SonarQube

SonarQube ist die Plattform von Sonar für Codeprüfung und Code-Governance. Sie analysiert Code, egal ob ein Entwickler oder ein KI-Agent ihn geschrieben hat, auf Bugs, Sicherheitslücken, Wartbarkeit und Architekturprobleme, bevor er ausgeliefert wird. Hinter Sonar steht die SonarSource Sàrl mit Hauptsitz in Vernier bei Genf und einem zweiten Hauptsitz in Austin, Texas. Ein Büro gibt es unter anderem in Bochum.

Die Prüfung läuft an drei Stellen. In der Entwicklungsumgebung zeigt die kostenlose Erweiterung SonarQube for IDE Probleme schon beim Tippen an, etwa in VS Code, Visual Studio, JetBrains-IDEs, Eclipse und Android Studio. Im Pull Request analysiert SonarQube jeden Branch und jede Änderung und schreibt das Ergebnis des Quality Gates als Kommentar in GitHub, GitLab, Bitbucket oder Azure DevOps. Fällt das Gate durch, lässt sich der Merge blockieren. In der CI/CD-Pipeline arbeitet SonarQube mit Jenkins, CircleCI, Harness, Maven und weiteren Werkzeugen zusammen. Abgedeckt sind mehr als 45 Programmiersprachen, Frameworks und Infrastructure-as-Code-Formate. AI CodeFix schlägt mit Sprachmodellen Korrekturen für gefundene Probleme vor, SonarQube Advanced Security ergänzt erweiterte SAST- und SCA-Prüfungen.

SonarQube gibt es in drei Varianten. SonarQube Cloud wird vollständig von Sonar betrieben. SonarQube Server installierst du selbst, auch im eigenen Rechenzentrum oder komplett ohne Internetverbindung. SonarQube for IDE ist das kostenlose Plugin für den Editor. Die Cloud läuft bei Amazon Web Services. Neue Konten landen standardmäßig in der EU-Region in Frankfurt am Main, Backups liegen in Irland. Die Region wird bei der Anmeldung festgelegt und lässt sich später nicht ändern. Sonar nennt eine Zertifizierung nach ISO 27001:2022 und ein SOC-2-Type-II-Testat für alle Produkte.

Im Mai 2026 hat Sonar das Start-up Gitar übernommen. Gitar ist ein KI-Agent für Code-Reviews, der Pull Requests liest, einen zusammengefassten Kommentar und gezielte Zeilenkommentare schreibt, Korrekturen erzeugt, sie gegen die CI prüft und erst committet, wenn der Build grün ist. Außerdem unterscheidet Gitar echte CI-Fehler von instabilen Tests. Gitar arbeitet mit GitHub, GitLab, Bitbucket und Azure DevOps, selbst betriebenes GitLab gibt es im Enterprise-Tarif. Sonar beschreibt die Aufteilung so: SonarQube prüft regelbasiert und reproduzierbar, Gitar ergänzt eine KI-Schicht, die Kontext und Absicht einer Änderung bewertet. Gitar ersetzt SonarQube also nicht. Bislang sind beide Produkte getrennt, ohne gemeinsames Quality Gate oder Dashboard, eine engere Verzahnung ist angekündigt.

Die Preise (Stand 11/2026) nennt Sonar mit Dollarzeichen. SonarQube Cloud Free ist dauerhaft kostenlos für private Projekte bis 50.000 Codezeilen. Team beginnt bei 34 Dollar pro Monat für bis zu 100.000 Codezeilen, ist für Teams mit weniger als 50 Entwicklern gedacht und lässt sich 14 Tage testen. Enterprise wird jährlich nach Angebot abgerechnet und bringt SSO, SCIM, Portfolios und Compliance-Berichte. SonarQube Server ist als Community Build kostenlos und quelloffen, Branch- und Pull-Request-Analyse kommen aber erst mit der Developer Edition. Developer, Enterprise und Data Center werden pro Instanz und Jahr nach Codezeilen lizenziert, Preise gibt es nur auf Anfrage. Gitar kostet im Tarif Core 20 Dollar und im Tarif Pro 40 Dollar pro Nutzer und Monat bei jährlicher Abrechnung, Pro kann 14 Tage kostenlos getestet werden.

SonarQube passt zu Teams, die Codequalität und Sicherheit verbindlich im Merge-Prozess durchsetzen wollen, vom kleinen Team mit der Cloud bis zum Konzern mit eigenem Server. Grenzen gibt es auch: Die Abrechnung nach Codezeilen ist bei großen Codebasen schwer vorab zu kalkulieren, die Server-Preise sind nicht öffentlich, und Gitar muss bislang separat gekauft und eingerichtet werden. Wer nur KI-Kommentare im Pull Request sucht, ist mit einem reinen KI-Reviewer schneller startklar.