Agentur verlangt Aufpreis für statische Quellcode-Analyse – was ist das und braucht man das?

Ich leite seit Jahren IT-Projekte und das klingt für mich nach reiner Margen-Optimierung zum Projektabschluss. Jedes vernünftige Dev-Team hat Linter und statische Analysen fest in der CI/CD-Pipeline verankert. Für die Überprüfung der eigenen Arbeit vor Abnahme extra die Hand aufzuhalten, geht gar nicht.

Die statische Analyse prüft im Prinzip den Syntaxbaum auf bekannte Schwachstellen in DB-Queries, hardcodierte Keys oder veraltete Libs. Nützlich ja, aber am Ende lässt man ein Tool drüberlaufen und zieht sich ein PDF. Solange da kein aufwendiges manuelles Review dranhängt, sind 1.800 EUR technisch durch nichts zu rechtfertigen.

Hatten wir in Stuttgart bei einem 16.000 EUR B2B-Portal exakt genauso. Die wollten 1.200 EUR extra, haben wir abgelehnt. Haben den Code nach Übergabe einem externen Senior Freelancer gegeben, der für 350 EUR einen Report gezogen hat. Die 8 kritischen Punkte durfte die Agentur dann schön auf Gewährleistung nachbessern.

Dem Report der Agentur würde ich sowieso nicht trauen. Wenn die das selbst durchführen, drehen die die Schwellenwerte im Tool so weit runter, dass am Ende ein schneeweißer Bericht rauskommt. Niemand auditiert sich ehrlich selbst. Wenn Extra-Budget, dann keinesfalls an dieselbe Agentur.

was passiert eigentlich, wenn man das gar nicht macht? naja fällt einem das System im Live-Betrieb dann sicherheitstechnisch auf die Füße oder geht es da eher um theoretische Unsauberkeiten unter der Haube?

Schauen Sie direkt in den Vertrag unter Abnahmekriterien. Steht da was von 'nach dem Stand der Technik' oder 'mangelfreies Werk' fordern Sie die Auswertung als Qualitätsnachweis ein, ohne Aufpreis. Wenn die sich querstellen: nichts extra zahlen und die reguläre Übergabe abwarten.

auf keinen fall zahlen und die drücken einmal auf play und exportieren ein pdf pure abzocke. lieber den fertigen code nahher unabhängig checken lassen.

Nach deutschem Werkvertragsrecht schuldet der Auftragnehmer ein Werk frei von Sachmängeln. Was die statische Analyse aufdeckt, sind typischerweise Mängel, die vor Abnahme ohnehin beseitigt werden müssen. Die Prüfkosten dafür auf den Besteller abzuwälzen, ist rechtlich äußerst angreifbar.

ich schreibe kurz wie das in der Praxis gemacht wird. zwei Wochen Notiizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

wenn es jemand anders macht, würde mich das auch interessieren.

Du hast recht. Das günstigste Angebot ist oft das am wenigsten durchdachte.

An deiner Stelle würde ich so vorgehen.

Ein Thema das gerade aktuell ist.

Mich interessiert das auch.

Nichts vergessen: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Letztes Jahr haben wir fast genau dasselbe erlebt. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Nur als Notiz, könnte nützlich sein.

Bei uns ist es genauso.

Ich stimme voll und ganz zu. Wer bei statische code-analyse hetzt, stolpert alle an derselben Stelle.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss. Das war's, entschuldige, wenn ich zu lang war.

Bei uns ist es genauso. Fehler auf der statische code-analyse-Seite sind meist rückgängig zu machen aber teuer.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich möchte kurz warnen. Wenn keine Abnahmekriterien definiert sind, ist der Abschlusszeitpunkt des Projekts diskussionswürdig.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. Korrigiert mich, falls ich falsch liege.