Audit-Trail für Deployments
Audit-Trail für Deployments: wo die Nachweis- und Freigabekette reißt
Der Fall, um den es geht: Eine Änderung ist in Produktion, und die Kette aus Freigabe, Prüfung und Nachweis lässt sich nicht ohne Rückfragen rekonstruieren. Der QuickCheck setzt genau dort an — er nimmt auf, an welchen Stellen diese Kette heute reißt.
Klarstellung vorweg, damit die Erwartung stimmt: Wir bauen im QuickCheck keinen Audit-Trail ein. Wir nehmen die Nachweis- und Freigabekette über bis zu fünf Repositories auf und übergeben einen priorisierten Risiko-Backlog. Die Umsetzung ist ein eigener, separat zu beauftragender Schritt.
Nur für Unternehmer (§ 14 BGB) und öffentliche Auftraggeber – kein Verkauf an Verbraucher.
Woran Sie merken, dass die Kette reißt
- Die Frage "wer hat das freigegeben" endet in Screenshots und Chat-Verläufen
- Test-, Scan- und Review-Nachweise liegen verteilt in Pipelines, Tickets und Mails
- Berechtigungen sind über Repositories hinweg gewachsen und nirgends zusammengefasst
- Zwischen Produktlinien gelten unterschiedliche Freigabewege ohne gemeinsames Bild
Leistungsumfang
Was der QuickCheck aufnimmt
- Sichtung von bis zu fünf benannten Git-Repositories inklusive Code, Infrastructure-as-Code, Pipeline-Konfiguration und Policies
- Mapping des Ist-Zustands der Pipelines gegen das Sieben-Stufen-Modell: Versionierung, Build, Tests, Scans, Staging, Freigabe, Produktion
- RBAC-Inventur je Repository mit Benutzer, Rolle, Berechtigung und Ressource
- Evidence-Stichprobe: drei zufällig ausgewählte Pull Requests je Repository-Set auf Test-, Scan- und Review-Nachweise
- Neunzigminütiger Workshop mit Engineering-Lead und einer Prüf- oder Compliance-Rolle
- Übergabe eines priorisierten Risiko-Backlogs mit Aufwandsschätzung je Lücke und einer Anschluss-Empfehlung mit drei Implementation-Modul-Vorschlägen
Nicht-Leistungen
Was der QuickCheck ausdrücklich nicht ist
- Keine Implementierung und keine Konfigurationsänderung in Ihren Systemen
- Keine Penetrationstests, Code-Audits oder Lizenz-Bewertungen
- Keine Bewertung von SaaS-Tools außerhalb der Pipeline-Konfiguration
- Kein Reporting gegenüber Aufsichtsbehörden in Ihrem Namen
- Keine Vertretung in juristischen oder behördlichen Verfahren
Diese Abgrenzung steht so in der Leistungsbeschreibung.
Lieferergebnisse
- QuickCheck-Report als PDF und Markdown mit Lageaufnahme, RBAC-Snapshot und Pipeline-Reifegrad
- Priorisierter Risiko-Backlog, je Eintrag mit Aufwandsschätzung
- Evidence-Stichproben-Auswertung als Anhang des Reports
- Anschluss-Empfehlung mit drei priorisierten Implementation-Modul-Vorschlägen; sie benennt Modul und Wirkung, nicht Preis oder Lieferdauer
Was wir von Ihnen brauchen
- Read-Only-Zugänge zu fünf Repositories am Tag 1 bis 10:00 Uhr
- Liste der aktuellen CI/CD-Tools mit zugeordneten verantwortlichen Personen am Tag 1
- Workshop-Termin am Tag 2 mit Engineering-Lead und einer Prüf- oder Compliance-Rolle
- Ein Ansprechpartner mit Freigabe-Mandat für die gesamte Laufzeit
Preis
Fixpreis 1.990 EUR netto zuzüglich gesetzlicher Umsatzsteuer. Zusätzliches Repository, zusätzlicher Workshop-Termin und ein Abbruch nach Tag 1 sind in der Leistungsbeschreibung gesondert geregelt und vorab schriftlich zu beauftragen. Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB und an Behörden bzw. öffentliche Auftraggeber; ein Verkauf an Verbraucher erfolgt nicht.
Leistungszeitraum
Drei aufeinanderfolgende Werktage ab Erfüllung der Mitwirkungspflichten. Werktag 1 ist der Tag der vollständigen Zugangsfreigabe vor 10:00 Uhr. Eine einmalige Verschiebung um bis zu fünf Werktage ist kostenfrei.
Abgrenzung
Der QuickCheck ersetzt keine Rechtsberatung und keine Konformitätsbewertung. Er erzeugt ein gemeinsames Bild des Ist-Zustands, auf dessen Grundlage Engineering und Prüffunktionen über die nächsten Schritte entscheiden.
Verwandte Themen
Wo das Thema im Zielbild hängt
Nächster Schritt
QuickCheck anfragen
Sie benennen bis zu fünf Repositories, wir nehmen die Nachweis- und Freigabekette auf und übergeben den priorisierten Risiko-Backlog.
Nur für Unternehmer (§ 14 BGB) und öffentliche Auftraggeber – kein Verkauf an Verbraucher.