- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
DevOps: Schnelle Releases mit Kontrolle und Nachvollziehbarkeit
DevOps ist ein Organisations- und Arbeitsmodell, in dem Entwicklung und Betrieb eine Anwendung gemeinsam verantworten und jede Änderung über einen automatisierten, wiederholbaren und protokollierten Ablauf in die Produktion bringen. Der Begriff verbindet Development und Operations und verbreitete sich ab 2009.
In regulierten Branchen weckt DevOps zunächst Skepsis. Mehrere Deployments pro Woche, Entwickler mit Verantwortung für den Betrieb: Wie passt das zu Funktionstrennung, Vier-Augen-Prinzip und den Nachweisen, die Revision und Aufsicht verlangen? Die kurze Antwort lautet: Gut umgesetzt verlagert DevOps Kontrollen aus Sitzungen und Formularen in die Pipeline. Dort laufen sie bei jeder Änderung gleich ab und hinterlassen einen Nachweis.
Das Wichtigste in Kürze
- Prinzip: Kleine, häufige Änderungen mit automatisierten Prüfungen statt seltener Grossreleases.
- Kontrolle: Code-Review, Tests, Sicherheitsprüfungen und Freigaben sind Teil der Pipeline und werden protokolliert.
- Governance: Funktionstrennung bleibt möglich, wenn die Rechte auf Repository, Pipeline und Produktion sauber getrennt sind.
- Regulierung: Das FINMA-Rundschreiben 2023/1, das Datenschutzgesetz und das Informationssicherheitsgesetz stellen Anforderungen an Änderungen, Datensicherheit und Meldungen. Eine gut dokumentierte Pipeline hilft, deren Umsetzung zu belegen.
Stand: November 2026 · Rechtsbezüge nach FINMA und Fedlex, Fachbegriffe nach DORA und NIST (Quellen am Ende des Artikels)
Die Pipeline als Kontrollsystem
Eine Deployment-Pipeline ist die automatisierte Strecke vom Quellcode bis zur laufenden Anwendung. Aus Sicht der Governance ist sie vor allem eine Folge von Kontrollpunkten, die sich nicht überspringen lassen.
- Versionsverwaltung mit Schutzregeln: Änderungen gelangen nur über einen Merge Request in den Hauptzweig. Mindestens eine zweite Person muss zustimmen, Autorin und Prüfer werden gespeichert. Das ist das Vier-Augen-Prinzip in technischer Form.
- Build und Tests: Jeder Stand wird automatisch gebaut und getestet (Continuous Integration). Schlägt ein Test fehl, stoppt die Pipeline.
- Sicherheitsprüfungen: Statische Codeanalyse, Abgleich der Open-Source-Abhängigkeiten mit bekannten Schwachstellen und die Suche nach eingecheckten Zugangsdaten laufen bei jeder Änderung mit. Dieser Ansatz heisst DevSecOps.
- Freigabe: Bei Continuous Delivery gibt eine berechtigte Person oder eine festgelegte Regel den Schritt in die Produktion frei. Bei Continuous Deployment entfällt der manuelle Schritt, die Kontrollen müssen dann vollständig automatisiert sein.
- Protokoll: Jeder Lauf hält fest, welcher Stand mit welchen Prüfergebnissen wann und durch wen ausgerollt wurde.
Infrastruktur als Code
Werden Server, Netzwerkregeln und Berechtigungen als versionierte Konfiguration beschrieben, gelten für sie dieselben Kontrollen wie für Anwendungscode. Eine geänderte Firewall-Regel ist dann ein prüfbarer Merge Request und keine Handänderung, die erst im nächsten Audit auffällt.
Die durchgehende Kette
Für die Revision zählt die vollständige Spur: Anforderung, Change, Code-Änderung, Prüfergebnis, Deployment und allenfalls Incident. Reisst diese Kette zwischen Entwicklungswerkzeug und Service Management ab, lässt sich im Nachhinein kaum belegen, warum eine Änderung live ging und wer sie verantwortet hat. Grundlagen dazu im Glossar unter Change Management.
Klassisches Change Management und DevOps im Vergleich
DevOps schafft das Change Management nicht ab. Es verändert, wo und wie geprüft wird. Die Tabelle stellt beide Ansätze für typische Kontrollfragen gegenüber.
| Klassisch | Mit DevOps |
|---|---|
| Freigabe | |
| Change Advisory Board in festem Rhythmus | Standard-Change über geprüfte Pipeline, CAB für Ausnahmen |
| Vier-Augen-Prinzip | |
| Unterschrift auf dem Antrag | Pflicht-Review im Merge Request |
| Tests | |
| Manuelle Abnahme vor dem Release | Automatische Tests bei jeder Änderung |
| Nachweis | |
| Formular und Protokoll der Sitzung | Protokoll jedes Pipeline-Laufs |
| Trennung der Funktionen | |
| Getrennte Teams für Entwicklung und Betrieb | Getrennte Rechte: Nur die Pipeline schreibt in die Produktion |
| Risiko | |
| Grosse Pakete, seltene Releases | Kleine Änderungen, schnelle Rücknahme |
SRE und Fehlerbudgets
Site Reliability Engineering (SRE), wie Google es beschreibt, ergänzt diese Sicht um eine Risikogrösse: das Fehlerbudget. Eine Organisation legt fest, wie viel Ausfall ein Service sich leisten darf. Ist das Budget aufgebraucht, haben Stabilisierung und Ursachenbehebung Vorrang vor neuen Funktionen. Für Governance-Gremien ist das eine nachvollziehbare Regel, die Tempo und Risiko miteinander verbindet.
ITIL und DevOps
Auch ITIL 4 trennt Change Enablement, Release Management und Deployment Management und lässt zu, dass Changes nach vorab festgelegten Kriterien automatisiert bewertet werden. Wer sich an ITIL orientiert, muss für DevOps also kein neues Regelwerk erfinden. Entscheidend ist, die Kriterien für Standard-Changes klar zu definieren und regelmässig zu überprüfen. Mehr dazu unter ITIL Change Management und Change Advisory Board.
Regulatorik, Datenhaltung und kontrollierter Prozess
Ein «DevOps-Gesetz» gibt es in der Schweiz nicht. Mehrere Regelwerke stellen aber Anforderungen, die direkt auf die Pipeline durchschlagen.
FINMA-Rundschreiben 2023/1
Das Rundschreiben «Operationelle Risiken und Resilienz – Banken» gilt seit dem 1. Januar 2024 für Banken und Wertpapierhäuser. Im Abschnitt zu den IKT-Risiken verlangt es unter anderem Verfahren und Kontrollen für das Change Management und den IKT-Betrieb sowie die Trennung von Entwicklungs- und Testumgebungen von der Produktion. Eine Pipeline mit getrennten Umgebungen und protokollierten Freigaben ist ein naheliegender Weg, das umzusetzen und zu belegen.
Datenschutz und Informationssicherheit
Das Datenschutzgesetz (DSG) verlangt in Art. 8 eine dem Risiko angemessene Datensicherheit. In der Praxis folgt daraus häufig: Produktionsdaten mit Personendaten gelangen nicht ungeprüft in Testumgebungen, und Logs enthalten nicht mehr Personendaten als nötig. Betreiberinnen kritischer Infrastrukturen müssen zudem seit dem 1. April 2025 Cyberangriffe innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden (Informationssicherheitsgesetz, ISG). Je schneller sich klären lässt, welche Änderung wann live ging, desto belastbarer ist eine solche Meldung.
Wo Pipeline-Daten liegen
Repositories, Build-Protokolle und Artefakte enthalten oft mehr als Code: Konfigurationen, Testdaten, Hinweise auf Zugänge. Wer Cloud-Dienste für die Pipeline nutzt, sollte deshalb wie bei jedem anderen System klären, wo diese Daten gespeichert werden, wer darauf zugreifen kann und wie lange Protokolle aufbewahrt werden.
Nachvollziehbare Prozesse im Service Management
Wie wichtig lückenlose Dokumentation ist, zeigt ein Beispiel ausserhalb der Softwareentwicklung: Das Personalamt des Kantons Thurgau bildet seine HR-Prozesse in ky2help® so ab, dass sie lückenlos nachvollziehbar, dokumentiert und archiviert sind (Referenz Kanton Thurgau). Dasselbe Prinzip gilt für Changes und Releases. ky2help® ist von PeopleCert unter anderem für Change Enablement und Release Management akkreditiert, Genehmigungsprozesse lassen sich im Prozessdesigner abbilden, und der Betrieb ist als SaaS mit eigener Instanz in einem Rechenzentrum in der Schweiz oder On-Premises möglich.
Risiken und Kontrollen nach Priorität
Nicht jede Massnahme ist gleich dringend. Die folgende Reihenfolge orientiert sich daran, wie gross der mögliche Schaden bei einem Versäumnis ist.
Priorität 1: Pipeline und Zugangsdaten schützen
Die Pipeline hat Schreibrechte auf die Produktion und ist damit ein privilegiertes System. Dienstkonten erhalten nur die nötigen Rechte, Zugangsdaten liegen in einem Secrets-Management statt im Repository, und Änderungen an der Pipeline-Definition durchlaufen selbst ein Review.
Priorität 2: Lieferkette absichern
Anwendungen enthalten in der Regel zahlreiche Open-Source-Komponenten. Eine Stückliste der Software (Software Bill of Materials, SBOM), automatische Schwachstellenprüfungen und signierte Artefakte zeigen, was tatsächlich ausgeliefert wurde. Das Secure Software Development Framework des US-amerikanischen NIST (SP 800-218) fasst solche Praktiken zusammen und eignet sich als Prüfraster.
Priorität 3: Funktionstrennung technisch durchsetzen
Niemand sollte eigenen Code ohne zweite Prüfung in die Produktion bringen können, auch Administratoren nicht. Schutzregeln für den Hauptzweig, getrennte Rollen für Pipeline-Administration und Entwicklung sowie eine regelmässige Rezertifizierung der Berechtigungen machen das prüfbar.
Priorität 4: Stabilität messen
Das Forschungsprogramm DORA misst die Softwarebereitstellung mit fünf Kennzahlen. Für die Governance besonders aussagekräftig sind die Change Fail Rate, also der Anteil der Deployments, die sofort ein Eingreifen erfordern, und die Failed Deployment Recovery Time, die Zeit bis zur Wiederherstellung danach. Steigen beide, ist das Tempo zu hoch für die vorhandenen Kontrollen. Weitere Kennzahlen unter KPI.
Fragen aus der Praxis
Was ist DevOps?
DevOps ist ein Arbeitsmodell, in dem Entwicklung und Betrieb eine Anwendung gemeinsam verantworten. Änderungen gelangen in kleinen Schritten über eine automatisierte, protokollierte Pipeline in die Produktion.
Verträgt sich DevOps mit Funktionstrennung?
Ja, wenn die Trennung technisch umgesetzt wird. Entwickler ändern Code, eine zweite Person prüft ihn im Merge Request, und nur die Pipeline hat Schreibrechte auf die Produktion. Rechte auf Pipeline und Produktion werden getrennt vergeben und regelmässig rezertifiziert.
Braucht es mit DevOps noch ein Change Advisory Board?
Für Änderungen mit erhöhtem Risiko meist ja. Routineänderungen, die über eine geprüfte Pipeline laufen und alle automatischen Kontrollen bestehen, lassen sich dagegen als Standard-Change vorab genehmigen. Das CAB befasst sich dann mit den Fällen, die tatsächlich eine Bewertung brauchen.
Was verlangt die FINMA bei Änderungen an IT-Systemen?
Das FINMA-Rundschreiben 2023/1 verlangt von Banken und Wertpapierhäusern unter anderem Verfahren und Kontrollen für das Change Management und den IKT-Betrieb sowie die Trennung von Entwicklungs- und Testumgebungen von der Produktion. Wie das umgesetzt wird, legt das Institut selbst fest.
Was ist DevSecOps?
DevSecOps bezeichnet DevOps mit fest eingebauten Sicherheitsprüfungen. Codeanalyse, Prüfung von Open-Source-Abhängigkeiten, Suche nach Zugangsdaten im Code und signierte Artefakte laufen bei jeder Änderung automatisch in der Pipeline mit.
Wie unterstützt ky2help® kontrollierte Releases?
ky2help® ist von PeopleCert unter anderem für Change Enablement und Release Management akkreditiert, historisiert Änderungen automatisch und bietet ein integriertes Daten-Audit. Über Standardschnittstellen zu Jira und ServiceNow lässt es sich mit Entwicklungswerkzeugen verbinden. Wie das in Ihrer Organisation aussehen kann, zeigen wir in einer Live-Demo.
Quellen und weiterführende Artikel
Quellen
- FINMA: Rundschreiben, darunter FINMA-RS 2023/1 «Operationelle Risiken und Resilienz – Banken»
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
- Fedlex: Informationssicherheitsgesetz (ISG)
- NIST: SP 800-218 Secure Software Development Framework (englisch)
- DORA: Software delivery performance metrics (englisch)
- Google: Site Reliability Engineering, Einleitung (englisch)
- KYBERNA: Funktionsumfang von ky2help® und Referenz Personalamt Kanton Thurgau
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
