Was kostet ein Code Audit?

Sie erhalten vorab einen Festpreis für Ihren Scope. Er hängt von Codegröße, Technologien und Tiefe ab (Focus Review in zwei Tagen, Deep Review in fünf). Keine Stundenabrechnung.

Prüfen Sie Code, der mit Lovable, Cursor, Bolt oder Copilot gebaut wurde?

Ja. Wir bauen selbst mit diesen Werkzeugen und wissen, wo sie typischerweise Lücken lassen.

Welche Sprachen und Frameworks?

Typisch sind TypeScript, JavaScript, React, Node.js, Python sowie Supabase- und Cloud-Backends. Andere Stacks klären wir im Fit-Call.

Brauchen Sie Schreibzugriff?

Nein. Lesezugriff auf das Repository genügt. Wir ändern nichts in Ihrem Code.

Ist das eine Zertifizierung?

Nein. Keine Zertifizierung, keine Testierung, kein Penetrationstest. Wir bewerten und dokumentieren, Ihre Prüfer entscheiden.

Wir starten zwei Reviews pro Woche. Ein Focus Review dauert zwei Tage, ein Deep Review fünf.

CODE AUDIT · SECURITY REVIEW · VIBE CODE

Code Audit, auch für KI-generierten Code

Ein Code Audit von sumthink ist eine unabhängige Prüfung Ihres Quellcodes durch einen benannten Experten: Codequalität, Sicherheitslücken, Architektur, Abhängigkeiten und technische Schulden. Sie erhalten in wenigen Tagen ein schriftliches Urteil mit höchstens drei Korrekturen, die über den Go-live entscheiden, zum Festpreis.

Code Audit anfragen · 15-Minuten-Fit-Call

Warum KI-generierter Code ein Audit braucht

Mit KI-Werkzeugen und Vibe Coding entsteht in Wochen, wofür Teams früher Monate brauchten. Der Code läuft, die Demo überzeugt. Aber funktionierender Code ist nicht dasselbe wie sicherer, wartbarer Code. In einer Untersuchung von Veracode enthielten 45 % der KI-generierten Code-Beispiele Sicherheitslücken (Juli 2025).

Typische Befunde sind Schlüssel im Frontend, fehlende Zugriffsregeln, offene Endpunkte, veraltete Abhängigkeiten und eine Architektur, die zehn Nutzer trägt, aber keine zehntausend. Ein Code Audit findet das, bevor es ein Kunde, ein Prüfer oder ein Angreifer findet.

Veracode, Juli 2025

Was wir im Code prüfen

Sicherheit: Authentifizierung, Zugriffsregeln, Geheimnisse im Code, Eingabevalidierung, offene Endpunkte.
Codequalität und Wartbarkeit: Struktur, Lesbarkeit, Duplikate, Testabdeckung, Fehlerbehandlung.
Architektur: Trägt der Aufbau Wachstum, neue Funktionen und mehrere Teams?
Abhängigkeiten: Veraltete oder unsichere Bibliotheken, Lizenzen, Lieferkette.
Daten und Datenschutz: Wo liegen personenbezogene Daten, wer sieht sie, wie lange?
Betrieb und Kosten: Logging, Monitoring, Skalierung und was die Infrastruktur im Monat kostet.
KI-spezifisch: Prompt-Injection, Modellaufrufe ohne Grenzen, ungeprüfte KI-Ausgaben im Produkt.

Werkzeuge plus Urteil

Statische Codeanalyse (SAST), Abhängigkeits-Scanner und KI-gestützte Werkzeuge durchsuchen den gesamten Quellcode und sammeln Belege. Sie finden viel, aber sie gewichten nicht. Ein benannter Experte liest den Code im Kontext Ihres Produkts, bewertet Befunde nach tatsächlicher Ausnutzbarkeit statt nach Scanner-Menge und benennt die drei, die den Go-live wirklich blockieren.

Code Audit, Code Review, Pentest: der Unterschied

Leistung	Was sie prüft	Wann
Code Review	einzelne Änderungen im laufenden Entwicklungsprozess	täglich, im Team
Code Audit	den gesamten Quellcode unabhängig und mit Urteil	vor Go-live, Finanzierung, Übernahme oder Skalierung
Penetrationstest	die laufende Anwendung von außen, mit Angriffsversuchen	vor Go-live, regelmäßig, oft vorgeschrieben

Unser Code Audit ist kein Pentest, und das sagen wir auch so. Wenn ein Pentest nötig ist, sagen wir Ihnen das im Urteil.

Was Sie bekommen

Schriftliches Urteil, die Antwort auf Seite eins
Befunde mit Belegen und Fundstellen im Code
Höchstens drei Fix-nows mit Begründung und erstem Schritt
Fix-next und Später als priorisierte Liste
60 Minuten Readout mit Ihrem Entwicklungsteam
NDA vor Einsicht, Lesezugriff auf das Repository genügt

Ihre Experten

Der Code-Experte wird beim Scoping benannt.

Christoph Ebeling

Experte für IT-Sicherheit und DevOps

Christoph Ebeling verantwortet den Security-Teil des Code Audits. Er kommt aus Entwicklung und DevOps und bewertet Sicherheitsbefunde danach, ob sie tatsächlich ausnutzbar sind.

David Körntgen

Systemarchitekt und Backend-Entwickler

David Körntgen bewertet die Architektur Ihres Codes: ob der Aufbau Wachstum, neue Funktionen und strenge Anforderungen an Datenschutz und Qualität trägt, wie er es aus HealthTech und MedTech kennt.

Alle Experten

Häufige Fragen

Was kostet ein Code Audit?: Sie erhalten vorab einen Festpreis für Ihren Scope. Er hängt von Codegröße, Technologien und Tiefe ab (Focus Review in zwei Tagen, Deep Review in fünf). Keine Stundenabrechnung.
Prüfen Sie Code, der mit Lovable, Cursor, Bolt oder Copilot gebaut wurde?: Ja. Wir bauen selbst mit diesen Werkzeugen und wissen, wo sie typischerweise Lücken lassen.
Welche Sprachen und Frameworks?: Typisch sind TypeScript, JavaScript, React, Node.js, Python sowie Supabase- und Cloud-Backends. Andere Stacks klären wir im Fit-Call.
Brauchen Sie Schreibzugriff?: Nein. Lesezugriff auf das Repository genügt. Wir ändern nichts in Ihrem Code.
Ist das eine Zertifizierung?: Nein. Keine Zertifizierung, keine Testierung, kein Penetrationstest. Wir bewerten und dokumentieren, Ihre Prüfer entscheiden.
Wie schnell geht es?: Wir starten zwei Reviews pro Woche. Ein Focus Review dauert zwei Tage, ein Deep Review fünf.

Expert Review · Lastenheft prüfen · Expert Review (Englisch) · 15-Minuten-Fit-Call