5 Sicherheitsfragen für Coding-Agent-Anbieter, CTO-Guide

Ihre Devs nutzen Cursor, Copilot oder Claude Code längst, oft ohne formale Freigabe. Diese fünf Fragen entscheiden, ob Ihre Codebasis noch sicher ist.

Schlüsselzahlen auf einen Blick

60 Prozent der KI-generierten Code-Vorschläge enthielten in einer Stichprobe High-Severity-Sicherheitslücken (SQL-Injection, Authentication-Bypass, Snyk 2025).
73 Prozent der Enterprise-AI-Coding-Pilotprojekte werden laut Knostic 2025 von Security-Reviews gestoppt.
90 Prozent der Fortune 100 setzen GitHub Copilot ein. Der Wettlauf ist nicht "ob", sondern "wie sicher".
15 Mio. Euro Bußgeld drohen ab 2. August 2026 nach AI Act Art. 4 bei fehlender KI-Kompetenz im Team. Audit-Trails Ihrer Coding-Agenten sind dabei Pflicht-Beleg.
44 Prozent der DACH-Unternehmen sehen laut Bitkom 2026 Datenschutz und Rechtsunsicherheit als Top-Blocker, noch vor fehlender Kompetenz im Team.

Ihre Entwickler nutzen Cursor, Claude Code, Copilot oder Codex längst. Wahrscheinlich auch ohne formale Freigabe. Das ist keine Anomalie, das ist die Realität in 2026: 90 Prozent der Fortune 100 haben Copilot, im DACH-Mittelstand sieht das nicht anders aus, nur die Compliance-Lage ist meist noch ungeklärt. Jetzt sitzen Sie als CTO mit der Frage da, wie viel Code-Sicherheit Sie an Vendoren abgeben, deren Verträge Sie noch nie gelesen haben.

Wir bei Sentient Dynamics begleiten DACH-Mittelständler durch genau diese Diskussion. Was wir in jedem Engagement sehen: die Devs sind drei Schritte voraus, die Compliance ist drei Schritte hinten, dazwischen liegt der CTO mit dem Mandat, Tempo zu halten ohne die Codebasis zu kompromittieren. Die folgenden fünf Fragen sind das Minimum-Viable-Audit, das jeder CTO seinem Coding-Agent-Anbieter stellen muss, bevor er die Tool-Nutzung formell freigibt.

Frage 1: Wo liegen unsere Daten, und welcher Rechtsraum greift?

Was Sie konkret fragen: "Wo werden Code-Snippets, Prompts und Tool-Outputs verarbeitet und gespeichert? Welcher Rechtsraum gilt? Gibt es eine EU-Datenresidenz?"

Wie eine gute Antwort aussieht: Konkrete Region (z.B. EU-Frankfurt, EU-Zürich), klarer Rechtsraum (EU-DSGVO, ohne Schrems-II-Risiken), unterschriftsfertige AVV. Anthropic bietet seit 2025 EU-Hosting für Claude Enterprise, GitHub Copilot Business hat seit 2024 EU-Datenresidenz, Cursor läuft je nach Plan in den USA oder mit Enterprise-Setup in der EU.

Red Flag: "Verarbeitung primär in den USA, EU-Daten möglich, aber Premium-Plan", oder noch schlimmer "Wir können das gerade nicht garantieren". Wenn die Sales-Person ausweicht oder auf späteren Quartals-Release verweist, ist die Antwort heute Nein.

Aus der Sentient-Praxis: In einem Engagement im Frühjahr 2026 haben wir mit dem CTO drei Anbieter-Antworten zur Datenresidenz nebeneinandergelegt. Ein Anbieter hat sich erst nach drei Wochen auf eine schriftliche Aussage festlegen lassen. Das war ein klares Knock-out-Kriterium für den Pilot.

AI-Readiness-Check starten, 5 Minuten, kostenlos →

Frage 2: Wie ist Ihr Zero-Data-Retention-Setup, und wie ist es vertraglich gesichert?

Was Sie konkret fragen: "Werden unsere Code-Snippets oder Prompts zum Modell-Training verwendet? Wenn nicht, in welchem Vertragspassus ist das festgelegt? Wie lange werden Logs aufbewahrt, und können wir diese Aufbewahrungsfrist konfigurieren?"

Wie eine gute Antwort aussieht: Zero-Data-Retention als Standard im Enterprise-Plan, schriftlich im Vertrag, mit konkreter Aufbewahrungsfrist für Audit-Logs (typisch 30 bis 90 Tage). Anthropic hat Zero-Retention im Enterprise-Vertrag, GitHub Copilot Business genauso, Cursor Business auf Anfrage.

Red Flag: "Daten werden anonymisiert, aber zur Modell-Verbesserung genutzt", "Sie können das in den Settings ausschalten" (Settings reichen nicht, das gehört in den Vertrag), oder "Logs bleiben unbegrenzt erhalten".

Aus der Sentient-Praxis: Bei Engagements in regulierten Branchen, etwa Privatbanken oder Versicherungen, ist Zero-Data-Retention nicht verhandelbar. Wir prüfen die Vertrags-Klausel Wort für Wort, weil "wir nutzen es nicht zum Training" und "wir speichern es 12 Monate" zwei sehr unterschiedliche Dinge sind. Die Aufbewahrung der Logs darf zudem nicht im Server-Logfile-Wildwuchs untergehen.

Frage 3: Wie granular sind die Tool-Berechtigungen, und können wir sie pro Repository steuern?

Was Sie konkret fragen: "Kann der Agent in jedem Repository alles lesen, schreiben und ausführen? Oder können wir Lese-, Schreib- und Bash-Rechte pro Repository, pro Branch und pro Tool-Typ separat konfigurieren?"

Wie eine gute Antwort aussieht: Granulare Permission-Settings pro Tool-Klasse (Read, Edit, Bash, MCP-Calls), pro Repository und idealerweise pro Branch. Plus eine Allowlist für Bash-Kommandos (z.B. npm run test erlaubt, rm -rf blockiert). Plus explizite Deny-Lists für Secret-Files (.env, .p12, .jks, credentials*).

Red Flag: "Der Agent hat Vollzugriff auf das Working Directory" als einziger Modus. Oder "Sie können das im Code per Hooks selber lösen" (das ist Sicherheits-Verantwortung beim Kunden, nicht beim Vendor, und das müssen Sie wissen).

Aus der Sentient-Praxis: Wir haben in einem Mittelstands-Engagement die Coding-Agent-Settings so konfiguriert, dass der Agent das auth/-Verzeichnis nur lesen, nie schreiben darf. Plus ein Pre-Bash-Hook, der gefährliche Kommandos vor Ausführung blockiert. Diese Hooks sind kein Feature des Anbieters, sondern Eigenleistung. Anbieter, die das gar nicht erst ermöglichen, fallen raus.

Frage 4: Wie vollständig ist der Audit-Trail, und wer hat Zugriff darauf?

Was Sie konkret fragen: "Welche Aktion wurde wann von welchem Mitarbeiter mit welchem Tool und welchem Input ausgeführt? Können wir das pro Mitarbeiter und pro Repository auswerten? Wer kann diese Logs sehen, und wer kann sie löschen?"

Wie eine gute Antwort aussieht: Vollständiger Audit-Trail mit User-ID, Tool-Call, Input-Hash, Output-Hash, Timestamp, plus Pull-Request-Link, in dem die Aktion gelandet ist. Logs einsehbar im Admin-Dashboard, exportierbar als CSV oder JSON, mit Rollen-basierten Zugriffsrechten. Löschen nur durch Audit-Admin mit zweitem Vier-Augen-Prinzip.

Red Flag: "Nutzer können ihre eigene Historie sehen" als einziger Audit-Mechanismus. "Wir loggen das, aber das Format ist proprietär und nicht exportierbar". Oder "Logs sind nur 7 Tage verfügbar".

Aus der Sentient-Praxis: Audit-Trail ist 2026 nicht mehr Compliance-Theater, sondern operatives KPI-Werkzeug. Wir bauen aus den Logs die Adoption-Rate und den Ability-and-Willingness-Score pro Mitarbeiter, der die Grundlage für Workforce-Steuerung wird. Wenn der Anbieter den Audit-Trail nicht sauber liefert, fällt unser komplettes KPI-Framework auseinander.

ROI-Kalkulator: Was wäre 1,5x in Ihrem Team wert? →

Frage 5: Wie sieht Ihr Kill-Switch und Rollback-Workflow aus?

Was Sie konkret fragen: "Wenn morgen ein Sicherheitsvorfall auftritt, wie schnell können wir alle Coding-Agent-Sessions im Team stoppen? Können wir einzelne Mitarbeiter sperren, ohne den Rest zu blockieren? Welche Rollback-Mechanik gibt es für unautorisierte Code-Änderungen?"

Wie eine gute Antwort aussieht: Admin-Kill-Switch im Dashboard, der alle aktiven Sessions in unter 5 Minuten beendet. Granulare User-Sperrung. Für Code-Änderungen: jede Agent-Aktion läuft über Pull-Request-Review (kein Direkt-Push gegen main), Rollback ist Standard-Git-Revert.

Red Flag: "Sie müssten unseren Support kontaktieren" als einziger Mechanismus für einen Notfall. Oder "Direkt-Pushes gegen Production sind möglich, wenn der User entsprechende Rechte hat". Direct-Push-zur-Production durch einen Coding-Agent ist 2026 ein Show-Stopper.

Aus der Sentient-Praxis: Wir richten in jedem Engagement einen 30-Sekunden-Kill-Switch im Admin-Dashboard ein und testen ihn am Ende des Setups als Live-Drill. Ein CTO, der in der ersten Woche nicht weiß, wie er alles abschalten kann, wenn etwas schiefgeht, fühlt sich dem Tool ausgeliefert. Der Drill löst das.

Was passiert, wenn der Anbieter bei mehr als zwei Fragen ausweicht

Wenn Sie diese fünf Fragen sauber durchgehen und der Anbieter bei mehr als zwei davon ausweicht oder unverbindlich antwortet, ist die Tool-Auswahl falsch. Es gibt 2026 mindestens vier Enterprise-Coding-Agent-Anbieter, die alle fünf Fragen klar beantworten können (Anthropic Claude Code, GitHub Copilot Business, Cursor Business, OpenAI Codex Enterprise). Sich mit weniger zufriedenzugeben spart 1.000 Euro pro Lizenz und kostet später ein Audit-Verfahren, das mehrere Hunderttausend Euro plus den Job des CTOs auslöst.

Die fünf Fragen sind nicht das Maximum, sie sind das Minimum. Wer mehr Tiefe braucht (z.B. SOC2-Reports, ISO27001-Zertifikate, Incident-Response-Playbooks), staffelt das nach. Aber ohne dieses Minimum ist die Tool-Freigabe verantwortungslos.

Pre-Buy-Checkliste für CTOs

Bevor Sie als CTO einer Coding-Agent-Tool-Beschaffung zustimmen, sollten Sie diese Antworten schriftlich vom Anbieter haben:

Datenresidenz: EU-Region benannt, AVV unterschriftsfertig
Zero-Data-Retention: im Vertrag verankert, Aufbewahrungsfrist konfigurierbar
Permissions: granular pro Tool-Klasse, Repository, Branch, plus Bash-Allowlist und Secret-Deny-List
Audit-Trail: vollständig exportierbar, rollen-basierte Zugriffsrechte, nicht löschbar ohne Vier-Augen
Kill-Switch: Admin-Dashboard, unter 5 Minuten Wirkung, getestet als Live-Drill

Diese fünf Punkte gehören in jeden Coding-Agent-Vertrag als Anlage. Wenn der Anbieter das nicht in den Vertrag aufnehmen will, war die Sales-Story dünner als die operative Realität.

Wie Sie Ihre aktuelle Coding-Agent-Landschaft prüfen können

Für DACH-Mittelständler, die Cursor, Copilot oder Claude Code bereits im Einsatz haben und jetzt nachträglich die Sicherheitsfrage klären müssen, bieten wir bei Sentient Dynamics ein 90-Minuten-Audit an. Wir gehen die fünf Fragen mit Ihrem Engineering-Lead durch, prüfen die Vertragslage, scannen die Tool-Konfiguration und liefern einen Maßnahmen-Plan, was vor der nächsten externen Audit-Runde anzupassen ist.

Output ist ein PDF-Dokument, das Sie direkt an Ihren CISO oder CCO weitergeben können.

90-Minuten-Coding-Agent-Audit anfragen →

Plus, wenn Sie strukturell die Frage "Wie machen wir AI-Act-Art.-4-Compliance" beantworten wollen, gehen wir das im selben Termin mit durch. AI-Act-Art.-4-Kompetenznachweis und Coding-Agent-Sicherheits-Audit haben eine ähnliche Struktur und teilen 70 Prozent der Evidenz-Anforderungen.

AI-Act-Compliance-Checkliste, 5 Min., kostenlos →

Häufige Fragen

Reicht Self-Hosting unserer Coding-Agenten als Sicherheitslösung? Self-Hosting löst die Daten-Residenz, aber nicht die anderen vier Fragen. Tool-Berechtigungen, Audit-Trail, Kill-Switch und Zero-Retention sind unabhängig vom Hosting. Wer denkt "On-Premise ist sicher per se", übersieht die operative Sicherheits-Schicht.

Was ist mit DSGVO bei Open-Source-Modellen wie Llama oder DeepSeek? Open-Source-Modell ist eine Sache, der Hosting-Anbieter eine andere. Wenn Sie DeepSeek-Modelle bei einem chinesischen Cloud-Anbieter laufen lassen, ist das Datenschutz-Risiko unabhängig von der Open-Source-Lizenz. Hosting-Region und Datenflüsse zählen, nicht die Modell-Provenienz allein.

Wie oft sollte das Coding-Agent-Audit aktualisiert werden? Mindestens jährlich, in regulierten Branchen halbjährlich. Plus jedes Mal, wenn Ihr Anbieter ein größeres Feature-Release oder ein Sub-Processor-Update durchführt. Sub-Processor-Listen werden 2026 deutlich häufiger angepasst, vor allem wenn neue Modell-Versionen kommen.

Was sagt AI Act Art. 4 zu Coding-Agenten konkret? Art. 4 verlangt nachweisbare KI-Kompetenz im Team. Coding-Agenten gelten als KI-Systeme im Sinne des Acts, die kompetente Nutzung muss dokumentiert und auditierbar sein. Audit-Trails Ihrer Coding-Agent-Nutzung sind eine der Evidenz-Quellen, mit denen Sie die Kompetenz nachweisen.

Sollte das Audit von einem internen Team oder extern gemacht werden? Erste Runde extern, weil das Tooling und die Vertrags-Sprache spezifisch sind. Folge-Runden können intern laufen, sobald Sie eine Methodik haben. Wir geben in unserem 90-Minuten-Audit die Methodik mit, damit Sie ab Audit zwei selbst können.

Was kostet ein professionelles Coding-Agent-Sicherheits-Audit? Bei Sentient ist das 90-Minuten-Audit Bestandteil unseres Pro-Programms (erfolgsbasiert) oder als Standalone-Light-Add-on ab 2.500 Euro buchbar. Aufwendigere Branchenfälle (Banken, Versicherungen, Healthcare) werden individuell kalkuliert.

Quellen

Über den Autor

Sebastian Lang ist Co-Founder von Sentient Dynamics und leitet das Agentic-University-Programm. Vor Sentient war er bei SAP in der Strategy-Practice für KI-Workforce-Programme verantwortet, mit 15 plus Jahren Engineering-Leadership-Erfahrung. Sentient Dynamics arbeitet mit erfolgsbasierter Vergütung und ist im SHD- sowie Bregal-Portfolio im Einsatz.

Newsletter abonnieren | Sebastian auf LinkedIn

5 Sicherheitsfragen, die jeder CTO seinem Coding-Agent-Anbieter stellen muss