Was ist DevOps? 

DevOps ist eine Reihe von Praktiken, Werkzeugen und kulturellen Prinzipien, die die Softwareentwicklung (Dev) und den IT-Betrieb (Ops) in einem einzigen, automatisierten Lebenszyklus vereinen, damit Organisationen Software schneller und zuverlässiger entwickeln, testen und veröffentlichen können.

DevOps vereint Softwareentwicklung und IT-Betrieb zu einem durchgängigen Workflow. Entwicklungs- und Betriebsteams teilen sich die Verantwortung für das Erstellen, Testen, Bereitstellen und Ausführen von Software und automatisieren jede Phase mithilfe von CI/CD-Pipelines, Infrastruktur als Code und kontinuierlichem Monitoring. Ziel ist es, Änderungen schnell bereitzustellen, ohne Kompromisse bei Stabilität oder Sicherheit einzugehen.

Wichtige Erkenntnisse

• DevOps vereint Entwicklung und Betrieb zu einem automatisierten Lebenszyklus, der auf CI/CD-Pipelines, Infrastruktur als Code und kontinuierlicher Überwachung basiert.
• Der Begriff DevOps wurde auf der ersten DevOpsDays-Konferenz geprägt, die von Patrick Debois im Oktober 2009 in Gent, Belgien, organisiert wurde.
• Die vier DORA-Metriken messen die DevOps-Performance: Bereitstellungshäufigkeit, Vorlaufzeit für Änderungen, Änderungsfehlerrate und Wiederherstellungszeit nach einem fehlgeschlagenen Bereitstellungsvorgang.
• DevSecOps integriert Sicherheit in jede Phase der Pipeline; NIST SP 800-218, das Secure Software Development Framework, definiert die grundlegenden Vorgehensweisen.
• Jede Pipeline basiert auf Geheimnissen, Schlüsseln und Zertifikaten. Nicht signierte Artefakte und fest codierte Anmeldeinformationen zählen zu den häufigsten Schwachstellen in der Software-Lieferkette.

Woher DevOps kommt

DevOps entstand aus der Frustration über die Kluft zwischen Entwicklungsteams, die für die Bereitstellung von Änderungen belohnt wurden, und Betriebsteams, die für die Aufrechterhaltung der Systemstabilität belohnt wurden.

Auf der Agile 2008 Konferenz in Toronto tauschten sich der belgische Berater Patrick Debois und Andrew Clay Shafer über die Idee aus, agile Methoden auf Infrastruktur und Systemadministration anzuwenden. Im Oktober 2009 organisierte Debois die erste DevOpsDays-Konferenz in Gent, Belgien, und der verkürzte Name der Veranstaltung gab der Bewegung ihren Namen.

Die Idee reifte durch das Phoenix-Projekt (2013) und das DevOps-Handbuch (2016), beide von Gene Kim mitverfasst, sowie durch das DORA-Programm (DevOps Research and Assessment), das von Nicole Forsgren, Jez Humble und Gene Kim gegründet wurde. Google Cloud übernahm DORA im Jahr 2018 und veröffentlicht weiterhin die jährlichen Forschungsergebnisse.

Wie funktioniert DevOps?

DevOps funktioniert, indem einem Team oder einer Gruppe eng integrierter Teams die Verantwortung für den gesamten Anwendungslebenszyklus übertragen wird: Planung, Codierung, Entwicklung, Test, Veröffentlichung, Bereitstellung, Betrieb und Überwachung.

Anstatt dass Entwickler fertigen Code an den Betrieb übergeben, verfolgen beide Bereiche dieselben Ziele, nutzen dieselben Tools und tragen dieselbe Verantwortung für den Produktivbetrieb. Das Feedback aus dem Monitoring fließt direkt zurück in die Planung und schließt so den Kreislauf.

Automatisierung ermöglicht die Skalierung des Modells. Manuelle Übergaben (Code-Erstellung, Serverbereitstellung, Testläufe, Release-Veröffentlichung) werden zu Pipelines, die stets dieselben Schritte auf dieselbe Weise ausführen. Wenn Security Engineering in denselben Lebenszyklus integriert wird, spricht man von DevSecOps.

Kernpraktiken im DevOps-Bereich

Sieben Praktiken bilden den operativen Kern von DevOps.

1. Versionskontrolle. Sämtliche Code-, Konfigurations- und Infrastrukturdefinitionen befinden sich in einem versionskontrollierten Repository, typischerweise Git, das als einzige Quelle der Wahrheit dient.
2. Kontinuierliche Integration (CI). Die Entwickler führen regelmäßig Änderungen im gemeinsamen Repository zusammen, und jede Zusammenführung löst einen automatisierten Build- und Testlauf aus, sodass Integrationsprobleme innerhalb von Minuten sichtbar werden.
3. Continuous Delivery (CD). Jede Änderung, die die Tests besteht, wird automatisch für die Freigabe in einer Staging-Umgebung vorbereitet, sodass die Software jederzeit in einem einsatzbereiten Zustand bleibt.
4. Kontinuierlicher Einsatz. Eine Erweiterung des Continuous Delivery-Konzepts, bei der Änderungen, die alle automatisierten Prüfungen bestehen, ohne manuellen Genehmigungsschritt in die Produktion freigegeben werden.
5. Kontinuierliche Tests. Automatisierte Unit-, Integrations-, Sicherheits- und Leistungstests werden in jeder Phase der Pipeline und nicht in einer separaten Testphase durchgeführt.
6. Infrastruktur als Code (IaC). Server, Netzwerke und Cloud-Ressourcen werden in maschinenlesbaren Dateien definiert und über APIs bereitgestellt, wodurch Umgebungen reproduzierbar und überprüfbar werden.
7. Überwachung und Beobachtbarkeit. Protokolle, Metriken und Traces aus Produktionsfeed-Dashboards und Warnmeldungen werden von Site Reliability Engineers verwendet, um die Dienste an definierten Zuverlässigkeitszielen zu messen.

Beliebte DevOps-Tools

Die meisten DevOps-Toolchains kombinieren Werkzeuge aus sechs Kategorien.

Kategorie	Weit verbreitete Werkzeuge	Was sie machen
CI / CD	Jenkins, GitHub Actions, GitLab CI/CD	Automatisieren Sie Build-, Test- und Release-Pipelines
Container und Orchestrierung	Docker, Kubernetes	Pakete für Anwendungen und deren Ausführung auf Clustern
Infrastruktur als Code	Terraform, OpenTofu, AWS CloudFormation	Infrastruktur aus versionierten Dateien definieren und bereitstellen
GitOps	Argo CD, Flux	Laufende Systeme werden kontinuierlich mit einem Git-Repository abgeglichen.
Verwaltung von Geheimnissen	HashiCorp-Tresor	Speichern und Ausstellen von Anmeldeinformationen, API-Schlüsseln und Zertifikaten
Beobachtbarkeit	Prometheus, Grafana	Erfassen Sie Kennzahlen und visualisieren Sie den Systemzustand

Ein Hinweis zur Lizenzierung: Terraform wechselte im August 2023 von Open Source zur Business Source License, was die Linux Foundation dazu veranlasste, OpenTofu zu unterstützen, einen Open-Source-Fork, der im Januar 2024 seine erste stabile Version erreichte.

Wie wird die DevOps-Performance gemessen?

Der Branchenstandard zur Messung der DevOps-Performance ist der 2013 eingeführte Satz von vier Schlüsselmetriken von DORA.

• Einsatzhäufigkeit: wie oft Code die Produktionsumgebung erreicht.
• Vorlaufzeit für Änderungen: Die Zeitspanne vom Code-Commit bis zum Produktionslauf.
• Änderung der Ausfallrate: Der Prozentsatz der Bereitstellungen, die zu einem Ausfall in der Produktion führen.
• Wiederherstellungszeit bei fehlgeschlagener Bereitstellung: Wie schnell der Dienst nach einem fehlgeschlagenen Deployment wiederhergestellt wird (früher als Wiederherstellungszeit des Dienstes bezeichnet).

DORA ergänzte die Zuverlässigkeit 2021 um eine weitere Kennzahl und führte 2024 die Nacharbeitsrate ein. 2025 wurde die jährliche Studie in „State of AI-Assisted Software Development Report“ umbenannt, und die bekannten Leistungsstufen von niedrig bis hoch wurden durch sieben Team-Archetypen ersetzt, die Liefer- und Organisationssignale kombinieren. Eine Erkenntnis hat sich seit einem Jahrzehnt bewährt: Teams, die schneller bereitstellen, sind auch stabiler. Geschwindigkeit und Stabilität schließen sich nicht aus.

Was ist DevSecOps?

DevSecOps erweitert DevOps, indem es Sicherheit zu einer gemeinsamen, automatisierten Verantwortung in jeder Phase der Pipeline macht, anstatt sie erst am Ende zu überprüfen.

In der Praxis bedeutet dies statisches und Abhängigkeits-Scanning in CI-Pipelines, die Erkennung von Geheimnissen vor dem Commit, signierte Build-Artefakte und Richtlinienprüfungen vor dem Deployment. Dieser Wandel beschleunigte sich nach dem SolarWinds-Lieferkettenangriff im Jahr 2020 und der US-Präsidialverordnung 14028 (Mai 2021), die Bundesbehörden zu sicherer Softwareentwicklung verpflichtete. Das NIST kodifizierte die Praktiken in SP 800-218, dem Secure Software Development Framework (SSDF), das im Februar 2022 veröffentlicht wurde, und das OpenSSF SLSA-Framework (Version 1.0, April 2023) definiert Reifegrade für die Integrität der Lieferkette.

Kryptografie spielt dabei eine entscheidende Rolle. Pipelines authentifizieren sich mit Maschinenidentitäten, die von Ihrer Public-Key-Infrastruktur (PKI) ausgestellt werden, Artefakte werden mit Codesignaturzertifikaten signiert, und TLS schützt jede Verbindung. Seit dem 1. Juni 2023 fordert das CA/Browser Forum, dass öffentlich vertrauenswürdige Codesignaturschlüssel generiert und in einem Hardware-Kryptomodul gespeichert werden, das mindestens FIPS 140-2 Level 2, Common Criteria EAL 4+ oder eine gleichwertige Anforderung erfüllt. Eine DevOps-Pipeline ist nur so vertrauenswürdig wie die Schlüssel, Geheimnisse und Zertifikate, die sie ausführen.

Vorteile und Herausforderungen von DevOps

Der messbare Vorteil von DevOps ist eine schnellere Bereitstellung bei gleicher oder besserer Stabilität; die immer wiederkehrende Herausforderung ist der organisatorische Wandel.

Die Forschung von DORA zeigt durchgängig, dass Spitzenunternehmen häufiger deployen, schneller wiederherstellen und seltener Fehler aufweisen als ihre Mitbewerber. Automatisierung eliminiert manuelle Fehler bei Builds und Deployments, und die Verantwortung für den gesamten Lebenszyklus motiviert Teams, das System anstatt einzelner Bereiche zu optimieren.

Die größten Herausforderungen sind selten technischer Natur. DevOps bedeutet, Teamgrenzen neu zu definieren, eingefahrene Prozesse abzuschaffen und Kennzahlen zu wählen, die Ergebnisse statt reiner Geschwindigkeit belohnen. Eine höhere Bereitstellungsfrequenz bringt wenig, wenn die Fehlerrate bei Änderungen steigt. Die unkontrollierte Ausbreitung von Tools führt zu einer zweiten Problemwelle: Jede neue Pipeline erfordert zusätzliche Anmeldeinformationen, Schlüssel und Zertifikate, die inventarisiert und verwaltet werden müssen.

Aktuelle DevOps-Trends

Drei Veränderungen werden DevOps im Jahr 2026 prägen: Plattformentwicklung, GitOps und KI-gestützte Bereitstellung.

Platform Engineering bündelt CI/CD, Infrastruktur und Sicherheitskontrollen in einer internen Entwicklerplattform, sodass Produktteams bewährte Best Practices nutzen können, anstatt eigene Toolchains zusammenzustellen. GitOps wendet dieselbe Vorgehensweise auf den Betrieb an, wobei Tools wie Argo CD die Produktionsumgebung kontinuierlich mit einem Git-Repository abgleichen. Künstliche Intelligenz (KI) durchdringt mittlerweile fast den gesamten Lebenszyklus: Eine 2025 veröffentlichte DORA-Studie ergab, dass 90 Prozent der befragten IT-Experten KI in ihrer täglichen Arbeit einsetzen. Die Studie kam zu dem Schluss, dass KI die bestehenden Stärken und Schwächen eines Unternehmens verstärkt, anstatt schwache Grundlagen zu beheben.

Wie Verschlüsselungsberatung hilft

Der Anwendungsfall „ Securing DevOps“ von Encryption Consulting zeigt, wie die kryptografische Schicht jeder Pipeline geschützt wird. CodeSign Secure zentralisiert die Signierung von Code und Artefakten hinter FIPS 140-2 Level 3-validierten HSMs und integriert sich in CI/CD-Tools wie Jenkins, GitLab und Azure DevOps. So wird jeder Build signiert, mit einem Zeitstempel versehen und protokolliert, ohne die Auslieferung zu verlangsamen. Unsere Beratungsteams unterstützen Sie anschließend bei der Verwaltung der Zertifikate, Schlüssel und Geheimnisse Ihrer Umgebungen. Die Lösungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was ist DevOps in einfachen Worten?

DevOps ist eine Methode zur Softwareentwicklung und zum Softwarebetrieb, bei der Entwickler und Betreiber als ein Team zusammenarbeiten. Sie automatisieren das Erstellen, Testen und Veröffentlichen von Software, sodass Änderungen die Nutzer innerhalb von Tagen oder Stunden statt Monaten erreichen. Zudem überwachen sie die Produktion kontinuierlich, um Probleme schnell zu erkennen und zu beheben.

Was ist der Unterschied zwischen DevOps und DevSecOps?

DevOps integriert Entwicklung und Betrieb in einen automatisierten Lebenszyklus. DevSecOps ergänzt dies um Sicherheit als dritte gemeinsame Verantwortung und bettet Kontrollmechanismen wie Code-Scanning, Geheimniserkennung und Artefaktsignierung direkt in die Pipeline ein, anstatt sie erst in einer abschließenden Prüfung anzuwenden. NIST SP 800-218, das Secure Software Development Framework, definiert die grundlegenden Praktiken, die die meisten DevSecOps-Programme implementieren.

Was ist CI/CD in DevOps?

CI/CD steht für Continuous Integration und Continuous Delivery (bzw. Continuous Deployment). Continuous Integration führt Codeänderungen automatisch zusammen und testet sie, sobald ein Entwickler sie committet. Continuous Delivery hält die Software permanent bereit für die Veröffentlichung, und Continuous Deployment geht noch einen Schritt weiter, indem jede Änderung, die die automatisierten Prüfungen besteht, direkt in die Produktionsumgebung übertragen wird. Tools wie Jenkins, GitHub Actions und GitLab CI/CD steuern diese Pipelines.

Was sind die vier DORA-Kennzahlen?

Die vier DORA-Metriken sind Bereitstellungshäufigkeit, Vorlaufzeit für Änderungen, Änderungsfehlerrate und Wiederherstellungszeit nach fehlgeschlagenen Bereitstellungen (früher: Zeit bis zur Wiederherstellung des Dienstes). Zusammen messen sie sowohl Bereitstellungsgeschwindigkeit als auch Stabilität. Die jährlich von Google Cloud veröffentlichten DORA-Studien zeigen seit über einem Jahrzehnt, dass leistungsstarke Unternehmen in allen vier Bereichen gleichzeitig gute Ergebnisse erzielen.

Ist DevOps ein Werkzeug, eine Berufsbezeichnung oder eine Methodik?

DevOps ist in erster Linie eine Methodik und Kultur, kein einzelnes Tool. Kein Produkt allein macht eine Organisation zu einem DevOps-Unternehmen; vielmehr sind es die Praktiken der gemeinsamen Verantwortung, der Automatisierung und des kontinuierlichen Feedbacks. Dennoch ist DevOps-Ingenieur eine gängige Berufsbezeichnung für Fachkräfte, die Pipelines und Infrastrukturen aufbauen und warten. Ein umfangreiches Ökosystem an Tools, von Jenkins bis Kubernetes, unterstützt diese Praktiken.

Sichern Sie Ihre DevOps-Pipeline

Signierte Artefakte, geschützte Schlüssel und verwaltete Zertifikate gewährleisten eine vertrauenswürdige, schnelle Pipeline. Erfahren Sie mehr über den Anwendungsfall „Securing DevOps“ , sehen Sie CodeSign Secure in Aktion oder sprechen Sie mit einem Berater von Encryption Consulting.