KI-Code prüfen lassen: Warum ein Mensch draufschauen muss

Ein Code-Review für KI-generierte Software ist eine Prüfung durch erfahrene Menschen, bevor die Anwendung live geht: Ist der Code sicher, verarbeitet er Daten korrekt, sind die Abhängigkeiten vertrauenswürdig, und lässt er sich warten? Automatische Werkzeuge finden typische Muster, aber Logikfehler, fehlende Rechteprüfungen und falsche Annahmen über den Geschäftsprozess erkennt meist nur ein Mensch, der versteht, was die Anwendung tun soll.

Mit KI entstehen Anwendungen heute in Tagen statt Monaten – Kundenportale, interne Tools, Automatisierungen. Das ist ein echter Gewinn. Das Problem: Wer den Code nicht selbst geschrieben hat, kennt seine Schwachstellen nicht. Die französische Behörde ANSSI und das BSI empfehlen deshalb, KI-generierten Code von Menschen prüfen zu lassen. Welche Risiken typisch sind, steht in Software mit KI entwickeln: Die 7 größten Sicherheitsrisiken.

Was ein Review prüft

Bereich	Fragen
Zugriff und Rechte	Wer darf was? Prüft der Server das – oder nur die Oberfläche?
Eingaben	Werden Formulare, Uploads und Parameter sicher verarbeitet?
Abhängigkeiten	Gibt es alle Pakete wirklich, sind sie gepflegt und aktuell?
Zugangsdaten	Stehen Passwörter oder API-Schlüssel im Code?
Datenschutz	Welche personenbezogenen Daten werden wo gespeichert, wie lange?
KI-Funktionen	Ist die Anwendung gegen Prompt Injection abgesichert, haben Agenten nur nötige Rechte?
Betrieb	Updates, Backups, Logs, Fehlerbehandlung – wer kümmert sich nach dem Start?

Was automatische Werkzeuge leisten – und was nicht

Statische Code-Analyse, Abhängigkeits-Scanner und Secret-Scanner gehören in jedes Projekt. Sie finden bekannte Muster zuverlässig und schnell. Sie wissen aber nicht, dass Mitarbeitende einer Abteilung keine Gehaltsdaten sehen dürfen oder dass eine Bestellung erst nach Freigabe ausgelöst werden soll. Solche Regeln stehen nicht im Code, sondern im Geschäftsprozess – und genau dort entstehen die teuersten Fehler.

Wann sich ein Review lohnt

Bevor eine Anwendung öffentlich erreichbar wird.
Bevor sie Kundendaten, Zahlungen oder personenbezogene Daten verarbeitet.
Wenn KI-Agenten Aktionen ausführen dürfen, etwa E-Mails senden oder Daten ändern.
Wenn niemand im Team den Code vollständig versteht.
Nach größeren Änderungen und vor dem Übergang vom Prototyp zum Produktivbetrieb.

Wie ein Review abläuft

Kurzgespräch: Was soll die Anwendung tun, wer nutzt sie, welche Daten verarbeitet sie?
Automatische Prüfung: Code-Analyse, Abhängigkeiten, Zugangsdaten.
Manuelle Prüfung: Rechte, Datenflüsse, KI-Funktionen, kritische Abläufe.
Ergebnis: priorisierte Liste mit konkreten Korrekturen – was sofort, was später.
Auf Wunsch: Unterstützung bei der Umsetzung und ein zweiter Blick danach.

Sie entwickeln Software mit KI-Unterstützung – selbst, mit Ihrem Team oder mit einem Dienstleister? Wir schauen drüber. Ein menschliches Review von Code, Abhängigkeiten, Zugriffsrechten und Konfiguration, bevor Ihre Anwendung live geht oder Kundendaten verarbeitet. Sprechen Sie uns an.

Häufig gestellte Fragen

Reichen automatische Sicherheitstools für KI-Code nicht aus?

Sie sind wichtig, finden aber vor allem bekannte Muster. Logikfehler, fehlende Rechteprüfungen und falsche Annahmen über den Geschäftsprozess erkennt meist nur ein Mensch, der den Zweck der Anwendung kennt.

Wie lange dauert ein Code-Review?

Das hängt von Umfang und Kritikalität ab. Ein kleines internes Tool lässt sich oft in kurzer Zeit prüfen, eine Anwendung mit Kundendaten und Zahlungen braucht mehr Zeit. Den Umfang klären wir im Vorgespräch.

Muss ich mit KI aufhören, um sicher zu entwickeln?

Nein. KI beschleunigt die Entwicklung erheblich. Entscheidend ist, dass Menschen den Code prüfen und Verantwortung übernehmen, bevor er produktiv geht.

Stand: Oktober 2026. Quelle: ANSSI/BSI: AI Coding Assistants.