Wie wir Source-Code behandeln

Kurzfassung: euer Source-Code verlässt eure Umgebung nicht. Die Analyse läuft lokal, wir holen nichts in unsere Cloud, wir schicken nichts an einen LLM-Endpoint.

Was bei einem CodeGuard-Lauf passiert

codeguard analyze .
    │
    ▼
Eure Maschine / euer CI-Runner liest .cs-Dateien
    │
    ▼
MSBuild parsed sie zu einem Code-Modell (lokal)
    │
    ▼
Eingebaute und eigene Regeln laufen gegen das Modell (lokal)
    │
    ▼
Findings landen in der Konsole oder einer Output-Datei (lokal)

Netzwerk-Zugriff der CLI während der Analyse: keiner.

Du kannst das verifizieren, sperr die Maschine vom Netz und der Analyze-Run läuft trotzdem durch.

Was über das Netz geht

Nur zwei Sachen, und beides ist freiwillig:

1. CLI-Download vom Portal. Wenn ihr codeguard analyze lauft, muss die CLI auf der Maschine sein. Das einmalige Pullen vom Portal-Endpoint ist der einzige Netzwerk-Touch.

2. API-Calls vom CI an das Portal. Die GitHub Action oder eure eigenen Skripte rufen https://codeguard.bochmann-software.com/... um das aktuelle CLI-Binary zu holen. Bearer-Authentifizierung mit eurem API-Key.

Beide Calls enthalten keinen Source-Code, nur Metadaten (Version, Plattform, API-Key).

Was bochmann-software über euren Code wissen kann

Wir loggen nur was wir für den Betrieb (Subscription-Verwaltung, Download-Audit) brauchen.

Vorteile der lokalen Analyse

• DSGVO und NDA bleiben unkompliziert. Wenn euer Code unsere Server nicht sieht, gibt es keinen Auftragsverarbeitungs-Aufwand wegen Analyse-Daten. Der AVV deckt nur Kontaktdaten und Subscription-Records ab.
• Reproduzierbare Builds. Auf eurer Maschine läuft die Analyse unabhängig von unserer Service-Verfügbarkeit.
• Vertrauen in Sicherheits-Reviews. Source-Code ist sensibler als Kontaktdaten. Mit CodeGuard bleibt diese Schicht in eurer Hand.

Was bei einem Sicherheits-Vorfall passieren würde

Falls jemand bei uns einbricht und Zugriff auf Datenbank und Server hat:

• Source-Code: nicht betroffen weil nicht bei uns gespeichert.
• Findings eurer Codebasis: nicht betroffen weil nicht bei uns gespeichert.
• Login-Daten (E-Mail + Passwort-Hash) sind betroffen. Klartext-Passwörter speichern wir nie, die Hashes sind nicht direkt zurückrechenbar.
• API-Key-Hashes sind betroffen, aber wir würden sofort alle Keys rotieren und euch zwangs-rotieren.

Wir würden euch innerhalb von 72 Stunden informieren (DSGVO-Standard).

Wenn ihr noch tiefer schauen wollt

Die CLI ist closed-source, ihr seht den genauen Code nicht. Aber:

• Wir machen On-Request einen Security-Review mit eurem Team (Source-Walkthrough, Architektur-Q&A).
• Wir geben Pen-Testern auf Anfrage Zugriff zu einer Test-Instanz.
• Wir senden auf Wunsch Hash-Werte der Distributions-Binaries vorab, damit ihr Supply-Chain-Sicherheit checken könnt.

Schreibt uns wenn ihr da was braucht.