C#-Code im Editor mit einem SonarQube-Hinweis zur kognitiven Komplexität

Code Review · Security Code Review

Code Review, bevor aus kleinen Fehlern große Probleme werden.

Wir prüfen einzelne Pull Requests, kritische Komponenten oder komplette Codebases: von klassischer Codequalität bis zum tiefen Security Review.

Ein erfahrener zweiter Blick auf deinen Source Code, mit klar abgegrenztem Scope und konkreten, priorisierten Findings. Ob ein einzelner Pull Request vor dem Merge oder eine übernommene Codebase: Du bekommst genau so viel Review, wie dein Vorhaben braucht.

Code prüfen lassenSecurity Review anfragen

Aus unseren Reviews

Was ein Review konkret zutage fördert

Anonymisiert, aber echt: Zahlen und ein Beispiel aus Code Reviews, die wir bereits durchgeführt haben.

Durchgeführte Code Reviews
7+
Typische Durchlaufzeit
5 Werktage
Häufigstes kritisches Finding
Fehlende Berechtigungsprüfungen

Ein Beispiel aus der Praxis

Ausgangslage
Ein Softwarehersteller ließ seine mandantenfähige Microservice-Plattform auf .NET, EF Core und PostgreSQL prüfen: Codequalität, Performance unter Last und sicherheitsrelevante Details.
Finding
Gefunden haben wir blockierende .Result-Aufrufe in asynchronem Datenbankcode, einen nicht kryptografisch sicheren Zufallsgenerator und vermeidbare Speicher-Allokationen in Hot Paths wie String-Aufbau und Logging.
Ergebnis
Jede Empfehlung kam mit Benchmark und Codebeispiel. Gemessen: bis zu 85 Prozent weniger Speicher pro Aufruf und Hot Paths, die bis zu fast fünfmal schneller laufen.

Unser Angebot

Vom kleinen Review bis zum Security Assessment

Drei Stufen, die aufeinander aufbauen. Du startest dort, wo du gerade stehst, und erweiterst nur, wenn es nötig ist.

Stufe 1

Code Review

Der niedrigschwellige Einstieg: ein erfahrener Blick auf Codequalität, Verständlichkeit und Architektur, ohne Compliance-Overhead.

Geeignet für

  • Pull Requests
  • Einzelne Features
  • Kritische Funktionen
  • Architekturentscheidungen
  • Schwer wartbaren Code

Ergebnis

  • Konkrete Findings
  • Priorisierte Empfehlungen
  • Code-Kommentare oder kompakter Review Report
Code Review anfragen
Stufe 2

Security Code Review

Das tiefere technische Security Assessment: Zusätzlich zur Codequalität prüfen wir gezielt auf Schwachstellen in Authentifizierung, Autorisierung, Datenverarbeitung und Abhängigkeiten.

Geeignet für

  • Sicherheitskritische Anwendungen
  • APIs
  • Auth-, Payment- und Berechtigungslogik
  • SaaS-Produkte
  • Anwendungen mit sensiblen Daten

Ergebnis

  • Security Findings mit Severity
  • Betroffene Codebereiche
  • Technische Erklärung
  • Konkrete Remediation
  • Optional Retest
Security Review anfragen
ErweiterungOptional

NIS2 Software Assessment

Für Unternehmen, die zusätzlich einen strukturierten Nachweis relevanter NIS2-Sicherheitsanforderungen benötigen, erweitern wir das Security Code Review um ein Assessment entlang NIS2 Art. 21, abgebildet auf NIST SSDF und OWASP ASVS.

Geeignet für

  • NIS2-relevante Unternehmen
  • Softwarelieferanten NIS2-relevanter Kunden
  • Procurement und Vendor Assessments

Ergebnis

  • Assessment gegen definierte Controls
  • Dokumentierte Evidence
  • Mapping auf NIS2 Art. 21
NIS2 Assessment ansehen

Fokussierte Reviews

Nicht jedes Security Review muss ein großes Audit sein.

Du möchtest nur einen kritischen Pull Request, eine neue Authentifizierung oder ein einzelnes Modul prüfen lassen? Genau dafür bieten wir fokussierte Code Reviews mit klar abgegrenztem Scope an.

Kleiner Scope heißt kleiner Aufwand: Wir vereinbaren vorab, was geprüft wird und in welcher Form du die Ergebnisse bekommst.

Fokussiertes Review anfragen

Typische Beispiele

  • Ein einzelner Pull Request
  • Ein neues Feature
  • Eine Gruppe von API-Endpunkten
  • Authentifizierung
  • Rollen- und Rechtesystem
  • Upload-Funktion
  • Payment-Flow
  • Kryptografie-Implementierung
  • Dependency-Upgrade
  • Kritisches Refactoring

Was wir im Code Review prüfen

Die Basis jedes Reviews: Qualität, Struktur und Wartbarkeit deines Codes.

Clean Code & Lesbarkeit

  • Namensgebung und Struktur
  • Komplexität und Verständlichkeit
  • Kommentare und Dokumentation
  • Einheitliche Coding-Standards

Architektur & Design

  • Modularität und Abhängigkeiten
  • Design Patterns und Anti-Patterns
  • Separation of Concerns
  • Erweiterbarkeit und Flexibilität

Testing & Qualitätssicherung

  • Testabdeckung und Testqualität
  • Unit-, Integrations- und E2E-Tests
  • Testbarkeit des Codes
  • CI/CD-Integration

Worauf wir im Security Code Review zusätzlich achten

Wir prüfen gezielt die Schwachstellenklassen, die in der Praxis zu Sicherheitsvorfällen führen, orientiert an den OWASP-Kategorien und an bekannten Schwachstellen deines Technologie-Stacks.

Identität & Zugriff

  • Authentifizierung
  • Autorisierung und Rechteprüfung
  • Session Management
  • API Security

Eingaben & Daten

  • Input Validation
  • Injection (SQL, Command, Template)
  • Secrets in Code und Konfiguration
  • Kryptografie

Abhängigkeiten & Supply Chain

  • Dependency Security
  • Supply-Chain-Risiken
  • Bekannte Schwachstellen (CVEs)
  • Veraltete und ungepflegte Pakete

Betrieb & Pipeline

  • Logging ohne sensible Daten
  • Error Handling
  • Security Configuration
  • CI/CD-bezogene Risiken

Methoden & Abgrenzung

Welche Methoden wir einsetzen, hängt von Ziel und Scope ab. Nicht jeder Auftrag umfasst automatisch alle davon.

Mögliche Methoden

  • Manueller Source-Code-Review
  • Architekturverständnis und Datenflüsse
  • SAST (statische Codeanalyse)
  • SCA (Software Composition Analysis)
  • Secret Scanning
  • Dependency Review
  • Gezielte manuelle Tests
  • Bei Bedarf ergänzende dynamische Tests

Den konkreten Scope und die eingesetzten Methoden vereinbaren wir vor Beginn gemeinsam.

Code Review, Penetration Test oder Security Assessment?

Code Review

White-Box-Analyse des Source Codes. Wir sehen, wie deine Anwendung gebaut ist, und finden Schwachstellen dort, wo sie entstehen.

Penetration Test

Prüfung des laufenden Systems aus der Perspektive eines Angreifers, typischerweise mit wenig oder keinem Einblick in den Code.

Security Assessment

Kann beide Methoden kombinieren: Der Code Review zeigt die Ursache, der dynamische Test bestätigt die Ausnutzbarkeit im laufenden System.

So läuft ein Review ab

Ein schlanker Ablauf, der für einen einzelnen Pull Request genauso funktioniert wie für eine komplette Anwendung.

  1. 01

    Scope

    Wir definieren Repository, Branch oder Commit und die relevanten Komponenten.

  2. 02

    Review

    Je nach Auftrag erfolgt manueller Code Review, Security Review und/oder automatisierte Analyse.

  3. 03

    Findings

    Du erhältst konkrete Findings mit Priorität, Codebezug und Handlungsempfehlung.

  4. 04

    Fix

    Dein Entwicklungsteam setzt die Änderungen um. Auf Wunsch unterstützen wir bei der Behebung.

  5. 05

    Retest

    Bei Security Assessments verifizieren wir auf Wunsch, dass relevante Findings behoben sind.

Optional

NIS2 Assessment

Wenn erforderlich, erweitern wir das Review um einen Kontrollkatalog entlang NIS2 Art. 21 und dokumentieren die Ergebnisse.

Mehr zum NIS2 Assessment

Was du erhältst

Die Ergebnisse richten sich nach dem vereinbarten Scope. Ein kleines Code Review endet nicht automatisch mit einem formalen Bericht.

Code Review

  • Review-Kommentare direkt im Pull Request
  • Findings-Liste
  • Priorisierte Empfehlungen

Formaler Report auf Wunsch

Security Code Review

  • Executive Summary
  • Technischer Security Report
  • Severity-Klassifikation
  • Remediation-Empfehlungen
  • Dependency- und Supply-Chain-Findings

Retest optional

NIS2 Assessment

  • SBOM Review
  • NIS2 Control Assessment entlang NIS2 Art. 21
  • Assessment Statement

Optionales Zusatzmodul

Die Leistungen im Vergleich

Was in welcher Stufe enthalten ist. Der genaue Umfang wird immer vor Beginn vereinbart.

Code Review

Codequalität
Enthalten
Manueller Security Review
optional
SAST/SCA
optional
Security Findings
optional
Formaler Kontrollkatalog
Nicht enthalten
NIS2 Mapping
Nicht enthalten
Evidence Review
Nicht enthalten
Retest
optional
Formaler Assessment Report
optional

Security Code Review

Codequalität
Enthalten
Manueller Security Review
Enthalten
SAST/SCA
je nach Scope
Security Findings
Enthalten
Formaler Kontrollkatalog
Nicht enthalten
NIS2 Mapping
Nicht enthalten
Evidence Review
optional
Retest
optional
Formaler Assessment Report
optional

NIS2 Assessment

Codequalität
Enthalten
Manueller Security Review
Enthalten
SAST/SCA
nach Scope
Security Findings
Enthalten
Formaler Kontrollkatalog
Enthalten
NIS2 Mapping
Enthalten
Evidence Review
Enthalten
Retest
vorgesehen
Formaler Assessment Report
Enthalten

Review anfragen

Erzähl uns von deiner Codebasis

Drei kurze Angaben reichen für eine erste Einschätzung. Wir melden uns mit einem Vorschlag für Umfang und Aufwand, ganz ohne Verkaufsgespräch.

  • Antwort innerhalb eines Werktags
  • Für den ersten Schritt brauchen wir keinen Zugriff auf deinen Code
  • Umfang und Preis stehen fest, bevor wir anfangen
Sascha Kiefer

Sascha Kiefer meldet sich persönlich bei dir.

Deine E-Mail-Adresse nutzen wir nur, um auf diese Anfrage zu antworten.

Häufige Fragen

Ja. Viele Aufträge sind bewusst klein: ein Pull Request, ein Modul oder eine neue Authentifizierung. Wir vereinbaren den Scope vorab, damit der Aufwand überschaubar bleibt.
Das hängt vom Scope ab. Ein einzelner Pull Request oder ein Modul ist oft schnell geprüft, ein Review mehrerer kritischer Komponenten dauert typischerweise einige Tage. Für komplette Anwendungen und Security Assessments planen wir gemeinsam einen passenden Zeitrahmen.
Nicht vollständig. Der Code Review analysiert den Source Code (White Box), ein Penetration Test das laufende System aus Angreiferperspektive. Beide finden unterschiedliche Arten von Schwachstellen und ergänzen sich.
Nur, wenn du einen strukturierten Nachweis benötigst, etwa weil dein Unternehmen selbst NIS2-relevant ist, du Software an NIS2-relevante Kunden lieferst oder Anforderungen aus Procurement bzw. Vendor Assessments erfüllen musst. In allen anderen Fällen reicht ein Code Review oder Security Code Review.
Wir benötigen Read-Only Zugang zum Repository. Optional sind Zugang zur CI/CD-Pipeline und zur Dokumentation hilfreich. Alle Zugänge werden nach Abschluss gelöscht.
Unser Fokus liegt auf C#/.NET, TypeScript/JavaScript, React und Node.js. Für andere Sprachen sprich uns gerne an.
Ja, wir bieten auch Pair-Reviews oder Review-Workshops an, bei denen wir gemeinsam mit deinem Team den Code durchgehen und Best Practices vermitteln.

Bereit für einen zweiten Blick auf deinen Code?

Erzähl uns kurz, was geprüft werden soll. Wir schlagen dir einen passenden Scope vor, vom einzelnen Pull Request bis zum Security Assessment.

Code Review anfragen

Mehr zum Thema in unserem Blog: Wie du Code-Reviews effektiv durchführst