Code Audit mit Gedächtnis: was blieb, was wiederkam

Nein, und es soll es nicht. Ein Penetrationstest denkt wie ein Angreifer von außen: punktuell, kreativ, tief, mit Blick auf das laufende System. DELTA liest von innen: lückenlos über den vereinbarten Umfang, wiederholbar, mit Verlauf. Wer beides einsetzt, sollte den Pentest auf das ansetzen, was im Code nicht sichtbar ist: Laufzeitverhalten, Infrastruktur, Zusammenspiel mit Fremdsystemen. Wer nur eines finanzieren kann: Ein Pentest ohne belegten Verlauf wird jedes Jahr neu bezahlt und beantwortet die Quartalsfrage nie.

Dagegen stehen drei Dinge. Erstens die Belegpflicht: Kein Finding ohne wörtlich zitierte, nachprüfbare Fundstelle — was nicht belegbar ist, existiert nicht. Zweitens die getrennte Sicherheitseinschätzung: Wie sicher ein Finding real ist, steht als eigene Angabe daneben und wird nicht mit dem Schweregrad vermischt. Drittens der Verlauf: Ein einmaliger Ausreißer fällt bei der nächsten Prüfung auf und ist als solcher sichtbar. Und der umgekehrte Fall — ein Finding, das übersehen wird — ist der wichtigere — siehe die nächste Frage.

Das kann passieren — bei einer KI-gestützten Prüfung genauso wie bei einem regelbasierten Werkzeug. Dagegen stehen drei Dinge. Erstens zählt ein Durchlauf nur, wenn er vollständig war: Unvollständige Durchläufe weist die Pipeline zurück, und fällt gegenüber dem letzten Durchlauf ein Umfangs-Eintrag weg, schlägt sie Alarm, bevor die Daten ins Dashboard gelangen — ein stillschweigend verkleinerter Umfang würde sonst alles „beheben“, was niemand mehr anschaut. Zweitens kommt ein übersehenes Finding zurück und wird sichtbar als Rückkehrer markiert — eine irrende Prüfung hinterlässt im Bestandsbuch eine Narbe, keine stille Lücke. Drittens steht jeder Fix auf zwei Beinen: dem im Code nachvollziehbaren Prüfkriterium und der Abwesenheit über mehrere Durchläufe, die die Verlaufstabelle einzeln zeigt.

Weil beide an verschiedenen Stellen in der Zeit stehen. Das Prüfkriterium steht vorher und richtet sich an Ihre Entwicklung: Es legt fest, was als Behebung gilt, bevor jemand anfängt — eine Definition of Done für diese eine Schwachstelle. Die Abwesenheit steht nachher und ist der Nachweis, dass die Änderung gewirkt hat. Ohne Kriterium wäre „weg“ beliebig: Eine Fundstelle kann verschwinden, ohne dass die Ursache behoben ist — Code umbenannt, Aufruf verschoben, Symptom kaschiert. Beides zusammen ist der Beleg — eines allein ist es nicht.

DELTA ist kein Freigabetor. Es beweist nicht, dass Ihre Anwendung sicher ist — das kann kein Verfahren, weder regelbasiert noch KI-gestützt. Es beweist drei Dinge: was gefunden wurde, was verschwunden ist und was wiederkam — jeweils mit Datum und Beleg. Die vierte Aussage, „da ist jetzt nichts mehr“, steht nirgends auf dieser Seite. Sie wäre das Einzige, was Sie wirklich beruhigen würde, und genau deshalb behaupten wir sie nicht.

Von Ihnen. Ein Codescan kann das nicht sehen, und wir raten es nicht. Vor der ersten Prüfung nehmen wir einen kurzen Steckbrief auf: Umgebung, Erreichbarkeit, Geschäftskritikalität, Prüfumfang. Diese Angaben werden bei jeder Prüfung mitgeführt, stehen an jedem Finding und sind der Grund, warum die Rangfolge belastbar ist. Ändert sich etwas — Staging geht live, ein Dienst wird abgeschottet — ändern Sie den Steckbrief, und die Priorisierung zieht nach. Welche Datenklassen an einer Fundstelle hängen, liest der Prüfer dagegen aus dem Code und belegt es mit der Fundstelle.

Wir prüfen, wie Sie Ihre Abhängigkeiten einsetzen: veraltete oder überflüssige Pakete, riskante Einbindungen, tatsächlich erreichbare Aufrufpfade. Was wir nicht tun, ist ein Abgleich gegen eine Schwachstellendatenbank — dafür bräuchte es einen tagesaktuellen Feed, und den haben wir nicht angebunden. Diese Überwachung gehört ohnehin in Ihre Build-Pipeline, wo sie täglich läuft statt quartalsweise. Wir sagen Ihnen im Übergabegespräch, ob sie bei Ihnen fehlt.

Weil regelbasierte Werkzeuge sehen, was in ihren Regeln steht. Sie finden bekannte Muster zuverlässig und melden alles, was einem Muster ähnelt — auch das, was in Ihrem Zusammenhang harmlos ist. Der KI-Prüfer bewertet zusätzlich den Kontext: Ist diese Stelle überhaupt erreichbar? Welche Daten hängen daran? Läuft das produktiv? Das ist der Unterschied zwischen 400 Treffern und 20 Befunden, die stimmen. Klassische Werkzeuge sind kein Gegensatz — ihre Ergebnisse können dieselbe Buchführung durchlaufen. Geprüft wird mit dem stärksten Modell, das verfügbar ist. Nicht als Zugeständnis, sondern weil die Differenz zum günstigeren im einstelligen Eurobereich liegt und ein übersehener Befund nicht. Diese Entscheidung ist nicht verhandelbar und taucht deshalb auch nicht als Option in Ihrem Angebot auf.

Dann brechen wir die Kurve ab, statt sie zu glätten. Ein neuer Prüfer, ein neuer Prüfumfang oder ein neues Modell erzeugt eine neue Prüfreihe: Die Linie im Diagramm wird unterbrochen und beschriftet, weil die Zahlen davor und danach nicht vergleichbar sind. Ein Sprung von 5 auf 23 Findings misst manchmal die Qualität des Vorgängers, nicht neue Lücken — eine durchgezogene Linie würde das Gegenteil behaupten. Die alte Historie bleibt vollständig sichtbar.

Für die Prüfung braucht der Auditor Lesezugriff auf den Code. Das ist die eine unvermeidliche Stelle, und wir legen vorher schriftlich fest, worauf.

Die Modelle laufen ausschließlich in Azure, entweder in unserem Tenant oder in Ihrem. Ihr Code wird dort verarbeitet und nicht zum Training verwendet, vertraglich zugesichert und für die Verarbeitung in der EU. Kein Anbieter außerhalb dieser Kette sieht Ihren Quelltext.

Läuft der Betrieb in Ihrem Tenant, bleiben Code, Befunde und Dashboard vollständig in Ihrer eigenen Umgebung. Wir sehen dann nur, was Sie uns im Übergabegespräch zeigen.

Das Dashboard selbst ruft zur Laufzeit nichts Externes auf. Keine Schnittstelle, keine Schriften von fremden Servern, keine Analyse-Dienste, keine Einbettungen. Es ist eine statische Auslieferung und kann hinter Ihrem Login liegen, im Zweifel ohne Internetzugang. Gefundene Zugangsdaten und Schlüssel werden im Befund maskiert gespeichert, das Finding bleibt trotzdem vollständig. Einen Schreibpfad hat das Dashboard nicht, es kann nichts verändern, weder bei uns noch bei Ihnen.

Ja — als menschliche Bewertung mit Begründung und Verantwortlichem: Fehlalarm, wird nicht behoben, kann nicht behoben werden. Diese Bewertung ist bewusst vom Befund getrennt gespeichert und wird nie automatisch überschrieben. Ein Scan ist eine Beobachtung; ein Urteil ist keine. Deshalb darf das eine das andere nicht verändern.

Von nichts, was Sie vorher ausrechnen müssten. Es gibt einen Preis, und er steht auf dieser Seite. Er ändert sich nicht mit der Zahl Ihrer Anwendungen, nicht mit der Zahl der Findings und nicht mit der Zahl der Durchläufe. Vor dem Angebot legen wir den Zuschnitt des Prüfumfangs und den Rhythmus gemeinsam fest und halten beides schriftlich fest. Das ist eine Absprache über die Arbeit, nicht über die Rechnung. Ihre einzige Wahl beim Preis ist monatlich oder jährlich im Voraus.

Vom zugeschnittenen Prüfumfang bis zum Übergabegespräch typischerweise fünf bis zehn Arbeitstage. Der Zuschnitt selbst ist ein Gespräch von etwa einer halben Stunde.