SAST (Static Application Security Testing)

SAST-Tools überführen Code in Zwischenrepräsentationen (AST, Kontroll- und Datenflussgraphen) und wenden Regeln oder Taint-Analyse an, um unsichere Muster zu erkennen, die mit CWEs verknüpft sind. Da sie ohne Ausführung arbeiten, lassen sie sich in IDEs, Pre-Commit-Hooks und CI/CD-Pipelines einbetten und können Code analysieren, der noch nicht ausgeliefert ist. SAST findet vor allem deterministische Bugs (SQL-Injection, XSS-Sinks, hartcodierte Secrets, schwache Krypto), erzeugt aber Falsch-Positive und übersieht reine Laufzeit-Probleme; daher wird es meist mit SCA und DAST kombiniert. Gängige Werkzeuge: Semgrep, GitHub CodeQL, SonarQube, Checkmarx, Fortify.