Deploy in Produktion gescheitert
Ein Deploy ist in Produktion gescheitert, weil ein Test oder Scan fehlte.
Pipeline-Stabilization: Quality Gates in Ihrer CI/CD-Pipeline, die nicht mehr umgangen werden können.
Für bis zu fünf Pipelines auf GitHub Actions, GitLab CI oder Azure Pipelines führen wir objektive Gates ein – Build, Tests, Security-Scans, Policy-Check, Provenance –, dazu SBOM-Erzeugung, Artefakt-Signierung und eine Override-SOP mit ADR-Pflicht für Notfälle. Nachweis der Funktionsfähigkeit: drei grüne End-to-End-Runs mit vollständiger Evidence. Laufzeit vier bis sechs Wochen.
- Gate-Inventur über bis zu fünf Pipelines: welche der sieben CI/CD-Stufen belegt, fehlend oder umgangen sind.
- Versionierte Pipeline-Templates, Override-SOP mit ADR-Pflicht, SBOM- und Signatur-Pipeline als wiederverwendbare Komponenten.
- Drei grüne End-to-End-Pipeline-Runs mit vollständiger Evidence im Proof Ledger als Trust-Signal-Nachweis.
Was Sie erhalten
- Gate-Matrix Ist/Soll je Pipeline
- Versionierte Pipeline-Templates im Kunden-Template-Repo
- Override-SOP als Markdown inkl. ADR-Pflicht
- ADRs für jede Gate-Entscheidung
- SBOM- und Signatur-Pipeline-Module als wiederverwendbare Komponenten
- Trust-Signal-Belege: drei grüne End-to-End-Runs
- Runbook für Pipeline-Maintenance
- Übergabe-Protokoll des 120-Minuten-Workshops
Woran CI/CD-Gates in der Praxis scheitern
Gates werden umgangen
Ihr Team umgeht Gates regelmäßig – „merge with admin", „rerun until green".
Pipeline-Schritte nicht nachvollziehbar
Ein Audit-Finding zeigt: Pipeline-Schritte sind nicht nachvollziehbar, Logs fehlen.
Neue Compliance-Anforderung
Eine neue Compliance-Anforderung (SLSA Level 2/3, SBOM-Pflicht, signierte Artefakte) erzwingt eine Gate-Erweiterung.
Kein Pipeline-Standard beim Onboarding
Das Onboarding eines neuen Repos zeigt: Es existiert kein Pipeline-Standard.
Was Pipeline-Stabilization umfasst
- Gate-Inventur über bis zu fünf benannte Pipelines: belegt/fehlend/umgangen je der sieben CI/CD-Stufen.
- Einführung objektiver Gates (Build, Tests, Security-Scans, Policy-Check, Provenance) mit definiertem Trust Signal je Gate.
- Override-SOP für Notfälle inklusive ADR-Pflicht.
- Quality Gates als versionierte, über fünf Pipelines wiederverwendbare Pipeline-Templates.
- SBOM-Erzeugung (CycloneDX oder SPDX) und Artefakt-Signierung (cosign oder Pendant).
- Evidence-Hooks (Build-Logs, Scan-Reports, Test-Reports, Signaturen) im Proof Ledger.
- ADRs für jede Gate-Entscheidung im Kunden-Repository.
- Nachweis durch drei grüne End-to-End-Pipeline-Runs mit vollständiger Evidence.
- Übergabe-Workshop, 120 Minuten, mit dem Engineering-Counterpart.
Pipeline-Stabilization: von der Pipeline-Liste zum grünen Run
1
Vor Kick-off
Sie übergeben die Liste der bis zu fünf betroffenen Pipelines mit Repo-Pfaden.
2
Kick-off, Tag 1 bis +3 Werktage
Write-Zugang für unser Service-Konto, vorhandene Security-Tool-Lizenzen mit aktiven Tokens, Engineering-Counterpart mit mindestens 6 Stunden/Woche für die gesamte Laufzeit benannt.
3
Kick-off +5 Werktage
Liste der letzten fünf Override-Fälle mit Begründung.
4
Gate-Inventur
Ist/Soll je Pipeline.
5
Gates, Templates, Override-SOP
Einführung, Versionierung, ADRs.
6
SBOM, Signierung, Evidence-Hooks
Für alle fünf Pipelines, abgelegt im Proof Ledger.
7
Nachweis und Übergabe
Drei grüne End-to-End-Runs, 120-Minuten-Workshop, Protokoll.
Wichtig – Abnahme: Abnahme erfolgt innerhalb von zehn Werktagen nach Übergabe schriftlich. Drei grüne End-to-End-Runs sind eine notwendige, aber keine hinreichende Abnahmebedingung.
Was Pipeline-Stabilization nicht macht
Wichtig – Ausschluss: Folgendes ist nicht Teil von Pipeline-Stabilization:
- Migration zwischen Pipeline-Systemen jeder Art.
- Refactoring von Anwendungscode (Tests, Service-Logik, Build-Skripten).
- Tool-Beschaffung, Lizenz-Verhandlung, Vertragsmanagement mit Security-Anbietern.
- Performance-Tuning oder Kosten-Optimierung der Pipeline-Laufzeit.
- Penetrationstests, Schwachstellen-Bewertung über die Tool-Ausgaben hinaus.
- 24/7-Bereitschaft, On-Call.
- Operative Release-Verantwortung — Releases bleiben bei Ihnen.
- Schulungen über die 120-Minuten-Übergabe hinaus.
- Bewertung oder Migration der Repository-Hosting-Lösung.
- Übernahme von Verantwortung für Drittpartei-Pipelines (z.B. SaaS-Provider, Open-Source-Forks).
Haben Sie noch keine Pipeline oder wollen komplett neu aufbauen? Das ist Gegenstand von CI/CD-Pipeline-Aufbau, nicht dieses Moduls.
Häufige Fragen zu Pipeline-Stabilization
- Was ist bei Pipeline-Stabilization nicht enthalten?
- Keine Migration zwischen Pipeline-Systemen, kein Refactoring von Anwendungscode, keine Tool-Beschaffung oder Lizenzverhandlung, kein Performance-Tuning der Laufzeit, keine Penetrationstests, keine 24/7-Bereitschaft. Geändert wird ausschließlich Pipeline-Konfiguration.
- Was kostet Pipeline-Stabilization und wie lange dauert es?
- Die Laufzeit liegt bei vier bis sechs Wochen, gerechnet ab Erfüllung Ihrer Mitwirkungspflichten – Pipeline-Liste, Zugänge, Tool-Tokens, benannter Counterpart, Override-Liste. Der Preis richtet sich nach Anzahl der Pipelines, Komplexität der Security-Tools und Reifegrad Ihrer vorhandenen Gates und wird im Assessment festgelegt.
- Migriert ihr uns von Jenkins, Bamboo oder TeamCity auf ein unterstütztes System?
- Nein. Pipeline-Stabilization setzt GitHub Actions, GitLab CI oder Azure Pipelines voraus. Migration zwischen Pipeline-Systemen ist ausdrücklich nicht Teil des Moduls. Nutzen Sie ein anderes System, klärt ein Vor-Assessment die Machbarkeit.
- Wie viele Pipelines deckt Pipeline-Stabilization ab?
- Bis zu fünf. Mehr sind gegen Aufpreis möglich, begrenzt auf maximal drei zusätzliche Pipelines.
- Was liefert ihr als Nachweis, dass die Gates tatsächlich funktionieren?
- Drei grüne End-to-End-Pipeline-Runs mit vollständiger Evidence – notwendige, aber keine hinreichende Abnahmebedingung. Dazu Gate-Matrix Ist/Soll, ADRs für jede Gate-Entscheidung und ein Runbook für die laufende Pipeline-Maintenance.
- Was passiert mit bestehenden Override-Fällen wie 'merge with admin'?
- Wir erstellen eine Override-SOP für Notfälle mit verpflichtender ADR-Dokumentation. Voraussetzung: Sie übergeben zu Kick-off +5 Werktagen die letzten fünf Override-Fälle mit Begründung und bestätigen, dass künftige Override-Fälle ADR-pflichtig werden.
Pipeline-Gates, die halten, was sie versprechen?
Wir schauen uns im Assessment an, wie viele Pipelines, welches System und welcher Reifegrad bei Ihnen vorliegt – und was das für Umsetzung und Aufwand bedeutet.