- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Continuous Integration: Softwareänderungen prüfbar und nachvollziehbar machen
Continuous Integration (CI) ist eine Entwicklungspraxis, bei der jede Änderung am Code in kurzen Abständen in einen gemeinsamen, versionierten Hauptzweig einfliesst und dort automatisch gebaut und geprüft wird. Für Organisationen mit erhöhten Kontrollanforderungen ist CI mehr als eine Frage der Entwicklungsgeschwindigkeit: Jede Änderung hinterlässt eine Spur aus Commit, Review, Build-Protokoll und Prüfergebnis.
Diese Spur ist wertvoll, ersetzt aber keine Governance. CI beantwortet die Frage, ob eine Änderung technisch funktioniert. Wer sie in Produktion bringen darf, wer sie freigibt und wie das belegt wird, regeln Change-Prozess, Berechtigungskonzept und Funktionstrennung. Erst wenn beides zusammenspielt, wird aus einer schnellen Pipeline ein kontrollierter Weg in den Betrieb.
Das Wichtigste in Kürze
- Kontrollpunkt: CI prüft jede Integration automatisch und dokumentiert, welche Version mit welchem Ergebnis gebaut wurde.
- Grenze: Die Entscheidung über Produktion gehört nicht zu CI, sondern zu Continuous Delivery oder Continuous Deployment und zum Change-Prozess.
- Funktionstrennung: DORA empfiehlt, sie über Peer Reviews in der Entwicklungsplattform umzusetzen, ergänzt um automatisierte Prüfungen.
- Regulierung: Das FINMA-Rundschreiben 2023/1 verlangt im Änderungsmanagement Verfahren, Prozesse und Kontrollen sowie, mit Ausnahmen für die Kategorien 4 und 5, getrennte Umgebungen für Entwicklung oder Test und Produktion.
Stand: November 2026 · Abgeglichen mit Martin Fowler, DORA, OWASP, der Dokumentation von GitHub und Microsoft sowie FINMA-RS 2023/1 und DSG (Quellen am Ende des Artikels)
Was CI aus Kontrollsicht leistet
Martin Fowler definiert CI als Praxis, bei der alle Beteiligten ihre Änderungen mindestens täglich zusammenführen und jede Integration durch einen automatisierten Build mit Tests bestätigt wird. Aus Sicht von Revision und Informationssicherheit entstehen dabei vier Arten von Nachweisen:
- Herkunft: Die Versionsverwaltung hält fest, wer welche Zeile wann geändert hat. Jede Änderung lässt sich zurückverfolgen und rückgängig machen.
- Prüfung: Das Build-Protokoll zeigt, welche Tests und Analysen für eine bestimmte Version gelaufen sind und mit welchem Ergebnis.
- Zustimmung: Wird über Pull Requests integriert, dokumentiert die Plattform, wer die Änderung geprüft und genehmigt hat.
- Identität des Ergebnisses: Das gebaute Artefakt hat eine eindeutige Version oder Prüfsumme. Damit lässt sich belegen, dass in Produktion genau das läuft, was getestet wurde.
Diese Nachweise entstehen nur, wenn die Pipeline der einzige Weg ist. Kann eine Administratorin Code direkt auf den Hauptzweig schreiben oder ein Paket am Build vorbei auf einen Server kopieren, verliert die ganze Kette ihren Wert.
Was CI nicht leistet
CI prüft nur, was die Tests abdecken. Fachliche Korrektheit, Auswirkungen auf andere Services oder die Frage, ob eine Änderung zum jetzigen Zeitpunkt erwünscht ist, bleiben Aufgaben von Menschen und Prozessen. Auch die Zuständigkeit für die Pipeline selbst muss geregelt sein: Wer sie ändern darf, kann die Kontrollen darin ändern.
Herkunft der Praxis
Als definierte Praxis entstand CI Ende der 1990er-Jahre in Extreme Programming. Fowler veröffentlichte seinen Artikel erstmals im Jahr 2000 und hat ihn im Januar 2024 grundlegend überarbeitet. Heute ist die Pipeline meist als Datei im Repository beschrieben, etwa bei GitHub Actions, GitLab CI/CD oder Azure Pipelines. Damit unterliegt auch sie der Versionierung und dem Review.
Wo die Freigabe liegt: CI, Continuous Delivery, Continuous Deployment
Für die Governance ist die wichtigste Frage, an welcher Stelle über die Produktion entschieden wird. Die drei Begriffe unterscheiden sich genau darin.
| Ansatz | Aus Kontrollsicht |
|---|---|
| Continuous Integration | |
| Endet bei | geprüftem Artefakt im Hauptzweig |
| Freigabe | keine für Produktion vorgesehen |
| Nachweis | Commit, Review, Build- und Testprotokoll |
| Continuous Delivery | |
| Endet bei | auslieferbarer Version, jederzeit abrufbar |
| Freigabe | Person oder Gremium löst Auslieferung aus |
| Nachweis | zusätzlich Freigabe mit Person und Zeitpunkt |
| Continuous Deployment | |
| Endet bei | laufender Version in Produktion |
| Freigabe | vorab festgelegte Regeln in der Pipeline |
| Nachweis | Regelwerk der Pipeline und dessen Genehmigung |
Fowler beschreibt Continuous Delivery als Voraussetzung für Continuous Deployment: Erst wenn die Software jederzeit auslieferbar ist, kann man die Auslieferung automatisieren. Bei Continuous Deployment verschiebt sich die Kontrolle von der einzelnen Änderung auf die Pipeline. Freigegeben wird dann das Regelwerk, also welche Prüfungen bestanden sein müssen, und jede Änderung dieses Regelwerks ist selbst ein Change.
Werkzeuge bilden das ab. Azure Pipelines etwa kennt Genehmigungen und Prüfungen für geschützte Ressourcen wie Umgebungen oder Dienstverbindungen. Eine Phase, die eine solche Ressource nutzt, startet erst, wenn alle erfüllt sind. Möglich sind unter anderem manuelle Freigaben, Geschäftszeiten und der Aufruf einer REST-API. So kann eine Pipeline vor dem Deployment den Status eines Changes in einem ITSM-System abfragen.
Funktionstrennung und Change-Kontrolle in der Pipeline
Viele Regelwerke verlangen, dass niemand eine Änderung allein von der Idee bis in die Produktion bringen kann. DORA nennt diese Funktionstrennung als verbreitete regulatorische Anforderung an den Change-Prozess. Die Untersuchung von DORA im Bericht «State of DevOps» 2019 kommt zu einem Ergebnis, das für Compliance-Verantwortliche wichtig ist: Schwergewichtige Genehmigungen durch externe Gremien verschlechterten die Lieferleistung, ein Beleg für tiefere Change-Fehlerraten fand sich nicht. DORA empfiehlt, die Funktionstrennung über Peer Reviews umzusetzen, die mit Kommentaren und Genehmigungen in der Entwicklungsplattform festgehalten werden.
Vier-Augen-Prinzip technisch umsetzen
- Geschützter Hauptzweig: GitHub und Azure DevOps erlauben, eine Mindestzahl genehmigender Reviews und bestandene Statusprüfungen zu verlangen, bevor zusammengeführt wird.
- Keine Selbstgenehmigung: Die Person, die eine Änderung erstellt, darf sie nicht selbst genehmigen.
- Ausnahmen begrenzen: Wer Schutzregeln umgehen kann, gehört zu den privilegierten Konten und wird entsprechend überwacht.
- Pipeline als kontrollierte Konfiguration: Änderungen an der Pipeline-Definition laufen durch dasselbe Review.
Regulatorischer Rahmen
Für Banken, Personen nach Art. 1b BankG, Wertpapierhäuser sowie Finanzgruppen und -konglomerate konkretisiert das FINMA-Rundschreiben 2023/1 das Änderungsmanagement (Rz 50–52). Es verlangt Verfahren, Prozesse und Kontrollen für alle Phasen der Entwicklung oder Beschaffung von IKT, eine Trennung der Umgebungen für Entwicklung oder Test von der Produktion samt eindeutiger Zuweisung von Aufgaben, Kompetenzen und Verantwortlichkeiten sowie Tests gemäss Kritikalität. Banken und Wertpapierhäuser der FINMA-Kategorien 4 und 5 sind von Rz 51, der Trennung der Umgebungen, ausgenommen, und die Anforderungen sind nach Grösse, Komplexität und Risikoprofil des Instituts umzusetzen. Eine sauber aufgesetzte Pipeline liefert dafür einen grossen Teil der Belege.
Unabhängig von der Branche gilt das Datenschutzgesetz. Art. 7 DSG verlangt Datenschutz durch Technik, Art. 8 eine angemessene Datensicherheit. Für CI heisst das konkret: keine echten Personendaten in Testumgebungen, oder nur pseudonymisiert und mit geregelten Zugriffen. ISO/IEC 27001:2022 adressiert dieselben Punkte im Anhang A, unter anderem mit der Trennung von Entwicklungs-, Test- und Produktionsumgebungen (8.31), dem Änderungsmanagement (8.32) und dem Schutz von Testinformationen (8.33).
Die Klammer im Service Management
Die Pipeline belegt, was technisch geschah. Antrag, Bewertung, Freigabe und die Verbindung zu Incidents gehören in das ITSM-System. ky2help® bildet Change Enablement und Release Management als Teil von 13 durch PeopleCert akkreditierten ITIL-Practices ab, mit automatischer Historisierung, integriertem Daten-Audit und revisionssicherer Dokumentation. Betrieben wird es als SaaS oder On-Premises, mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland. Der Hersteller ist nach ISO/IEC 27001 zertifiziert.
Risiken nach Priorität
Die Reihenfolge folgt der Frage, welche Schwachstelle die übrigen Kontrollen wertlos macht. Die Bezeichnungen in Klammern verweisen auf die «Top 10 CI/CD Security Risks» von OWASP.
- Umgehbare Kontrollen (CICD-SEC-1): Direkte Pushes auf den Hauptzweig, Deployments am Build vorbei oder Administratoren ohne Review. Massnahme: Schutzregeln für alle, Ausnahmen protokolliert und regelmässig überprüft.
- Zugangsdaten in der Pipeline (CICD-SEC-6): Kennwörter im Repository, zu breite Rechte von Service-Konten, Geheimnisse in Protokollen. Massnahme: zentraler Geheimnisspeicher, kurzlebige Anmeldungen, Rechte je Umgebung.
- Manipulierte Pipeline-Ausführung (CICD-SEC-4): Wer die Pipeline-Datei in einem Branch ändern kann, kann Befehle mit den Rechten der Pipeline ausführen. Massnahme: sensible Schritte nur für geschützte Branches, Review der Pipeline-Definition.
- Abhängigkeiten und Artefakte (CICD-SEC-3, CICD-SEC-9): Fremde Bibliotheken und gebaute Pakete können verändert sein. Massnahme: vertrauenswürdige Quellen, Prüfsummen oder Signaturen, Herkunftsnachweise etwa nach SLSA.
- Lückenhafte Protokolle (CICD-SEC-10): Ohne vollständige Aufzeichnung lässt sich ein Vorfall nicht rekonstruieren. Massnahme: Protokolle der CI-Plattform zentral sammeln und für die nötige Dauer aufbewahren.
Kommt es trotzdem zu einem Sicherheitsvorfall, greifen Incident- und gegebenenfalls Meldeprozesse. Die Ursachenanalyse beschreibt der Glossar-Eintrag Root Cause Analysis.
Häufige Fragen zu Continuous Integration
Was ist Continuous Integration?
Continuous Integration ist eine Entwicklungspraxis, bei der Änderungen mindestens täglich in einen gemeinsamen Hauptzweig zusammengeführt und jedes Mal automatisch gebaut und getestet werden. Fehler werden so innerhalb von Minuten sichtbar, und jede Integration hinterlässt ein nachvollziehbares Protokoll.
Ersetzt eine CI-Pipeline die Change-Freigabe?
Nein. CI prüft, ob eine Änderung technisch funktioniert. Die Entscheidung über die Produktion bleibt Teil des Change-Prozesses. Bei Continuous Deployment wird diese Entscheidung in Regeln der Pipeline vorweggenommen, und diese Regeln brauchen selbst eine Freigabe.
Wie lässt sich das Vier-Augen-Prinzip in CI umsetzen?
Über einen geschützten Hauptzweig, der eine Mindestzahl genehmigender Reviews und bestandene Prüfungen verlangt. Die Autorin einer Änderung genehmigt nicht selbst, und wer Schutzregeln umgehen kann, wird als privilegiertes Konto behandelt.
Was verlangt die FINMA zum Änderungsmanagement?
Das Rundschreiben 2023/1 verlangt in den Randziffern 50 bis 52 Verfahren, Prozesse und Kontrollen für alle Phasen der Entwicklung oder Beschaffung von IKT, getrennte Umgebungen für Entwicklung oder Test und Produktion mit geregelten Zugängen sowie Tests gemäss Kritikalität. Es richtet sich an Banken, Wertpapierhäuser sowie Finanzgruppen und -konglomerate. Banken und Wertpapierhäuser der FINMA-Kategorien 4 und 5 sind von Rz 51 ausgenommen, der Vorgabe zur Trennung der Umgebungen.
Dürfen Produktivdaten in CI-Tests verwendet werden?
Nur mit Vorsicht. Art. 7 und 8 DSG verlangen Datenschutz durch Technik und angemessene Datensicherheit. In der Praxis heisst das: synthetische oder pseudonymisierte Testdaten, getrennte Umgebungen und geregelte Zugriffe.
Wo werden ky2help®-Daten gespeichert?
ky2help® läuft als SaaS oder On-Premises. Bei SaaS erhalten Sie eine eigene Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland. Details zu Betrieb und Datenhaltung besprechen wir gern in einem Beratungstermin.
Quellen und weiterführende Artikel
Quellen
- Martin Fowler: Continuous Integration (Fassung vom 18. Januar 2024)
- DORA: Streamlining change approval und Trunk-based development
- OWASP: Top 10 CI/CD Security Risks
- OpenSSF: SLSA Specification 1.0
- GitHub Docs: Informationen zu geschützten Branches
- Microsoft Learn: Genehmigungen und Prüfungen in Azure Pipelines
- FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» (PDF)
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
