Quality Gates einführen: Regeln, die KI-Code bestehen muss

Warum Gates statt guter Vorsätze

Jedes Team nimmt sich vor, Tests laufen zu lassen und Code zu prüfen. Unter Zeitdruck fällt das als Erstes weg. Ein Quality Gate macht aus dem Vorsatz eine Regel: Die Änderung wird erst übernommen, wenn die Prüfungen grün sind. Das gilt für Code von Menschen und für Code von der KI gleichermassen, und genau das ist der Punkt.

Wo Gates sitzen

Typischerweise in der Pipeline, die bei jeder Änderung im Repository automatisch läuft, etwa mit GitHub Actions oder GitLab CI. Das wichtigste Gate sitzt vor dem Zusammenführen einer Änderung in den Hauptzweig. Ein zweites kann vor der Veröffentlichung sitzen.

Die ersten fünf Prüfungen

1. Der Build läuft durch. Klingt selbstverständlich, fängt aber bereits Änderungen ab, die nur auf dem Rechner des Entwicklers funktionieren.
2. Die Tests laufen und sind grün. Vor allem die Tests für Anmeldung, Rechte und die kritischen Abläufe aus der Teststrategie.
3. Keine Geheimnisse im Code. Ein Secret-Scanner wie gitleaks bricht ab, wenn ein Schlüssel im Code oder in der Änderung steht.
4. Keine Abhängigkeiten mit kritischen Lücken. Eine Prüfung wie npm audit oder die Sicherheitshinweise von GitHub, mit einer festgelegten Schwelle.
5. Statische Analyse ohne neue schwere Befunde. Ein Linter und gegebenenfalls ein Analysewerkzeug wie SonarQube oder Semgrep. Wichtig: nur neue Befunde blockieren, sonst scheitert der Start an Altlasten.

Die menschliche Freigabe

Automatische Prüfungen finden Muster, aber keine falschen Annahmen. Ergänzen Sie deshalb ein Gate, das eine Freigabe durch eine zweite Person verlangt, mindestens für Änderungen an Rechten, Datenbankregeln und Zahlungen. Bei KI-generiertem Code ist das die Stelle, an der jemand fragt: Ist das wirklich, was wir wollten?

Klein anfangen

Ein Fehler bei der Einführung: zu viele Gates auf einmal, zu strenge Schwellen. Dann werden Gates umgangen oder abgeschaltet. Beginnen Sie mit Build, Tests und Secret-Scanner. Wenn die drei stabil laufen, kommen die weiteren dazu. Erhöhen Sie Schwellen schrittweise.

Was Gates nicht leisten

Gates sichern ab, dass nichts schlechter wird. Ob die Grundlagen heute stimmen, sagen sie nicht. Bei einem bestehenden KI-gebauten Produkt ist deshalb eine Bestandsaufnahme der erste Schritt, etwa durch ein Review. Den Unterschied beschreibt der Artikel Wann ein Review reicht und wann Sie Qualitätssicherung brauchen.

Bevor Sie damit live gehen

Ihre Lösung läuft. Diese Punkte sollten Sie prüfen, bevor echte Daten daran hängen:

• Läuft bei jeder Änderung automatisch eine Pipeline mit Tests?
• Bricht die Pipeline ab, wenn ein Schlüssel im Code steht?
• Braucht eine Änderung an Rechten oder Datenbankregeln eine zweite Freigabe?

Sie wollen sicher sein? Das Vibe-Code-Review prüft genau diese Grundlagen. Mehr zum Review →

Lieber selbst anfangen? Die kostenlose Schnellprüfung aus dem Vibecode-Testing-Kit zeigt Ihnen, wo Sie stehen. Zur Schnellprüfung →