Software-Check
Das Tool, das jemand bei euch mit KI gebaut hat. Das Portal vom Freelancer. Das Produkt mit Software drin. Ein erfahrener Entwickler und Architekt schaut drauf: Sicherheit, Struktur, Wartbarkeit, Betrieb.
30 Minuten, online, kostenlos. Marten Prieß, Diplom-Wirtschaftsinformatiker, führt das Gespräch selbst.
Aus Projekten mit
Findet ihr euch wieder?
Bauen geht heute schnell. Was eine KI nicht dauerhaft im Blick behält, ist das große Bild: wohin das Ganze soll, was im Betrieb passiert, was ihr aufschreiben müsst und was ihr besser nicht an fremde Modelle schickt. Das sind die Fragen, über die wir reden.
Wo will ich mit dem Ding in zwei Jahren hin, und trägt das, was ich jetzt gebaut habe, bis dahin?
Darf ich Kundendaten an OpenAI oder Anthropic schicken? Und wenn nicht, was dann?
Woran merke ich, dass nachts etwas kaputtgegangen ist?
Prüft mein Backend die Rechte, oder nur meine Oberfläche?
Wie betreibe ich das DSGVO-konform, und was muss ich dafür wirklich aufschreiben?
Was passiert, wenn zwei Leute gleichzeitig auf denselben Datensatz klicken?
Welche meiner 1.200 Abhängigkeiten sind seit letzter Woche unsicher, und wer sagt es mir?
Wie bekomme ich die Daten aus dem alten System rüber, ohne dass drei Wochen lang nichts geht?
Wie binde ich ein offenes Modell ein, ohne selbst eine GPU zu betreiben?
Backup gibt es. Hat schon mal jemand zurückgespielt?
Was muss ich wegen des Cyber Resilience Act tun, und bin ich überhaupt gemeint?
Wo liegen meine Schlüssel, und wer hat sie schon mal im Repository gesehen?
Was sind die Dinge, die alle falsch machen, und mache ich sie gerade auch?
Was passiert, wenn im Text, den mein Modell liest, eine Anweisung steht?
Welche Entscheidung von heute kann ich später nicht mehr zurücknehmen?
Ein Kunde will einen Sicherheitsnachweis. Was schicke ich ihm?
Wie komme ich sicher von Test nach Produktion, und wieder zurück?
Ab wann wird aus meinem einen Server ein Problem?
Wenn drei davon eure Fragen sind, lohnt sich das Erstgespräch. Wenn es alle sind, erst recht.
Kommt euch das bekannt vor?
Jemand bei euch hat über Monate ein Tool gebaut, mit KI, mit Doku, mit Backlog. Es läuft im Alltag, es hat Kundendaten drin, und außer ihm kennt es keiner. Oder zwei Leute bauen seit einem halben Jahr sauber an etwas, das in sechs Wochen produktiv geht. Beide Fälle haben dieselbe Lücke.
Keiner im Haus hat so etwas schon einmal betrieben. Was passiert, wenn zwei gleichzeitig klicken, wenn die Datenbank weg ist, wenn ein Kunde den Sicherheitsnachweis will: Das sieht man nicht im Code. Das sieht man, weil man es erlebt hat.
Prüfbericht
Kundenportal, Stand 14.11.2026
OWASP ASVS 5.0 · Level 2 · 71 % erfüllt
Befunde, zuerst
Jeder Befund mit Einstufung, Fundstelle, Fix-Vorschlag und Aufwand. Anhang: Stückliste aller 1.240 Komponenten.
Beide sind für sich ein Einstieg. Welcher passt, hängt davon ab, ob es um die Struktur geht oder um Sicherheit. Oft beides, dann in dieser Reihenfolge.
Für Gebautes und Geplantes. Nicht nur Sicherheit.
Ein erfahrener Entwickler und Architekt nimmt Konzept, Code-Struktur, Datenmodell, Rollen und Betrieb mit euch auf und sagt euch, wo es später teuer wird: Was trägt, was hält beim Wachsen nicht, was kann so keiner übernehmen.
Ihr bekommt
Ergebnis nach wenigen Tagen
Das Review vor dem Go-Live oder für Software, die läuft.
Prüfung gegen OWASP ASVS 5.0, den Standard für Webanwendungen und Schnittstellen. Automatisiert, wo es geht; von Hand dort, wo KI-gebauter Code am häufigsten Fehler hat: Zugriffsrechte, Anmeldung, Eingaben, Konfiguration, Schlüssel.
Ihr bekommt
ab zwei Tagen, je nach Größe
Ausbaustufe
Wenn ihr Software an andere abgebt: Einordnung, ob und wie euch der Cyber Resilience Act trifft, und ein Plan bis Dezember 2027.
Ausbaustufe
Wenn ihr weiterbaut: ein fester Termin mit denen, die bauen, dazwischen Rückfragen und Code-Review. Ein Senior, der erreichbar ist.
Erst das Review, dann entscheidet ihr. Beheben könnt ihr selbst, euer Dienstleister oder wir.
Womit wir arbeiten
Ob mit Claude Code, Cursor, ChatGPT, Lovable, Bolt oder v0 gebaut: Herauskommt in der Regel TypeScript mit React oder Next.js, dazu Postgres oder Supabase. Genau das bauen und betreiben wir seit Jahren, auch ohne KI.
Eher nicht bei uns: Python (Django, FastAPI) · PHP (Laravel, WordPress) · .NET · Ruby on Rails · Low-Code-Plattformen. Bei Stacks, die wir nicht täglich betreiben, sagen wir das im Erstgespräch und empfehlen jemand anderen.
Ihr braucht dafür einen Zugang zum Code und zu einer Testumgebung und etwa drei Stunden eurer Zeit. Bei einer Anwendung mittlerer Größe liegt der Bericht nach zwei bis fünf Tagen vor.
1 Stunde
Was wird geprüft, welches Level, wer gibt Zugang zu Code und Testumgebung.
Tag 1
Code, Abhängigkeiten, Schlüssel im Repository, laufende Anwendung. Werkzeuge, die auch große Hersteller nutzen.
Tag 1 bis 4
Die Kapitel, die Werkzeuge nicht sehen: Darf Nutzer A die Daten von Nutzer B sehen? Was passiert bei einem manipulierten Aufruf? Wo liegen die Schlüssel?
1,5 Stunden
Wir gehen den Bericht mit euch durch. Was ist kritisch, was kann warten, was kostet die Behebung.
Was der Check nicht ist
Nach OWASP ASVS 5.0
Der Standard, nicht unsere Checkliste.
Studierte Informatiker
Zehn Jahre Software gebaut und betrieben.
CRA im eigenen Haus
Unsere Software fällt selbst darunter.
Erstgespräch unverbindlich
30 Minuten, keine Vorbereitung.
Wir sind keine Prüfstelle und kein Pentest-Shop. Wir sind ein Softwarehaus, das seit zehn Jahren Anwendungen für Betriebe baut und betreibt, früher für Konzerne wie bonprix und Statista, heute für den Mittelstand. Wir wissen, wo in gewachsenem und in schnell gebautem Code die Fehler sitzen, weil wir beides selbst geschrieben haben. Und wir wissen, was ein Tool braucht, das aus dem Fachbereich kommt und jetzt produktiv ist: jemanden, der es trägt.
Wir liefern selbst Software, für die der Cyber Resilience Act gilt. Die Stückliste, den Meldeprozess und die Risikobewertung, die wir euch empfehlen, führen wir für unsere eigenen Produkte, in demselben Repository wie den Code.
Jeder Bericht trägt den Standard und das geprüfte Level. Das kann ein Auditor nachlesen. Eine Hausliste mit 18 Punkten kann er nicht.
Euer Erstgespräch mit
Marten Prieß
Gründer von RocketBase
„Nach dreißig Minuten wisst ihr, wo ihr steht und was als Nächstes dran ist.“
Ihr erzählt, was läuft und wer es gebaut hat. Ich frage nach Rollen, Daten und Betrieb und sage euch, was ich an eurer Stelle als Erstes anschauen würde. Unverbindlich, ohne Vorbereitung.
Oder eine Mail an marten@rocketbase.io