Bestehende Software prüfen lassen: Was haben Sie, und was ist zu tun?
Eine Bestandsaufnahme zum Festpreis für Anwendungen, die jemand anderes gebaut hat, auch mit KI. Am Ende ein Dokument, das Ihnen gehört.
- Nur eine Person weiss, wie die Anwendung funktioniert, und sie ist nicht mehr da oder bald weg.
- Jemand im Haus hat mit einem KI-Werkzeug etwas gebaut, das jetzt produktiv läuft, und niemand hat den Code gelesen.
- Sie wollen weiterentwickeln lassen und bekommen von Anbietern nur Schätzungen mit vielen Vorbehalten.
- Ein Vorfall, eine Prüfung oder ein Verkauf des Betriebs steht an, und Sie brauchen eine Aussage zum Zustand.
Eine Bestandsaufnahme beantwortet vier Fragen: Was tut die Anwendung, aus welchen Teilen besteht sie, wo sind die Risiken, und was ist zu tun. Wir lesen den Code, schauen dem Betrieb zu, sprechen mit den Leuten, die damit arbeiten, und schreiben auf, was wir finden. Das Ergebnis ist ein Dokument, das Ihnen gehört und mit dem Sie entscheiden können: weiterbetreiben, übernehmen lassen, Teile ersetzen oder neu bauen. Ob Sie uns danach beauftragen, ist eine zweite Frage.
Was wir prüfen
- 01Zugänge und Eigentum
Wem gehören Repository, Hosting, Domain, Datenbank und die Konten bei Drittdiensten? Steht im Vertrag, dass der Code Ihnen gehört? Was fehlt, steht als Erstes auf der Liste, weil es am schnellsten zu beheben ist.
- 02Aufbau und Abhängigkeiten
Aus welchen Bausteinen besteht die Anwendung, wie alt sind sie, welche haben bekannte Schwachstellen, welche werden nicht mehr gepflegt? Und: Gibt es Bausteine, die es gar nicht gibt? KI-Werkzeuge erfinden gelegentlich Pakete, die plausibel klingen; was dann installiert wird, hat jemand anderes unter diesem Namen veröffentlicht.
- 03Tests, die etwas prüfen
Viele Anwendungen haben Tests, die grün sind, weil sie nichts prüfen: Sie rufen die Funktion auf und bestätigen, dass sie zurückkommt. Wir lesen die Tests und sagen, welche Abnahmefälle tatsächlich abgedeckt sind, besonders die, die etwas verbieten sollen: Kunde A sieht die Daten von Kunde B nicht.
- 04Daten und Änderungen daran
Wie sieht das Datenmodell aus, gibt es eine Sicherung, wurde sie je zurückgespielt? Sind Änderungen an der Datenbank so gebaut, dass man sie rückgängig machen kann, oder löscht die nächste Migration Spalten, ohne dass jemand es merkt?
- 05Sicherheit im Alltag
Anmeldung, Rechteprüfung auf dem Server, Umgang mit Eingaben, Geheimnisse im Code, Protokolle. Die zehn Fragen aus dem Artikel über IT-Sicherheit beantworten wir schriftlich für Ihre Anwendung.
- 06Lesbarkeit und Übergabefähigkeit
Kann ein anderer Entwickler die Anwendung in zwei Tagen zum Laufen bringen und verstehen? Wir probieren es: frischer Rechner, nur die Dokumentation. Wo wir steckenbleiben, fehlt etwas, und das schreiben wir auf.
Was Sie bekommen
- Ein Dokument in verständlicher Sprache: Zustand, Risiken nach Dringlichkeit, Empfehlung mit Begründung.
- Eine technische Dokumentation für den nächsten Entwickler: Aufbau, Bausteine, wie man baut und startet, wo die Daten liegen, was heikel ist.
- Eine Liste der Sofortmassnahmen, die Sie ohne uns umsetzen können: Zugänge, Sicherung, Rechte.
- Eine Einschätzung, was Weiterbetrieb, Übernahme durch Ihr Team oder Neubau bedeuten würden, ohne Zahl, die wir nicht belegen können.
Was es nicht ist
- Kein Sicherheitsaudit. Wir sind Softwareentwickler, keine Sicherheitsprüfer. Bei besonders schützenswerten Daten empfehlen wir zusätzlich eine unabhängige Prüfung durch ein darauf spezialisiertes Unternehmen.
- Keine Reparatur. Die Bestandsaufnahme sagt, was zu tun ist. Das Tun ist ein eigener Auftrag, bei uns oder anderswo.
- Kein Urteil über die Person, die es gebaut hat. Die meisten Mängel entstehen aus Zeitmangel, nicht aus Unvermögen.
Ablauf und Preis
Nach einem kurzen Gespräch und einem Blick auf den Umfang nennen wir einen Festpreis. Die Bestandsaufnahme dauert je nach Grösse der Anwendung einige Tage bis zwei Wochen; Sie brauchen dafür die Zugänge und eine Person, die uns den Betrieb zeigt. Am Ende besprechen wir das Dokument mit Ihnen. Danach gibt es drei Wege, beschrieben im Artikel Wenn der Entwickler geht: Wir pflegen die Anwendung per Leistungsvertrag, Ihr Team übernimmt sie mit unserer Einführung, oder wir ersetzen sie schrittweise. Oder Sie machen etwas ganz anderes, mit dem Dokument in der Hand. Den Anfang macht ein Erstgespräch.
Häufige Fragen
Wir haben keinen Zugang zum Quellcode. Geht die Prüfung trotzdem?
Eingeschränkt. Ohne Code können wir Betrieb, Daten, Zugänge und Verhalten beurteilen, aber nicht die Qualität des Codes. Meist ist der erste Schritt dann, den Code zu beschaffen; wie das geht, steht im Artikel [Der Quellcode gehört Ihnen](/blog/quellcode-gehoert-ihnen). Wenn er nicht auffindbar ist, ist die Datenbank das Wertvolle, und die Bestandsaufnahme konzentriert sich darauf.
Ein Mitarbeiter hat das Werkzeug mit KI gebaut und ist stolz darauf. Wie gehen wir damit um?
Zu Recht stolz: Er hat ein Problem gelöst, das sonst liegen geblieben wäre. Die Bestandsaufnahme ist kein Misstrauen, sondern das, was jede Anwendung braucht, die produktiv läuft. Wir beziehen die Person ein; oft wird sie danach diejenige, die die Anwendung mit Regeln und Werkzeugen weiterführt. Das ist unser [Weg A](/arbeitsweise#weiterentwicklung).
Was unterscheidet das von einem Code-Audit?
Ein Code-Audit beurteilt den Code. Die Bestandsaufnahme beurteilt die Anwendung in Ihrem Betrieb: Code, Daten, Zugänge, Betrieb, Abhängigkeit von Personen. Und sie endet mit einer Dokumentation, die der nächste Entwickler braucht, nicht nur mit einer Liste von Befunden.