Prüfungen und Fehlerregeln
Funktionstests, Sicherheitschecks oder Migrationsprüfungen: Sie bestimmen, welche Ergebnisse vorliegen müssen und was bei einem fehlgeschlagenen Check passiert.
Release Controls verstehen
Vom Code in den Betrieb. Mit klaren Freigaberegeln.
Release Controls sind Prüfungen und Freigaberegeln auf dem Weg vom geschriebenen Code zur Software im Betrieb. Sie legen fest, was geprüft wird, wer entscheiden darf und wie bei Fehlern reagiert wird.
- ÄnderungCode oder Konfiguration
- PrüfenErgebnisse zuordnen
- FreigebenVereinbarte Regel anwenden
- BetriebFreigegebene Version nutzen
Pflichtnachweis fehlt? Die vereinbarte Sperre oder das ausdrücklich vorgesehene Ausnahmeverfahren greift.
Freigaben können automatisiert erfolgen. Eine menschliche Zustimmung ist dort nötig, wo Ihre Regeln sie verlangen.
Welche Kontrollen gehören dazu?
Diese Bausteine sind typisch. Welche Sie brauchen, hängt von Ihrem Produkt, den Geschäftsrisiken und den vorhandenen Abläufen ab.
Freigabe und Rollen
Wer darf entscheiden? Je nach Risiko braucht eine Änderung eine unabhängige Prüfung oder Freigabe. Zugriffsrechte setzen die vereinbarte Rollentrennung um.
Version und Nachweise
Ergebnisse und Freigabe gehören zum auszuliefernden Softwarepaket, dem Artefakt. Eine Versionsbezeichnung allein belegt diese Zuordnung nicht.
Stufen und Übergänge
Sie legen fest, welche Stufen ein Release durchläuft, etwa Test, Staging und Produktion, und unter welchen Bedingungen es weitergehen darf.
Ein Plan für Fehlerfälle
Rücknahme, Korrekturrelease oder Abschalten einer Funktion: Der Weg wird vorab vorbereitet. Datenänderungen sind nicht immer vollständig umkehrbar.
Der passende Zeitpunkt
Wartungsfenster oder Freigabepausen können kritische Geschäftszeiten schützen. Zeitpunkt und Ausnahmen werden passend zu Ihrem Betriebsrisiko vereinbart.
Tests für A geben B nicht frei.
Illustratives Beispiel: Eine EU-Bank ändert die Berechnung von Kontoführungsentgelten. Softwarepaket A besteht die vereinbarten Tests. Für die Auslieferung entsteht beim Neubau jedoch ein anderes Paket B. Gehören die Ergebnisse noch zur ausgelieferten Software?
Vorher
Geprüft: A. Ausgeliefert: B.
Artefakt A
Tests bestanden
Neubau
Artefakt B
Ausgeliefert
Die Zuordnung der Prüfergebnisse bleibt ungeprüft.
Nachher
Die Regel stoppt Artefakt B.
Ergebnis für A
Gilt nicht für B
Zuordnung
Artefakt B
Zur Freigabe
Freigabe gestoppt. Kein Pflichtnachweis für B.
Fortsetzung nur mit passendem Ergebnis oder einer zulässigen, ausdrücklich genehmigten Ausnahme.
Die Umsetzung: Der Release-Schritt prüft, ob die erforderlichen Ergebnisse zum auszuliefernden Artefakt gehören.
Die Regel macht die vereinbarte Prüfung verbindlich. Wie aussagekräftig sie ist, hängt weiterhin davon ab, was sie tatsächlich testet.
Freigaben betreffen Ihr Geschäft.
Ein Release kann Abrechnung, Betriebsfähigkeit oder Kundendaten betreffen. Deshalb bestimmen fachlich Verantwortliche mit, welche Prüfungen nötig sind und wer Risiken durch Ausnahmen akzeptieren darf.
Wenn Ihr Unternehmen auf eine Release Control angewiesen ist, um ein wesentliches Risiko zu begrenzen, kann sie eine Schlüsselkontrolle sein oder Teil davon. Das hängt von Ihrer Risikobewertung, Kontrollmethodik und anderen vorhandenen Kontrollen ab.
EU- und deutsche Grundlagen
EU-Finanzsektor: Für Banken im Anwendungsbereich von DORA verankert Artikel 5 der Verordnung (EU) 2022/2554 die Verantwortung für IKT-Risiken beim Leitungsorgan. Artikel 17 der ergänzenden Delegierten Verordnung (EU) 2024/1774 konkretisiert das Änderungsmanagement: unabhängige Genehmigungsfunktionen, kontrollierte Tests und dokumentierte Änderungen. Damit ist die Freigabe auch eine Frage der Geschäftsverantwortung.
Deutsche Unternehmen und öffentliche Einrichtungen: Der BSI-IT-Grundschutz-Baustein OPS.1.1.6, insbesondere A3 und A4 beschreibt die Auswertung von Testergebnissen und die dokumentierte Freigabe durch die fachlich zuständige Organisationseinheit. Er bietet einen deutschen Maßstab für die Gestaltung solcher Kontrollen; IT-Grundschutz ist keine pauschal geltende gesetzliche Pflicht.
Die Einstufung einer Release Control als Schlüsselkontrolle folgt weiterhin Ihrer Risikobewertung und Kontrollmethodik. Eine einzelne Freigaberegel ersetzt weder den gesamten Kontrollrahmen noch den Nachweis seiner Wirksamkeit.
Welche Lücke sollen Ihre Release Controls schließen?
Wir wählen mit Ihrem Team ein Produkt und einen Release-Weg, setzen die vereinbarten Checks und Freigaberegeln in Ihren Systemen um und prüfen sie am nächsten Release. Ihr Team erhält Implementierung und Anleitung.
Umfang, Voraussetzungen, Dauer und Festpreis vereinbaren wir vor dem Auftrag.
Ihr Beispiel besprechen30 Minuten. Kostenlos und unverbindlich.