Agentur meinte bei der Übergabe, sie hätten eine Quellcode-Analyse gemacht – was bedeutet das und braucht man das?

Die statische Codeanalyse prüft den Quellcode der Anwendung, ohne ihn auszuführen, und findet meist bekannte Sicherheitslücken, Speicherlecks oder Code, der von Standards abweicht. Die Agentur sollte Ihnen den ungeschönten PDF-Report liefern können – inklusive der eingesetzten Tools und des Schweregrads der Funde.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Haben Sie nach dieser Analyse einen schriftlichen technischen Bericht bekommen? Wurde erwähnt, nach welchen Standards geprüft wurde, etwa nach OWASP-Regeln, oder war das nur mündliches Gerede?

Den eigenen Code zu scannen und für fehlerfrei zu erklären, ist die klassische Ausrede bei Übergaben. Wahrscheinlich haben sie nur ein Gratis-Plugin drübergejagt, um die zwei Monate Verzug irgendwie zu rechtfertigen. Fordern Sie den Bericht an – meistens stehen sie dann mit leeren Händen da.

Sie sollten jetzt drei klare Forderungen an die Agentur stellen: 1) Den Rohbericht der Analyse verlangen, 2) Schriftlich bestätigen lassen, dass kritische und schwere Schwachstellen geschlossen wurden, 3) Für noch offene mittlere Risiken einen Haftungsvorbehalt der Agentur ins Übergabeprotokoll aufnehmen.

Letztes Jahr bei unserem 350.000 TL B2B-Projekt meinte die Agentur auch, alles sei sauber. Wir hatten ein ungutes Gefühl, haben 35.000 TL für ein externes Audit in die Hand genommen und zack: 3 kritische Berechtigungslücken. Die Agentur musste das dann im Rahmen des Vertrags kostenlos nachbessern.

Schreiben Sie direkt eine Mail. Fordern Sie das Datum der Tests, den Namen des Scanners und die Fehlerliste an, falls eine erstellt wurde. Wenn das bei denen Routine ist, liegt der Report griffbereit und kann noch heute rausgehen.

bei uns hieß es wegen der verzögerung genau dasselbe auf nachfrage kam dann nur ein allgemeiner zweiseitiger wisch. besteht unbedingt auf detaillierte logs und die scan-ergebnisse lasst euch nicht abwimmeln.

Bei unserem Portal ist drei Monate nach Abnahme das System wegen eines Datenbankfehlers komplett eingefroren. Stellte sich heraus: Die Agentur hatte bei ihrer „Quellcode-Analyse“ bloß grundlegende Syntaxprüfungen gemacht, Lasttests zur Architektur überhaupt nicht. Seitdem nehme ich keine Software mehr offiziell ab, ohne einen externen, unabhängigen Prüfbericht gesehen zu haben.

Meine Frage ist geklärt, vielen Dank. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Ich hoffe, das hilft dir weiter.

Gespeichert. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn es jemand anders macht, würde mich das auch interessieren.

richtig.

Das hört man oft, aber bei uns war es nie so. Fehler auf der Quellcodeanalyse Bedeutung-Seite sind meist rückgängig zu machen aber teuer.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Dabei gibt es einen sehr häufigen Fehler. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

An deiner Stelle würde ich so vorgehen.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Wenn im Vertrag nicht steht, wem der Code gehört, habt ihr bei der Trennung keine Verhandlungsmacht mehr.

Wenn du so vorgehst, kläre das vorher. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

An deiner Stelle würde ich so vorgehen.

Mich interessiert das auch.

Vielen Dank, ich werde es heute testen.