M 2.62 Software-Abnahme- und Freigabe-Verfahren

Verantwortlich für Initiierung: Leiter IT

Verantwortlich für Umsetzung: Leiter IT

Der Einsatz von IT zur Aufgabenbewältigung setzt voraus, daß die maschinelle Datenverarbeitung soweit wie möglich fehlerfrei arbeitet, da die Kontrolle der Einzelergebnisse in den meisten Fällen nicht mehr zu leisten ist. Im Zuge eines Software-Abnahme-Verfahrens wird deshalb überprüft, ob die betrachtete Software fehlerfrei arbeitet, das heißt, ob die Software die erforderliche Funktionalität zuverlässig bereitstellt und ob sie darüber hinaus keine unerwünschten Nebeneffekte hat. Mit der anschließenden Freigabe der Software durch die fachlich zuständige Stelle wird die Erlaubnis erteilt, die Software zu nutzen. Gleichzeitig übernimmt diese Stelle damit auch die Verantwortung für das IT-Verfahren, daß durch die Software realisiert wird.

Bei der Software-Abnahme unterscheidet man sinnvollerweise zwischen Software, die selbst oder im Auftrag entwickelt wurde, und Standardsoftware, die nur für den speziellen Einsatzzweck angepaßt wird.

Abnahme von selbst- oder im Auftrag entwickelter Software

Bevor der Auftrag zur Software-Entwicklung intern oder extern vergeben wird, muß die Anforderungsdefinition für die Software erstellt sein, aus der dann das Grob- und Feinkonzept für die Realisierung entwickelt wird. Anhand dieser Dokumente erstellt die fachlich zuständige Stelle, nicht die für die Software-Entwicklung zuständige Stelle, im allgemeinen einen Abnahmeplan.

Üblicherweise werden hierzu Testfälle und die erwarteten Ergebnisse für die Software erarbeitet. Anhand dieser Testfälle wird die Software getestet und der Abgleich zwischen berechnetem und erwartetem Ergebnis wird als Indiz für die Korrektheit der Software benutzt.

Zur Entwicklung der Testfälle und zur Durchführung der Tests ist folgendes zu beachten:

• die Testfälle werden von der fachlich zuständigen Stelle entwickelt,
• für Testfälle werden keine Daten des Wirkbetriebs benutzt,
• Testdaten, insbesondere wenn sie durch Kopieren der Wirkdaten erstellt werden, dürfen keine vertraulichen Informationen beinhalten; personenbezogene Daten sind zu anonymisieren oder zu simulieren,
• die Durchführung der Tests darf keine Auswirkungen auf den Wirkbetrieb haben; nach Möglichkeit sollte ein logisch oder physikalisch isolierter Testrechner benutzt werden.

• Schwerwiegende Fehler in der Software festgestellt werden,
• Testfälle auftreten, in denen die erwarteten Ergebnisse nicht mit den berechneten übereinstimmen,
• Benutzerhandbücher oder Bedienungsanleitungen nicht vorhanden oder von nicht ausreichender Qualität sind und
• Dokumentation der Software nicht vorhanden oder nicht ausreichend ist.

• Bezeichnung und Versionsnummer der Software und ggf. des IT-Verfahrens,
• Beschreibung der Testumgebung,
• Testfälle und Testergebnisse und
• Abnahmeerklärung.

Wird Standardsoftware beschafft, so sollte auch diese einer Abnahme und einer Freigabe unterzogen werden. In der Abnahme sollte überprüft werden, ob

• die Software frei von Computer-Viren ist,
• die Software kompatibel zu den anderen eingesetzten Produkten ist,
• die Software in der angestrebten Betriebsumgebung lauffähig ist und welche Parameter zu setzen sind,
• die Software komplett einschließlich der erforderlichen Handbücher ausgeliefert wurde und
• die geforderte Funktionalität erfüllt wird.

Ist die Abnahme der Software erfolgt, muß die Software für die Nutzung freigegeben werden. Dazu ist zunächst festzulegen, wer berechtigt ist, Software freizugeben. Die Freigabe der Software ist schriftlich festzulegen und geeignet zu hinterlegen.

Die Freigabeerklärung sollte umfassen:

• Bezeichnung und Versionsnummer der Software und ggf. des IT-Verfahrens,
• Bestätigung, daß die Abnahme ordnungsgemäß vorgenommen wurde,
• Einschränkungen für die Nutzung (Parametereinstellung, Benutzerkreis, ...),
• Freigabedatum, ab wann die Software eingesetzt werden darf und
• die eigentliche Freigabeerklärung.

Auch nach intensiven Abnahmetests kann es vorkommen, daß im laufenden Einsatz Fehler in der Software festgestellt werden. Für diesen Fall ist festzulegen, wie in einem solchen Fehlerfall verfahren werden soll (Ansprechpartner, Fehlerbeseitigungsablauf, Beteiligung der fachlich zuständigen Stelle, Wiederholung der Abnahme und Freigabe, Versionskontrolle).

Für weiterführende Erklärungen siehe Kapitel 9.1 Standardsoftware .

Ergänzende Kontrollfragen:

• Gibt es für sämtliche eingesetzte Software eine Abnahme- und Freigabebestätigung?
• Werden Fehler auch ohne Beteiligung der fachlich zuständigen Stelle beseitigt?
• Kann im Einsatz befindliche Software unerkannt manipuliert werden?

© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000 .