In vielen Organisationen ist Testautomatisierung noch immer primär mit funktionalen UI- oder API-Tests gleichgesetzt. Entsprechend konzentrieren sich Strategien, Tools und organisatorische Strukturen häufig auf die Automatisierung funktionaler Regressionstests innerhalb von Continuous-Integration- und Continuous-Delivery-Pipelines(CI/CD-Pipelines). Gleichzeitig existiert ein breites Spektrum weiterer automatisierter Qualitätssicherungsmechanismen, die einen erheblichen Einfluss auf die Softwarequalität haben, aber organisatorisch und methodisch oft weniger strukturiert gesteuert werden.

Testautomatisierung ist mehr als UI- oder API-Tests. Auch statische Prüfungen wie Codeanalysen, Linting oder Security-Scans sowie automatische Performance-, Security- und Accessibility-Tests gehören zur automatischen Qualitätssicherung. Doch wer trägt dafür die Verantwortung? Wie Governance für diese oft dezentralen Aktivitäten in DevOps-Strukturen gestaltet werden kann, stellt dieser Artikel dar.

Tom Kober ist Director Consulting Expert bei CGI. Als strategischer Berater unterstützt er diverse Kunden bei der Professionalisierung oder Konzeption ihrer Testautomatisierungsstrategie. Außerdem ist er ein engagierter Community Lead, der gern Wissen über Best Practices, Innovationen teilt und den Austausch zu Tool-Herstellern fördert.

Dazu gehören insbesondere statische Teststufen wie Codeanalyse, Linting, Architektur- und Dependency-Analysen, Security-Scans oder Lizenzprüfungen sowie automatisierte Tests in nicht-funktionalen Bereichen wie Performance, Security, Accessibility oder Compliance. Eine gute Übersicht über die verschiedenen Scans und Analysen bietet die OWASP DevSecOps Guideline des Open Worldwide Application Security Project (OWASP). Diese Prüfungen laufen häufig automatisiert in Build-Pipelines, DevOps-Plattformen oder Quality-Gate-Mechanismen und liefern kontinuierlich wertvolle Qualitätsindikatoren.

Dennoch werden diese Prüfungen in vielen Organisationen nicht als integraler Bestandteil einer ganzheitlichen Testautomatisierungsstrategie betrachtet. Mit der zunehmenden Verbreitung von DevOps-Arbeitsweisen, Plattform-Engineering und hochgradig automatisierten Delivery-Pipelines steigt jedoch die Bedeutung dieser Qualitätssicherungsmechanismen erheblich. Das ist vor allem eine Folge der Ansprüche an ein schnelleres Testfeedback nach Shift-Left, des steigenden Automatisierungsgrads und automatisierter Quality Gates. Während funktionale Tests primär das Verhalten einer Anwendung validieren, adressieren statische und nicht-funktionale automatisierte Tests systematische Qualitätsrisiken wie technische Schulden, Sicherheitslücken, Performance-Engpässe oder Architekturverletzungen. Sie wirken häufig früher im Entwicklungsprozess und können damit wesentlich effizienter zur Fehlervermeidung beitragen.

Das war die Leseprobe unseres heise-Plus-Artikels "Test-Governance, die funktioniert: Mehr als nur funktionale Automatisierung". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.