Der Prüfkatalog — offen, damit Sie vergleichen können
57 Prüfpunkte, jeder mit Methode, Paket und Grundlage. Sie sollen vorher wissen, was Sie bekommen — und Angebote anderer daran messen können.
13
Prüfpunkte im Kurzcheck (S), oft als Stichprobe
50
Prüfpunkte im Basisgutachten (M)
57
Prüfpunkte im Vollgutachten (L)
12
Domänen von Architektur bis Nachnutzung
57 Prüfpunkte angezeigt
| ID | Domäne | Prüfpunkt und Grundlage | Methode | Paket |
|---|---|---|---|---|
| AR-01 | Architektur | Architekturübersicht vorhanden und stimmt mit dem Code überein CON.8, ISO 25010 Wartbarkeit | heuristisch/KIExpertenreview | SML |
| AR-02 | Architektur | Komponenten, Datenflüsse und Vertrauensgrenzen rekonstruiert OWASP ASVS Architektur, APP.3.1 | heuristisch/KIExpertenreview | ML |
| AR-03 | Architektur | Externe Dienste und Drittanbieter vollständig erfasst DSGVO Art. 28, CON.8 | deterministischheuristisch/KI | SML |
| AR-04 | Architektur | Trennung von Konfiguration und Code (keine Umgebungswerte im Quelltext) CON.10, 12-Factor | deterministisch | ML |
| CQ-01 | Codequalität | Duplikate und Kopier-Inseln gemessen ISO 25010 Wartbarkeit | deterministisch | ML |
| CQ-02 | Codequalität | Komplexität und tote Pfade ISO 25010 Wartbarkeit | deterministisch | ML |
| CQ-03 | Codequalität | Einheitliche Fehlerbehandlung, keine verschluckten Fehler OWASP ASVS Fehlerbehandlung | heuristisch/KIExpertenreview | ML |
| CQ-04 | Codequalität | Platzhalter, Mock-Daten, deaktivierte Prüfungen eigene Heuristik | heuristisch/KI | SML |
| CQ-05 | Codequalität | Doku beschreibt den tatsächlichen Stand (Doku-Code-Abgleich) CON.8 | heuristisch/KIExpertenreview | ML |
| AB-01 | Abhängigkeiten | Stückliste (SBOM) erzeugt und übergeben CRA-Vorbereitung, CON.8 | deterministisch | ML |
| AB-02 | Abhängigkeiten | Bekannte Schwachstellen inkl. Erreichbarkeit bewertet OPS.1.1.3, OWASP Top 10 | deterministischExpertenreview | SML |
| AB-03 | Abhängigkeiten | Paket-Existenz, Alter und Pflege (Slopsquatting) OWASP Top 10:2025 A03 Lieferkette, eigene Heuristik | deterministischheuristisch/KI | SML |
| AB-04 | Abhängigkeiten | Versionen fixiert, Lockfile vorhanden CON.8 | deterministisch | ML |
| AB-05 | Abhängigkeiten | Lizenzen verträglich mit Einsatz und Weitergabe Urheberrecht, Lizenzbedingungen | deterministischExpertenreview | ML |
| TB-01 | Tests & Build | Build aus frischem Checkout nach Anleitung OPS.1.1.6 | deterministisch | ML |
| TB-02 | Tests & Build | Build bitgenau bzw. funktional reproduzierbar OPS.1.1.6 | deterministisch | L |
| TB-03 | Tests & Build | Tests laufen; Abdeckung der Berechtigungslogik OPS.1.1.6 | deterministischExpertenreview | ML |
| TB-04 | Tests & Build | CI/CD: Schutz der Hauptzweige, Review-Pflicht, Geheimnisse in der Pipeline CON.8 | deterministischExpertenreview | ML |
| SC-01 | Sicherheit Code | Geheimnisse in Code und Git-Historie APP.3.1, OWASP ASVS | deterministisch | SML |
| SC-02 | Sicherheit Code | Injection (SQL, NoSQL, Befehle, Templates) OWASP Top 10, ASVS Validierung | deterministischExpertenreview | ML |
| SC-03 | Sicherheit Code | Ausgabe-Kodierung und XSS OWASP Top 10, ASVS Kodierung | deterministischExpertenreview | ML |
| SC-04 | Sicherheit Code | Serverseitige Autorisierung je Endpunkt (Berechtigungsmatrix) OWASP Top 10 Broken Access Control | heuristisch/KIExpertenreview | SML |
| SC-05 | Sicherheit Code | Vertrauen in den Client (Preise, Rollen, Validierung) OWASP ASVS Geschäftslogik | heuristisch/KIExpertenreview | ML |
| SC-06 | Sicherheit Code | Authentisierung, Sitzungen, Passwort- und Token-Handhabung OWASP ASVS Authentisierung/Sitzung | deterministischExpertenreview | ML |
| SC-07 | Sicherheit Code | Datei-Uploads, Pfade, Server-seitige Anfragen (SSRF) OWASP ASVS Dateien | deterministischExpertenreview | ML |
| SC-08 | Sicherheit Code | Kryptografie: Verfahren, Schlüsselablage, Zufall OWASP ASVS Kryptografie, BSI TR-02102 | deterministischExpertenreview | L |
| SL-01 | Sicherheit System | Sicherheits-Header, TLS-Konfiguration, Cookies APP.3.1, BSI TR-02102 | deterministisch | ML |
| SL-02 | Sicherheit System | Aktiver Scan des Testsystems APP.3.1 | deterministischExpertenreview | L |
| SL-03 | Sicherheit System | Ausgeführte Missbrauchsfälle (fremde IDs, fehlende Tokens, Grenzwerte) eigene Methode | heuristisch/KIExpertenreview | ML |
| SL-04 | Sicherheit System | Fehlerseiten und Debug-Ausgaben OWASP ASVS Fehlerbehandlung | deterministisch | SML |
| DS-01 | Datenschutz | Personenbezogene Daten erkannt und Datenflüssen zugeordnet DSGVO Art. 5, 30 | heuristisch/KIExpertenreview | SML |
| DS-02 | Datenschutz | Datensparsamkeit und Zweckbindung in Formularen und Speicherung DSGVO Art. 5, 25 | Expertenreview | ML |
| DS-03 | Datenschutz | Lösch- und Aufbewahrungskonzept umgesetzt DSGVO Art. 17, CON.2 | heuristisch/KIExpertenreview | ML |
| DS-04 | Datenschutz | Drittlandübermittlung, eingebundene Dienste, Tracking, Schriften DSGVO Kap. V, TDDDG | deterministischExpertenreview | SML |
| DS-05 | Datenschutz | Unterlagen: Verzeichnis, ggf. Folgenabschätzung, Auftragsverarbeitung DSGVO Art. 28, 30, 35 | Expertenreview | L |
| BE-01 | Betrieb | Logs: was, wo, wie lange — ohne unnötige Personendaten OPS.1.1.5 | deterministischExpertenreview | ML |
| BE-02 | Betrieb | Backup und getesteter Wiederanlauf CON.3 | Expertenreview | L |
| BE-03 | Betrieb | Update- und Patchweg für Anwendung und Basis-Images OPS.1.1.3 | Expertenreview | ML |
| BE-04 | Betrieb | Container: keine Privilegien, Limits, kein Root, schlanke Images SYS.1.6 | deterministisch | ML |
| BE-05 | Betrieb | Deployment nachvollziehbar und zurückrollbar OPS.1.1.6 | deterministischExpertenreview | L |
| BE-06 | Betrieb | Übergabefähigkeit: kann ein Dritter das System betreiben? ISO 25010 Übertragbarkeit | Expertenreview | ML |
| RB-01 | Rollen | Rollenmodell dokumentiert und im Code durchgesetzt ORP.4, OWASP ASVS Zugriffskontrolle | heuristisch/KIExpertenreview | ML |
| RB-02 | Rollen | Admin-Funktionen getrennt und abgesichert ORP.4 | heuristisch/KIExpertenreview | SML |
| RB-03 | Rollen | Anbindung an zentrale Identität (SSO, Verzeichnisdienst) ORP.4 | Expertenreview | ML |
| BF-01 | Barrierefreiheit | Automatisch prüfbare WCAG-Kriterien auf Kernseiten BITV 2.0, EN 301 549 | deterministisch | ML |
| BF-02 | Barrierefreiheit | Tastatur, Fokus, Screenreader auf Kernabläufen BITV 2.0, WCAG 2.1 AA | Expertenreview | L |
| BF-03 | Barrierefreiheit | Erklärung zur Barrierefreiheit vorhanden BITV 2.0 | deterministisch | ML |
| KI-01 | KI-Risiken | Prompt Injection (direkt und über Daten) OWASP LLM Top 10 | heuristisch/KIExpertenreview | ML |
| KI-02 | KI-Risiken | Datenabfluss über Modellantworten und Protokolle OWASP LLM Top 10, DSGVO | heuristisch/KIExpertenreview | ML |
| KI-03 | KI-Risiken | Handlungsbefugnisse von Agenten und Werkzeugen begrenzt OWASP LLM Top 10 | heuristisch/KIExpertenreview | ML |
| KI-04 | KI-Risiken | Modellausgaben werden nicht ungeprüft ausgeführt oder angezeigt OWASP LLM Top 10 | deterministischheuristisch/KIExpertenreview | ML |
| KI-05 | KI-Risiken | Einordnung nach EU-KI-Verordnung (Risikoklasse, Transparenz) Verordnung (EU) 2024/1689 | Expertenreview | SML |
| KI-06 | KI-Risiken | RAG: Antworten respektieren die Zugriffsrechte der Wissensquellen OWASP LLM Top 10, DSGVO Art. 5 | heuristisch/KIExpertenreview | ML |
| KI-07 | KI-Risiken | MCP-Server und Werkzeuge: Authentisierung, Rechte je Werkzeug, Eingabeprüfung OWASP LLM Top 10, eigene Methode | deterministischheuristisch/KIExpertenreview | ML |
| NN-01 | Nachnutzung | Konfigurierbar statt hartkodiert (Namen, Adressen, Rollen, Texte) ISO 25010 Übertragbarkeit | deterministischheuristisch/KI | ML |
| NN-02 | Nachnutzung | Lizenz und Rechte erlauben die Weitergabe an andere Einrichtungen Urheberrecht, Lizenzbedingungen | Expertenreview | SML |
| NN-03 | Nachnutzung | Installations- und Betriebsdoku reicht für eine fremde IT ISO 25010 Übertragbarkeit | Expertenreview | ML |
Kürzel der Grundlagen: CON, APP, OPS, SYS, ORP = Bausteine des BSI IT-Grundschutz-Kompendiums; ASVS = OWASP Application Security Verification Standard; TR-02102 = BSI-Richtlinie zu kryptografischen Verfahren; TDDDG = Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; CRA = EU Cyber Resilience Act. Der Katalog wird je Projekt angepasst — eine reine statische Website braucht keine Prüfung von Agenten-Befugnissen.