Code-Audit & Code-Qualität

Was ein Code-Audit beantwortet

Die Frage lautet selten „ist der Code gut". Sie lautet: was liegt hier eigentlich, wo sammelt sich die Arbeit, und was davon wird uns im nächsten Jahr beschäftigen. Ein Audit beantwortet das mit Fundstellen statt mit Eindrücken — jeder Befund lässt sich nachvollziehen, und wer widerspricht, kann es am selben Ort tun.

Warum KI-generierter Code eine eigene Prüfung braucht

Ein großer Teil des Codes, der heute entsteht, kommt von einem Sprachmodell. Er liest sich sauber, hält Konventionen ein und bringt trotzdem Muster mit, die ein menschlicher Entwickler selten erzeugt: Abhängigkeiten auf Pakete, die es nicht gibt, eine Fehlerbehandlung, die den Fehler verschluckt, und Tests, die grün sind, ohne etwas zu prüfen. Ein Review, das auf Flüchtigkeitsfehler geeicht ist, sucht danach nicht.

Vier Blickrichtungen

Sicherheit fragt nach Abhängigkeiten, Geheimnissen im Quelltext und Eingaben ohne Prüfung. Struktur fragt, wo dieselbe Sache mehrfach gebaut wurde und wo Änderungen sich stauen. Die Testlage fragt nicht nach einer Prozentzahl, sondern ob die Tests überhaupt rot werden können. Und die Auslieferung fragt nach den drei Stellen, an denen ein Fehler teuer wird: Deploy, Migration und jedes neue Paket.

Was am Ende dasteht

Ein Bericht mit Befunden, jeder mit Fundstelle und dem Weg, ihn zu reproduzieren, und darüber eine Reihenfolge nach Wirkung. Eine Liste ohne Reihenfolge ist für ein Team, das nebenher liefern muss, kaum verwertbar. Was sich automatisieren lässt, gehört anschließend in die Auslieferungskette — sonst veraltet das Ergebnis ab dem nächsten Commit.