KI-Agenten schreiben Code, der funktioniert – und manchmal Code, der zu viel kann. Hart codierte Zugangsdaten, fehlende Validierung, Berechtigungsprüfungen, die nur im Frontend stattfinden: das sind die Klassiker, die wir in Reviews finden. Bevor so etwas in Produktion landet, schauen wir hin.
Was wir prüfen
- Secrets und Zugangsdaten im Code oder in der Git-Historie
- Abhängigkeiten: veraltete Pakete, bekannte Schwachstellen, Lizenzprobleme
- Input-Validierung, Injection, unsichere Deserialisierung
- Authentifizierung, Sessions, Berechtigungen – auf dem Server, nicht nur im Browser
- Datenschutz: welche Daten fließen wohin, und steht das in der Datenschutzerklärung?
- Betriebssicherheit: Logging, Backups, Rollback, Updates
Schwerpunkt: Microsoft 365 als Code
Viele KI-gestützte Anwendungen hängen an einem Microsoft-365-Tenant – Login über Entra ID, Mail über Graph, Daten in SharePoint. Wir prüfen deshalb nicht nur den Code, sondern auch den Tenant dahinter: Conditional-Access-Stufen, App-Registrierungen und ihre Berechtigungen, Mail-Security (Anti-Phishing, DKIM/DMARC), Intune-Baselines. Das Ergebnis ist eine Vorlage, die sich versionieren, prüfen und per Klick ausrollen lässt – Sicherheit als Code statt als Klickstrecke im Admin-Portal. Unser Policy Manager ist aus genau dieser Arbeit entstanden.
Das Ergebnis
Ein Bericht, den auch die Geschäftsleitung versteht: Befunde nach Risiko sortiert, konkrete Empfehlungen, und auf Wunsch die Fixes gleich mit. Für KI-generierte Projekte liefern wir zusätzlich die Regeln, damit die Agenten die gefundenen Fehler nicht beim nächsten Feature wiederholen.