Kurz vorweg: CI/CD ist KMU-Standard 2026, nicht Konzern-Luxus. Plattformen: GitHub Actions (Default), GitLab CI (Single-Vendor), Azure DevOps (Microsoft-Stacks). Bausteine: Build, Test, Container, SAST/SCA, SBOM, Signatur, Deploy mit Rollback. Reife messen mit DORA-4 (Deployment Frequency, Lead Time, Change Failure Rate, MTTR). IaC mit Terraform/Pulumi/Bicep. Cloud-Targets via OIDC-Federation, keine Long-Lived-Credentials mehr.
Die zentralen CI/CD-Bausteine
Source Control
Git als Standard: GitHub, GitLab, Azure Repos, Bitbucket. Branch-Strategie (Trunk-based oder Git-Flow), Branch-Protection-Rules, Required Reviewers, Status Checks.
CI – Build & Test
Jeder Push triggert Lint, Build, Unit Tests, Integration Tests. Cache für Dependencies. Matrix-Builds für Multi-Version-Tests. Test-Reports und Coverage.
Container & Artefakte
Container-Images mit BuildKit, Multi-Stage-Builds, schlank halten. Registry: GHCR, GitLab Registry, Azure Container Registry, AWS ECR, Google Artifact Registry.
Security in Pipeline
SAST, SCA, Secret Scanning, Container Scanning, IaC Scanning, SBOM-Generation, Signatur – alles automatisch im Build (DevSecOps).
CD – Deployment
Staging und Production automatisch ausrollen, Blue-Green oder Canary. Rollback-Mechanismus, Health-Checks, Approval-Gates für Produktion.
Observability
Logs, Metriken, Traces (OpenTelemetry) ab Tag 1. Datadog, Grafana Cloud, Azure Monitor, AWS CloudWatch, Cloud Logging – pro Plattform passend.
CI/CD-Plattformen im KMU-Vergleich
GitHub Actions
Default für die meisten KMU. Workflows als YAML, riesiger Marketplace (Build, Test, Deploy, Security). Hosted Runner (Ubuntu/Windows/macOS) oder Self-Hosted. Free für Public Repos, grosszügiger Free-Tier für Private (2'000–3'000 Minuten/Monat je nach Plan). OIDC-Federation zu AWS/Azure/GCP eingebaut. Sehr gute Copilot-/Claude-Code-Integration.
GitLab CI/CD
Pipelines as Code via .gitlab-ci.yml, Auto DevOps für No-Config-Setup, sehr starke DevSecOps-Built-ins (SAST, DAST, SCA, Container Scanning, Fuzz Testing) bereits in Free-/Premium-Tier. SaaS-Cloud oder Self-Managed. Single-Vendor-Story (Source, CI, Registry, Pages, Security).
Azure DevOps Services
Klassischer Microsoft-Stack: Boards, Repos, Pipelines, Artifacts, Test Plans. Strong bei .NET/Azure-Workloads, Hybrid mit On-Prem-Agenten gut. Wandelt sich zur „GitHub-Variante" – Microsoft investiert stark in GitHub. Empfehlung neu meist GitHub, Azure DevOps stabil für Bestandskunden.
Bitbucket Pipelines
Mit Atlassian-Stack (Jira, Confluence) gepaart. YAML-Pipelines, Atlas-Hosted-Runner. Kleinere Footprint als GitHub/GitLab, lohnt sich primär für Bestands-Atlassian-Häuser.
Jenkins
Klassiker, Self-hosted, Plugin-Ökosystem. Hohe Flexibilität, hoher Wartungsaufwand – wenig empfehlenswert für neue KMU-Setups. Für Legacy-Migrationen relevant.
CircleCI / Drone / Buildkite
Spezialisierte CI-Plattformen mit eigenen Stärken (Geschwindigkeit, Self-hosted-Hybrid). Eher für Tech-fokussierte Teams mit klaren Anforderungen.
Infrastructure as Code (IaC)
- Terraform / OpenTofu: Marktstandard für Multi-Cloud-IaC, deklarativ, breiteste Provider-Auswahl. OpenTofu als Open-Source-Fork unter Linux-Foundation seit Terraform-Lizenz-Wechsel.
- Pulumi: IaC in echten Programmiersprachen (TypeScript, Python, Go, C#, Java). Vorteil: Schleifen, Funktionen, Tests in gewohnter Sprache – kein eigenes DSL.
- Azure Bicep: Azure-Native-DSL, schlanker als ARM-Templates, gute VS-Code-Integration. Pragmatik für Azure-only-Stacks.
- AWS CDK / CDKtf: Cloud-Development-Kit, generiert CloudFormation / Terraform aus TypeScript/Python. Kombination aus IaC und richtigem Code.
- Ansible: Configuration Management für Server-Konfiguration, nicht primär für Cloud-Resources. Sinnvoll für Bare-Metal/VM-Konfiguration.
- Helm + Kustomize: Kubernetes-Manifest-Verwaltung. Helm Charts für Distribution, Kustomize für Overlay/Patch ohne Templating.
- GitOps mit ArgoCD / Flux: Kubernetes-Deployments deklarativ aus Git-Repository – pull-basiert, Drift-Erkennung, automatische Reconciliation.
- State-Management: Terraform-State im Remote-Backend (S3 + DynamoDB, Azure Storage, GCS), Locking aktiv, niemals lokal.
- IaC-Tests: Terratest, Checkov, tfsec, Snyk IaC für Security- und Misconfig-Tests vor Apply.
- Empfehlung KMU: Terraform / OpenTofu als Standard, Pulumi wenn TS/Python-Team, Bicep nur bei Azure-only, GitOps mit ArgoCD wenn Kubernetes im Spiel.
DevSecOps – Sicherheit in der Pipeline
SAST – Static Application Security Testing
Code-Analyse auf Schwachstellen (XSS, SQL-Inj., Path-Traversal). Tools: Semgrep (OSS, sehr flexibel), GitHub CodeQL, Snyk Code, SonarQube/SonarCloud, GitLab SAST. In Pipeline pro Pull Request laufen.
SCA – Software Composition Analysis
Bekannte CVEs in Open-Source-Abhängigkeiten erkennen. Snyk Open Source, Dependabot, Renovate (auch für Auto-Update-PRs), Trivy, GitLab Dependency Scanning. EPSS-/KEV-priorisiert nutzen.
Secret Scanning
API-Keys, AWS-Credentials, OpenAI-Keys im Code finden, bevor sie in Git landen. GitHub Secret Scanning (Push Protection), GitLeaks, TruffleHog, GitLab Secret Detection. Pre-commit-Hook-Integration.
Container Scanning
Trivy, Grype, Snyk Container, Docker Scout. Base-Image-CVEs, OS-Pakete, Layer-Diff. Empfehlung: schlanke Base-Images (Distroless, Chainguard Images), regelmässige Rebuild-Pipeline.
IaC Scanning
Misconfigurations in Terraform/Bicep/Kubernetes-Manifests erkennen (offene Security Groups, Public Buckets, Privileged-Container). Checkov, tfsec, Trivy IaC, KICS, Snyk IaC.
SBOM + Signatur
Syft/cdxgen für SBOM-Erzeugung, Sigstore Cosign für Container- und SBOM-Signatur, SLSA-Provenance-Generator für Build-Herkunfts-Attestation. CRA-/SLSA-tauglich.
DORA-Metriken – DevOps-Reife messen
- Deployment Frequency: Wie oft wird ausgeliefert? Elite: mehrmals täglich. High: täglich bis wöchentlich. Medium: wöchentlich bis monatlich. Low: <1x/Monat.
- Lead Time for Changes: Wie lange von Commit bis Production? Elite: <1 Stunde. High: <1 Tag. Medium: <1 Woche. Low: >6 Monate.
- Change Failure Rate: % der Releases mit Fehler/Rollback. Elite/High: 0–15%. Medium: 16–30%. Low: 46–60%.
- Mean Time to Restore: Wie schnell wieder grün nach Vorfall? Elite: <1 Stunde. High: <1 Tag. Low: >6 Monate.
- Ziel KMU: in 6–12 Monaten von Low/Medium auf High kommen – das ist realistisch und ergibt ROI.
- Messung pragmatisch: Deployment-Events aus CI/CD an Datadog/Grafana/Snowflake, Tickets/Issues aus Jira/GitHub Issues für Change Failures und Incident-Daten.
- Vier-DORA-Metriken sind nicht zu verwechseln mit dem EU DORA Act (Digital Operational Resilience Act, Finanzbranche – eigene Welt).
- „Zwei zusätzliche Metriken" im jüngeren DORA-Report: Reliability (SLO-Erfüllung) und Documentation Quality – ergänzen die vier Klassiker.
- Anti-Pattern: DORA als KPI-Stick statt Reflexions-Werkzeug nutzen – Teams gamen sonst die Zahlen (z. B. winzige Deployments triggern, um Frequency zu erhöhen).
- SPACE-Framework als Ergänzung: Satisfaction, Performance, Activity, Communication, Efficiency – breiter als DORA, weniger fokussiert.
12-Wochen-Plattform-Aufbau
Woche 1–2 – SCM & Plattform-Wahl
Source-Control sauberer Stand (Branch-Strategie, Protection-Rules, Reviewer-Pflicht), Plattform-Wahl GitHub Actions / GitLab CI / Azure DevOps, Repo-Strukturen klären.
Woche 3–4 – Basis-CI (Build + Test)
Pipelines für Build + Test + Lint pro Repo, Dependency-Caching, Matrix-Builds, Test-Reports und Coverage. Status-Checks an Pull-Request-Workflow gekoppelt.
Woche 5–6 – Container & Registry
Dockerfile mit Multi-Stage, schlanker Base-Image, BuildKit-Cache, Push in GHCR/GitLab/ACR/ECR. Image-Tagging-Strategie (semver + commit-sha).
Woche 7–8 – DevSecOps-Bausteine
SAST (Semgrep/CodeQL), SCA (Snyk/Dependabot), Container Scanning (Trivy), IaC Scanning (Checkov), Secret Scanning aktivieren. SBOM-Generation. Break-the-build-Regeln.
Woche 9–10 – CD & IaC
Deployment via Terraform/Pulumi/Bicep an Cloud-Target. OIDC-Federation, keine Long-Lived-Keys. Staging-Auto-Deploy, Production-Approval-Gate. Rollback-Plan.
Woche 11–12 – Observability & DORA
OpenTelemetry-Instrumentierung, Logs/Metriken/Traces in Plattform (Datadog/Grafana/Cloud-native). DORA-Metriken erfassen (Deployment Frequency, Lead Time, CFR, MTTR), Dashboard für Team und Leitung.
Typische Stolpersteine
- Long-Lived Credentials in Pipelines: AWS Access Keys oder Service-Principal-Geheimnisse als Pipeline-Secrets sind 2026 Anti-Pattern – OIDC-Federation für GitHub/GitLab/Azure DevOps zu Cloud-Providern.
- Keine Branch-Protection: Direkt-Pushes auf main, ohne Review, ohne Status-Checks – Hauptursache für „funktioniert nicht"-Releases. Branch-Protection mit Required Reviews + Status Checks Pflicht.
- Tests deaktiviert „weil flaky": einzelne flaky Tests werden zur Norm, dann ganzes Test-Set unzuverlässig. Stattdessen: flaky Tests gezielt fixen, in Quarantäne, nie still ignorieren.
- Manuelle Deployments „weil schneller": kurzfristig schneller, langfristig Drift, Audit-Nightmare, kein Rollback. Pipeline-only-Deploy, auch in Notfällen.
- Container-Images zu fett: 2-GB-Images mit Build-Tools im Runtime-Image – Multi-Stage-Builds zwingen, schlanke Base-Images (Distroless, Alpine, Chainguard).
- IaC ohne State-Lock: parallele Apply-Operationen korrumpieren State – Remote Backend mit Locking (S3+DynamoDB, Terraform Cloud, GitLab managed) Pflicht.
- Secrets im Git-Repo: einmal commited, immer im History – Pre-commit-Hooks, Secret Scanning Push Protection, regelmässige History-Audits.
- Security-Step erst am Ende: SAST/SCA als letzter Pipeline-Step, kein Fail-Fast – Security früh in Pull-Request-Workflow integrieren, sonst Findings im letzten Moment vor Release.
- Renovate/Dependabot ohne Review-Disziplin: Auto-Update-PRs stapeln sich, niemand merged – Renovate mit Auto-Merge für Patch-Updates, Reviewer-Rotation für minor/major.
- Observability als Afterthought: Logs/Metriken/Traces nach Live-Going einzubauen kostet 3x – ab Tag 1 OpenTelemetry instrumentieren, auch wenn Plattform-Wahl später kommt.
Fazit: Plattform ist keine Frage der Grösse
DevOps und CI/CD sind 2026 für Schweizer KMU keine Frage von „leisten wir uns das" mehr, sondern „leisten wir uns die Alternativen nicht zu haben". GitHub Actions im Free-Tier, Terraform / OpenTofu als IaC, Trivy + Syft als Security-/SBOM-Pipeline, OIDC-Federation zu AWS/Azure/GCP – das alles ist mit moderatem Aufwand aufgebaut und liefert sofort messbare Verbesserungen: schnellere Releases, weniger Fehler, sauberer Audit-Trail. Compliance-Themen wie CRA-Pflicht-SBOMs, NIS2-Lieferketten-Anforderungen und ISO-27001-Change-Management werden über die Pipeline „nebenbei" erfüllt.
Der häufigste Fehler ist „wir machen alles auf einmal": Plattform-Wechsel, IaC-Einführung, DevSecOps und Kubernetes im selben Quartal. Pragmatischer Pfad: Basis-CI mit Build/Test in zwei Wochen, Container und Registry in zwei weiteren, dann DevSecOps-Bausteine, dann CD mit IaC, dann Observability. In 12 Wochen ist eine reife Plattform aufgebaut, mit DORA-Baseline und klarer Reife-Story für die Geschäftsleitung. Pflege ist günstiger als Aufbau – ab Monat 4 läuft die Plattform „nebenbei", und das Team gewinnt Zeit für das, wofür es eigentlich da ist: bessere Software für die Kunden.
CI/CD-Plattform in 12 Wochen
Wir bauen Ihre DevOps-Plattform auf – SCM, CI/CD, Container, DevSecOps, IaC, Observability – mit DORA-Baseline und revDSG-/CRA-tauglicher Compliance-Story.
Beratung anfragen