--- title: "DevSecOps Services & sichere CI/CD" canonical: https://wavect.io/de/services/devsecops/ language: de description: "Wavect prüft und verbessert eure Delivery-Pipeline: Zugriffe, Sicherheitschecks und nachvollziehbare Releases. Klarer Umfang, Umsetzung und Retest." image: "https://wavect.io/img/general/bak/open_graph_preview.jpg" --- DevSecOps # DevSecOps für einen Release-Weg, den euer Team nachvollziehen kann. Wisst, wie eine Änderung vom Repository in die Produktion gelangt, wer sie freigeben darf und welche Prüfungen sie stoppen können. Wir untersuchen den vereinbarten Delivery-Weg, setzen priorisierte Kontrollen um und übergeben Nachweise und Betriebsanleitungen. DER AUFTRAG ## Ein Delivery-Weg. Klare Kontrollen. Nachweise in eurer Hand. 1. **Weg erfassen** Repositories, Build-Jobs, Identitäten und Deployment-Ziele. 2. **Kontrollen umsetzen** Priorisierte Änderungen in eurem Code und eurer Konfiguration. 3. **Prüfen und übergeben** Erwartete Sperren, erlaubte Releases, Ausnahmen und Zuständigkeiten. KURZ ERKLÄRT DevSecOps verankert Sicherheitskontrollen im Build- und Release-Prozess. Dieser Auftrag umfasst vereinbarte Repositories, Build-Jobs, Artefakte und Deployment-Berechtigungen, mit umgesetzten Änderungen und Nachweisen ihres Verhaltens. Passt für - Produktteams mit fehlenden, uneinheitlichen oder umgehbaren Release-Prüfungen - Bestehende Engineering-Teams, die Unterstützung für einen klar begrenzten Umsetzungsauftrag brauchen Eine andere Leistung passt besser - Ein Anbieterwechsel mit Zugriffsübernahme und weiterer Produktentwicklung - Laufende funktionale Tests oder ein gesonderter Penetrationstest ## Beim Release-Weg mit dem relevanten Risiko beginnen Wählt ein repräsentatives Repository und einen Release-Weg. Haltet fest, wer Code ändern, Checks bearbeiten, Releases freigeben und Artefakte ausrollen darf. KI-gestützte Entwicklung macht diese Zuständigkeiten besonders relevant; dieselben Kontrollen gelten für menschlich geschriebene Änderungen. Laufende Infrastruktur gehört zu [Cloud Security](/de/services/cloud-security/). Der Umzug von Workloads in eine neue Umgebung gehört zu [Cloud-Migration](/de/services/cloud-migration/). Berechtigungen innerhalb einer KI-Anwendung behandelt [AI Security](/de/services/ai-security/). ## Prüfungen einrichten, mit denen das Team arbeiten kann Wir wählen Kontrollen anhand der tatsächlichen Risiken. Jede eingeführte Prüfung braucht einen Owner, eine verständliche Fehlermeldung und einen dokumentierten Umgang mit Befunden. Die Installation eines Tools allein ist keine Abnahme. Repository- und Release-Zugriffe Rollen, geschützte Änderungen, Freigaben und Deployment-Rechte automatisierter Prozesse prüfen. Abhängigkeiten und Secrets Statische Sicherheitsanalyse (SAST), Abhängigkeitsanalyse (SCA) sowie Secret-, Container- und Infrastructure-as-Code-Prüfungen passend zum Stack auswählen. Befunde bewerten und begrenzte Ausnahmen dokumentieren. Build- und Artefaktnachweise Quellrevision, Build-Konfiguration und ausgeliefertes Artefakt eines vereinbarten Releases festhalten. Herkunfts- und Verifikationsnachweise passend zur Plattform scopen. Deployment und Rücknahme Umgebungen, Release-Bedingungen und unterstützten Rollback-Weg definieren. Vereinbarte Schritte in einer geeigneten Umgebung testen. ## Illustrative Abnahme: Ein gesperrter Release bleibt gesperrt In einem isolierten Test-Branch löst ein harmloses Testbeispiel eine vereinbarte Release-Regel aus. Die Prüfung schlägt fehl, das Deployment bleibt blockiert. Nach Korrektur läuft derselbe Weg wie erwartet. Das Protokoll nennt Commit, Workflow-Version, Umgebung, erwartetes und beobachtetes Ergebnis sowie Grenzen. Dies ist ein illustrativer Abnahmetest, kein Kundenresultat oder Nachweis vollständiger Schwachstellenfreiheit. ## Prüfen, umsetzen und Änderungen begleiten Umfang und Angebot werden je Phase vor Beginn vereinbart. Euer Team kann mit dem Assessment selbst weiterarbeiten oder die abgestimmte Umsetzung beauftragen. 1. **Assessment** - Ihr erhaltet Delivery-Inventar, bestätigte Befunde, Abdeckungslücken und ein priorisiertes Kontroll-Backlog. 2. **Umsetzung und Retest** - Ihr erhaltet vereinbarte Workflow- und Konfigurationsänderungen, Prüfnachweise, einen Ausnahmeprozess und Übergabeanleitungen. 3. **Laufende Prüfung** - Repositories, Prüfrhythmus, Änderungsgrenzen und Reaktionsverantwortung separat vereinbaren. Daraus entstehen keine 24/7-Abdeckung und kein Uptime-SLA. ## Umgebung und Entscheidungsverantwortliche zusammenbringen Benötigt werden Repository-/CI-Umfang, Deployment-Ziele, vorhandene Prüfungen, bekannte Probleme, eine Testumgebung und ein benannter Abnehmer. Lesezugriff und Produktionsänderungen sind getrennte Berechtigungen. Plattformunterstützung klären wir beim Scoping. Wo unterstützt, können [kurzlebige Deployment-Zugänge über OIDC](https://docs.github.com/en/actions/concepts/security/openid-connect) langfristig gespeicherte Cloud-Schlüssel ersetzen; die Vertrauensbedingungen müssen trotzdem geprüft werden. ## Änderungen behalten und passende Spezialistentiefe wählen Änderungen und Betriebsanleitungen liegen in eurem Repository. Spezialisten wie [Souhail Mssassi](/de/experts/souhail-mssassi/) werden nach Auftragsumfang eingebunden; seine Erfahrung bei früheren Arbeitgebern bleibt ihm zugeordnet. Geht es zunächst um eine geeignete Dependency-Familie, prüft das bestehende [begrenzte Dependency-Upgrade](/de/services/software-takeover/#dependency-upgrade). Dessen Voraussetzungen und Bedingungen gelten unverändert. Im [Trust Center](/de/trust-center/) stehen unsere Zuständigkeiten und Service-Level. // beweise ## Delivery-Kontrollen in bestehender Engineering-Arbeit Polity dokumentiert servicespezifische CI-Gates, Release-Automatisierung und CI/CD-Härtung. Der Fall belegt diesen veröffentlichten Engineering-Umfang, keine Zertifizierung oder Ergebnisgarantie für ein anderes System. ### [Polity](/de/case-studies/polity/) - **Status:** Live - **Ergebnis:** 7 Services - Vereinheitlichtes Testen - **Zusammenfassung:** 1,5 Jahre QA-Eigentümerschaft über sieben Services und mehrere Vendoren. Qualität blieb durch jeden Refactor lieferbar. - **Stack:** React, Java/Kotlin, Go Das sind ausgewählte Projekte, nicht unser gesamtes Portfolio. Seit 2018 haben wir 100+ Produkte ausgeliefert. ## Fragen vor dem Start ### Ersetzt DevSecOps einen Penetrationstest? DevSecOps verbessert die vereinbarten Delivery-Kontrollen. Eine adversariale Prüfung von Anwendung oder Infrastruktur hat einen eigenen Umfang und wird gesondert beauftragt. Das allgemeine QA-Angebot enthält dadurch keinen umfassenden Pentest. ### Könnt ihr mit unserem bestehenden Team arbeiten? Ja. Wir vereinbaren, wer Konfigurationen ändert, Befunde bewertet und die Arbeit abnimmt. Repositories und Deployment-Umgebung bleiben unter eurer Kontrolle. ### Welche Build-Plattformen unterstützt ihr? Wir prüfen Plattform, Zugänge und Deployment-Ziele vor einer Zusage. Das Angebot benennt die einbezogenen Systeme und Kontrollen. ### Was passiert bei einem Scanner-Fehlalarm? Wir untersuchen den Befund und dokumentieren die Entscheidung. Ausnahmen brauchen Begründung, Owner und Prüf- oder Ablaufdatum. Eine Prüfung still abzuschalten ist kein Betriebsprozess. ### Können wir mit einem Repository starten? Ja, wenn es einen repräsentativen Delivery-Weg enthält. Gemeinsame Runner, Zugangsdaten und Deployment-Abhängigkeiten müssen trotzdem erfasst werden. ## Der passende nächste Schritt - [Die laufende Umgebung härten](/de/services/cloud-security/) - [Unabhängige Release-Tests](/de/services/software-quality-assurance/) - [Einen Software-Anbieterwechsel planen](/de/services/software-takeover/) ## Structured Data ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ], "employee": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "founder": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "legalRepresentative": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "name": "Wavect GmbH", "subjectOf": { "@id": "https://wavect.io/verified-claims.json#dataset", "@type": "Dataset", "creator": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "description": "A machine-readable registry of quantitative and qualitative claims published by Wavect, with review dates, localized page appearances and public third-party citations where available.", "inLanguage": "en", "isAccessibleForFree": true, "license": "https://creativecommons.org/licenses/by/4.0/", "name": "Wavect verified publication claims", "url": "https://wavect.io/verified-claims.json" }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/#website", "@type": "WebSite", "inLanguage": [ "en", "de", "es", "zh" ], "name": "Wavect", "potentialAction": { "@type": "SearchAction", "query-input": "required name=search_term_string", "target": { "@type": "EntryPoint", "urlTemplate": "https://wavect.io/search/?q={search_term_string}" } }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/" } ] } ``` ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/de/services/devsecops/#service", "@type": "Service", "areaServed": [ { "@type": "Country", "name": "Austria" }, { "@type": "Place", "name": "Worldwide" } ], "category": "Sicherheit & Betrieb", "dateModified": "2026-10-30", "description": "Wavect prüft und verbessert eure Delivery-Pipeline: Zugriffe, Sicherheitschecks und nachvollziehbare Releases. Klarer Umfang, Umsetzung und Retest.", "name": "DevSecOps Services & sichere CI/CD", "provider": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "serviceType": "DevSecOps", "url": "https://wavect.io/de/services/devsecops/" }, { "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "item": "https://wavect.io/de/", "name": "Startseite", "position": 1 }, { "@type": "ListItem", "item": "https://wavect.io/de/services/overview/", "name": "Leistungen", "position": 2 }, { "@type": "ListItem", "item": "https://wavect.io/de/services/overview/#security", "name": "Sicherheit & Betrieb", "position": 3 }, { "@type": "ListItem", "item": "https://wavect.io/de/services/devsecops/", "name": "DevSecOps", "position": 4 } ] }, { "@id": "https://wavect.io/de/services/devsecops/#webpage", "@type": "WebPage", "dateModified": "2026-10-30", "description": "Wavect prüft und verbessert eure Delivery-Pipeline: Zugriffe, Sicherheitschecks und nachvollziehbare Releases. Klarer Umfang, Umsetzung und Retest.", "inLanguage": "de", "isPartOf": { "@id": "https://wavect.io/#website", "@type": "WebSite" }, "mainEntity": { "@id": "https://wavect.io/de/services/devsecops/#service" }, "name": "DevSecOps Services & sichere CI/CD", "url": "https://wavect.io/de/services/devsecops/" } ] } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "DevSecOps verbessert die vereinbarten Delivery-Kontrollen. Eine adversariale Prüfung von Anwendung oder Infrastruktur hat einen eigenen Umfang und wird gesondert beauftragt. Das allgemeine QA-Angebot enthält dadurch keinen umfassenden Pentest." }, "name": "Ersetzt DevSecOps einen Penetrationstest?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Wir vereinbaren, wer Konfigurationen ändert, Befunde bewertet und die Arbeit abnimmt. Repositories und Deployment-Umgebung bleiben unter eurer Kontrolle." }, "name": "Könnt ihr mit unserem bestehenden Team arbeiten?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Wir prüfen Plattform, Zugänge und Deployment-Ziele vor einer Zusage. Das Angebot benennt die einbezogenen Systeme und Kontrollen." }, "name": "Welche Build-Plattformen unterstützt ihr?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Wir untersuchen den Befund und dokumentieren die Entscheidung. Ausnahmen brauchen Begründung, Owner und Prüf- oder Ablaufdatum. Eine Prüfung still abzuschalten ist kein Betriebsprozess." }, "name": "Was passiert bei einem Scanner-Fehlalarm?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Ja, wenn es einen repräsentativen Delivery-Weg enthält. Gemeinsame Runner, Zugangsdaten und Deployment-Abhängigkeiten müssen trotzdem erfasst werden." }, "name": "Können wir mit einem Repository starten?" } ], "speakable": { "@type": "SpeakableSpecification", "cssSelector": [ ".faq-question", ".faq-answer" ] } } ```