Haben für ein Code-Review gezahlt, aber nur Fachchinesisch bekommen – wie liest man so einen Bericht richtig?

Mehmet C***vor 4 Monaten·29 Nachrichten·6332 Aufrufe#code-review-bericht #software-audit #agenturführung #code-qualität

Funktion: Verkäufer im Einzelhandel
Branche: Elektro- und Elektronikindustrie
Organisationsform: Unternehmen mit 120 Mitarbeitern
Beigetreten: Mai 2025
Nachricht: 263

vor 4 Monaten#1

Wir betreiben ein Marktplatz-Startup mit Sitz in London. Die Backend-Architektur unserer mobilen App, die eine externe Agentur innerhalb von acht Monaten entwickelt hat, haben wir von einer unabhängigen Wirtschaftsprüfungsgesellschaft prüfen lassen und dafür 4.000 GBP gezahlt. Vor zwei Tagen kam der 65-seitige Code-Review-Bericht an.

Im Bericht werden hunderte Punkte aufgelistet – von SQL-Injections über zirkuläre Abhängigkeiten und Memory Leaks bis hin zu Code Smells. Es gibt seitenweise bunte Diagramme und Einstufungen wie kritisch, hoch oder mittel. Als nicht-technischer Gründer kann ich aber schlichtweg nicht erkennen, was davon ein echter Brandherd ist und was nur theoretischer Perfektionismus.

Wenn ich zur Entwicklungsagentur gehe und sage „behebt bitte alles“, gibt es Streit und das Projekt steht wochenlang still. Wie gehe ich rational an diesen Code-Review-Bericht heran, welche Punkte muss die Agentur zwingend korrigieren und was kann ich vorerst ignorieren?

Veli T***Teilnehmer

Funktion: HR-Spezialist
Branche: Landwirtschaft
Organisationsform: Unternehmen mit 120 Mitarbeitern
Beigetreten: Apr. 2023
Nachricht: 1

vor 4 MonatenNützlichste Antwort#2

Kurze Antwort: Man muss beim Lesen eines Code-Review-Berichts nicht jedes technische Detail verstehen. Die entscheidende Trennung liegt zwischen direkt ausnutzbaren Sicherheitslücken und technischer Schuld, die künftige Wartungskosten erhöht. Kritische und schwerwiegende Sicherheitsfunde müssen vertraglich sofort behoben werden, während saubere Formatierung und Styling-Hinweise erst mit der Zeit angegangen werden können.

Von den 65 Seiten sind vermutlich 50 reine Standardausgaben automatischer statischer Code-Analyse-Tools. Gehen Sie den Bericht anhand dieser drei Filter durch: 1) Sicherheit und Datenlecks: Punkte wie SQL-Injections, Authentifizierungslücken und unverschlüsselte sensible Daten sind direkte Fehler der Agentur und müssen vor dem Go-live kostenlos korrigiert werden. 2) Performance und Skalierung: Memory Leaks und unoptimierte Datenbankabfragen bringen das System schon bei wenigen hundert gleichzeitigen Nutzern zum Absturz – das ist Priorität zwei. 3) Code Smells und Stil-Warnungen: Benennungskonventionen, zu lange Funktionen oder redundanter Code verhindern nicht die Funktionalität, sondern erschweren künftig nur die Wartung.

Bitten Sie die Prüffirma vor dem Treffen mit der Agentur um ein zweiseitiges „Management Summary“. Konfrontieren Sie die Agentur dann nicht mit jedem einzelnen Punkt, sondern nur mit den Funden aus den ersten beiden Kategorien. Machen Sie deren Behebung zur Bedingung für die Schlusszahlung.

Esra U***TeilnehmerCommunity-Mitglied

Beigetreten: Feb. 2026
Nachricht: 160

vor 4 Monaten#3

Konzentrieren Sie sich auf die Sicherheitspunkte mit dem Label „Critical“ und „High“. Sobald da Dinge aus den OWASP Top 10 auftauchen (etwa fehlerhafte Autorisierungen oder SQL-Injections), reden wir nicht über Code Smells, sondern über offene Tore für Datenlecks, die strafbar sein können. Da gibt es null Spielraum.

Zerrin T***Teilnehmer

Funktion: Exportbeauftragter
Branche: Recht
Organisationsform: Boutique-Agentur
Beigetreten: März 2024
Nachricht: 3

vor 4 Monaten#4

Die Prüffirma schuldet Ihnen definitiv eine 30-minütige Q&A-Runde. Fragen Sie sie ganz direkt: „Wenn das System morgen live geht und 1.000 Leute gleichzeitig drauf sind – an welchen 3 Stellen fliegt uns das Ding als Erstes um die Ohren?“ Und der Agentur drücken Sie genau diese 3 Punkte in die Hand.

İlknur G***VeteranCommunity-Mitglied

Beigetreten: Nov. 2024
Nachricht: 80

vor 4 Monaten#5

Für 4.000 GBP hat diese Prüffirma vermutlich einfach ein Open-Source-Scan-Tool über den Code gejagt und Ihnen das ausgespuckte PDF mit eigenem Logo untergejubelt. Sind Sie sicher, dass sich da überhaupt jemand manuell die Logikfehler angeschaut hat?

Sultan B***Teilnehmer

Funktion: Finanzbuchhaltung
Branche: Sicherheitsdienste
Organisationsform: Team mit 8 Personen
Beigetreten: Feb. 2025
Nachricht: 23

vor 4 Monaten#6

Bei meinem ersten Startup wäre ich wegen so eines Berichts fast vor Gericht gelandet. Dachte bei „Code Smell“ jedes Mal, das System explodiert gleich. Am Ende hat das Tool nur gemeckert, weil ein paar englische Funktionsnamen grammatikalisch nicht ganz korrekt waren. Lasst euch das unbedingt vorher von jemandem übersetzen, bevor Panik ausbricht.

Halil K***Teilnehmer

Funktion: Klinikleiter
Branche: Fischerei
Organisationsform: mittelständisches Unternehmen
Beigetreten: Mai 2024
Nachricht: 208

Doki · Interface-Design · 2026

vor 3 Monaten#7

Sortieren Sie die Punkte nach folgender Reihenfolge aus: 1) Lücken bei Datenbank und Kundendaten sofort, 2) Abfragen, die bei gleichzeitigen Zugriffen Locks erzeugen, im nächsten Sprint, 3) Formatierungs- und Dokumentationsmängel komplett in Leerlaufzeiten.

Zerrin S***Experte

Funktion: Vertriebsleiter
Branche: Software
Organisationsform: Unternehmen mit 120 Mitarbeitern
Beigetreten: Apr. 2023
Nachricht: 43

vor 3 Monaten#8

wenn du der agentur den ganzen bericht hinklatschst gehen die sofort in abwehrhaltung und machen gar nix. screnshotte nur die echten fehler und schreib denen dass das gegen die abnahmekriterien verstößt.

Metin P***ExperteCommunity-Mitglied

Beigetreten: Juni 2023
Nachricht: 186

vor 3 Monaten#9

bedeutet „Code Smell“, dass der Server überhitzt und Hardware abbrennt oder ist das nur so ein Insider-Slang unter Programmierern?

Selin B***Teilnehmer

Funktion: Grafikdesigner
Branche: energie
Organisationsform: Unternehmen innerhalb eines Konzerns
Beigetreten: Juni 2022
Nachricht: 29

vor 3 Monaten#10

Kurzfassung für Neueinsteiger: Fehler auf der Code-Review-Bericht-Seite sind meist rückgängig zu machen, aber teuer.

Nur als Notiz könnte nützlich sein.

Nazlı T***Teilnehmer

Funktion: Social-Media-Manager
Branche: verpackung
Organisationsform: mittelständisches Unternehmen
Beigetreten: Nov. 2023
Nachricht: 58

vor 3 Monaten#11

Vor zwei Jahren habe ich genau dasselbe erlebt. Lösungen, die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen, das habe ich spät gelernt.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.