Was ist ein Quality Gate?
Ein Quality Gate ist ein automatisierter Prüfpunkt in der CI/CD-Pipeline, der ein Artefakt erst dann in die nächste Stage lässt, wenn alle definierten Kriterien erfüllt sind: Testabdeckung, statische Code-Analyse sowie Security- und Lizenz-Scans. Fällt eine Prüfung durch, bricht die Pipeline ab und nennt den Grund. So ersetzen Quality Gates subjektive Freigaben durch messbare Schwellwerte.
Auch bekannt als: Quality Gates · Q-Gate · Qualitätsschranke · Qualitätstor
Ist Quality Gate bei Ihnen gerade ein Thema?
Wir fragen kurz, wie dringend das Thema bei Ihnen gerade ist. Je nach Antwort zeigen wir Ihnen direkt den passenden nächsten Schritt — ganz ohne Formular.
Technisch ist ein Quality Gate eine Stage mit Pass/Fail-Entscheidung. Die Pipeline sammelt die Ergebnisse der vorherigen Schritte ein, also Testabdeckung, Befunde der statischen Codeanalyse, Dependency- und Lizenz-Scans und die erzeugte SBOM, und vergleicht sie mit festgelegten Schwellwerten. Sind alle Bedingungen erfüllt, läuft die Pipeline weiter. Sonst bricht sie ab und nennt die verletzte Bedingung. Geläufig sind auch die Schreibweisen Qualitygate, Quality-Gate und die Kurzform Q-Gate.
Werkzeuge wie SonarQube bündeln solche Kriterien zu einem konfigurierbaren Gate. Das mitgelieferte Gate „Sonar way" bewertet nur neuen Code und verlangt unter anderem mindestens 80 Prozent Testabdeckung, höchstens 3 Prozent duplizierte Zeilen und geprüfte Security Hotspots. Der Fokus auf neuen Code ist bewusst gewählt. Ein Altprojekt mit 20 Prozent Abdeckung wird dadurch nicht blockiert, darf aber nicht schlechter werden.
Außerhalb der Softwareentwicklung meint Quality Gate etwas anderes. Im Projektmanagement und in der Produktentstehung ist ein Q-Gate ein Meilenstein, an dem ein Gremium anhand einer Checkliste über den Übergang in die nächste Phase entscheidet. Die Idee geht auf das Stage-Gate-Modell von Robert G. Cooper zurück. In der Automobilindustrie hat der VDA sie als Reifegradabsicherung für Neuteile mit den Reifegraden RG0 bis RG7 ausgearbeitet. Das Prinzip ist dasselbe, vorher festgelegte Kriterien entscheiden über den Fortschritt. Der Unterschied liegt im Takt: Ein Q-Gate im Projekt tagt einige Male im Jahr, das Gate in der Pipeline entscheidet bei jedem Build.
In der Industrie treffen beide Bedeutungen aufeinander, und genau dort lohnt es sich, sie zu verbinden. Die Pipeline setzt normative Anforderungen technisch durch. Empfiehlt ISO 26262 für ein Steuergerät mit ASIL D eine MC/DC-Abdeckung oder verlangt der Cyber Resilience Act eine SBOM, wird genau das zum Abbruchkriterium. Das Gremium am Projekt-Q-Gate prüft dann Belege, die bei jedem Build ohnehin entstanden sind. Die Woche vor dem Termin, in der jemand Nachweise in Excel zusammenträgt, fällt weg.
Der häufigste Fehler sind Schwellwerte, die zu streng oder ohne Begründung gesetzt sind. Blockiert ein Gate ständig aus Gründen, die das Team für unwichtig hält, senkt irgendwann jemand still den Schwellwert oder baut eine Ausnahme ein. Gute Gates messen etwas Aussagekräftiges, sind im Team abgestimmt und werden mit dem Reifegrad strenger.
Release ohne vollständige SBOM kommt nicht aus der Pipeline
Ein Gerätehersteller erzeugte seine Software-Stückliste bisher von Hand kurz vor dem Release, und sie war selten vollständig. Heute ist die SBOM-Generierung ein Quality Gate. Fehlt eine Komponente oder scheitert die Erzeugung, bricht die Pipeline ab. Die CRA-Anforderung hängt damit nicht mehr an der Disziplin einzelner Personen.
Sinkende Abdeckung hält den Code aus dem Integrationsstrang
Bei einem Automotive-Zulieferer fiel sinkende Testabdeckung früher erst in der Vorbereitung des Assessments auf. Jetzt lässt das Gate nur Builds passieren, die die für das ASIL festgelegte Strukturabdeckung erreichen. Liegt ein Merge darunter, sieht der Entwickler es im Pull Request und nicht Monate später.
Was soll Ihr Quality Gate absichern?
Ein Quality Gate stoppt schlechte Builds automatisch — was es prüfen soll, hängt an Ihrem größten Risiko. Zwei Klicks zeigen, wo Sie ansetzen.
Was soll das Gate vor allem absichern?
- Was sind Quality Gates in der Softwareentwicklung?
- Quality Gates sind automatisierte Prüfpunkte zwischen den Stufen einer Pipeline, an denen definierte Kriterien erfüllt sein müssen, etwa Testabdeckung, statische Code-Analyse, Security-Scans und Lizenzprüfungen. Erst wenn alle Kriterien bestanden sind, erreicht der Code die nächste Stufe. Bekanntestes Beispiel ist das Quality Gate von SonarQube, das Konzept funktioniert aber mit jedem CI/CD-Werkzeug.
- Was ist ein Quality Gate im Projektmanagement?
- Im Projektmanagement ist ein Quality Gate, kurz Q-Gate, ein festgelegter Meilenstein, an dem ein Gremium anhand einer Reifegrad-Checkliste entscheidet, ob ein Projekt in die nächste Phase übergeht. Das Vorgehen ist auch als Stage-Gate bekannt und im Anlagenbau, in der Fahrzeugentwicklung und in Großprojekten verbreitet. Dort treffen Menschen eine Freigabeentscheidung an einem Phasenübergang, in der Softwareentwicklung entscheidet ein automatisierter Prüfpunkt bei jedem Build in Sekunden.
- Worin unterscheidet sich ein Quality Gate von einem normalen Test?
- Ein Test prüft eine konkrete Funktion. Ein Quality Gate fasst mehrere Kriterien, also Tests, Coverage, Security-Findings und Lizenzen, zu einer einzigen Pass/Fail-Entscheidung über das gesamte Artefakt zusammen und steuert damit, ob die Pipeline weiterläuft.
- Quality Gate oder Code Review: Was ist der Unterschied?
- Ein Code Review ist die Begutachtung von Änderungen durch Kolleginnen und Kollegen. Ein Quality Gate ist eine automatisierte Schwellwert-Prüfung in der Pipeline. Beide ergänzen sich: Das Gate erzwingt messbare Mindeststandards, das Review beurteilt Design und Kontext, die sich in keiner Metrik zeigen.
- Sollte ein Quality Gate die Pipeline immer hart abbrechen?
- Für kritische Kriterien wie bekannte Sicherheitslücken oder eine fehlende SBOM ja. Für weiche Kriterien ist ein gestuftes Vorgehen sinnvoll. Verstöße erscheinen zunächst als Warnung und führen erst nach einer vereinbarten Übergangsphase zum Abbruch, damit das Team Zeit hat, den Bestand nachzuziehen.
- Wie hängen Quality Gates und Stage-Gates in regulierten Projekten zusammen?
- Sie greifen ineinander, das eine löst das andere nicht ab. Ein Freigabegremium nach ASPICE oder ISO 26262 fragt an seinem Meilenstein nach Testabdeckung, Reviewstand, offenen Findings und vollständiger Stückliste. Genau diese Nachweise erzeugt das automatisierte Quality Gate ohnehin bei jedem Build. Das Gremium bestätigt dann einen Stand, der seit Wochen laufend dokumentiert ist, und muss ihn nicht erst herstellen lassen.
Wo steht Ihr Team bei Quality Gate?
Uns interessiert, wo Ihr Team bei diesem Thema steht. Auf Basis Ihrer Antwort schlagen wir Ihnen den sinnvollsten nächsten Schritt vor — ganz ohne Formular.
Weiterführende Primärquellen zu Quality Gate: Normtexte, Hersteller- und Projektdokumentation. Alle Ziele öffnen in einem neuen Tab.
- /01SonarSource DocsQuality Standards und Quality Gates(externe Seite, öffnet in neuem Tab)
Wie Schwellwerte definiert werden und wann ein Build am Gate scheitert.
- /02GitLab DocsCode Quality in GitLab CI(externe Seite, öffnet in neuem Tab)
Automatische Bewertung im Merge Request samt Abbruchkriterien.
- /03OWASPOWASP DevSecOps Maturity Model(externe Seite, öffnet in neuem Tab)
Ordnet Sicherheitsprüfungen als Gate-Kriterien in Reifegradstufen ein.
Erstgespräch.
Kostenlos.
90 Tage zum Ergebnis.
Wir klären gemeinsam, wie Sie in 90 Tagen die ersten messbaren Industrial-DevOps-Erfolge erzielen.
Industrie · Automotive · Finance