Häufig gestellte Fragen: Tech-Stack-Bewertung
(01)Was genau wird im Assessment analysiert?
Wir analysieren 6 Dimensionen: (1) Architektur & Code-Qualität (Metriken, Tech Debt), (2) Security & Compliance (OWASP, Secrets, IAM, DSGVO), (3) Dependencies & Supply Chain (SCA, SBOM, Lizenzen), (4) DevOps & CI/CD (Pipeline-Reifegrad, Test-Coverage), (5) Cloud & Kosten (FinOps, Waste, Rightsizing), (6) Observability & Operations (Monitoring-Gaps, SLO-Readiness). Scope wird vorab abgestimmt.
(02)Welche Tools und Scanner verwenden Sie?
Wir setzen etablierte Tools ein: SonarQube Server bzw. SonarQube Cloud (früher SonarCloud) für Code-Qualität, Snyk/Trivy für SCA und Container-Scanning, ZAP (früher OWASP ZAP) für Security-Scans, AWS Cost Explorer/Infracost für Cloud-Kosten, und eigene Checklisten für Architektur und DevOps-Reifegrad. Alle Tools sind DSGVO-konform einsetzbar.
(03)Wie wird mit sensiblen Daten und Code umgegangen?
Security by Design: Code-Zugang über read-only Repository-Access (GitHub/GitLab), alle Scans laufen in Ihrer Umgebung oder isoliert, keine Daten verlassen Ihre Systeme ohne Freigabe, NDA vor Projektstart, Scan-Ergebnisse werden nach Übergabe gelöscht. Auf Wunsch On-Premise-Analyse möglich.
(04)Wie lange dauert ein Assessment und wer muss involviert sein?
Standard-Scope: 1–2 Wochen im Format Setup; für einen ersten Überblick reicht ein Workshop (½–2 Tage). Kickoff mit CTO/Tech Lead (2 h), danach arbeiten wir weitgehend selbstständig mit Repository-Zugang und Cloud-Read-Access. Abschluss-Workshop mit Findings und Roadmap. Ihr Aufwand: ca. 1 Tag verteilt über die Laufzeit.
(05)Was erhalte ich als Ergebnis?
Konkrete Deliverables: (1) Executive Summary für Stakeholder, (2) Scorecard & Heatmap (PDF/interaktiv), (3) Detaillierter Findings-Report mit Screenshots/Metriken, (4) SCA/SBOM-Export (CycloneDX/SPDX), (5) Priorisierte Roadmap (Quick Wins + Strategic), (6) Optional: ADR-Templates für Architektur-Entscheidungen. Alle Formate digital, auf Wunsch Präsentation vor Management.
(06)Was passiert nach dem Assessment?
Sie haben volle Klarheit über Ihren Tech Stack und eine priorisierte Roadmap. Optional begleiten wir die Umsetzung: Quick-Win-Sprints für sofortige Verbesserungen, Architektur-Coaching für Ihr Team, Security-Hardening-Workshops oder den laufenden Abbau technischer Schulden im Format Build & Begleitung. Viele Kunden starten mit 2–3 Quick Wins und planen dann die strategischen Themen.