KI-Code-Review

Was ist KI-Code-Review?

KI-Code-Review ist der Einsatz eines großen Sprachmodells, um Codeänderungen auf Bugs, Sicherheitsprobleme, Logikfehler und Stilprobleme zu untersuchen – typischerweise als automatisierter erster Durchgang bei Pull Requests. Es ergänzt das menschliche Review, indem es mechanische Mängel frühzeitig abfängt, sodass Menschen sich auf die Beurteilung von Architektur, Absicht und Eignung für den Zweck konzentrieren können.

Die wichtigsten Punkte

• KI-Review arbeitet auf Diff-Ebene mit Repository-Kontext und erkennt dadurch dateiübergreifende Inkonsistenzen und übersehene Aufrufstellen, die Linter und statische Analyse nicht sehen können.
• Am besten positioniert man es in der Pipeline vor dem menschlichen Review: Das Modell räumt die mechanischen Befunde aus dem Weg, sodass sich die menschliche Aufmerksamkeit auf Design und die Korrektheit der Absicht richten kann.
• Mit der Einführung von agentischem Coding wird es wichtiger, nicht unwichtiger, weil das Volumen an generiertem Code die Kapazität menschlicher Reviews übersteigt. Bis März 2026 hatte allein GitHub Copilot 60 Millionen Code-Reviews durchgeführt – mehr als jedes fünfte Code-Review auf GitHub –, wobei 71 % davon umsetzbares Feedback lieferten, im Schnitt 5,1 Kommentare pro Review [1].
• Das Modell kennt Ihre Geschäftsregeln oder Roadmap nicht. Es prüft den Code gegen den Code – und gegen die Spezifikation nur, wenn Sie ihm eine geben.
• Falsch-Positive sind der Killer für die Akzeptanz. Teams justieren Review-Prompts und Schweregrad-Schwellenwerte genauso, wie sie Linter justieren – sonst lernen Engineers, den Bot zu ignorieren.

So funktioniert es

Ein Review-Agent wird bei einem Pull Request ausgelöst, liest den Diff und zieht den umgebenden Kontext hinzu: die vollständigen geänderten Dateien, Aufrufer und Aufgerufene geänderter Funktionen, Projektkonventionen aus AGENTS.md oder CLAUDE.md und manchmal das verlinkte Ticket oder die Spezifikation. Anschließend denkt er die Änderung durch und sucht nach echten Mängeln: Null-Pfade, Race Conditions, gebrochene Invarianten, fehlende Fehlerbehandlung, Injection-Risiken und Abweichungen zwischen dem, was die PR-Beschreibung behauptet, und dem, was der Diff tatsächlich tut. Die Befunde kommen als Inline-Kommentare zurück, meist mit einem Schweregrad und einem vorgeschlagenen Fix, den der Autor mit einem Klick übernehmen kann.

Produkte in diesem Bereich, darunter GitHub Copilot Code Review, CodeRabbit, Graphites Diamond und auf Claude Code oder ähnlichen Agenten basierende Reviewer in der CI, unterscheiden sich vor allem in Kontexttiefe und Rauschkontrolle. Die Nachfrage kam schnell: Über 1 Million Entwickler nutzten Copilot Code Review während der rund einmonatigen öffentlichen Preview vor der allgemeinen Verfügbarkeit im April 2025 [2]. Die besseren lernen aus aufgelösten und verworfenen Kommentaren, prüfen den Diff gegen die festgelegten Konventionen des Teams und bleiben still, wenn nichts über der Vertrauensschwelle liegt. Manche Teams schließen den Kreis für agentengeschriebene Änderungen vollständig: Ein Agent schreibt den Code, ein anders angewiesener Agent reviewt ihn, und ein Mensch entscheidet bei Meinungsverschiedenheiten – so bleibt das menschliche Urteilsvermögen genau dort im Loop, wo es sich am meisten auszahlt.

Die Platzierung zählt genauso viel wie die Fähigkeit selbst. Vor dem menschlichen Review ausgeführt, verkürzt der KI-Durchgang das menschliche Review. Als Pflichtprüfung mit einem strengen Prompt zum Schweregrad ausgeführt, wird er zu einer KI-Guardrails-Schicht für Änderungen, für die niemand explizit ein Review angefordert hat, etwa automatisierte Dependency-Updates.

Beispiel

Ein Team bindet einen KI-Reviewer als nicht blockierende Prüfung in die CI ein. Bei einem PR, der den Session-Storage auf Redis migriert, hinterlässt der Bot drei Kommentare: Die TTL-Konstante widerspricht dem in der Konfigurations-README dokumentierten Wert, eine Aufrufstelle in einem Cron-Job erstellt noch das alte Session-Objekt, und der neue Client wird pro Anfrage statt gepoolt erstellt. Die ersten beiden sind echte Bugs, die der Autor in zehn Minuten behebt. Der dritte ist für den Traffic dieses Services beabsichtigt, weshalb der Autor ihn mit einer Notiz verwirft – das Gedächtnis des Reviewers merkt sich das, um den Kommentar bei zukünftigen PRs nicht zu wiederholen. Die menschliche Reviewerin verwendet ihre Zeit dann auf die eigentliche Frage, ob der Umstellungsplan der Migration sicher ist, statt veraltete Aufrufstellen aufzuspüren.

Häufige Missverständnisse

Der Fehler besteht darin, KI-Review als Ersatz für menschliches Review zu behandeln statt als Filter davor. Ein Modell prüft die Änderung auf interne Mängel; es kann nicht wissen, dass das Feature einer in einem Meeting getroffenen Entscheidung widerspricht, dass dieses Modul zur Löschung ansteht oder dass der „Fix" einen tieferliegenden Designfehler überdeckt, den ein Senior Engineer schon länger im Blick hat. Teams, die kleine PRs bei grünem Bot-Ergebnis direkt durchmergen, merken das langsam und teuer. Die verlässliche Arbeitsteilung: KI reviewt den Code, Menschen reviewen die Absicht, und nichts wird gemergt, über das kein Mensch überhaupt nachgedacht hat. Diese Vorsicht ist berechtigt und weit verbreitet: 30 % der Befragten in der DORA-Umfrage 2025 gaben an, wenig oder kein Vertrauen in KI-generierten Code zu haben [3].

FAQ

Kann KI einen kompletten PR-Review allein durchführen? Für die mechanische Qualität weitgehend ja: Ein KI-PR-Review-Durchgang erkennt Bugs, Stilabweichungen und Sicherheitsauffälligkeiten mit guter Trefferquote. Für Freigabeentscheidungen nein. Das Modell kennt die Absicht nur aus den bereitgestellten Artefakten und trägt keine Verantwortung für das Ergebnis – deshalb sollte jeder Merge in der Verantwortung eines Menschen liegen.

Erkennt KI-Code-Review Sicherheitslücken? Es erkennt viele gängige, darunter Injection-Muster, fehlende Autorisierungsprüfungen und Secrets in Diffs, und es kann neuartigen Code besser einordnen als signaturbasierte Scanner. Es ergänzt dedizierte SAST-Tools, ersetzt sie aber nicht, und kann Compliance nicht zertifizieren.

Was macht KI-Review bei agentengeneriertem Code effektiv? Volumen und Unabhängigkeit. Agenten erzeugen mehr Diffs, als Menschen tiefgehend lesen können, und generierter Code scheitert auf charakteristische Weise: plausibel aussehende Aufrufe nicht existierender Funktionen, subtil falsches Verhalten an Grenzfällen, Tests, die zu wenig prüfen. Ein Reviewer-Modell mit einem anderen Prompt und im Idealfall einer anderen Perspektive fängt einen bedeutenden Teil davon ab, bevor je ein Mensch draufschaut – und das anschließende menschliche Review startet mit einem saubereren Diff.

Quellen

1. GitHub Blog. „60 Millionen Copilot-Code-Reviews, Anteil an den Reviews auf GitHub und Quote an umsetzbarem Feedback." https://github.blog/ai-and-ml/github-copilot/60-million-copilot-code-reviews-and-counting/. Abgerufen im August 2026.
2. GitHub Changelog. „Allgemeine Verfügbarkeit von Copilot Code Review und Nutzung während der öffentlichen Preview." https://github.blog/changelog/2025-04-04-copilot-code-review-now-generally-available/. Abgerufen im August 2026.
3. Google Cloud / DORA. „DORA-Report 2025: Vertrauen in KI-generierten Code." https://cloud.google.com/blog/products/ai-machine-learning/announcing-the-2025-dora-report. Abgerufen im August 2026.