Entwicklung & Code
Won’t fix! – Teil 4: Warum sich Codequalität nicht in eine Zahl pressen lässt
Die Unmöglichkeit eines verteilten Konsens war das Thema des dritten Teils dieser Serie. Eine andere Form von Unmöglichkeit zeigt sich beim Versuch, ein scheinbar einfaches Konzept messbar zu machen: die Qualität von Code. Anders als bei verteiltem Konsens scheitert dieser Versuch nicht an einem Beweis aus der theoretischen Informatik, sondern an etwas, das sich für die Praxis ebenso unverrückbar anfühlt.
Weiterlesen nach der Anzeige
Seit den 1970er-Jahren versucht die Branche, Codequalität zu quantifizieren: Lines of Code, zyklomatische Komplexität, Halstead-Metrik, Maintainability Index, Code Coverage. Jede neue Methodik bringt neue Zahlen mit, jedes IDE-Plug-in zeigt aktuelle Werte an, jede CI-Pipeline produziert Reports. Die Vorstellung dahinter ist verständlich: Wenn sich Codequalität messen lässt, lässt sich Codequalität systematisch verbessern. Wenn sich Codequalität verbessern lässt, lassen sich Wartungskosten senken, Bugs reduzieren und Entwicklungszeiten kürzer planen.
Trotzdem lässt sich allein anhand einer einzelnen Zahl nicht verlässlich sagen, ob ein konkretes Stück Code gut ist. Erfahrene Entwicklerinnen und Entwickler erkennen guten Code beim Lesen, und schlechten ebenso. Das ist keine Frage von Erfahrungswissen, das sich noch nicht in Zahlen fassen ließe, sondern hat strukturelle Gründe. Codequalität ist ein vielschichtiges Konstrukt, dessen wichtigste Dimensionen sich der Quantifizierung entziehen. Und wo Metriken doch existieren, machen sie Probleme, die im Mess- und Anreizsystem selbst angelegt sind.
Golo Roden ist Gründer und CTO von the native web GmbH. Er beschäftigt sich mit der Konzeption und Entwicklung von Web- und Cloud-Anwendungen sowie -APIs, mit einem Schwerpunkt auf Event-getriebenen und Service-basierten verteilten Architekturen. Sein Leitsatz lautet, dass Softwareentwicklung kein Selbstzweck ist, sondern immer einer zugrundeliegenden Fachlichkeit folgen muss.
Die Serie „Wont‘ fix“ behandelt Probleme in der Softwareentwicklung, die sich nicht wegoptimieren lassen, mit denen man aber lernen kann umzugehen:
Vom Sinn und Unsinn klassischer Metriken
Die wohl älteste Codemetrik ist die Anzahl der Programmzeilen, oft als LOC oder SLOC abgekürzt. Sie ist trivial zu erheben und auf den ersten Blick objektiv. Auf den zweiten Blick fragt sich, was sie eigentlich aussagt. Bill Gates wird das Zitat zugeschrieben, Programmierproduktivität in Codezeilen zu messen sei wie Fortschritt im Flugzeugbau am Gewicht zu messen. Die Pointe trifft den Kern: Mehr Codezeilen sind nicht besser, oft sogar schlechter. Eine Funktion in zwei Zeilen ist häufig wartbarer als die gleiche Funktion in zwanzig.
Die zyklomatische Komplexität wurde 1976 von Thomas McCabe eingeführt. Sie zählt die Anzahl unabhängiger Pfade durch eine Funktion und gibt damit ein Maß für die Verzweigungstiefe. Die Idee: Je mehr Pfade, desto mehr Testfälle nötig, desto schwerer der Code zu verstehen. Das ist nicht falsch, aber unvollständig. Eine switch-Anweisung mit zwanzig Fällen hat eine hohe zyklomatische Komplexität, ist aber oft trivial zu verstehen, weil alle Fälle ähnlich strukturiert sind. Eine Funktion mit drei tief geschachtelten if-Anweisungen hat eine niedrigere Komplexität, kann aber schwer durchschaubar sein.
Die Halstead-Metrik, 1977 von Maurice Halstead vorgeschlagen, geht einen anderen Weg. Sie zählt Operatoren und Operanden im Code und leitet daraus Maße für Programmlänge, Schwierigkeitsgrad und benötigten Aufwand ab. Auch hier liegt eine plausible Intuition zugrunde, doch die abgeleiteten Formeln wurden in zahlreichen Studien nur mit gemischtem Erfolg validiert.
Weiterlesen nach der Anzeige
Code Coverage misst schließlich nicht den Code selbst, sondern wie viel davon durch Tests ausgeführt wird. Sie ist die populärste Metrik in modernen Entwicklungsumgebungen, gerade weil sie sich automatisch erheben und in Pipelines durchsetzen lässt. Was sie aussagt, ist allerdings begrenzt. Eine Zeile, die einmal von einem Test durchlaufen wurde, gilt als abgedeckt, ganz gleich, ob dieser Test eine sinnvolle Aussage trifft oder nur eine Funktion aufruft, ohne ihre Ausgabe zu prüfen. 100 Prozent Code Coverage bedeuten nicht, dass 100 Prozent des Verhaltens geprüft sind.
Goodharts Gesetz
Diese Schwächen einzelner Metriken sind aber nur ein Teil des Problems. Das tieferliegende Problem hat 1975 der britische Wirtschaftswissenschaftler Charles Goodhart in einer Aussage über Geldpolitik formuliert, die längst weit über die Ökonomie hinaus gilt: Sobald eine Metrik zum Ziel wird, hört sie auf, ein guter Indikator zu sein. Diese Beobachtung ist heute als Goodharts Gesetz bekannt.
Die Mechanik dahinter ist einfach. Solange eine Metrik nur beobachtet wird, korreliert sie womöglich tatsächlich mit der Eigenschaft, die sie messen soll. Sobald aber Anreize an die Metrik gekoppelt werden, beginnen die Beteiligten, gezielt diese Metrik zu optimieren, und nicht die Eigenschaft, die sie eigentlich erfassen sollte. Die Korrelation bricht zusammen.
In der Softwareentwicklung lässt sich das Phänomen in zahlreichen Varianten beobachten. Wer Codezeilen als Produktivitätsmaß heranzieht, erntet aufgeblähten Code mit überflüssigen Hilfsfunktionen und gekünstelten Abstraktionen. Wer Code Coverage als verbindliches Ziel setzt, erntet Tests, die Funktionen aufrufen, ohne deren Ergebnisse zu prüfen. Wer die Anzahl gefundener Bugs als Produktivität von Testenden misst, erntet endlose Diskussionen darüber, was als Bug gilt. Wer geschlossene Tickets als Performance-Indikator verwendet, erntet zerlegte Tickets, die einzeln keinen Wert haben.
Das ist kein Versagen einzelner Beteiligter, sondern eine logische Konsequenz aus dem Anreizsystem. Menschen optimieren das, woran sie gemessen werden. Wenn die Messung nicht das Gleiche misst wie das Ziel, optimieren sie an der eigentlichen Aufgabe vorbei. Goodharts Gesetz ist nicht spezifisch für Software, aber besonders sichtbar in einer Disziplin, in der sich so vieles automatisch erfassen und in Dashboards anzeigen lässt.
Was Weyuker formal gezeigt hat
Auch jenseits des Anreizproblems gibt es einen formaleren Grund, warum die Suche nach der einen Codemetrik scheitern muss. Die Informatikerin Elaine Weyuker formulierte 1988 in einem einflussreichen Aufsatz neun Eigenschaften, die eine sinnvolle Komplexitätsmetrik erfüllen sollte. Diese Eigenschaften sind nicht willkürlich gewählt, sondern geben intuitiven Erwartungen eine formale Form. Wenn ein Programm intuitiv komplexer ist als ein anderes, sollte die Metrik das widerspiegeln. Wenn zwei Programme zu einem zusammengesetzt werden, sollte die Komplexität nicht kleiner werden als die Komplexität jedes einzelnen Bestandteils. Die Reihenfolge der Anweisungen sollte sich auf die Metrik auswirken, weil sie sich auf das Verhalten des Programms auswirkt.
Das Ergebnis von Weyukers Untersuchung war ernüchternd. Keine der zu diesem Zeitpunkt etablierten Metriken erfüllte alle neun Eigenschaften. Lines of Code versagt bereits bei einfachen Anforderungen, weil identische Programme als unterschiedlich eingeordnet werden, sobald die Formatierung variiert. Zyklomatische Komplexität versagt bei der Zusammensetzung, weil zwei sequenziell ausgeführte Funktionen mit jeweils Komplexität fünf zusammen nur eine Komplexität von neun ergeben, nicht von zehn oder mehr. Die Halstead-Metrik versagt bei der Reihenfolge, weil eine Permutation der Anweisungen sie nicht ändert, obwohl das Verhalten ein völlig anderes sein kann.
Spätere Arbeiten haben einzelne Metriken entwickelt, die mehr von Weyukers Eigenschaften erfüllen, aber keine Metrik, die alle erfüllt. Das ist kein Zufall, sondern ein formales Indiz, dass die Suche nach der einen Komplexitätszahl strukturell scheitert. Komplexität ist nicht eindimensional. Verschiedene Aspekte wie Verzweigungstiefe, Datenflusskomplexität, Schnittstellenkomplexität und kognitive Last können nicht alle gleichzeitig in einer einzigen Zahl repräsentiert werden, ohne wesentliche Informationen zu verlieren.
Die multidimensionale Natur von Qualität
Selbst wenn es eine perfekte Komplexitätsmetrik gäbe, wäre damit das Problem der Codequalität nicht gelöst. Codequalität ist nicht gleich Komplexität, und sie ist auch nicht gleich Korrektheit oder Wartbarkeit oder Performance. Sie ist ein Bündel mehrerer Eigenschaften, die teilweise miteinander in Spannung stehen.
Korrektheit bedeutet, dass der Code macht, was er machen soll. Lesbarkeit, dass andere ihn verstehen können. Wartbarkeit, dass er sich verändern lässt, ohne Schaden anzurichten oder Fehler einzubauen. Performance, dass er die nötige Geschwindigkeit erreicht. Sicherheit, dass er sich nicht missbrauchen lässt. Erweiterbarkeit, dass sich neue Funktionen ergänzen lassen. Testbarkeit, dass sich sein Verhalten nachvollziehen lässt. Diese Dimensionen sind nicht orthogonal. Höhere Performance kann Lesbarkeit kosten, weil hochoptimierter Code oft kryptischer ist. Höhere Sicherheit kann Erweiterbarkeit kosten, weil restriktive Schnittstellen weniger Spielraum lassen. Höhere Testbarkeit kann Performance kosten, weil testbarer Code oft mehr Indirektion enthält.
Eine einzelne Metrik kann notwendigerweise nur eine dieser Dimensionen erfassen, oder sie kann mehrere aggregieren und verliert dabei die Information, welche Dimension wie stark beiträgt. Ein Maintainability Index, der aus zyklomatischer Komplexität, Halstead-Metrik und Kommentaranteil berechnet wird, gibt am Ende eine Zahl zwischen null und hundert aus. Diese Zahl mag als Indikator für grobe Trends nützlich sein, aber sie sagt nicht, ob der Code im konkreten Fall gut ist, und schon gar nicht, woran es liegt, wenn er es nicht ist.
Was keine Metrik je erfassen wird
Den vielleicht wichtigsten Aspekt von Codequalität verfehlen die etablierten Metriken aus einem Grund, der oft übersehen wird. Sie konzentrieren sich auf strukturelle Eigenschaften des Codes wie Verzweigungen, Operatoren und Pfade und ignorieren etwas, das für die Verständlichkeit zentral ist: die Namensgebung der Bezeichner.
Zwei Funktionen können bezüglich aller etablierten Metriken identisch sein, in zyklomatischer Komplexität, Halstead-Metrik und Codezeilen. Trotzdem kann die eine deutlich besser verständlich sein als die andere. Eine Funktion berechne(a, b, c) mit den Variablen x, y und z im Rumpf gibt keinen Hinweis darauf, was sie eigentlich macht. Dieselbe Funktion als berechneRechnungssumme(bruttopreis, menge, rabatt) mit den entsprechenden Bezeichnern im Rumpf erschließt sich beim Lesen sofort. Die Struktur des Codes ist identisch, die Verständlichkeit grundlegend verschieden.
Sprechende Namen aus der Fachdomäne machen Code zu einer Form von Dokumentation, die mit dem Code selbst lebt und nicht veraltet. Sie verbinden den Code mit dem Problem, das er löst, und nicht nur mit der Maschine, auf der er läuft. Donald Knuth hat diese Sicht mit dem Begriff des Literate Programming auf die Spitze getrieben. Er versteht Programme als ausführbare Texte, die für Menschen geschrieben sind, und für die Maschine nur sekundär. Eric Evans hat mit Domain-Driven Design einen ähnlichen Anspruch in den industriellen Mainstream gebracht, mit dem Konzept der ubiquitären Sprache: Begriffe aus der Fachdomäne ziehen sich konsistent durch alle Schichten der Software, von Anforderungen über Code bis zu Datenbankschemata.
Diese Aspekte, die Aussagekraft der Namen, die Übereinstimmung mit der Domäne, die Klarheit der Abstraktionen, entziehen sich jeder mechanischen Messung. Eine Metrik, die feststellen würde, ob ein Variablenname „aussagekräftig“ ist, müsste verstehen, wovon der Code handelt, was die Domäne ist und welche Begriffe in dieser Domäne etabliert sind. Sie müsste, kurz gesagt, den Code nicht nur strukturell analysieren, sondern semantisch deuten. Genau dieser Schritt ist von keiner heute existierenden statischen Analyse zu leisten. Auch große Sprachmodelle, die Code zumindest oberflächlich beurteilen können, liefern keine Metriken im engeren Sinne, sondern subjektive Einschätzungen, die sich nicht zuverlässig automatisieren lassen.
Pragmatischer Umgang mit Metriken
Die Konsequenz aus all dem ist nicht, Metriken abzuschaffen. Sie können nützliche Indikatoren sein, solange sie als Hinweise verstanden werden und nicht als Ziele. Eine plötzlich steigende zyklomatische Komplexität in einem Modul kann ein sinnvolles Warnsignal sein. Ein Trend zu fallender Code Coverage kann Anlass für eine Diskussion sein. Eine Funktion mit auffällig vielen Zeilen kann ein Kandidat für ein Refactoring sein.
Was sich aus Goodharts Gesetz und der multidimensionalen Natur von Qualität ergibt, ist ein anderer Umgang mit diesen Werten. Mehrere komplementäre Metriken statt einer einzelnen, weil keine einzelne Metrik die Qualität abdeckt. Trends statt absoluter Werte, weil ein Wert allein wenig aussagt, eine Veränderung aber durchaus. Indikatoren statt Ziele, weil das Koppeln von Anreizen die Aussagekraft zerstört.
Die unersetzliche Rolle bleibt das menschliche Urteil. Code-Reviews sind in fast allen ernsthaften Entwicklungsteams etabliert, nicht aus Tradition, sondern weil sie genau das erfassen, was Metriken nicht abbilden: ob der Code für andere Menschen verständlich ist. Erfahrene Entwicklerinnen und Entwickler bringen ein implizites Qualitätsverständnis mit, das sich nicht in Regeln erschöpft, aber bei der Lektüre eines Pull Requests sofort wirksam wird. Ein gutes Code-Review findet die Probleme, die keine statische Analyse je erkennen würde, nicht weil Werkzeuge nicht genutzt werden, sondern weil Reviewerinnen und Reviewer verstehen, was der Code zu sagen versucht.
Was sich messen lässt, und was nicht
Codequalität entzieht sich der einen Zahl, nicht weil bessere Metriken noch nicht erfunden wurden, sondern weil sie ein vielschichtiges Konstrukt ist, dessen wichtigste Dimensionen sich der Quantifizierung prinzipiell entziehen. Was sich messen lässt, also Zeilen, Pfade, Operatoren, Coverage, sagt etwas über die Struktur des Codes, aber wenig über seine Qualität. Was die Qualität ausmacht, also Klarheit der Absichten, Übereinstimmung mit der Domäne, Aussagekraft der Namen, Angemessenheit der Abstraktionen, lässt sich nicht in Zahlen pressen.
Wer trotzdem versucht, Codequalität auf eine einzelne Zahl zu reduzieren, erreicht meist das Gegenteil des angestrebten Ziels. Goodharts Gesetz wirkt zuverlässig, und Teams, die nach Metriken gesteuert werden, optimieren irgendwann die Metriken statt die Qualität. Wer die Codequalität wirklich verbessern will, kommt um menschliches Urteil nicht herum, ergänzt durch Metriken als Indikatoren, aber nicht ersetzt durch sie.
Eine besonders verführerische Metrik in dieser Reihe ist die Code Coverage. Sie suggeriert, dass mehr abgedeckte Zeilen besser getesteten Code bedeuten, und sie ist in modernen Entwicklungsumgebungen so leicht zu erheben, dass sie schnell zur zentralen Steuerungsgröße wird. Im nächsten Teil dieser Serie zeigt sich, warum auch das Testen selbst an fundamentale Grenzen stößt, mit dem Halteproblem als altem Bekannten in einer neuen Rolle.
(mro)
Entwicklung & Code
Wenn Agenten nur noch mit Agenten reden, reden Menschen aneinander vorbei
Letztens hat einer meiner langjährigen Kunden ein Issue in einem unserer GitHub-Projekte eröffnet. Saubere Überschrift, darunter ein Befund: fehlende Alt-Texte auf Bildern, Verweis auf WCAG 1.1.1 zur Accessibility, dazu eine korrekt analysierte Anomalie in unserem Datenbankschema und schließlich das Angebot, für rund 1.500 Bilder inhaltlich geprüfte Alt-Texte zu liefern. Fachlich gab es nichts zu meckern. Trotzdem stimmte etwas nicht. Kein Gruß, kein persönliches Wort, und der Text erklärte mir mein eigenes Projekt so geduldig, als wäre ich gestern neu dazugestoßen. So schreibt nicht der Mensch, mit dem ich seit gut zehn Jahren zusammenarbeite. So schreibt sein KI-Agent.
Weiterlesen nach der Anzeige
Stefan Wintermeyer ist Consultant und Trainer für Software- und Systemarchitektur. Fokus: Phoenix, Ruby on Rails, Web-Perf, Asterisk/VoIP, KI und Agentic Programming, effektive Workflows und nutzerseitige Verhaltensmuster.
Geantwortet habe ich natürlich auch nicht selbst. Claude Code hat das Issue analysiert, den Fix gebaut, einen ausführlichen Kommentar hinterlassen und das Issue geschlossen. Höflich, gründlich, mit einem Gegenvorschlag zum Datenformat des Kunden. Als ich die Antwort später las, blieb ich an einem Gedanken hängen: Hier sprechen nicht mein Kunde und ich miteinander. Hier reden zwei Maschinen, und wir Menschen lesen bestenfalls noch Protokoll.
Mein Agent ist höflicher als ich
Seit über einem Jahr läuft meine GitHub-Kommunikation fast vollständig über einen Agenten. Nur selten tippe ich noch selbst einen Kommentar. Die Bilanz fällt eindeutig aus: Ich bin deutlich produktiver geworden. Und, das gebe ich ungern zu, zu den meisten Menschen auch freundlicher. Amerikaner sagen mir seit Jahren, dass ich nichts sugarcoate: Deutsche Direktheit wirkt im Englischen schnell ruppig, meine erst recht. Umgekehrt überlese ich als Deutscher manche höflich verpackte Botschaft komplett. Schreibt ein amerikanischer Reviewer unter meinen Pull Request „You might want to consider adding a test here“, lese ich einen unverbindlichen Vorschlag, über den ich bei Gelegenheit mal nachdenken kann. Gemeint ist: Ohne Test wird das hier nicht gemergt. Und sein „Interesting approach!“ ist kein Lob, sondern höflich verpackte Skepsis. Mein Agent erkennt diese sprachlichen Codes in beide Richtungen.
Dazu kommt ein Luxus, den mir kein Mensch bieten könnte: Ich kann mit dem Agenten so reden, wie ich mich gerade fühle. Super unfreundlich, wenn mich etwas nervt. Super happy, wenn ein Fix endlich sitzt. Dem Agenten ist das egal, er ist ja nie beleidigt. Er kümmert sich darum, dass die Botschaft ankommt, ohne dass sich am anderen Ende jemand auf den Fuß getreten fühlt.
Für meine Open-Source-Projekte ist er ein Lebensretter. Eines davon ist vutuv, eine quelloffene Alternative zu LinkedIn, die ich als einziger Entwickler betreue. An manchen Tagen kommen dort dutzende Feature Requests herein, dazu hin und wieder ein paar Bug-Meldungen. Als Einzelkämpfer ist man damit schnell überfordert, jedenfalls ohne einen Agenten an der Seite. Auf ausführliche Antworten zu Issues hatte ich früher oft weder Zeit noch Lust. Verdient hätten die Menschen dahinter sie trotzdem. Wer sich die Mühe macht, einen Fehler ordentlich zu melden, bekommt jetzt eine ordentliche Antwort und am Ende ein ehrliches Dankeschön. Und diese Antwort hat mehr Substanz, als ich je hineintippen würde: Der Agent weiß haarklein, wie er und ich gemeinsam den Fehler behoben haben, wie langwierig und kompliziert das war und welche Fallstricke unterwegs lauerten. Er war ja dabei. Mir fehlt die Zeit, das alles aufzuschreiben, ihm nicht. Win-win für alle Beteiligten.
Weiterlesen nach der Anzeige
Damit das nach mir klingt und nicht nach Pressestelle, habe ich dem Agenten eigene Tonfall-Regeln geschrieben. In meiner CLAUDE.md, der zentralen Konfigurationsdatei, stehen Anweisungen wie: Schreibe in der ersten Person, warm und freundlich. Nenne kurz den Grund, dann hör auf, kein Füllmaterial. Wenn ich etwas ablehne, nie als plattes Nein, sondern freundlich und mit dem Warum. Und wenn der Thread auf Deutsch geführt wird, antworte auf Deutsch.
Es gibt auch eine weniger vorzeigbare Seite. Manche Open-Source-Diskussionen fressen Zeit, ohne je irgendwo anzukommen. Dann sage ich Claude Code: „Mach hier bitte einen Deckel drauf. Die Sache ist entschieden, ich mag das nicht ewig weiterdiskutieren.“ Der Agent bleibt daraufhin freundlich beim Nein und schließt im Zweifel das Issue. Ich delegiere in diesem Moment etwas anderes als Arbeit: nämlich einen Konflikt. Ob die Betroffenen ahnen, dass eine Maschine den Schlussstrich gezogen hat? Vermutlich nicht. Wie es sich umgekehrt anfühlt, wenn ein Maintainer meine sorgfältig geschriebene Bug-Meldung von einem Agenten abmoderieren lässt, weiß ich dagegen nicht. Bisher war ich immer der, der den Deckel in der Hand hält.
Das Minenfeld bekommt eine zweite Ebene
Textkommunikation war schon immer ein Minenfeld. Ironie kommt nicht an, Knappheit wird als Kälte gelesen, ein fehlendes Smiley verschiebt die Bedeutung eines ganzen Absatzes. Bisher half die Erfahrung mit dem Absender: Nach ein paar Jahren weiß ich, wie mein Kunde klingt, wenn er sich freut, und wie, wenn es brennt. Diese Kalibrierung läuft jetzt ins Leere. Der Ton, den ich lese, stammt von einem Werkzeug und dessen Konfiguration. Wenn eine Seite das nicht weiß, entstehen Missverständnisse zwischen zwei Personen, die an dem Gespräch gar nicht teilgenommen haben.
Wie selten bei agentengeschriebenen Pull Requests überhaupt noch ein Mensch draufschaut, ist inzwischen ausgezählt (siehe Textbox „Studienlage: Agenten prüfen Agenten“). Nicht selten liegt morgens eine E-Mail in meinem Postfach, der ich ansehe, dass ein Agent sie geschrieben hat. Marketingleute haben diese Werkzeuge längst genauso für sich entdeckt wie wir Entwickler. Manche Menschen kommunizieren sogar ausschließlich so: Sie lassen Systeme wie OpenClaw ihre E-Mails und Tweets vollautomatisch beantworten. Wer ihnen schreibt, bekommt eine Antwort von jemandem, der die Nachricht nie gelesen hat.
Zwei Übersichtsarbeiten von 2024 zu KI-Agenten in der Softwareentwicklung ordnen das Feld. Junwei Liu und Kollegen werten Arbeiten zu LLM-Agenten in der Softwareentwicklung aus – inzwischen sind es 124 – und behandeln Multi-Agenten-Systeme sowie die Zusammenarbeit von Mensch und Agent in eigenen Kapiteln. Yanlin Wang und Kollegen legen daneben eine Architektur aus Wahrnehmung, Gedächtnis und Aktion vor.
Spannender als die Überblicke sind die Messungen, und die gibt es seit 2026. Grundlage ist meist AIDev, ein Datensatz von Hao Li, Haoxiang Zhang und Ahmed E. Hassan: 932.791 Pull Requests, die fünf Agenten (Codex, Devin, Copilot, Cursor und Claude Code) in 116.211 GitHub-Repositories eröffnet haben, Stand August 2025.
Darauf aufbauend hat eine polnische Gruppe um Kacper Duma jene 33.596 agentengeschriebene Pull Requests untersucht, die in Projekten mit mehr als 100 Sternen liegen. 61,38 Prozent davon bekommen überhaupt kein Review. Von denen, die eines bekommen, werden 58,77 Prozent ausschließlich von anderen Agenten begutachtet und nur 10,14 Prozent ausschließlich von Menschen. Zusammengerechnet durchlaufen 84 Prozent aller agentengeschriebenen Pull Requests entweder kein Review oder nur eines, an dem kein Mensch beteiligt war. Von sämtlichen Review-Kommentaren stammen 71,58 Prozent von Agenten.
Wie viel von alldem überhaupt sichtbar ist, steht auf einem anderen Blatt. Arsham Khosravani und Audris Mockus haben 180 Millionen Repositories nach Agentenspuren durchsucht und kommen auf über 320.000 Commits pro Monat. Wer sich auf die offiziellen Bot-Accounts verlässt, übersieht den Großteil davon: Bei Claude Code fanden die beiden 850.157 Commits, von denen die Bot-Suche nur 28.154 erfasste, also 3,3 Prozent. Der Rest läuft unter menschlichem Namen.
Eine Ebene bleibt unvermessen: Wie oft ein Mensch am Ende gar nicht mehr mitliest, weiß niemand. Die Zahlen erfassen Pull Requests und Reviews, nicht die Frage, ob der Kunde sein eigenes Issue je gelesen hat.
Zum zweiten Thema dieses Artikels, der Offenlegung, liefert die Organisationsforschung die Zahlen. Die im Text zitierte Arbeit von Oliver Schilke und Martin Reimann stützt sich auf dreizehn Experimente mit über 5.000 Teilnehmern, quer durch Rollen und Branchen, vom Professor über den Analysten bis zum Investmentfonds. Den Vertrauensverlust in Texte, die als KI-generiert offengelegt sind, erklären die beiden mit geringerer wahrgenommener Legitimität, nicht mit Zweifeln an der Qualität des Ergebnisses. Bei Befragten mit positiver Technikeinstellung fällt er schwächer aus, verschwindet aber nicht.
Meinem Kunden habe ich nach dem Issue von heute Morgen eine SMS geschrieben und das Thema offen angesprochen. Das hat die Sache ohne Verstimmung entschärft. Wir wissen jetzt beide, dass unsere Agenten miteinander reden. Unausgesprochen wäre die Kommunikation ein schleichendes Gift geworden. Er hätte sich irgendwann gefragt, warum ich so distanziert schreibe. Ich hätte mich gefragt, warum er mich neuerdings für begriffsstutzig hält.
Brandgefährlich ist das Ganze ausgerechnet bei Menschen wie ihm: bei denen, mit denen ich seit Jahren eng zusammenarbeite, ob im Kundenprojekt oder bei Open Source. Sie kennen mich persönlich, und genau deshalb richtet ein fremder Ton den größten Schaden an. Da steht ein Text, der schlicht nicht ich bin, und der Empfänger kennt mich gut genug, um genau das zu spüren. In gewachsenen Arbeitsbeziehungen kann er die Kommunikation zerreißen.
Entwicklung & Code
.NET 11.0 Preview 7 bringt viele Neuigkeiten und Breaking Changes
.NET 11.0 Preview 7 gibt es kostenfrei zum Download bei Microsoft. Dabei handelt es sich um die letzte Preview-Version vor dem ersten Release Candidate. Parallel dazu ist ein Update für Visual Studio 2026 Insiders auf die Version 12106.202 erschienen.
Weiterlesen nach der Anzeige
Dr. Holger Schwichtenberg hat Fachbücher zu .NET 10.0, C# 14.0, Blazor 10.0 und Entity Framework Core 10.0 veröffentlicht. Er arbeitet als Berater und Trainer bei www.IT-Visions.de.
Installation des .NET 11.0 SDK in der Version Preview 7 (Abb. 1)
Mehr Schleifenkontrolle: break und continue mit Bezeichnern
Die Sprachkonstrukte break zum Abbrechen und continue zum vorzeitigen Fortsetzen von Schleifen gibt es in den meisten Programmiersprachen, so auch in C# seit der ersten Version. Nun ergänzt Microsoft aber eine bislang in C# fehlende Option: Entwicklerinnen und Entwickler können hinter break und continue jeweils Namen angeben, die sich auf äußere Schleifen beziehen. Damit kann der Compiler nicht nur die jeweils direkt umgebende Schleife, sondern auch übergeordnete Schleifen abbrechen oder vorzeitig fortsetzen. Ein solches Label kann man bei den Schleifenkonstrukten for, foreach, while und do sowie bei der Verzweigung mit switch einsetzen.
(Bild: King / stock.adobe.com)
Das ist neu in .NET 11.0: Dr. Holger Schwichtenberg und weitere Experten präsentieren am 17. November 2026 auf der Online-Konferenz betterCode() .NET 11.0 die Änderungen für Entwicklerinnen und Entwickler. Tickets zum Frühbucherpreis sind im Online-Shop verfügbar.
Das folgende Listing zeigt dazu ein Beispiel, in dem vermieden wird, dass die drei Schleifenebenen jeweils einzeln abgebrochen werden müssen, wenn ein passender Regalplatz gefunden wurde.
public void Run()
{
List Gaenge = ["A", "B", "C", "D", "E"];
// bool sackgasse = false; // --> nicht notwendig dank continue mit Label
// bool gefunden = false; --> nicht notwendig dank break mit Label
regalgangSchleife:
foreach (var regalgang in Gaenge)
{
for (int regal = 1; regal <= 20; regal++)
{
for (int platz = 1; platz <= 50; platz++)
{
// Sackgasse: In einigen Regalen gibt es Sackgassen
if (regal % 2 == 1 && platz % 13 == 0)
{
CUI.Warning($"Sackgasse: Gang={regalgang}/Regal={regal}/Platz={platz}");
// sackgasse = true; --> nicht notwendig dank continue mit Label
continue regalgangSchleife;
}
CUI.Print($"Prüfe Gang={regalgang}/Regal={regal}/Platz={platz}");
bool istFrei = IstFrei(regalgang, regal, platz);
bool istGrossGenug = IstGrossGenug(regalgang, regal, platz);
if (istFrei && istGrossGenug)
{
CUI.Success($"Gefunden: Gang={regalgang}/Regal={regal}/Platz={platz}");
// gefunden = true; --> nicht notwendig dank break mit Label
break regalgangSchleife;
}
}
// if (sackgasse) continue; --> nicht notwendig dank continue mit Label
// if (gefunden) break; --> nicht notwendig dank break mit Label
}
// if (sackgasse) continue; --> nicht notwendig dank continue mit Label
// if (gefunden) break; --> nicht notwendig dank break mit Label
}
}
Listing 1: Einsatz von Labels bei break und continue
Weiterlesen nach der Anzeige
Der Compiler prüft, ob sich der hinter break oder continue angegebene Bezeichner auf eine Schleife oder ein switch bezieht (Abb. 2).
Automatisches Pausieren für Blazor-Server-Anwendungen
Blazor Server ist eine Variante von Blazor, bei der C#-Programmcode auf dem Webserver läuft und den Webbrowser über eine Circuit genannte Websocket-Verbindung aktualisiert, sodass für Benutzer das Erlebnis einer Single-Page-Webanwendung entsteht. Eine Herausforderung ist bei Blazor Server stets der Ressourcenverbrauch auf dem Webserver, denn alle angeschlossenen Webbrowser teilen sich Prozessorleistung und RAM des Webservers.
Seit .NET 10.0 kann man jeden einzelnen Circuit per JavaScript-Code pausieren via Blazor.pauseCircuit() sowie den Zustand im RAM oder einer Datenbank persistieren und später wiedererwecken via Blazor.resumeCircuit(), um Ressourcen auf dem Webserver zu sparen, wenn ein Benutzer die Browserregisterkarte mit der Blazor-Anwendung verlässt. Seit .NET 11.0 Preview 4 ist das Pausieren von Circuits auch per C#-Code via RequestCircuitPauseAsync() möglich.
Die Einführung von RequestCircuitPauseAsync() war die Vorbereitung für das automatische Pausieren, das es nun in Preview 7 gibt. Entwicklerinnen und Entwickler können nun im Startcode einer Blazor-Server-Anwendung einstellen, dass die Anwendung pausiert, solange die Browserregisterkarte verdeckt ist. Dafür ist ein eigenes NuGet-Paket mit Namen Microsoft.AspNetCore.Components.Server.AutoPause zu ergänzen:
Das NuGet-Paket Microsoft.AspNetCore.Components.Server.AutoPause (Abb. 3)
und der Startcode ist um den Aufruf AddAutoPause() zu erweitern:
app.MapRazorComponents()
.AddInteractiveServerRenderMode()
.WithBrowserOptions(options =>
{
options.AddAutoPause(pause =>
{
pause.HiddenDelay = TimeSpan.FromSeconds(60); // Standard: 2 Minuten
});
});
Im Standard geschieht das Pausieren nach zwei Minuten. Diese Zeit können Entwicklerinnen und Entwickler mit HiddenDelay ändern. Blazor Server hält sich aber nicht akribisch an die definierte Zeitspanne. So wird die Zeit verlängert, wenn ein Eingabesteuerelement neue Werte enthält, wenn die Seite Audio- oder Videoinhalte mit Ton abspielt oder wenn ein JavaScript-Aufruf läuft.
Diese Blazor-Server-Anwendung war für einige Sekunden im Schlaf. Der Benutzer sieht beim Rückwechseln der Registerkarte kurz den Inhalt von ReconnectModal.razor, dann arbeitet die Anwendung weiter (Abb. 4).
Zu beachten ist, dass sich eine Komponente beim Schlafenlegen nur die Werte der mit [PersistentState] annotierten Eigenschaften oder manuell im Persistent Component State gespeicherten Objekte merkt.
CacheView für Blazor Static SSR
Bei dem in .NET 8.0 eingeführten statischen serverseitigen Rendering (Static SSR), das man als Ablösung für ASP.NET Core MVC und ASP.NET Core Razor Pages verstehen kann, schließt Microsoft in .NET 11.0 Preview 7 eine weitere Lücke: Analog zu dem Tag Helper
ExpiresAfter: Zeitspanne seit dem ersten ZugriffExpiresOn: fester Zeitpunkt oderExpiresSliding: Zeitspanne seit dem letzten Zugriff
angeben.
Mit VaryByRoute und VaryByQuery sowie VaryByUser und VaryByCulture lässt sich festlegen, dass es abweichende Zwischenspeicher für verschiedene Parameter in URL und QueryString beziehungsweise Benutzer und Sprachen geben soll.
In zwei Fällen funktioniert die
- wenn die HTTP-Anfrage ein anderes Verb als
GETverwendet oder - wenn Stream Rendering aktiv ist, mit
@attribute [StreamRendering].
Zudem lässt sich das Zwischenspeichern mit der Eigenschaft enabled="false" manuell deaktivieren.
Die von Microsoft gelieferte Razor-Komponente
"InvalidOperationException: Component 'Microsoft.AspNetCore.Components.Web.Virtualization.Virtualize`1[[System.DateTime' cannot be used inside a CacheView because its output depends on per-request state ([CacheBehavior(CacheBehavior.Throw)]) that cannot be safely cached and replayed. To fix this, move the component outside the CacheView."
Die Komponente VaryByUser="true" und das VaryByQuery.
Selbsterstellte Komponenten können mit @attribute [CacheBehavior(CacheBehavior.Throw)] angeben, dass sie nicht im @attribute [CacheBehavior(CacheBehavior.Rerender)] werden Komponenten trotz
Zwischenspeicher ist im Standard der RAM des Webservers. Durch Einsatz des NuGet-Pakets Microsoft.Extensions.Caching.Hybrid sind auch andere Speicher (etwa Redis, Datenbankmanagementsystem) als Zwischenspeicher möglich.
@page "/Cache"
@page "/Cache/{URLID:int}"
@code
{
[Parameter]
[SupplyParameterFromQuery]
public int URLID { get; set; }
[Parameter]
[SupplyParameterFromQuery]
public int QueryID { get; set; }
}
URLID: @URLID
QueryID: @QueryID
zuletzt aktualisiert am @DateTime.Now
/1
/2
/3
/4
/5
QueryID=1
QueryID=2
QueryID=3
QueryID=4
QueryID=5
Listing 2: Beispiel für den Einsatz von
Neue Analyzer schützen vor Fehlern
Fünf neue in Blazor eingebaute Analyzer warnen Entwicklerinnen und Entwickler vor falschem Programmcode:
- BL0012 warnt, wenn ein Aufruf von
StateHasChanged()nicht notwendig ist, zum Beispiel inOnInitialized(),OnInitializedAsync()und Ereignisbehandlungen. - Wenn
GetAuthenticationStateAsync()aufgerufen wird, ohne das EreignisAuthenticationStateChanged()zu abonnieren, warnt BL0013, weil dadurch eine Komponente mit einem veralteten Authentifizierungsstatus arbeiten kann. - BL0014 warnt, wenn eine Zählvariable einer
for-Schleife von einer Closure oder einem Render-Fragment erfasst wird. Dadurch können alle Callbacks oder Fragmente auf den Wert der letzten Iteration verweisen. - Eine mit
[JSInvokable]markierte Methode ist nicht öffentlich. Sie lässt sich zwar kompilieren, kann aber nicht aus JavaScript aufgerufen werden. Der Analyzer BL0015 bietet einen Code-Fix an, der die Methodepublicmacht. - Wenn
InvokeAsync()oderInvokeVoidAsync()außerhalb einestry-catch-Blocks aufgerufen wird, warnt BL0016. Bei einer unterbrochenen Blazor-Verbindung oder einer JavaScript-Ausnahme kann dadurch die Komponente beziehungsweise der Circuit beendet werden.
Union Types als Parameter
Blazor-Komponenten sollen laut Release Notes nun auch mit Union Types, die in Preview 3 eingeführt wurden, als Parameter reibungslos funktionieren. Im Schnelltest mit dieser Komponente
@code {
public union ContentUnion(string, RenderFragment);
[Parameter]
public ContentUnion? Header { get; set; }
[Parameter]
public ContentUnion? Content { get; set; }
}
@Header.Value
@Content.Value
Listing 3: Message.razor
und diesem Aufruf
@DateTime.Now.ToShortDateString()
Dies ist fett und das ist kursiv!
gab es jedoch stets den Laufzeitfehler
InvalidOperationException: Object of type 'Message' does not have a property matching the name 'ChildContent'.
Die Komponente Message.razor funktioniert hingegen reibungslos, wenn man die Parameter auf RenderFragment statt auf ContentUnion typisiert.
Zahlreiche Breaking Changes gegenüber den vorherigen Preview-Versionen
Wer schon Blazor-Anwendungen mit in vorherigen Preview-Versionen eingeführten Validierungs-Features nutzt – wie der clientseitigen Validierung, vereinfachten Lokalisierung von Validierungs-Fehlermeldungen und der asynchronen Validierung –, muss in Preview 7 vieles am Programmcode ändern, denn Microsoft hat die APIs noch einmal überarbeitet.
Ob beim statischen serverseitigen Rendern die clientseitige Validierung aktiv ist, steuert man nun nicht mehr über EnableClientValidation="true", sondern über DisableClientValidation="false".
Bei der Lokalisierung ist AddValidationLocalization() entfallen; stattdessen gibt man die Ressource (.resx-Datei) mit den lokalisierten Fehlermeldungen nun bei AddValidation() an:
builder.Services.AddValidation(options =>
{
options.LocalizerProvider = (_, factory) => factory.Create(typeof(ValidationMessages));
});
Zum Glück radikal vereinfacht hat Microsoft die asynchrone Validierung, die in Preview 5 eingeführt wurde und sehr komplex war.
Nun in Preview 7 lassen sich asynchrone Validierungsannotationen schreiben, indem man von der Basisklasse AsyncValidationAttribute erbt. Diese asynchronen Validierungsannotationen verwendet man in einem Objektmodell, das man als EditContext für ein Formular verwendet. Dann kann man in der Instanz von EditContext via IsValidationPending() und IsValidationFaulted() den Status der Validierung abfragen.
Die Annotationen [ValidatableType] und [SkipValidation], die es seit .NET 10.0 gibt und seitdem als experimentell galten, erzeugen nun keine solche Warnung mehr.
In .NET 11.0 Preview 6 hatte Microsoft in der Komponente InitialIndex für die Startposition und die neue Methode ScrollToIndexAsync() für eine Bewegung zur Laufzeit. Nun wurde die Eigenschaft in InitialItemIndex und die Methode in ScrollToItemAsync() umbenannt. Das InitialItemIndex und ScrollToItemAsync an.
Zahlreiche weitere Breaking Changes in ASP.NET Core 11.0 Preview 7 findet man in den Release Notes.
Entwicklung & Code
LiteLLM-Angriff: Mehr als 2500 Unternehmen betroffen
Bei einem Lieferkettenangriff auf die populäre LiteLLM-Bibliothek im März dieses Jahres haben Angreifer im Python Packages Index (PyPI) kompromittierte Pakete eingeschleust. Diese wurden offenbar von automatisierten Build-Systemen zigtausendfach heruntergeladen und verwendet, bei mehr als 2500 auch namhaften Unternehmen – obwohl die kompromittierten Pakete lediglich 40 Minuten online waren.
Weiterlesen nach der Anzeige
Die Angreifer haben potenziell rund 434.000 automatisierte Entwickler-Build-Pipelines unterwandert, die bei mehr als 2500 Firmen zum Einsatz kommen, führen die IT-Sicherheitsforscher von CloudSEK in einem Blogbeitrag aus. Die Daten deuten darauf hin, dass Angreifer darauf hätten zugreifen können, belegen jedoch nicht, dass sie das auch getan haben und dass alle Zugangsdaten entwendet wurden. Laut den Analysten ist die Bedrohung noch immer aktuell, da auch das FBI im Juli davor gewarnt hat, dass mit der Cybergang TeamPCP verbundene Akteure die gestohlenen Zugangsdaten wahrscheinlich noch lange nach dem eigentlichen Angriff missbrauchen. Daher sollten potenziell Betroffene Sicherheitsmaßnahmen wie Ändern der Zugangsdaten, Schließen der möglichen Schwachstelle und Härtung der Systeme ergreifen, empfehlen die IT-Forscher.
Die Auflistung betroffener Unternehmen führt einige große und namhafte Firmen auf. Airbus, Amazon Web Services, Cisco, Hoffmann-La Roche AG, Salesforce, Samsung, ServiceNow, Siemens, aber auch Epic Games, FedEx, der Rückversicherungsriese Munich Re, die Robert Bosch GmbH, Thales Group, Volkswagen AG oder X Corp tauchen dort auf. Von denen und vielen weiteren haben die Angreifer teils Geheimnisse wie Zugangsdaten ergattert, in allen Fällen liefen jedoch in den automatisierten KI-Build-Systemen die kompromittierten Versionen – zum Teil tausende Male.
Entwendete Objekte
Zu den geklauten Daten zählen laut CloudSEK Cloud-Keys, Repository-Token, SSH-Keys, Kubernetes-Secrets, Zugangsdaten für Paket-Publishing, Umgebungsvariablen und KI-Anbieter-Keys. Das Entfernen der bösartigen Pakete allein reicht daher nicht, da derartige Zugangsdaten noch Wochen oder Monate nutzbar bleiben, sofern sie nicht geändert und Hinweise auf unbefugte Aktivitäten untersucht werden.
Die Infostealer-Malware, die Google „Sandclock“ nennt, lief auf kompromittierten Build-Systemen, weitete ihre Rechte zu root aus und suchte dann nach den Daten. Insbesondere auf KI-Build-Systemen sucht sie nach LLM-API-Keys und Gateway-Konfigurationen. Die Daten haben die Angreifer mit AES-256 und einem fest einprogrammierten RSA-4096-Key verschlüsselt und an Server gesendet, die eine Typosquatting-Domain nutzten. Wenn das Ausschleusen fehlschlägt, legt die Malware ein öffentliches Repository innerhalb des GitHub-Kontos der Opfer an und verfrachtet die Daten dorthin.
CloudSEK gibt in der Analyse noch weitere Tipps und Hinweise für Admins, wie sie eine Kompromittierung aufspüren, eindämmen und wie sie sich vor den Attacken schützen können.
Weiterlesen nach der Anzeige
(dmk)
Cirqa Smart Ring: Garmin plant offenbar Einstieg in den Smartring-Markt
heise meets … „Beim Voice Cloning reicht eine 30-Sekunden-Nachricht“
OpenAI plant neues Büro in Berlin – KI-Ausbau in Deutschland
Kommentar: KI-Verbote in Open-Source-Projekten können KI nicht stoppen
Regional & mit Gefühl: Identity für Klimafonds Baden-Württemberg › PAGE online
Proxmox Datacenter Manager 1.1 wird Schweizer Taschenmesser für Proxmox-Cluster
-
Entwicklung & Codevor 2 WochenKommentar: KI-Verbote in Open-Source-Projekten können KI nicht stoppen
-
UX/UI & Webdesignvor 1 MonatRegional & mit Gefühl: Identity für Klimafonds Baden-Württemberg › PAGE online
-
Entwicklung & Codevor 3 MonatenProxmox Datacenter Manager 1.1 wird Schweizer Taschenmesser für Proxmox-Cluster
-
UX/UI & Webdesignvor 3 WochenVom Scribble zur Sammelkarte: Kreativer KI-Workflow mit Adobe Photoshop, Illustrator und Firefly Boards › PAGE online
-
Apps & Mobile Entwicklungvor 3 MonatenFrüher jubeln als der Nachbar: Vodafone beschleunigt ARD und ZDF zur Fußball-WM im Kabel‑TV
-
Entwicklung & Codevor 3 MonatenKommentar: Das Ende der SaaS-Gelddruckmaschine
-
UX/UI & Webdesignvor 3 MonatenWelches sind die zukünftig wichtigsten »Glückshebel« für Agenturen? › PAGE online
-
Apps & Mobile Entwicklungvor 3 MonatenMSI MPG OLED 322URDX36: Erster Monitor mit Triple Mode und QD‑OLED Gen 5