GitHubs neue Sicherheits-Firewall: Endlich KI-Code unter Kontrolle?

Der blinde Fleck der KI-Revolution im Engineering

In den letzten zwei Jahren haben KI-Coding-Assistenten wie GitHub Copilot die Softwareentwicklung revolutioniert. Die Produktivitätsgewinne sind unbestreitbar. Doch für Schweizer Unternehmen, insbesondere in regulierten Branchen, brachte dieser Segen auch einen Fluch mit sich: einen massiven Kontrollverlust. Wie stellen Sie sicher, dass der von einer KI vorgeschlagene Code Ihren internen Sicherheitsstandards entspricht? Wie beweisen Sie einem Auditor, dass über alle Projekte hinweg dieselben Qualitätsregeln eingehalten werden, wenn jedes Team lokale Einstellungen ändern kann?

Genau diese kritische Governance-Lücke adressiert GitHub nun mit einer entscheidenden Neuerung. In den Release Notes vom 15. September 2026 kündigte die Microsoft-Tochter eine Funktion an, die auf den ersten Blick unscheinbar wirkt, aber für die sichere Skalierung von KI in der Entwicklung fundamental ist: die zentrale und unumgängliche Durchsetzung von Sicherheitseinstellungen auf Unternehmensebene.

Was GitHub am 15. September 2026 geändert hat

Bisher konnten Administratoren von GitHub Enterprise zwar Sicherheitsrichtlinien, zum Beispiel für GitHub Advanced Security, zentral definieren. Das Problem: Diese Einstellungen konnten auf der Ebene von Organisationen oder einzelnen Repositories von lokalen Administratoren wieder überschrieben und damit aufgeweicht oder ganz deaktiviert werden. Ein Albtraum für jede zentrale Security- oder Compliance-Abteilung.

Seit dem Update vom 15. September 2026 können Enterprise-Administratoren diesen Wildwuchs unterbinden. Sie können nun einen Schalter umlegen, der verhindert, dass untergeordnete Ebenen die zentral definierten Sicherheitskonfigurationen ändern. Konkret bedeutet das:

• Code Scanning mit CodeQL: Sie können für das gesamte Unternehmen festlegen, dass bei jedem Commit ein Scan nach bekannten Schwachstellen (z.B. SQL-Injection, Cross-Site-Scripting) mit einem bestimmten Regelsatz durchgeführt werden MUSS. Kein Team kann diesen Scan mehr deaktivieren.
• Secret Scanning: Sie können erzwingen, dass alle Repositories permanent auf versehentlich eingecheckte Geheimnisse wie API-Keys oder Datenbank-Passwörter überwacht werden. Dies ist besonders relevant, da KI-Assistenten manchmal Platzhalter mit echten, im Code-Kontext gefundenen Schlüsseln füllen.
• Dependency Review: Sie können vorschreiben, dass die Abhängigkeiten jedes Projekts gegen bekannte Schwachstellen in Open-Source-Bibliotheken geprüft werden.

Diese zentrale Erzwingbarkeit verwandelt eine gut gemeinte Empfehlung in eine unveränderliche technische Realität. Die Sicherheitspolitik wird von einem Dokument zu einer im System verankerten, nicht umgehbaren Regel.

Warum das für Schweizer Unternehmen entscheidend ist

Für Schweizer Unternehmen ist diese Entwicklung aus drei Gründen von strategischer Bedeutung:

1. Revisionssicherheit und Compliance (FINMA, DSG): In regulierten Sektoren wie dem Finanzwesen oder der Medizintechnik ist der lückenlose Nachweis eines sicheren Softwareentwicklungszyklus (Secure SDLC) unerlässlich. Mit der neuen Funktion können Sie einem Prüfer belegen, dass definierte Sicherheitskontrollen für 100% des Codes, inklusive des KI-generierten Anteils, durchgesetzt wurden. Es gibt keine Ausnahmen mehr, die mühsam dokumentiert und verteidigt werden müssen.

1. Risikomanagement bei KI-Einsatz: GitHub Copilot und ähnliche Werkzeuge werden nicht mehr verschwinden. Das grösste Risiko ist nicht, dass die KI Fehler macht, sondern dass diese Fehler unentdeckt in die Produktion gelangen. Indem Sie automatisierte Qualitätstore wie CodeQL für alle erzwingen, schaffen Sie ein Sicherheitsnetz, das auch die Vorschläge der KI systematisch prüft. Sie managen das Risiko nicht, indem Sie die KI verbieten, sondern indem Sie die Kontrollmechanismen stärken.

1. Skalierbarkeit der Governance: In grossen Unternehmen oder KMU mit schnell wachsenden Entwicklerteams ist es unmöglich, die Einhaltung von Regeln manuell zu überwachen. Die neue GitHub-Funktion automatisiert die Governance. Sie stellen die Weichen zentral und können sich darauf verlassen, dass die Leitplanken in jedem einzelnen Projekt aktiv sind. Das entlastet das zentrale Sicherheitsteam und gibt den Entwicklerteams dennoch die Freiheit, innerhalb dieser sicheren Grenzen schnell zu agieren.

Konkrete Handlungsempfehlung: Ihr 3-Schritte-Plan

Führungskräfte im Engineering und in der IT-Sicherheit sollten jetzt handeln. Warten Sie nicht, bis ein Vorfall die Notwendigkeit unterstreicht. Wir empfehlen folgendes Vorgehen:

1. Baseline definieren: Setzen Sie sich mit Ihren Security-Architekten, Lead-Entwicklern und Compliance-Verantwortlichen zusammen. Definieren Sie einen minimalen, unternehmensweit gültigen Satz an Sicherheitsregeln in GitHub Advanced Security. Welche CodeQL-Regeln sind für Ihre Anwendungen (Web, Mobile, Backend) unverzichtbar?

1. Zentrale Konfiguration erstellen: Implementieren Sie diese Baseline in den Enterprise-Einstellungen Ihrer GitHub-Instanz. Kommunizieren Sie diesen neuen Standard proaktiv an alle Entwicklungsteams und erklären Sie die strategische Wichtigkeit.

1. Durchsetzung aktivieren: Aktivieren Sie nach einer kurzen Übergangsfrist die neue Enforcement-Option, um jegliche Abweichung von der definierten Baseline zu unterbinden. Überwachen Sie die Resultate und nutzen Sie die zentralen Dashboards, um einen unternehmensweiten Überblick über den Sicherheitsstatus zu erhalten.

Diese Neuerung von GitHub ist mehr als nur ein technisches Detail. Sie ist ein entscheidender Baustein, um das enorme Potenzial von KI in der Softwareentwicklung zu nutzen, ohne dabei die Kontrolle über Sicherheit und Qualität zu verlieren. Es ist die technische Antwort auf eine der drängendsten Governance-Fragen unserer Zeit.