Netzwerk und Hosting. Grenze: Was von aussen nicht erreichbar ist, findet er nicht, und er sagt wenig über Wartbarkeit oder Backups. Ein Penetrationstest braucht eine klare schriftliche Beauftragung und gehört in die Hände spezialisierter Anbieter.

Sicherheitsaudit: prüfen gegen einen Standard

Ein Sicherheitsaudit prüft, ob ein Unternehmen eine Norm oder ein Regelwerk erfüllt, etwa ISO/IEC 27001 oder den IT-Grundschutz des BSI. Im Mittelpunkt stehen Prozesse, Verantwortlichkeiten und Dokumentation, nicht einzelne Zeilen Code. Ein Audit ist dann nötig, wenn Kunden, Versicherer oder Regulierung einen Nachweis verlangen.

Die sinnvolle Reihenfolge

Für eine Anwendung, die mit KI gebaut wurde, ist die Reihenfolge meist klar:

Erst das Review. Es findet die grundlegenden Lücken mit vergleichsweise wenig Aufwand. Bei KI-generiertem Code sind das oft die entscheidenden: offene Datenbank, Schlüssel im Browser, Rechte nur in der Oberfläche.
Dann die Behebung. Ein Penetrationstest auf eine Anwendung mit offener Datenbank zeigt vor allem, was ein Review schneller gezeigt hätte.
Danach, wenn nötig, der Penetrationstest. Etwa wenn sensible Daten verarbeitet werden, viel Geld daran hängt oder Kunden einen Nachweis verlangen.
Ein Audit, wenn ein formaler Nachweis gegenüber Dritten gefordert ist.

Wo das Vibe-Code-Review steht

Das Vibe-Code-Review ist ein Code-Review im Sinne von Schritt 1. Es ist kein Penetrationstest und kein Sicherheitsaudit. Legt der Bericht nahe, dass ein Penetrationstest sinnvoll ist, steht das als Empfehlung darin. Was ein Review allein nicht leistet und wann laufende Qualitätssicherung dazukommen sollte, beschreibt der Artikel Wann ein Review reicht und wann Sie Qualitätssicherung brauchen.

Bevor Sie damit live gehen

Ihre Lösung läuft. Diese Punkte sollten Sie prüfen, bevor echte Daten daran hängen:

Wissen Sie, welche Daten in Ihrer Anwendung liegen und wie sensibel sie sind?
Sind die Grundlagen geprüft, bevor ein Penetrationstest beauftragt wird?
Verlangt ein Kunde oder Versicherer einen formalen Nachweis?

Sie wollen sicher sein? Das Vibe-Code-Review prüft genau diese Grundlagen. Mehr zum Review →

Lieber selbst anfangen? Die kostenlose Schnellprüfung aus dem Vibecode-Testing-Kit zeigt Ihnen, wo Sie stehen. Zur Schnellprüfung →