KI-generierten Code vor Produktion prüfen

Für Prototypen und schnell entwickelte interne oder kundenseitige Anwendungen vor einem produktiven Rollout.

Der erste Schritt ist deshalb keine Tool-Auswahl, sondern eine Entscheidungslandkarte. Sie trennt Muss-Prozesse von Gewohnheiten, benennt Abhängigkeiten und zeigt, welche Teile bereits im Shopify-Standard liegen. Erst die verbleibenden Lücken rechtfertigen Apps, Middleware oder individuelle Entwicklung.

Für NICCOS ist ein Thema erst dann projektfähig, wenn Ziel, Nicht-Ziele, Eigentümer und Abnahme dokumentiert sind. Das verhindert, dass ein kurzer Seitentitel später zu einem offenen Transformationsprogramm wird, dessen Aufwand niemand belastbar erklären kann.

Das Audit beginnt an Vertrauensgrenzen: Browser, API, Datenbank, Drittanbieter, Modell und Admin-Fläche. Danach werden Datenflüsse, Rechte und geheime Werte bis zur konkreten Codezeile verfolgt.

Die Architektur wird entlang von Änderungsfrequenz, Ausfallwirkung und Teamverantwortung geschnitten. Ein Prozess, der jede Minute läuft, braucht andere Garantien als ein nächtlicher Katalogexport. Ein redaktioneller Inhalt braucht andere Freigaben als ein Preis oder eine Bestellung.

Wir planen immer einen beobachtbaren Weg: eindeutige IDs, protokollierte Zustandswechsel, wiederholbare Verarbeitung und ein Dashboard für Abweichungen. Ohne diese Betriebsseite ist eine technisch funktionierende Verbindung nur eine Demo, keine belastbare Commerce-Lösung.

Produktionsdaten werden nicht für unsichere Tests kopiert. Testdaten bilden sensible Felder und Mandantengrenzen realistisch ab, ohne echte Kundendaten zu vervielfältigen.

Für jedes relevante Objekt dokumentieren wir Quelle, Ziel, Schlüssel, Aktualisierungsrhythmus, Konfliktregel und Fehlerweg. Das klingt formal, spart aber genau die Schleifen, die sonst kurz vor dem Launch entstehen, wenn zwei Systeme denselben Wert mit unterschiedlicher Bedeutung führen.

Daten werden nicht nur migriert oder synchronisiert, sondern fachlich geprüft. Stichproben müssen Varianten, Steuern, Märkte, Rabatte, Retouren und historische Sonderfälle enthalten. Ein erfolgreicher Import ohne fachliche Reconciliation beweist lediglich, dass Dateien gelesen wurden.

Der Ablauf ist absichtlich in überprüfbare Ergebnisse gegliedert. Jede Phase endet mit einem Artefakt, einer Entscheidung oder einem Testnachweis. Dadurch kann das Team Scope verändern, ohne den Gesamtplan zu verlieren, und Risiken werden sichtbar, bevor sie den kritischen Pfad blockieren.

Die Reihenfolge folgt dem Risiko: zuerst Daten und Prozesse, dann Architektur und Prototyp, anschließend Umsetzung, Migration, Abnahme und gestufter Rollout. Oberflächen werden nicht gegen Beispieldaten freigegeben, und Integrationen gelten erst nach einem getesteten Fehler- und Wiederanlaufpfad als fertig.

Diese Risiken gehören mit konkreten Kontrollen in Discovery, Testplan und Monitoring. Vor der Umsetzung erhält jeder Punkt einen Owner, einen Nachweis und einen Rückfallweg.

Autorisierung wird nur in der Oberfläche geprüft und lässt sich über direkte API-Aufrufe umgehen.

Secrets oder personenbezogene Daten landen in Client-Bundles und Logs.

Prompt Injection kann privilegierte Tools oder interne Daten erreichen.

KI-generierter Code erhält dieselben Sicherheitsanforderungen wie handgeschriebener Code, plus besondere Prüfungen für Prompt Injection, Tool-Missbrauch und unklare Herkunft von Abhängigkeiten.

Wir verbinden Commerce-Entscheidungen mit SEO, Datenqualität, Tracking und Betrieb. Eine Lösung ist für uns nicht fertig, wenn sie im Happy Path funktioniert. Sie muss auffindbar, messbar, barrierearm, übersetzbar und für das Team nach dem Projekt verständlich sein.

Außerdem dokumentieren wir bewusst, wann der Standard die bessere Entscheidung ist. Nicht jede Anforderung verdient eigene Software, nicht jeder Datenfluss braucht Echtzeit und nicht jede historische Besonderheit sollte in die Zielarchitektur übernommen werden.

Abnahmegrößen werden vor der Umsetzung festgelegt und mit realen Daten gemessen. Funktionale Tests allein reichen nicht: entscheidend sind Vollständigkeit, Geschwindigkeit, Fehlertoleranz und die Fähigkeit des Teams, Abweichungen selbst zu erkennen und einzuordnen.