Web App entwickeln lassen: was Aufbau und Betrieb kosten

Eine Webanwendung ist Software, die im Browser läuft und um den Prozess einer Organisation herum gebaut ist, statt an viele verkauft zu werden. Die Grenze zur Website verläuft nicht optisch. Eine Website veröffentlicht Informationen, eine Anwendung hält Zustand, setzt Regeln durch und verrichtet Arbeit: Konten, Berechtigungen, Datensätze, die sich ändern, und Logik, die Folgen hat, wenn sie falsch ist.

Dieser Unterschied entscheidet alles Weitere: Kosten, Zeitplan, Sicherheitspflichten und wen Sie beauftragen sollten. Dieser Artikel zeigt, wo die Grenze tatsächlich verläuft, was eine Entwicklung 2026 kostet und welche Teile eines Angebots belastbar sind.

Der praktische Test lautet: Gibt es Nutzer, die sich anmelden, und Daten, die sich durch ihr Handeln ändern? Ein Buchungssystem, ein Händlerportal, ein internes Kalkulationswerkzeug und ein Schadensworkflow sind Anwendungen. Eine Imagewebsite mit Kontaktformular ist keine, auch wenn sie technisch sauber gebaut ist. Diese Unterscheidung ist keine Wortklauberei, sondern bestimmt den Preisrahmen.

Drei Dinge trennen beide technisch. Eine Anwendung hat Authentifizierung und Autorisierung, muss also nicht nur wissen, wer Sie sind, sondern auch, was Sie sehen dürfen. Sie hat dauerhaften Zustand, den mehrere Personen gleichzeitig ändern, was Transaktionen, Konfliktbehandlung und Protokollierung nach sich zieht. Und sie hat Geschäftsregeln, die im Code leben statt in einem Dokument. Dort steckt der größte Teil des Testaufwands.

Trifft keiner der drei Punkte zu, sprechen Sie über eine Website und sollten keine Anwendungspreise bezahlen.

Die meisten Unternehmen kommen über Schmerz zu dieser Frage, nicht über Strategie. Eine Tabelle ist zum führenden System geworden, drei Personen mailen Versionen davon hin und her, und etwas Teures ist bereits schiefgegangen. Vier Muster tauchen immer wieder auf, und jedes davon ist ein berechtigter Anlass, über eine eigene Anwendung nachzudenken.

Eine Tabelle steuert einen echten Prozess. Preisfindung, Zuteilung, Terminplanung. Das funktioniert, bis zwei Personen gleichzeitig bearbeiten oder bis derjenige geht, der die Formeln gebaut hat.

Kunden fragen nach Zugriff auf ihre eigenen Daten. Bestellhistorie, Dokumente, Projektstand. PDFs zu mailen skaliert nicht, und ein Portal ist die übliche Antwort. Unser Leitfaden zum Kundenportal behandelt genau diesen Fall.

Zwischen zwei Systemen fehlt ein Arbeitsablauf. Das ERP führt Bestände, das CRM führt Kunden, und ein Mensch tippt täglich zwischen beiden ab.

Das Standardwerkzeug deckt 70 % des Prozesses ab. Die restlichen 30 % sind genau die Stelle, an der Ihre Marge entsteht, und keine Konfiguration reicht dorthin.

Die Preise europäischer Agenturen beginnen mit Stand August 2026 bei etwa €12.000 für eine wirklich kleine Anwendung und steigen von dort schnell. Anders als bei einer Website sagt die Seitenzahl nichts aus: Den Preis treiben die Zahl unterschiedlicher Nutzerrollen, die Zahl angebundener Fremdsysteme und die Frage, ob die Daten reguliert sind.

Eine brauchbare Faustregel beim Lesen von Angeboten: Die erste lauffähige Version kostet etwa die Hälfte der Gesamtsumme. Die andere Hälfte ist alles, was sie überlebensfähig macht, also Fehlerbehandlung, Sonderfälle bei Berechtigungen, Übernahme vorhandener Daten und die Auswertungen, die beim Auftakt niemand erwähnt hat.

Der günstigste Hebel auf den Preis sind Rollen, nicht Funktionen. Jede zusätzliche Nutzerart vervielfacht die Berechtigungsfälle, die entworfen, gebaut und getestet werden müssen, und zwar schneller als eine zusätzliche Maske es tut.

Ein System mit einer Rolle und zwanzig Masken ist regelmäßig günstiger als eines mit vier Rollen und acht Masken. Existiert eine Rolle nur, um einen Bericht anzusehen, prüfen Sie, ob ein Export im ersten Jahr genügt.

Auftraggeber stellen sich die Bildschirme vor. Die Bildschirme sind vielleicht ein Drittel der Arbeit. Darunter liegen vier Schichten, die selten im Angebot auftauchen und immer auf der Rechnung. Wer ihre Namen kennt, liest eine Kalkulation deutlich kritischer und erkennt schnell, wo ein günstiges Angebot dünn ist.

Datenmodell und Datenübernahme. Die Objekte definieren und übernehmen, was bereits existiert, üblicherweise eine Tabelle mit uneinheitlichen Daten, die vor dem Import bereinigt werden muss.

Anmeldung und Berechtigungen. Rollen, Sitzungen, Passwortwiederherstellung und die Matrix, wer was darf. Kurz zu beschreiben, aufwendig zu testen.

Schnittstellen. Jedes Fremdsystem ist ein eigenes Teilprojekt: Zugangsdaten, Ratenbegrenzungen, Fehlerbehandlung und ein Plan für den Fall, dass die Gegenseite nicht erreichbar ist.

Nachvollziehbarkeit. Protokolle, Alarme und eine Möglichkeit, die Frage zu beantworten, was das System am Dienstag um 14:20 Uhr getan hat.

Tests liegen quer über allen vier Schichten. Entscheidend ist nicht, ob der Normalfall funktioniert, sondern was bei den Ausnahmen passiert: doppelte Absendung, abgelaufene Sitzung mitten im Formular, zwei Personen am selben Datensatz, eine Schnittstelle mit Zeitüberschreitung.

Drei bis sechs Monate bis zur ersten produktiven Version sind für eine mittelgroße Anwendung normal. Der Zeitplan kippt aus Gründen, die vorhersehbar genug sind, um sie einzuplanen, und nach unserer Erfahrung verursachen zwei davon den größten Schaden. Beide lassen sich vor Vertragsschluss günstig entschärfen.

Der erste ist eine Analyse per Interview statt per Beobachtung. Menschen beschreiben den Prozess, den sie zu befolgen glauben. Der tatsächliche hat Ausnahmen, und die Ausnahmen sind die Anforderungen. Einen Tag zuzusehen findet sie, ein Workshop meist nicht.

Der zweite ist eine Schnittstelle zu einem System ohne Eigentümer. Die Schätzung unterstellt, dass eine API existiert und dokumentiert ist. In Woche sechs stellt sich das Gegenteil heraus, und ein Gespräch mit einem Fremdanbieter liegt nun auf dem kritischen Pfad.

Eine einwöchige technische Vorabprüfung vor der Preisfixierung fängt fast alles davon ab.

Kaufen schlägt Bauen in den meisten Fällen, und jede Agentur, die etwas anderes behauptet, verkauft. SaaS gewinnt beim Preis, bei der Zeit bis zum Nutzen und dadurch, dass jemand anderes die Sicherheitsupdates übernimmt. Es gibt drei Situationen, in denen das aufhört, und sie sind präzise benennbar.

Der Prozess ist der Unterschied. Wenn Ihre Art zu kalkulieren, zu steuern oder zu bepreisen der Grund ist, warum Kunden Sie wählen, nimmt ein Werkzeug, das alle nutzen, genau diesen Vorteil weg.

Der Preis pro Nutzer wächst über die Entwicklung hinaus. Bei 200 Nutzern sind €40 je Platz und Monat rund €96.000 im Jahr. Eine Entwicklung mit Fünfjahreshorizont wird damit zur Rechenaufgabe.

Die Daten dürfen das Haus nicht verlassen. Speicherort, Aufbewahrung oder Branchenregeln schließen eine geteilte Plattform mitunter ganz aus, und DSGVO-Pflichten lassen sich auf eigener Infrastruktur leichter erfüllen.

Es gibt außerdem einen Mittelweg, der zu selten geprüft wird: eine konfigurierbare Plattform mit einer dünnen eigenen Schicht darüber.

Das Standardwerkzeug führt die Datensätze, und eine kleine eigene Anwendung übernimmt nur den Teil, der wirklich Ihnen gehört. Das kostet einen Bruchteil einer Vollentwicklung und überlebt länger, weil der Anbieter die große Hälfte weiter pflegt. Lassen Sie sich diese Variante neben der Vollentwicklung bepreisen.

Referenzmappen zeigen Bildschirme, also genau den Teil, der am wenigsten verrät. Vier Fragen trennen Teams, die Software betrieben haben, von Teams, die sie nur ausgeliefert haben, und keine davon ist so technisch, dass Sie einen Entwickler danebensetzen müssten.

"Zeigen Sie mir etwas, das Sie noch betreuen." Bauen ist einfach, drei Jahre mit einer Entscheidung zu leben ist die Fähigkeit.

"Was ist im letzten Projekt schiefgegangen?" Ein Team ohne Antwort hat entweder zu wenig ausgeliefert oder ist nicht offen.

"Wem gehören Code und Infrastrukturkonten?" Die Antwort sollte Ihnen lauten, schriftlich, samt Repository-Zugang ab Tag eins.

"Was passiert, wenn wir die Zusammenarbeit beenden?" Dokumentation, Übergabe, Zugangsdaten. Laut der Stack Overflow Developer Survey gehört technische Altlast durchgängig zu den meistgenannten Frustrationen professioneller Entwickler, und ein Teil davon sind geerbte Systeme, die niemand erklären kann.

Eine fünfte Frage lohnt sich, wenn der Betrieb geschäftskritisch ist: Wie schnell reagieren Sie, wenn das System an einem Freitagabend ausfällt, und was steht dazu im Vertrag?

Sicherheit ist keine Funktion, die man später ergänzt, und sie so zu behandeln ist der Weg, auf dem aus einem Projekt für €30.000 ein Projekt für €30.000 plus ein Sicherheitsvorfall wird. Die Grundlage ist nicht exotisch, und ein fähiges Team liefert sie mit, ohne gefragt zu werden.

Die OWASP Top 10 sind die Referenz, mit der die Branche tatsächlich arbeitet: fehlerhafte Zugriffskontrolle, Injection, Fehlkonfiguration und der Rest. Fragen Sie, ob Ihr Aufbau sie adressiert, und fragen Sie, welche Tests das belegen.

Darüber hinaus steigen die Kosten mit der Pflicht. Personenbezogene Daten bedeuten Aufbewahrungsfristen, Export und Löschung. Zahlungen bedeuten, dass Sie Kartendaten gar nicht speichern sollten. Regulierte Branchen bedeuten Prüfpfade und Nachweise. Rechnen Sie mit 10 % bis 20 % Aufschlag, wo eines davon zutrifft.

Eine Pflicht wird leicht vergessen, weil sie nicht technisch ist: Jemand muss nach dem Start weiterhin Updates einspielen. Benennen Sie die Person oder den Vertrag, bevor Sie unterschreiben.

Eine Abhängigkeit mit bekannter Schwachstelle ist nur dann ein Risiko, wenn sie ungepatcht bleibt, und das ist eine Betriebs- und keine Entwicklungsaufgabe. Genau hier wird aus einer sauber gebauten Anwendung mit der Zeit eine unsichere.