CI/CD

Beides ist gebräuchlich, und der Unterschied ist ein Freigabeschritt. Continuous Delivery endet mit einem geprüften Paket, das jederzeit veröffentlicht werden kann – den Auslöser drückt ein Mensch. Continuous Deployment veröffentlicht ohne diesen Halt, sobald die Tests bestehen. Technisch trennt beide oft nur eine Zeile in der Ablaufdatei; organisatorisch trennt sie die Frage, wer haftet, wenn eine Änderung ohne Zutun live geht. Im Vertrag gehört die gemeinte Lesart ausgeschrieben; das Kürzel allein sagt nichts darüber.

Auf die Bindung an einen unveränderlichen Commit-Hash statt an eine Versionsmarke. Marken lassen sich nachträglich verschieben: Vom 12. bis 15. März 2025 zeigten im Vorfall CVE-2025-30066 alle Marken eines verbreiteten Bausteins auf einen Schadstand, der Zugangsdaten in die Protokolle schrieb. Die US-Behörde CISA forderte am 18. März 2025 das Erneuern aller betroffenen Zugangsdaten; das Festnageln auf Hashes stammt aus den Untersuchungsberichten. Wie viele Projekte dabei Daten verloren, ist nicht erhoben.

Er stellt den Code zurück, nicht die Daten. Ein Rückweg tauscht Dateien; eine gelöschte Spalte oder eine umbenannte Tabelle bleibt gelöscht, und die alte Codefassung findet sie nicht mehr vor. Deshalb gilt die Regel: Schemaänderung und Codeänderung in zwei getrennten Veröffentlichungen, erst ergänzen, dann umstellen, das Alte später entfernen. Wer beides in einen Durchlauf legt, hat die Rückfahrkarte technisch, aber nicht praktisch.

Die Freigabe erteilt derjenige, der die Änderung zusammenführt – nicht die Pipeline. Der Anhang A der ISO/IEC 27001 in der Fassung 2022 verlangt für Änderungen an Systemen ein dokumentiertes Verfahren samt geregelter Autorisierung und Funktionstrennung: Wer eine Änderung einbringt, darf sie nicht selbst genehmigen. Eine Pipeline erfüllt das, wenn die Zustimmung eines zweiten Menschen im Zusammenführungsantrag nachweisbar bleibt. Ohne Zertifizierung ist das keine Pflicht, wohl aber der Maßstab, an dem ein Prüfer später misst.

Bei GitHub Actions sind es im kostenfreien Plan 2.000 Minuten im Monat für nicht öffentliche Projekte, 3.000 im Team-Plan und 50.000 in der Unternehmensfassung; öffentliche Projekte laufen ohne Abzug, abgerufen am 14.09.2026. Bei zehn Minuten je Durchlauf ergeben 2.000 Minuten 200 Durchläufe – bei 22 Arbeitstagen rund neun am Tag. Läufer mit Windows und macOS zehren stärker am Kontingent als solche mit Linux.