Ein halbes Jahr lang habe ich eine mittelgroße, anspruchsvolle Anwendung fast vollständig KI-gestützt gebaut – mit Claude Opus 4.8 und 5, eingebettet in einen Secure SDLC. Scope: Client-Applikation, Client-Webseite und die AWS-Infrastruktur mit CloudFront, WAF, Load Balancern, APIs sowie PostgreSQL → AWS RDS als Managed Database Service.

Der Aufbau

Kein Modell durfte einfach “machen”. Definierte Rollen, Skills, verbindliche Regelwerke – und ein verpflichtendes Security-Gate an jedem Pull Request: ein unabhängiges Review durch das Modell eines anderen Anbieters, ChatGPT Codex, geprüft gegen → OWASP Top 10 und OWASP API Security Top 10 → OWASP ASVS als Referenz für Security-Anforderungen und Verifikation → Authentifizierung, Autorisierung, Session Handling, Security Logging, Error Handling → IDOR, CSRF, XSS, SSRF, Token Replay, Enumeration, Rate-Limit Bypass

Das Ergebnis (Juni 2026): 653 geprüfte Pull Requests · 2.258 Findings · Ø 3,5 pro PR
Spitzenwoche: 696 Findings, davon 120 P1 (hoch) und 576 P2 (mittel).

Review Ergebnisse

Review Ergebnisse

Drei Beobachtungen

  1. Das generierende Modell findet seine eigenen Schwachstellen nicht zuverlässig. Ein erheblicher Teil dieser Findings wäre ohne unabhängiges Zweitreview nie sichtbar geworden.
  2. Fixes erzeugen neue Schwachstellen. Beim Beheben gemeldeter Findings entstanden regelmäßig neue – ohne Regressions-Review geht das in Produktion.
  3. Ohne Guardrails erfüllt ein autonomer Entwicklungsprozess die gängigen Security-Standards nicht. Geschwindigkeit ist kein Qualitätsindikator.

Mein wichtigstes Learning: KI ist der Enabler des Security-Prozesses.

Dieselben Modelle, die unsicheren Code erzeugen, tragen den Security-Prozess – sobald sie gegeneinander und gegen ein Regelwerk arbeiten. Das Risiko lässt sich als Chance verwerten: Compliance-Prozesse können bereits während des Schreibens des Codes unterstützt werden, und ein sicherer Entwicklungsprozess lässt sich weitgehend autonom umsetzen. Ein perfektes Ergebnis gibt es nicht – aber ein sehr kosteneffizientes, sicheres und schnelles.

Für CISOs und Compliance-Verantwortliche

KI-generierter Code ist kein reviewter Code. Wer AI-assisted Development freigibt, braucht ein durchsetzbares Gate im Merge-Prozess, Nachweisbarkeit gegen einen anerkannten Standard und eine messbare Finding-Historie. Genau das ist die Evidenz, die im Audit verlangt wird.

Für Developer, besonders Juniors

Verlasst euch weder auf das Self-Review des Modells noch auf seine Umsetzung von Security-Anforderungen. Der Code kompiliert, wirkt sauber – und ist trotzdem nicht sicher.

Meine Meinung

Security-Enablement durch KI-gestützte Prozesse ist die Chance, Security-Teams und Developer beim Ressourcenmangel zu entlasten. Jetzt ist der Moment, Geschwindigkeit auch in der Security umzusetzen.