code-guard
Code prüfen, bevor er rausgeht. Mit wenigen, belegten Befunden statt einer Wand aus Warnungen.
- Sicherheit: Findet Lücken wie eingeschleuste Befehle, offen liegende Zugangsschlüssel oder ungeprüfte Uploads, jeweils mit Datei, Zeile und einem konkreten Vorschlag zur Behebung.
- KI-geschriebener Code: Erkennt, was Sprachmodelle gern falsch machen, etwa erfundene Funktionen, vergessene Platzhalter oder Tests, die einen Fehler festschreiben.
- Recht in Deutschland und der EU: Markiert Prüfpunkte zu Datenschutz, Impressum und KI-Verordnung und sagt, wann eine Anwältin oder ein Anwalt draufschauen sollte.
Eine Anleitung mit vier Prüflisten, ohne Skript. Er liest Ihren Code und schreibt einen Bericht; geändert wird nichts, solange Sie es nicht ausdrücklich verlangen.
Kostenfrei. Geprüft haben wir ihn in Claude Code, ChatGPT und Grok. In anderen KI-Werkzeugen mit Skill-Unterstützung sollte er auch arbeiten; dafür übernehmen wir aber keine Gewähr.
Das Problem
Der Code läuft. Aber ist er auch dicht?
- Mit KI entsteht in einem Nachmittag eine App, die funktioniert. Ob jemand über das Kontaktformular fremden Code einschleusen kann oder ein Zugangsschlüssel im Browser landet, merkt man beim Ausprobieren nicht.
- Viele Prüfwerkzeuge melden dafür Dutzende Verdachtsfälle, die meisten davon Fehlalarm. Wer vierzig Warnungen bekommt, liest keine davon richtig, und die eine echte geht unter.
Was er macht
Gezielt suchen, dann jeden schweren Fund gegenprüfen.
- Erst der Überblick: Bevor er sucht, hält er fest, wo Daten in Ihr Programm hineinkommen und wo sie landen. Damit weiß er, wo sich ein Angriff überhaupt lohnen würde.
- Eine Runde je Angriffsart: Er sucht jede Art von Lücke in einem eigenen Durchgang, statt alles auf einmal zu überfliegen. Bei größeren Projekten laufen diese Runden gleichzeitig als eigene Prüfer.
- Unabhängige Gegenprüfung: Jeder schwere Verdacht geht an einen zweiten Prüfer, der nur die Behauptung kennt und versucht, sie zu widerlegen. Rot oder Orange gibt es nur, wenn der Angriffsweg Schritt für Schritt belegt ist.
- Ein Bericht, der sich lesen lässt: Ampel, Fundstelle, Erklärung und Vorschlag zur Behebung. Dazu steht offen drin, welche Verdachtsfälle verworfen wurden und was er nicht prüfen konnte.
Worauf er achtet
Die Leitplanken, die ihn ehrlich halten.
- Nur lesen: Er ändert keinen Code und führt nichts aus. Was umgesetzt wird, entscheiden Sie.
- Kein falsches „sicher“: Das beste Urteil lautet „keine Befunde in den geprüften Bereichen“, immer zusammen mit dem, was nicht geprüft wurde.
- Im Zweifel der ungünstige Fall: Ist unklar, ob etwa personenbezogene Daten verarbeitet werden, nimmt er es an und schreibt die Annahme sichtbar in den Bericht.
- Rechtsstand wird nachgeschlagen: Bevor er einen schweren Rechtsbefund meldet, prüft er den aktuellen Stand. Eine Rechtsberatung ersetzt das nicht.
Ehrlich gesagt
Was getestet ist und was nicht.
- Getestet: Frühere Fassungen prüfen seit Juli unsere eigenen Web-Apps und Werkzeuge. Version 1.3 lief an einem echten Projekt: Von vier schweren Verdachtsfällen hat die Gegenprüfung einen bestätigt und drei als weniger ernst eingestuft.
- Nicht getestet und nicht geleistet: Er ersetzt keinen Penetrationstest, also keinen Angriffsversuch auf das laufende System, und keinen Anwalt. Er gleicht eingebundene Bibliotheken nicht mit einer Datenbank bekannter Lücken ab. Andere Werkzeuge als Claude Code, ChatGPT und Grok haben wir nicht getestet. Ohne Unteragenten läuft die Gegenprüfung als eigener Durchgang und ist dann weniger unabhängig.
- Herkunft: Entstanden als unser eigenes Prüfwerkzeug. Die Gegenprüfung ist angeregt von einem öffentlichen Fachbeitrag über selbst gebaute Prüfstände; übernommen haben wir das Vorgehen, keinen Code.
Prüf-Protokoll
Das Ergebnis, offen gelegt.
Ein Siegel ist Sorgfalt, keine Garantie. Wir zeigen das Ergebnis als Ampel, nicht die Prüfmechanik dahinter. Die Verantwortung für den Einsatz bleibt bei Ihnen.
So laden Sie ihn ein
In vier Schritten einsatzbereit und aktuell.
Herunterladen
Das ZIP oben laden. Es enthält die SKILL.md und vier Prüflisten im Unterordner references.
Entpacken
Den Ordner code-guard in den Skills-Ordner Ihres Werkzeugs legen, z. B. .claude/skills/. Der Unterordner bleibt dabei.
Prüfen lassen
„Mach einen Sicherheitscheck" oder „Prüf den Code mit CODE//GUARD" sagen. Er fragt nur nach, wenn sich der Zusammenhang nicht aus dem Code ergibt.
Aktuell bleiben
Fragen Sie Ihre KI hin und wieder: „Prüfe code-guard gegen seine Quelle, aktualisiere ihn, wenn nötig." Der Verweis dazu steckt schon im Skill.
Beispiel
So sieht das Ergebnis aus.
„Mach einen Sicherheitscheck, bevor ich die Anmeldeseite online stelle."
Ampel: Kritisch 0 · Hoch 1 · Mittel 3 · Hinweis 2
Hoch, gegengeprüft: Der Name aus dem Formular wird ungefiltert in die Übersicht geschrieben (liste.js, Zeile 88). Wer statt eines Namens Skriptcode einträgt, bringt ihn im Browser der Verwaltung zur Ausführung. Vorschlag: den Text als reinen Text einsetzen statt als HTML.
Verworfen: Verdacht auf offenen Schlüssel in config.js. Die Datei wird nicht an den Browser ausgeliefert.
Passt dazu
Erst sauber bauen, dann prüfen.
- baumeister baut Software mit Spezifikation und Plan, code-guard prüft das Ergebnis vor der Veröffentlichung.
- ki-kennzeichnung hilft, wenn Ihre App KI-erzeugte Inhalte zeigt und die Frage nach der Kennzeichnung aufkommt.