Was ist ein Software-Audit? Ablauf, Kosten und was dabei herauskommt
Jemand hat Ihnen ein Software-Audit empfohlen. Vielleicht der Steuerberater vor einer Übernahme. Vielleicht Ihr eigenes Bauchgefühl, weil die Anwendung seit Jahren läuft und niemand mehr genau weiß, was drin steckt.
Software-Audit, was ist das also konkret? Kurz gesagt: eine systematische Überprüfung einer Anwendung. Ein Prüfer schaut sich Code, Bibliotheken, Server und Dokumentation an. Am Ende steht ein Bericht mit Risiken, Mängeln und einer Reihenfolge, was zuerst dran ist.
Dieser Artikel erklärt, was dabei untersucht wird, wie lange es dauert, was es kostet und woran Sie einen guten Bericht erkennen.
Software-Audit: Was ist das eigentlich?
Ein Software-Audit beschreibt den Ist-Zustand. Über die Vergangenheit urteilt es nicht. Der Prüfer will nicht wissen, wer 2014 welche Entscheidung getroffen hat. Er will wissen, welche Folgen diese Entscheidungen heute haben.
Der Vergleich mit einem Gebäudegutachten passt gut. Der Gutachter bewertet nicht den Architekten. Er prüft Dach, Leitungen und Statik. Danach wissen Sie, ob Sie das Haus kaufen, sanieren oder erst einmal so lassen können.
Untersucht werden in der Regel vier Bereiche.
Der Quellcode selbst: Wie ist er aufgebaut, wie gut ist er lesbar, gibt es automatisierte Tests? Tests sind kleine Programme, die prüfen, ob die Software noch tut, was sie soll. Fehlen sie, ist jede Änderung ein Blindflug.
Die Abhängigkeiten: Fast jede Anwendung nutzt fremde Bausteine, sogenannte Bibliotheken. Sind diese aktuell? Werden sie noch gepflegt? Eine Bibliothek ohne Support ist eine offene Tür, für die niemand mehr den Schlüssel tauscht.
Die Infrastruktur: Auf welchem Server läuft die Software? Welche Versionen von PHP, Java oder Node sind im Einsatz? Gibt es Backups, und hat sie jemals jemand zurückgespielt?
Die Dokumentation und das Wissen: Wer kennt das System? Ist das Wissen aufgeschrieben oder steckt es im Kopf einer einzigen Person? Das ist oft der kritischste Punkt, und der am seltensten geprüfte.
Was passiert, wenn Sie nicht hinschauen?
Software altert leise. Sie meldet sich nicht, wenn eine Sicherheitslücke bekannt wird. Sie meldet sich, wenn jemand die Lücke ausnutzt. Dann ist der Zeitpunkt für ein Audit vorbei, und der Zeitpunkt für Krisenmanagement da.
Auch ohne Angriff kostet Unwissen Geld. Wer den Zustand seiner Software nicht kennt, plant falsch. Ein Feature, das drei Tage dauern sollte, dauert drei Wochen. Ein Entwickler geht, und niemand versteht mehr den Zahlungsprozess. Ein Kunde fragt nach einer Schnittstelle, und die Antwort lautet: "Das geht mit unserem System nicht."
Bei einer Übernahme wird es teuer. Wer eine Firma kauft, kauft ihre Software mit. Ohne Audit kaufen Sie die Katze im Sack. Wir haben in unserem Artikel zu Software-Audit vor der Übernahme beschrieben, wie schnell aus einem guten Preis ein schlechter wird.
Das alles sind technische Schulden. Sie verschwinden nicht, wenn man sie ignoriert. Sie wachsen. Ein Audit ist der Kontoauszug, den Sie sich bisher nicht angeschaut haben.
So läuft ein Software-Audit ab
Der Ablauf ist bei uns in fünf Schritte gegliedert. Andere Anbieter arbeiten ähnlich, die Namen unterscheiden sich.
Schritt 1: Vorgespräch und Zugang
Wir klären, worum es geht. Was macht die Software? Wer nutzt sie? Was bereitet Ihnen Sorgen? Dann brauchen wir Zugang zum Code, zum Server und zu vorhandener Dokumentation. Leserechte genügen. Wir ändern in dieser Phase nichts.
Schritt 2: Automatisierte Analyse
Werkzeuge scannen den Code nach bekannten Mustern. Sie finden veraltete Bibliotheken, öffentlich dokumentierte Sicherheitslücken und Stellen, die besonders komplex sind. Das dauert wenige Stunden und liefert eine erste Landkarte.
Diese Werkzeuge sind nützlich. Sie ersetzen aber keinen Menschen. Warum das so ist, erklären wir ausführlich im Artikel Software-Audit: Ablauf und warum KI ihn nicht ersetzt.
Schritt 3: Manuelle Prüfung
Jetzt liest ein erfahrener Entwickler den Code. Er folgt den wichtigsten Abläufen: Login, Bestellung, Datenexport, was immer Ihr Geschäft trägt. Er prüft, wie Fehler behandelt werden und ob Daten sauber gespeichert werden. Und er bewertet, wie schwer Änderungen fallen würden.
Hier entsteht der größte Teil des Aufwands. Und hier entstehen die Erkenntnisse, die kein Scanner liefert.
Schritt 4: Gespräch mit den Beteiligten
Wir sprechen mit den Menschen, die das System betreiben oder betrieben haben. Oft erfährt man in einer Stunde Gespräch mehr als in einem Tag Code lesen. "Den Import darf man nie nachts starten" steht in keiner Dokumentation. Aber jemand weiß es.
Schritt 5: Bericht und Besprechung
Wir fassen die Ergebnisse zusammen und gehen sie mit Ihnen im Gespräch durch. Fragen sind ausdrücklich erwünscht.
Wie lange dauert ein Software-Audit?
Das hängt von der Größe der Anwendung ab. Als Richtwerte aus unserer Praxis:
Eine kleinere Webanwendung mit wenigen tausend Zeilen Code ist in zwei bis drei Tagen geprüft. Ein gewachsenes Shop- oder Warenwirtschaftssystem braucht eher fünf bis zehn Tage. Bei sehr großen Systemen mit mehreren Teilanwendungen planen wir zwei bis vier Wochen.
Vom ersten Gespräch bis zum fertigen Bericht vergehen meist zwei bis vier Wochen. Der Prüfer arbeitet nicht durchgehend, er wartet auch auf Zugänge und Antworten.
Was kostet ein Software-Audit?
Ein Audit wird nach Aufwand oder als Festpreis angeboten. Für kleine Anwendungen liegen die Kosten im niedrigen vierstelligen Bereich. Für mittlere Systeme sollten Sie mit 5.000 bis 15.000 Euro rechnen. Große Systeme kosten entsprechend mehr.
Klingt viel? Vergleichen Sie es mit den Alternativen. Ein Ausfall des Shops über ein Wochenende. Ein Datenschutzvorfall mit Meldepflicht. Eine Neuentwicklung, die sich später als unnötig herausstellt. Wann sich der Aufwand rechnet und wann nicht, haben wir im Artikel Software-Audit: Was kostet er, wann lohnt er sich? durchgerechnet.
Ein ehrlicher Hinweis: Nicht jede Anwendung braucht ein vollständiges Audit. Manchmal reicht ein Sicherheitscheck, manchmal ein halber Tag Bestandsaufnahme. Ein guter Anbieter sagt Ihnen das vorher.
Was steht in einem guten Bericht?
Der Bericht ist das Produkt. Alles andere ist Vorarbeit. Woran erkennen Sie, ob er etwas taugt?
Ein guter Bericht beginnt mit einer Zusammenfassung auf einer Seite, die Sie ohne Programmierkenntnisse verstehen. Er benennt die drei bis fünf größten Risiken und sagt, was passiert, wenn Sie nichts tun. Jedes Risiko hat eine Einschätzung: kritisch, hoch, mittel, niedrig.
Dann folgt die Priorisierung. Was muss diese Woche passieren? Was in den nächsten drei Monaten? Was kann warten? Ohne diese Reihenfolge haben Sie eine Liste, aber keinen Plan.
Zu jedem Punkt gehört eine Aufwandsschätzung. Grob reicht. "Ein bis zwei Tage" oder "mehrere Wochen" ist besser als gar nichts.
Der technische Teil kommt zum Schluss. Dort stehen Details für Entwickler: betroffene Dateien, Versionsnummern, konkrete Lücken mit Verweis auf öffentliche Datenbanken. Diesen Teil müssen Sie nicht lesen. Ihr nächster Dienstleister wird ihn lieben.
Ein schlechter Bericht erkennen Sie an zwei Dingen. Er besteht nur aus Werkzeug-Ausgaben ohne Einordnung. Oder er endet mit der Empfehlung, alles neu zu bauen, ohne das zu begründen.
Sicherheitsaudit oder Software-Audit?
Beides wird oft verwechselt. Ein Sicherheitsaudit konzentriert sich auf Angriffsflächen: offene Lücken, unsichere Konfigurationen, Zugriffsrechte. Ein Software-Audit ist breiter und schaut auch auf Wartbarkeit, Wissen und Kosten.
Wenn Sie vor allem wissen wollen, ob Ihr System angreifbar ist, lesen Sie unseren Beitrag zum Security-Audit für Legacy-Software oder schauen Sie direkt auf unsere Leistung Sicherheits-Audit. Wenn Sie ein Gesamtbild brauchen, ist das Software-Audit die richtige Wahl.
Fazit: Wissen ist billiger als Raten
Ein Software-Audit beantwortet eine einfache Frage: In welchem Zustand ist die Software, von der mein Geschäft abhängt? Die Antwort kostet ein paar Tage und einen vierstelligen Betrag. Die falsche Annahme kostet meist mehr.
Sie sind sich nicht sicher, ob Ihre Anwendung ein Audit braucht? Unser Artikel über die Zeichen, dass Software Wartung braucht hilft bei der Einschätzung.
Oder Sie zeigen uns einfach, was Sie haben. Wir sagen Ihnen ehrlich, ob ein Audit sinnvoll ist oder ob ein kleinerer Schritt reicht. Sprechen Sie uns an. Das Erstgespräch ist kostenlos.
