Policy-as-Code

Policy as Code: Anforderungen, die automatisch wirken

Eine Sicherheitsanforderung landet als Dokument. Wer sie liest, entscheidet jedes Team selbst. Wer prüft, ob sie gilt — niemand. Policy as Code macht daraus eine Regel, die bei jedem Deployment automatisch greift: für jedes Team, mit belegbarem Ergebnis.

Nur für Unternehmer (§ 14 BGB) und öffentliche Auftraggeber – kein Verkauf an Verbraucher.

Warum reichen Dokumente und Handbücher nicht?

Sicherheitsanforderungen als PDF funktionieren solange, wie jeder sie kennt, versteht und befolgt — und solange niemand prüft. In der Praxis: Teams interpretieren unterschiedlich, Ausnahmen häufen sich, und beim nächsten Prüfgespräch beginnt die Suche nach Belegen von vorne. Policy as Code macht Anforderungen zu Regeln, die automatisch wirken und Ihr Ergebnis dokumentieren — ohne manuelle Kontrolle, ohne Interpretationsspielraum.

Problemkern

Policies existieren als PDFs und Mails – nicht überprüfbar
Keine technische Durchsetzung, keine Beweise
Abhängigkeit von Personen statt reproduzierbaren Prozessen
Policies existieren in unterschiedlichen Tools und widersprechen sich
Keine Versionierung von Policy-Änderungen (wer hat was geändert?)

GitSecOps-Lösung

Policies als versionierbare, ausführbare Regeln in Git
Automatisierte Policy-Checks als Gate in CI/CD-Pipelines
Evidence-Service erzeugt Prüfnachweise pro Pipeline-Run
Steuerungslogik: Findings fließen zurück in Policies und Gates

Diagramm: Policy → Code → Gate → Evidence

Schritt 1

Policy

Regeln werden technisch beschrieben und versioniert.

Schritt 2

Code

Regeln werden in ausführbare Policies übersetzt und getestet.

Schritt 3

Gate

Pipelines erzwingen Gates für Builds, Images und Deployments.

Schritt 4

Evidence

Der Proof Ledger speichert SBOMs, Provenance und Signaturen als Beweise.

Beispiel-Policy-Gate

package deployment.gates

deny[msg] {
  input.image.sbom_missing
  msg := "Deployment blockiert: SBOM fehlt"
}

deny[msg] {
  input.image.signature != "valid"
  msg := "Deployment blockiert: Image nicht signiert"
}

deny[msg] {
  input.namespace not in {"prod", "staging"}
  msg := "Deployment blockiert: unerlaubter Namespace"
}

Das Gate verhindert unsignierte oder unvollständige Deployments. Evidence-as-Code speichert jedes Ergebnis inkl. Begründung und Build-Referenz.

Use Cases

NIS2, DORA, ISO27001-Vorbereitung

Policies werden als Code durchgesetzt. Jede Anforderung hinterlässt einen nachvollziehbaren Nachweis.

CI/CD Quality Gates für sichere Releases

Policy-as-Code standardisiert Sicherheits- und Qualitätsanforderungen. Gates verhindern unsichere Releases automatisch.

Container Security & Supply Chain Hardening

Signaturen (Sigstore/cosign), SBOMs und Provenance werden erzwungen. Unsichere Images gelangen nicht in Deployments.

Ergebnisse

• Messbare Policy-Wirkung mit Beweisreferenzen
• Standardisierte Deployments statt individueller Ausnahmen
• Entlastung für Prüffunktionen und Entwickler durch automatisierte Checks
• Versionierte und nachvollziehbare Policy-Änderungen

QuickCheck Policy-as-Code

Ihr Einstieg in durchsetzbare Policies

Wir übersetzen Ihre Policies in produktionsreife, ausführbare Regeln, testen sie automatisiert und liefern ein Evidence-Layer für Prüffunktionen.

Nur für Unternehmer (§ 14 BGB) und öffentliche Auftraggeber – kein Verkauf an Verbraucher.

Verwandtes Thema

Audit-Trail für Deployments

Regeln durchzusetzen ist die eine Hälfte. Die andere ist die Frage, ob sich Freigabe und Prüfung im Nachhinein belegen lassen — hier wird die Kette aufgenommen.