Source: Deutsche Nachrichten
Das BSI erfasst Code-Assistenten grundsätzlich in seiner Richtlinie zur sicheren Softwareentwicklung. Gemeint ist die Technische Richtlinie (TR) „Secure Software Lifecycle“ des Bundesamts für Sicherheit in der Informationstechnik (BSI) mit der Kennung TR-03185. Ihre Version 1.1.1 ist im Dokument auf den 2. Juli 2026 datiert und steht seit dem 21. August 2026 in der Änderungsliste des BSI. Die Fassung führt die bisherigen Teile für proprietäre und für quelloffene Software zusammen und ergänzt einen Abschnitt, in dem das Bundesamt KI-Werkzeugen zusätzliche Risiken zuschreibt und zugleich ihren Einsatz empfiehlt. Welche Prüfschritte sich in den Arbeitsablauf eines Programmieragenten legen lassen, zeigt die Seite zu Code Guardian als Prüfpaket für Claude Code und Codex.
Was sagt die TR-03185 über Code-Assistenten?
Die TR-03185 nennt Code-Assistenten, Schwachstellenscanner, große Sprachmodelle und andere KI-gestützte Werkzeuge im neuen Abschnitt 0.1 „Utilising Artificial Intelligence“. Nutzen Entwickler solche Werkzeuge, fallen sie laut Richtlinie grundsätzlich als „resources and tools used“, also als eingesetzte Mittel und Werkzeuge, in ihren Geltungsbereich. Das BSI begründet den eigenen Abschnitt mit zusätzlichen Risiken, etwa durch die wahrscheinlichkeitsbasierte Arbeitsweise der Werkzeuge. Solche Risiken „shall be considered“, heißt es dort, damit der Entwicklungsprozess sicher bleibt.
Das Bundesamt wirbt zugleich für den Einsatz. Wegen der schnell wachsenden Fähigkeiten KI-gestützter Werkzeuge empfiehlt das BSI in Abschnitt 0.1 nachdrücklich, sie zu nutzen, besonders KI-gestützte Schwachstellenscanner für Softwaretests. Die Richtlinie verweist dafür auf ihr Kapitel 1.3.2.4 zu Test und Freigabe. Nach eigener Aussage ist die TR-03185 allgemein formuliert, ohne sich auf bestimmte Technologien zu stützen.
Wie verbindlich ist eine Technische Richtlinie des BSI?
Eine Technische Richtlinie des BSI ist kein Gesetz. Auf seiner Themenseite schreibt das Bundesamt, der Fokus bei der Erstellung der TR-03185 habe auf der „optionalen Anreicherung und Strukturierung des Software-Entwicklungs-Prozesses“ über den IT-Grundschutz hinaus gelegen. Eine Zertifizierung bietet das BSI für Teil 1 an, auf Grundlage der deutschsprachigen Fassung vom 6. August 2024. Für Teil 2 zu quelloffener Software werden Zertifizierungen derzeit nicht angeboten.
Innerhalb der Richtlinie gelten abgestufte Modalverben, die Kapitel 1.2.2 in Großbuchstaben definiert. MUST bezeichnet eine unbedingt zu erfüllende Anforderung. SHOULD bezeichnet eine Anforderung, von der ein Hersteller nur nach sorgfältiger und gut begründeter Abwägung abweicht, MAY eine optionale. Der KI-Abschnitt 0.1 verwendet diese Großschreibung nicht: Sein „shall be considered“ steht in der Einleitung, nicht in einer nummerierten Anforderung. Code-Assistenten erfasst die TR-03185 damit über ihre allgemeinen Anforderungen an Werkzeuge und Entwicklung, nicht über eine eigene KI-Regel.
Welche Anforderungen der TR-03185 berühren KI-generierten Code?
Fünf nummerierte Anforderungen aus Kapitel 1.3 lassen sich auf die Arbeit mit Code-Assistenten beziehen. Der Wortlaut stammt aus der Richtlinie, die angehängte Frage ist eine Einordnung und keine Aussage des BSI.
- PM.A.1: Vor der Einführung neuer Werkzeuge „MUST decide and SHOULD document“ die Einrichtung, wofür sie genutzt werden und welche Informationen sie verarbeiten. Frage: Welche Daten und Schnittstellen sieht der Assistent?
- DEV.F.2: Der Quellcode „must be checked for bugs (e.g. using a code review)“, und eine automatische statische Codeanalyse sollte (SHOULD) stattfinden. Frage: Wer liest generierten Code, und womit wird er analysiert?
- DEV.G.1: Fremdkomponenten „MUST originate from a trustworthy source“. Frage: Woher stammt ein Paket, das der Assistent vorschlägt?
- TEST.A.5: Die Rollen Entwickler und Tester „SHOULD be separated in terms of personnel“. Frage: Prüft jemand anderes als die Person, die den Assistenten gesteuert hat?
- TEST.A.17: Freigegeben wird erst, wenn die Tests erfolgreich waren und alle sicherheitsrelevanten Punkte abschließend behandelt sind. „The release MUST be documented.“ Frage: Wer gibt eine Änderung des Agenten frei, und wo steht das?
Die TR-03185 nennt Code-Assistenten nur in Abschnitt 0.1 und stellt für sie keine eigene nummerierte Anforderung auf. Hersteller ist nach Kapitel 1.2.1, wer für die Produktion von Software verantwortlich ist, unabhängig von Organisationsform und Vorgehensmodell. Als Softwareproduzent nimmt ein Hersteller laut Richtlinie immer auch die Perspektive des Softwarenutzers ein. Der Code-Assistent ist in dieser Lesart eines der genutzten Werkzeuge, für das Zweck, verarbeitete Daten und Schnittstellen dokumentiert werden sollten.
Was empfahlen BSI und ANSSI schon 2024 für Coding-Assistenten?
Die Einordnung in der TR-03185 hat eine Vorgeschichte. Am 4. Oktober 2024 veröffentlichte das BSI gemeinsam mit der französischen Cybersicherheitsbehörde ANSSI die Empfehlung „AI Coding Assistants“. Beide Behörden halten dort fest, dass KI-Programmierassistenten „no substitute for experienced developers“ sind und ein ungebremster Einsatz schwere Sicherheitsfolgen haben kann. Generierten Quellcode sollten die Entwickler grundsätzlich prüfen und nachvollziehen. Produktivitätsgewinne in der Entwicklung seien durch mitwachsende Qualitätssicherung auszugleichen, etwa in AppSec- und DevSecOps-Teams.
Als neue Angriffswege nennt die deutsch-französische Empfehlung erfundene Paketnamen, sogenannte Paket-Halluzinationen, dazu indirekte Prompt-Injektionen und Vergiftungsangriffe. Zu unbekannten Bibliotheken rät sie, deren Plausibilität zu prüfen, etwa wann sie angelegt wurden und wie verbreitet sie sind. Auf der KI-Themenseite des BSI steht die Empfehlung weiterhin unter dem Stichwort KI-Programmierassistenten.
Wann könnten die KI-Anforderungen konkreter werden?
Den weiteren Weg skizziert das AISI Deutschland, das KI-Sicherheitsinstitut im Aufbau, dessen Kern derzeit BSI und Bundesnetzagentur bilden. In seiner Ausgabe „Aktuelle KI-Sicherheitsthemen 08/2026“ vom 1. September 2026 schreibt das Institut, die TR-03185 sei in einem ersten Schritt um einen Passus erweitert worden, der KI-gestützte Schwachstellensuche empfiehlt. Sobald sich ein Stand der Technik in diesem Bereich etabliert habe, könnten die Anforderungen weiter konkretisiert werden.
Ein zentrales Ziel sei, aktuelle KI-Techniken zum festen Bestandteil jedes Software-Entwicklungsprozesses zu machen, heißt es in derselben Ausgabe. Die sogenannten Frontier-Modelle, also die leistungsstärksten KI-Modelle, hält das AISI dafür nicht für geeignet: Sie seien nur eingeschränkt verfügbar, teuer in der Nutzung und in ihren Risiken nicht hinreichend evaluiert. Das Institut empfiehlt ihre eingehende Untersuchung, aber keinen flächendeckenden Einsatz. Eine Regulierungs- oder Marktüberwachungsfunktion übernimmt das AISI Deutschland nach eigener Angabe ausdrücklich nicht.
Was können Entwicklungsteams aus der Richtlinie ableiten?
Für Teams mit Code-Assistenten ergeben sich aus TR-03185 und BSI-ANSSI-Empfehlung vor allem Fragen der Festlegung und Dokumentation. Nach USER.PM.A.1 steht vor der Einführung eines Werkzeugs die Entscheidung, wofür es genutzt wird, welche Informationen es verarbeitet und über welche Schnittstellen es mit anderen Systemen verbunden ist. Für Agenten, die selbst Befehle ausführen, gehört dazu die Frage, was sie ohne Rückfrage tun und wer eine Änderung am Ende freigibt. Die dokumentierte Freigabe nach PROD.TEST.A.17 unterscheidet nicht danach, ob der Code von einem Menschen oder einem Assistenten stammt.
Code Guardian, ein Skill-Paket der Provimedia GmbH aus Bietigheim-Bissingen, setzt an solchen Stellen im Arbeitsablauf von Claude Code und Codex an. In Claude Code läuft jeder Werkzeugaufruf des Agenten durch Prüfhaken, die ihn verweigern, nachfragen oder zulassen. Prüfagenten urteilen über Änderungen, ohne selbst Code oder Dateien zu ändern. Vor einer neuen Abhängigkeit prüft ein Gate Alter und Download-Verlauf eines Pakets, das Repository dahinter und die Namensnähe zu bekannten Paketen. Den Weg einer Anfrage durch diese Prüfungen beschreibt die Seite zum Aufbau aus Riegeln, Prüfagenten und Hook-Registrierungen.
„Die Richtlinie macht aus dem Code-Assistenten kein Sonderthema, sondern ein Werkzeug im Entwicklungsprozess, mit denselben Fragen nach Herkunft, Prüfung und Freigabe wie bei jedem anderen. Das halte ich für die richtige Einordnung. Wer einem Agenten Schreibrechte gibt, sollte vorher festlegen, an welcher Stelle ein Mensch das letzte Wort hat“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.
Welche Frage die TR-03185 offenlässt
Ob ein bestimmtes Werkzeug eine Anforderung der TR-03185 abdeckt, beantwortet die Richtlinie nicht. Die Zuordnung bleibt eine Prüfung des eigenen Entwicklungsprozesses. Für die sichere Softwareentwicklung im Herbst 2026 steht damit fest, dass das BSI Code-Assistenten als Werkzeug mit zusätzlichen Risiken einordnet und KI-gestützte Schwachstellenscanner ausdrücklich empfiehlt. Eine weitere Konkretisierung hält das AISI Deutschland für möglich, sobald sich ein Stand der Technik herausgebildet hat.