Es soll an echte Daten
Kundenliste, Postfach, Buchhaltung. Bisher lief das Tool mit Testdaten, jetzt sollen die echten hinein. Wohin sie dabei unterwegs sind und wer sie sieht, steht nirgends.
AUDITS VERFÜGBAR · 5 WERKTAGE
Du hast es
gebaut.
Ich prüfe, ob es hält.
Dein Tool läuft. Jetzt soll es an die Kundenliste, ins Postfach oder zu einem Kunden, und niemand kann dir sagen, ob das gutgeht. Ich sehe mir das Projekt an und schreibe dir in fünf Werktagen auf, was du vorher reparieren solltest. In Klartext, ohne Entwickler-Vokabular.
- Lieferzeit
- 5 Werktage
- Ergebnis
- Bericht + Regeln
Befund 2 von 11 · zuerst erledigen
Jeder Kunde kann die Rechnungen der anderen sehen
Die Seite, die eine Rechnung anzeigt, prüft nur, ob jemand eingeloggt ist. Ob ihm die Rechnung auch gehört, prüft sie nicht. Die Rechnungsnummer steht in der Adresszeile. Wer dort die 1042 durch eine 1041 ersetzt, sieht die Rechnung des Kunden davor. Datei routes/rechnung.py, Zeile 31.
Warum das zählt: Beim Testen fällt das nie auf: Login funktioniert, jeder sieht seine eigenen Daten. Der Fehler zeigt sich erst, wenn jemand die Zahl ausprobiert. Dann ist es eine meldepflichtige Datenpanne, ganz ohne Angriff.
Was du zuerst tust: Vor dem Anzeigen prüfen, ob die Rechnung zum eingeloggten Kunden gehört, sonst „nicht gefunden“ antworten. Danach dieselbe Prüfung an den drei anderen Stellen, die Datensätze über eine Nummer laden. Die Liste steht in der Regel-Datei, Abschnitt 1.
AUSZUG AUS EINEM BERICHT · anonymisiert
01 · Risiken
Kennst du diese Risiken?
Du baust mit Claude Desktop, Cowork oder Claude Code, dazu Skills und drumherum vielleicht Make, Zapier oder n8n. In ein paar Stunden steht ein Tool, das tut, was es soll. Der Ärger kommt später: an dem Tag, an dem echte Kundendaten hineinlaufen oder jemand anderes damit arbeitet.
Ein Kunde soll es benutzen
Bisher hast nur du es bedient und wusstest, was es verträgt. Sobald ein Kunde darauf klickt, zählt jede Eingabe, die er macht, und jeder Fehler fällt auf dich zurück.
Zum ersten Mal kaputt
Etwas lief nicht mehr, du hast Claude reparieren lassen, und danach war mehr kaputt als vorher. Seitdem traust du dich an keine Änderung.
Claude dreht sich im Kreis
Derselbe Fehler, der vierte Anlauf, dieselbe Antwort. Claude kennt Dateien nicht mehr, die es selbst geschrieben hat, und das Projekt wird mit jedem Prompt unübersichtlicher.
02 · Das Audit
Ein Blick von außen auf dein Projekt.
Der Agent, der dein Tool gebaut hat, kann nicht beurteilen, ob es taugt. Ich prüfe es von außen, mit Fragen, die vorher feststehen, und schreibe dir das Ergebnis in Klartext auf. Einmalig, asynchron, in vier Kapiteln.
- Sicherheit. Schlüssel im Code, wer was darf, und ob fremde Inhalte dein Tool zu Aktionen bringen können.
- Datenschutz. Welche Daten an welchen Anbieter gehen, was davon Kundendaten sind, wo ein Auftragsverarbeitungsvertrag fehlt.
- Wartbarkeit. Ob Claude das Projekt noch überblickt, ob es Tests und Regeln gibt, wie weit alles auseinandergelaufen ist.
- Betrieb. Was passiert, wenn es nachts ausfällt, wer es merkt, was es im Monat kostet.
- Prioritätenliste: die drei Dinge, die du zuerst angehst.
- Regel-Datei für den nächsten Claude-Lauf: CLAUDE.md und Prüfschritte, mit denen Claude die wichtigsten Punkte selbst erledigt.
Zeigt der Bericht mehr Arbeit, als du mit der Regel-Datei selbst erledigen kannst, besprechen wir das.
-
SCHRITT 01
Zugang zum Projekt
Dein Claude-Code-Ordner als Zip, ein GitHub-Repo oder ein Lovable-Link. NDA auf Wunsch.
-
SCHRITT 02
Fünf Werktage
Ich lese und teste lokal, entlang der Fragen, die wir vorher festgehalten haben.
-
SCHRITT 03
Bericht und Regel-Datei
Klartext in vier Kapiteln, dazu die Regel-Datei. Als PDF und als Markdown.
Festpreis, einmalig
Die Höhe nenne ich dir im Erstgespräch, nachdem ich kurz auf dein Projekt geschaut habe. Brutto, USt-frei nach § 19 UStG.
Vorher festgelegt. Bevor ich anfange, halten wir schriftlich fest, welche Fragen der Bericht beantworten muss. Daran misst du das Ergebnis.
03 · DEIN AUDITOR
Mirko Herbig
Ich programmiere seit 1995, seit 2005 hauptberuflich. Seit Anfang 2023 arbeite ich mit Sprachmodellen beim Programmieren, und seit Anfang 2026 habe ich keine Zeile Code mehr selbst geschrieben. Claude Code baut, ich baue die Umgebung drumherum: Regeln, Prüfschritte, Grenzen.
- Dipl. Wirtschaftsinformatiker (FH) mit Fokus auf Software-Architektur
- Programmiert seit 1995, seit 2005 hauptberuflich Software-Entwickler
- Google Professional Cloud Architect
- Spezialisiert auf Security & Production-Readiness
04 · DETAILS
Häufige Fragen.
Mein Projekt liegt in einem Ordner auf dem Rechner, nicht in einem Repo. Geht das trotzdem?
Ja. Ein Claude-Code-Ordner als Zip reicht, genauso ein Cowork-Ordner oder deine Skills. Wenn du magst, legen wir das Projekt zusammen in ein privates GitHub-Repo. Lovable, Bolt und v0 gehen auch: Project-Link mit Leserecht oder Export als Zip.
Mein Tool läuft eigentlich. Lohnt sich das Audit trotzdem?
Gerade dann. Teuer werden die Fehler, die still bleiben: ein Zugangsschlüssel, der im Code steht und in jeder Kopie mitwandert; Kundendaten, die an einen Anbieter gehen, mit dem du keinen Vertrag hast; ein Tool, das fremde Texte liest und daraufhin Aktionen auslöst, die niemand angeordnet hat. Nichts davon macht sich bemerkbar, solange es gut geht.
Wie sicher ist mein Code bei dir?
Auf Wunsch unterschreibe ich vorab ein NDA. Ich analysiere dein Projekt lokal auf meinem Rechner und über einen API-Zugang mit Auftragsverarbeitungsvertrag, nicht in einem Consumer-Chat. Dein Code geht nicht an Dritte, landet nicht in Trainingsdaten und wird nach Abschluss gelöscht.
Was, wenn du nichts Kritisches findest?
Dann bekommst du einen Bericht, der genau das festhält, plus die Liste der Punkte, die ich geprüft habe. Damit kannst du einem Kunden zeigen, worauf jemand von außen geschaut hat.
Welche Stacks und Frameworks deckst du ab?
Claude Code, Cowork und Skills, dazu Make, Zapier und n8n. Auf Code-Seite JavaScript, TypeScript, Python, Node, React, Next.js, Supabase, Firebase, Vercel, Google Cloud und AWS-Basics. Wenn deins nicht dabei ist, frag kurz an, ich sage dir, ob ich der Richtige bin.
Wie lange dauert das Audit?
Fünf Werktage, ab dem Moment, in dem ich Zugang zum Projekt habe. Wenn du es eiliger hast, schreib es ins Anfrageformular, dann sehe ich, was geht.
Ich kann keinen Code lesen. Verstehe ich den Bericht?
Ja, dafür ist er geschrieben. Klartext in vier Kapiteln, jeder Befund mit einem Satz dazu, warum er dich betrifft. Vorne stehen die drei Dinge, die du zuerst angehst. Dazu bekommst du eine Regel-Datei, mit der Claude die wichtigsten Punkte selbst erledigt.
Kann ich auch nur eine Frage stellen, ohne gleich ein Audit zu buchen?
Ja, gerne. Eine kurze, konkrete Frage per E-Mail an hello@ai-code-audit.de beantworte ich kostenlos, in der Regel innerhalb von 24 Stunden.
05 · Kontakt
Bereit für dein Audit?
Ein paar Felder, etwa zwei Minuten. Ich melde mich werktags innerhalb von 24 Stunden mit den nächsten Schritten.
- → Keine Vorab-Zahlung. Erst nach gegenseitigem Ja.
- → Antwort von Mirko persönlich, kein Funnel.
- → NDA vor der Projektübergabe auf Wunsch.