Wie wir Source-Code behandeln

Was mit Ihrem Code passiert, wenn Sie CodeCharter nutzen, und was nicht.

Aktualisiert am 2026-07-13

Kurzfassung: Ihr Source-Code verlässt Ihre Umgebung nicht. Die Analyse läuft lokal, wir holen nichts in unsere Cloud, und wir schicken nichts an einen LLM-Endpoint.

Was bei einem CodeCharter-Lauf passiert

codecharter analyze .
    │
    ▼
Ihre Maschine / Ihr CI-Runner liest .cs-Dateien
    │
    ▼
Die Standard-.NET-Build-Toolchain kompiliert sie zu einem Code-Modell (lokal)
    │
    ▼
Eingebaute und eigene Regeln laufen gegen das Modell (lokal)
    │
    ▼
Findings landen in der Konsole oder einer Output-Datei (lokal)

Mit vollständigem lokalem Regel-Cache und gültiger Lizenz macht die CLI während der Analyse keine Netzwerk-Zugriffe. Sie kontaktiert das Portal nur, um fehlende Regel-Bundles nachzuladen (wenn Sie Portal-Regelprofile nutzen), um eine kurzlebige CI-Lizenz zu erneuern (wenn CODECHARTER_API_KEY gesetzt ist) oder um das optionale, standardmäßig deaktivierte Telemetrie-Event zu senden. Ihr Source-Code ist nie Teil dieser Aufrufe.

Das können Sie verifizieren: Wenn der Regel-Cache geladen und eine gültige Lizenz vorhanden ist, trennen Sie die Maschine vom Netz, und der Analyze-Lauf läuft trotzdem durch.

Was über das Netz geht

Das sind alle Netzwerk-Zugriffe, und keiner davon enthält Ihren Anwendungs-Source-Code:

CLI- und Asset-Downloads vom Portal. Ihre eigenen Skripte können das CLI-Archiv von https://codecharter.tools mit Bearer-Authentifizierung über Ihren API-Key laden. Die offizielle GitHub Action macht im Kern dasselbe: Sie lädt das CLI-Archiv mit dem api-key-Input vom Portal herunter und führt es dann nativ auf dem Runner aus, ganz ohne Docker oder Container-Image. Details dazu auf der Seite GitHub Actions.
Regel-Bundle-Downloads für Portal-Profile. codecharter restore und codecharter update (sowie der automatische Preflight vor analyze) laden die Regel-Bundles Ihrer konfigurierten Portal-Profile herunter.
CI-Lizenz-Erneuerung. Wenn CODECHARTER_API_KEY gesetzt ist, holt die CLI eine kurzlebige Lizenz vom Portal, damit CI-Läufe ohne manuelle Schritte lizenziert bleiben.
Freiwilliger Regel-Upload. codecharter push lädt Ihre .ccr-Regeldateien als Entwürfe ins Portal hoch, nur wenn Sie den Befehl ausführen, und nur Ihre Regeldateien, nie Ihren Anwendungscode.
Opt-in-Telemetrie. Standardmäßig aus. Wenn aktiviert, sendet die CLI ein anonymes Event pro Lauf: Tool-Name, Latenz-Bucket, Finding-Anzahl pro Regel und eine gehashte Workspace-ID, keine Quelltexte, Pfade oder Code. Details auf der Seite Telemetrie.

Alle diese Aufrufe enthalten keinen Source-Code, nur Metadaten (Versionen, Plattform, Profilnamen, API-Key).

Was bochmann-software über Ihren Code wissen kann

Was	Wissen wir?
Welche Repos Sie haben	nein
Welche Sprachen Sie nutzen	nein
Welche Findings bei Ihnen auflaufen	nein, außer Sie aktivieren die optionale anonyme Telemetrie, die Finding-Anzahlen pro Regel sendet, nie die Findings selbst
Welche Dateinamen Sie haben	nein
Welche Regeln Sie aktiv haben	nein für lokale Regeln; wenn Sie Portal-Regelprofile nutzen, sehen wir, welche Profile Ihr Account herunterlädt, nicht wie sie in Ihrem Code anschlagen
Wann Sie die CLI gepullt haben	ja
Welche Plattform der Pull war	ja
Welcher API-Key gepullt hat	ja
Welche CodeCharter-Version	ja

Wir loggen nur, was wir für den Betrieb (Subscription-Verwaltung, Download-Audit) brauchen. Die Download-Logs erfassen auch die Client-IP-Adresse und den User-Agent der Anfrage.

Vorteile der lokalen Analyse

DSGVO und NDA bleiben unkompliziert. Wenn Ihr Code unsere Server nicht sieht, gibt es keinen Auftragsverarbeitungs-Aufwand wegen Analyse-Daten. Der AVV deckt nur Kontaktdaten und Subscription-Records ab.
Reproduzierbare Builds. Sobald Ihr Regel-Cache geladen ist, läuft die Analyse auf Ihrer Maschine unabhängig von unserer Service-Verfügbarkeit.
Vertrauen in Sicherheits-Reviews. Source-Code ist sensibler als Kontaktdaten. Mit CodeCharter bleibt diese Schicht in Ihrer Hand.

Was bei einem Sicherheits-Vorfall passieren würde

Falls jemand bei uns einbricht und Zugriff auf Datenbank und Server hat:

Source-Code: nicht betroffen, weil nicht bei uns gespeichert.
Findings Ihrer Codebasis: nicht betroffen, weil wir sie nie speichern. Falls Sie die anonyme Telemetrie aktiviert haben, liegen bei uns nur Anzahlen pro Regel, ohne jeden Code- oder Dateibezug.
Login-Daten (E-Mail + Passwort-Hash) sind betroffen. Klartext-Passwörter speichern wir nie; die Hashes sind nicht direkt zurückrechenbar.
API-Key-Hashes sind betroffen. Wir würden in dem Fall sofort alle bestehenden Keys widerrufen und Sie zur Neuausstellung auffordern.

Wir würden die Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen und Sie unverzüglich informieren, wie es die DSGVO verlangt.

Wenn Sie noch tiefer schauen wollen

Die CLI ist closed-source; Sie sehen den genauen Code nicht. Aber:

Wir machen auf Anfrage einen Security-Review mit Ihrem Team (Source-Walkthrough, Architektur-Q&A).
Wir geben Pen-Testern auf Anfrage Zugriff auf eine Test-Instanz.
Jeder Download vom Portal enthält seine SHA-256-Prüfsumme im Response-Header X-CodeCharter-Sha256, und die Installer-Hashes werden mit jedem Release veröffentlicht. So können Sie die Supply-Chain-Integrität selbst prüfen. Auf Wunsch senden wir Hashes zusätzlich vorab.

Schreiben Sie uns, wenn Sie davon etwas brauchen.