Web App entwickeln lassen: was Aufbau und Betrieb kosten

Individuelle Webanwendungsentwicklung ist die gezielte Programmierung browserbasierter Software mit interaktiver Geschäftslogik, sicherer rollenbasierter Authentifizierung und persistentem Datenbankstatus anstelle statischer Webseiten. Im Jahr 2027 liegen europäische Entwicklungsbudgets bei €12.000 bis €25.000 für fokussierte MVPs, €25.000 bis €60.000 für B2B-Portale und €60.000+ für komplexe unternehmensweite Plattformen.

Diese architektonische Abgrenzung entscheidet alles Weitere: das Investitionsbudget, den realistischen Zeitplan, die regulatorischen Sicherheitspflichten und welches Entwicklungsteam Sie beauftragen sollten. Ganz gleich, ob Sie ein internes Steuerungswerkzeug planen oder unseren Leitfaden zur Webportal-Entwicklung für eine Kundenplattform heranziehen, dieser Artikel zeigt präzise, wo die technische Grenze verläuft, was ein produktiver Aufbau im Jahr 2027 kostet und welche Positionen eines Angebots handfeste Ingenieursarbeit abbilden.

Der praktische Test lautet: Gibt es Nutzer, die sich anmelden, und Daten, die sich durch ihr Handeln unmittelbar ändern? Ein Buchungssystem, ein Händlerportal, ein internes Kalkulationswerkzeug und ein digitaler Schadensworkflow sind echte Webanwendungen. Eine Unternehmenswebsite mit Kontaktformular ist keine, auch wenn sie technisch sauber und modern gebaut ist. Diese Abgrenzung ist keine theoretische Wortklauberei, sondern bestimmt von Anfang an den realistischen Kostenrahmen und die Systemarchitektur.

Drei technische Merkmale trennen beide Welten eindeutig voneinander. Eine Webanwendung verfügt über Authentifizierung und Autorisierung, muss also nicht nur zweifelsfrei prüfen, wer sich anmeldet, sondern datensatzgenau entscheiden, welche Informationen diese Person sehen, anlegen oder freigeben darf. Sie verwaltet einen dauerhaften Systemzustand, den mehrere Mitarbeiter, Kunden oder Lieferanten gleichzeitig verändern, was Datenbanktransaktionen, Sperrmechanismen, Konfliktbehandlung und lückenlose Änderungsprotokolle erfordert. Und sie bildet komplexe Geschäftsregeln direkt im Programmcode ab statt in einem statischen PDF-Dokument, weshalb genau dort der größte Teil des automatisierten Testaufwands entsteht.

Während sich individuelle Webentwicklung vorrangig auf maßgeschneiderte Markenarchitektur, Suchmaschinen-Sichtbarkeit und redaktionelle Inhaltspräsentation konzentriert, steuern Webanwendungen authentifizierte Benutzerprozesse und geschäftskritische Transaktionen. Trifft keiner dieser drei Kernpunkte auf Ihr Vorhaben zu, planen Sie in Wahrheit eine Website und sollten dafür keinesfalls Anwendungspreise bezahlen.

Die meisten Unternehmen kommen über operativen Schmerz zu dieser Frage, nicht über abstrakte Strategie. Eine geteilte Kalkulationstabelle ist schleichend zum führenden System geworden, drei Abteilungen mailen abweichende Versionen davon hin und her, und ein teurer Abrechnungs- oder Lieferfehler ist bereits passiert. Vier konkrete Betriebsmuster tauchen immer wieder auf, und jedes davon ist ein berechtigter Anlass, über eine eigene Anwendung nachzudenken.

Eine Tabelle steuert einen echten Geschäftsprozess. Preisfindung, Kontingentzuteilung, Disposition von Außendiensttechnikern. Das funktioniert im Tagesgeschäft nur so lange, bis zwei Personen gleichzeitig dieselbe Datei bearbeiten, Versionskonflikte überschreiben oder bis der Mitarbeiter das Unternehmen verlässt, der die komplexen Makros und Formeln ursprünglich aufgebaut hat.

Kunden fragen nach direktem Self-Service-Zugriff auf ihre eigenen Daten. Bestellhistorie, Zolldokumente, Echtzeit-Projektstand und Rechnungsdownloads. PDFs manuell per E-Mail zu versenden skaliert nicht, während die Entwicklung spezialisierter Webportale eine abgesicherte, interaktive Schnittstelle bereitstellt. Unser umfassender Leitfaden zur Webportal-Entwicklung sowie unser Leitfaden zum Kundenportal behandeln diese Architekturen im Detail.

Zwischen zwei Kernsystemen fehlt ein kontrollierter Arbeitsablauf. Das ERP-System führt die Lagerbestände und das CRM verwaltet die Kundenverträge, während Innendienstmitarbeiter täglich Aufträge manuell zwischen beiden Systemen abtippen und dabei Übertragungsfehler riskieren.

Das Standardwerkzeug deckt 70 % des Prozesses ab. Die restlichen 30 % sind genau die Stelle, an der Ihre operative Marge entsteht, beispielsweise bei mehrstufigen Sonderfreigaben, kundenindividuellen Staffelpreisen oder branchenspezifischen Prüfprotokollen, die kein Standardmodul ohne fragile Umwege abbilden kann.

Die Entwicklungsbudgets europäischer Fachagenturen gliedern sich im Jahr 2027 in drei klare Investitionsstufen: €12.000 bis €25.000 für fokussierte MVP-Webanwendungen und Kundenportale, €25.000 bis €60.000 für mandantenfähige B2B-SaaS-Plattformen mit rollenbasierter Zugriffskontrolle und bidirektionaler ERP- oder CRM-Synchronisation sowie €60.000 bis €120.000+ für unternehmensweite Workflow-Systeme mit Single Sign-On, revisionssicherer Protokollierung und hochverfügbaren APIs. Anders als bei einer Website sagt die Zahl der Bildschirme nichts über den Aufwand aus. In unserer transparenten Preisübersicht finden Sie ergänzende modulare Richtwerte.

Eine verlässliche Faustregel beim Prüfen von Angeboten lautet: Der erste funktionierende Standardpfad kostet rund die Hälfte der Gesamtsumme. Die andere Hälfte fließt in alles, was die Software im täglichen Echtbetrieb belastbar macht, darunter idempotente Fehlerbehandlung, Grenzwerte bei Rollenberechtigungen über Mandantengrenzen hinweg, automatisierte Migration gewachsener Altdaten sowie Auswertungen, die beim Projektstart niemand erwähnt hat.

Über den gesamten Projektverlauf verteilt sich das Ingenieurbudget nach festen Erfahrungswerten: Backend-API, Datenbankschema und Authentifizierung beanspruchen 30 % des Budgets, die Frontend-Architektur in React oder Next.js samt Zustandsverwaltung erfordert 25 %, auf Discovery, Domänenmodellierung und Systemdesign entfallen 15 %, die Integration von ERP-, CRM- und Zahlungsdiensten nimmt 15 % ein, und automatisierte Qualitätssicherung, Sicherheitshärtung sowie CI/CD-Pipelines machen die verbleibenden 15 % aus.

Der wirksamste Hebel zur Kostensteuerung sind Nutzerrollen, nicht einzelne Funktionen. Jede zusätzliche Nutzerart vervielfacht die Berechtigungsmatrizen, die auf API- und Datenbankebene entworfen, abgesichert und automatisiert getestet werden müssen. Ein System mit einer einzigen Rolle und zwanzig Masken ist regelmäßig günstiger als eines mit vier Rollen und acht Masken. Existiert eine Rolle ausschließlich, um einen Wochenbericht einzusehen, prüfen Sie, ob ein automatisierter CSV- oder PDF-Export im ersten Betriebsjahr ausreicht.

Auftraggeber stellen sich meist die visuellen Masken vor, doch Oberflächenkomponenten machen nur etwa ein Viertel bis ein Drittel des gesamten Entwicklungsaufwands aus. Darunter liegen drei zentrale Architekturpfeiler, die Stabilität, Sicherheit und langfristige Betriebskosten maßgeblich bestimmen. Wer diese technischen Dimensionen versteht, kann Angebote fundiert beurteilen.

1. API-Gateway und Fachdienste. Moderne Webanwendungen entkoppeln das Browser-Frontend über ein API-Gateway von der Rechenlogik im Backend, typischerweise umgesetzt mit REST, GraphQL oder tRPC mit durchgehenden TypeScript-Typverträgen. Das Gateway steuert Ratenbegrenzung, Nutzlastvalidierung über Laufzeitschemata wie Zod, Idempotenzschlüssel bei Zahlungstransaktionen sowie Warteschlangen für fehlgeschlagene Webhooks. Strenge Schnittstellenverträge verhindern Synchronisationsfehler zwischen Frontend- und Backend-Releases.

2. Enterprise-Identitätsmanagement und rollenbasierte Zugriffskontrolle. Multi-User-Systeme erfordern ein zuverlässiges Identitätsmanagement auf Basis von OAuth 2.0, OpenID Connect (OIDC) und SAML 2.0 Single Sign-On (SSO). Die Authentifizierungspipeline verwaltet kurzlebige JSON Web Tokens, rotierende Refresh-Tokens und Multi-Faktor-Authentifizierung. Eine granulare rollenbasierte Zugriffskontrolle (RBAC) prüft Berechtigungen sowohl in der Edge-Middleware als auch auf Datenbankebene, sodass Kunden, Partner und Administratoren ausschließlich autorisierte Datensätze abrufen.

3. Skalierbare Persistenz und Mandantentrennung in der Datenbank. Die relationale Datenintegrität baut auf ACID-konformer Speicherung auf, standardmäßig realisiert mit PostgreSQL über Supabase oder Prisma ORM. Row-Level Security (RLS) erzwingt die kryptografische und logische Mandantentrennung direkt im Datenbankkern und schützt selbst bei komplexen Berichtsabfragen vor Datenlecks zwischen Kundenorganisationen. Automatisierte Point-in-Time-Backups und versionierte Schema-Migrationen sichern Geschäftsdaten ohne proprietären Anbieter-Lock-in.

Automatisierte Tests liegen quer über allen drei Pfeilern. Entscheidend ist im Geschäftsbetrieb nicht allein, ob der Normalfall funktioniert, sondern wie das System auf Ausnahmen reagiert: doppeltes Absenden einer Zahlung, eine abgelaufene Sitzung mitten im mehrstufigen Formular, zwei Disponenten am selben Auftrag oder ein ERP-Abgleich mit Zeitüberschreitung.

Drei bis sechs Monate gelten in der Praxis als realistischer Zeitrahmen für eine erste produktive Version einer mittelgroßen Webanwendung. Fokussierte MVPs und klar abgegrenzte Kundenportale gehen meist nach sechs bis zehn Wochen live, während mandantenfähige B2B-Plattformen mit bidirektionaler ERP-Synchronisation zwölf bis zwanzig Wochen in strukturierten Zwei-Wochen-Sprints benötigen. Zeitpläne kippen fast immer aus Gründen, die vorhersehbar genug sind, um sie vorab abzufangen.

Die erste Hauptursache ist Discovery durch Interviews statt durch Beobachtung am Arbeitsplatz. Fachabteilungen beschreiben in Workshops den Idealprozess, von dem sie glauben, dass er täglich eingehalten wird. Der reale Arbeitsalltag besteht jedoch aus Sonderfällen, manuellen Korrekturbuchungen, Kulanzregeln und kurzfristigen Freigaben, und genau diese Ausnahmen bilden die eigentlichen Softwareanforderungen. Wer die Sachbearbeitung einen vollen Arbeitstag lang begleitet, deckt diese Sonderfälle sofort auf; ein theoretischer Workshop übersieht sie regelmäßig.

Die zweite Ursache ist die Integration eines Altsystems, das intern niemand technisch verantwortet. Das ursprüngliche Angebot setzt voraus, dass eine dokumentierte REST-Schnittstelle mit sauberen Datenstrukturen bereitsteht. In der sechsten Projektwoche zeigt sich dann, dass das bestehende ERP-System lediglich veraltete SOAP-Aufrufe oder nächtliche CSV-Exporte zulässt, wodurch plötzlich ein externer Softwarehersteller den kritischen Pfad blockiert.

Beide Projektrisiken lassen sich vor Vertragsabschluss mit geringem Aufwand ausschalten: Ein einwöchiger technischer Architektur-Spike, der OpenAPI-Verträge prüft, echte Sandbox-Zugänge testet und erste Datenbankmigrationen simuliert, deckt nahezu jede Zeitfalle frühzeitig auf.

Kaufen schlägt Bauen in den meisten Fällen, und jede Agentur, die pauschal das Gegenteil behauptet, betreibt Vertrieb statt Beratung. Standard-SaaS gewinnt beim Einstiegspreis, bei der schnellen Einführung und dadurch, dass der Hersteller die laufenden Infrastruktur-Updates übernimmt. Es gibt jedoch drei klar berechenbare Situationen, in denen dieses Modell kippt, sobald man eine Gesamtkostenrechnung (Total Cost of Ownership, TCO) über fünf Jahre aufstellt.

Der Arbeitsablauf selbst ist Ihr Wettbewerbsvorteil. Wenn Ihre spezifische Art zu kalkulieren, Risiken zu prüfen oder Aufträge zu steuern der Grund ist, warum Kunden bei Ihnen kaufen, nivelliert ein Standardwerkzeug, das Ihre Wettbewerber identisch nutzen, genau diesen Vorsprung.

Die Lizenzsteuer pro Nutzer übersteigt die Entwicklungskosten. Bei 200 internen Mitarbeitern und externen Partnern summieren sich €45 pro Arbeitsplatz und Monat auf €108.000 pro Jahr beziehungsweise €540.000 über fünf Jahre. Hinzu kommen oft Aufpreise für API-Kontingente und teure Enterprise-Tarifwechsel, nur um SAML-Single-Sign-On freizuschalten. Demgegenüber kostet eine eigene Webanwendung für €45.000 inklusive €9.000 jährlicher Wartung und Betrieb über fünf Jahre insgesamt €90.000, ganz ohne Lizenzgebühren für zusätzliche Nutzer, Händler oder Kunden.

Datenresidenz und regulatorische Hoheit lassen sich nicht auslagern. Branchenvorgaben oder strenge Auftragsverarbeitungsregeln der DSGVO schließen geteilte US-Cloud-Plattformen häufig aus, während eine eigene europäische Cloud-Infrastruktur volle Kontrolle über Speicherort und Löschfristen garantiert.

Daneben existiert ein pragmatischer Mittelweg, der zu selten kalkuliert wird: Ein bestehendes ERP oder CRM bleibt das führende Datensystem, während eine schlanke, maßgeschneiderte Webanwendung über dessen API genau die 30 % abbildet, die Ihr Kerngeschäft ausmachen.

Agentur-Portfolios zeigen meist polierte Benutzeroberflächen, also genau jenen Teil einer Webanwendung, der am wenigsten über die darunterliegende Architektur- und Codequalität verrät. Vier konkrete Fragen trennen Entwicklungsteams, die geschäftskritische Software über Jahre im Echtbetrieb verantworten, von Teams, die lediglich klickbare Prototypen übergeben. Keine dieser Fragen erfordert tiefes Programmierwissen.

"Zeigen Sie mir eine produktive Anwendung, die Sie drei Jahre nach dem Go-live noch betreuen." Einen ersten Release auszuliefern ist vergleichsweise einfach; über mehrere Jahre hinweg mit dem eigenen Datenbankschema zu leben, unterbrechungsfreie Migrationen durchzuführen und Frameworks sauber aktuell zu halten, beweist echte Ingenieurskompetenz.

"Was lief beim letzten komplexen Projekt schief und wie haben Sie es gelöst?" Ein Team ohne ehrliche, greifbare Antwort hat entweder noch nicht genügend produktive Systeme ausgeliefert oder verschweigt, wie es unter realem Projektdruck arbeitet.

"Wem gehören das Git-Repository, die CI/CD-Pipelines und die Cloud-Konten?" Die vertragliche Antwort muss ab dem ersten Projekttag Ihr Unternehmen lauten, inklusive vollem Administratorzugriff auf GitHub oder GitLab, Vercel oder AWS sowie die verwaltete PostgreSQL-Datenbank.

"Wie sieht das Übergabepaket aus, falls wir die Weiterentwicklung intern übernehmen?" Verlangen Sie dokumentierte Architekturentscheidungen (ADRs), vollständige OpenAPI-Spezifikationen, reproduzierbare Infrastruktur-Skripte sowie startklare lokale Entwicklungsumgebungen. Laut dem Stack Overflow Developer Survey zählen technische Schulden regelmäßig zu den größten Frustrationsquellen unter Softwareentwicklern, meist ausgelöst durch undokumentiert übernommene Fremdsysteme.

Sicherheit ist kein optionales Zusatzmodul, das man nach dem Go-live nachrüstet, und sie so zu behandeln, ist der direkteste Weg, wie aus einem €30.000-Projekt ein €30.000-Projekt plus ein meldepflichtiger Sicherheitsvorfall wird. Ein gehärtetes Fundament ist Pflicht, und ein erfahrenes Entwicklungsteam integriert es von Beginn an in die Architektur.

Das OWASP Top 10 bildet die verbindliche Referenz, nach der produktive Webanwendungen gehärtet und geprüft werden: Schutz vor fehlerhafter Zugriffskontrolle auf Objektebene, Abwehr von SQL- und Command-Injections, sichere Session-Verwaltung sowie strikte Content-Security-Policy-Header. Fragen Sie konkret nach, ob automatisierte SAST- und DAST-Sicherheitsprüfungen in der CI/CD-Pipeline laufen und welche Prüfberichte dies belegen.

Über diese Grundsicherung hinaus wächst der Entwicklungsaufwand mit drei regulatorischen Anforderungen. Erstens erfordert die Unternehmensanbindung über OAuth 2.0, OpenID Connect (OIDC) oder SAML 2.0 Single Sign-On (SSO) inklusive automatischer Benutzerprovisionierung (SCIM), dass ausscheidende Mitarbeiter sofort jeden Systemzugriff verlieren. Zweitens verlangt die DSGVO-Datenresidenz ein Hosting in europäischen Rechenzentren, die Verschlüsselung personenbezogener Felder im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.3) sowie automatisierte Endpunkte für Datenexport und Löschfristen. Drittens erfordert die Barrierefreiheit nach WCAG 2.2 AA im Rahmen des Barrierefreiheitsstärkungsgesetzes (BFSG) vollständige Tastaturbedienbarkeit, sauberes Fokus-Management in dynamischen Dialogen und Datentabellen, semantische ARIA-Live-Meldungen bei Formularfehlern sowie Kontrastwerte von mindestens 4,5:1. Kalkulieren Sie 10 % bis 20 % Zusatzbudget auf den Grundaufbau ein, sobald regulierte Daten, tokenisierte Zahlungsabwicklung oder revisionssichere Audit-Trails gefordert sind.

Eine betriebliche Pflicht darf dabei nie untergehen: Abhängigkeiten und Sicherheits-Patches müssen nach dem Start kontinuierlich eingespielt werden. Legen Sie vor Vertragsbeginn vertraglich fest, wer diese laufende Wartung verantwortet. Prüfen Sie vor der Budgetfreigabe zudem unseren Vergleich PoC vs. Prototyp vs. MVP sowie die architektonische Definition eines Webportals.