Web App entwickeln lassen: Kundenportale, interne Tools und Dashboards

Wofür sich Webanwendungen eignen

Eine Webanwendung läuft auf einem Server und wird im Browser bedient. Es gibt nichts zu installieren, Updates erfolgen zentral. Das macht sie zur ersten Wahl, wenn mehrere Personen kontrolliert auf gemeinsame Daten zugreifen sollen.

Typische Einsatzfälle (illustrativ):

• Kundenportal: Kunden sehen Aufträge, Rechnungen und Dokumente selbst, statt per Mail nachzufragen.
• B2B-Bestellportal: Wiederverkäufer bestellen mit individuellen Konditionen und sehen Lieferstatus.
• Interne Tools: Freigaben, Planung, Bestandsführung oder Serviceaufträge ersetzen Tabellen und Postfächer.
• Dashboards: Kennzahlen aus mehreren Systemen werden an einer Stelle zusammengeführt.

Beispielszenario: Ein Großhändler in Mannheim nimmt Bestellungen heute per Mail und Telefon an. Ein Bestellportal würde Kundenkonditionen, Verfügbarkeiten und Bestellhistorie bündeln. Der Nutzen hängt aber davon ab, ob die Kunden das Portal tatsächlich nutzen und ob Warenwirtschaft und Portal sauber verbunden sind.

Beispielszenario: B2B-Bestellportal eines Zulieferers

Angenommen, ein Zulieferer für Industriebedarf aus der Rhein-Neckar-Region nimmt Bestellungen von Stammkunden bisher per Mail und Telefon an (illustratives Szenario, kein realer Fall). Ein Bestellportal könnte so aussehen:

• Rollen: Einkäufer des Kunden bestellen, Kollegen des Kunden sehen nur die Bestellhistorie ihres eigenen Unternehmens. Innendienst und Vertrieb des Zulieferers sehen alle Kunden ihrer Zuständigkeit, die Geschäftsführung Auswertungen.
• ERP-Anbindung: Artikel, kundenspezifische Preise und Verfügbarkeiten werden aus dem Warenwirtschaftssystem gelesen, Bestellungen dorthin zurückgeschrieben. Offen sind etwa: Wie aktuell müssen Bestände sein? Was passiert, wenn das ERP nachts nicht erreichbar ist?
• Login: Jeder Kundenmitarbeiter erhält ein eigenes Konto mit Zwei-Faktor-Anmeldung; ein Kundenadministrator verwaltet die Nutzer seines Unternehmens selbst, damit der Innendienst nicht jede Änderung pflegen muss.
• Betrieb: Das Portal läuft mit Hosting in der EU; Protokolle zeigen, wer wann welche Bestellung geändert hat.

Die Fragen, die in diesem Szenario zuerst zu klären sind, gelten fast überall: Wem gehören die Stammdaten, wer pflegt Preise, und wie wird der Wechsel von Mail zu Portal bei den Kunden begleitet?

Was Sie vorab klären müssen

• Nutzergruppen: Wer meldet sich an, wie viele, mit welchem Vorwissen und mit welchen Geräten?
• Rollen und Rechte: Wer sieht und ändert was? Beispiel: Ein Kunde sieht nur eigene Aufträge, ein Vertriebsmitarbeiter alle seiner Region, die Geschäftsführung Auswertungen.
• Datenquellen: Woher kommen die Daten, und wie aktuell müssen sie sein? Mehr dazu auf der Seite Schnittstellen und Integration.
• Login: Reichen E-Mail und Passwort mit Zwei-Faktor-Anmeldung, oder brauchen Sie Single Sign-on mit einem vorhandenen Verzeichnisdienst?
• Betrieb: Wer reagiert nachts oder am Wochenende auf Störungen, und wie kritisch ist die Anwendung für Ihr Geschäft?

Halten Sie diese Punkte in einem Lastenheft fest. Das Werkzeug Projekt vorbereiten hilft beim Sortieren.

Rollen, Rechte und Anmeldung

Das Rechtekonzept ist bei Portalen der teuerste Teil, wenn es spät kommt. Fragen Sie im Angebot nach:

• Wie werden Rollen modelliert, und können Sie selbst neue Rollen anlegen?
• Wie werden Mandanten getrennt, wenn Kunden nur ihre eigenen Daten sehen dürfen?
• Gibt es Zwei-Faktor-Anmeldung oder Anbindung an Ihren Verzeichnisdienst (SSO)?
• Wie werden Zugriffe protokolliert, und wer kann das Protokoll einsehen?

Das ist kein Detail: In der aktuellen OWASP-Liste der häufigsten Sicherheitsrisiken für Webanwendungen steht fehlerhafte Zugriffskontrolle („Broken Access Control“) an erster Stelle.

Hosting, Datenschutz und AVV

Wo die Anwendung läuft, entscheidet über Verfügbarkeit, Kosten und Datenschutz. Für Anwendungen mit personenbezogenen Daten gilt typischerweise:

• EU-Hosting bevorzugen, damit keine zusätzlichen Anforderungen an Drittlandübermittlungen entstehen. Fragen Sie den Anbieter konkret nach Standort der Rechenzentren und Unterauftragnehmern.
• Auftragsverarbeitungsvertrag: Verarbeitet ein Dienstleister im Auftrag personenbezogene Daten, etwa als Hoster, verlangt Art. 28 DSGVO einen Vertrag, der unter anderem Weisungsgebundenheit, Vertraulichkeit, Sicherheitsmaßnahmen, Regeln für Unterauftragnehmer, Löschung oder Rückgabe nach Vertragsende und Kontrollrechte regelt.
• Zugänge auf Ihren Namen: Hosting-Konto, Domain und Zertifikate sollten Ihnen gehören.

Das ist eine allgemeine Information, keine Rechtsberatung. Ziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten hinzu.

Hosting- und Betriebsmodelle im Vergleich

Welches Modell passt, hängt von Ihrer IT-Kapazität und den Datenschutzanforderungen ab. Ein bewährter Grundsatz: Konten, Domains und Zertifikate laufen auf Ihren Namen, der Dienstleister erhält Rollen darin. Dann können Sie ihn wechseln, ohne die Anwendung umzuziehen.

Nicht-funktionale Anforderungen als Checkliste

Funktionen sind meist schnell beschrieben. Was oft fehlt, steht in dieser Liste. Gehen Sie sie vor dem Angebotsvergleich durch:

• Rollen und Rechte: Welche Rollen gibt es, wer vergibt sie, wird die Rechteprüfung serverseitig erzwungen?
• Protokollierung: Welche Aktionen werden mit Nutzer und Zeitpunkt festgehalten, wie lange, wer darf sie einsehen?
• Backups: Wie oft, wo gespeichert, wie lange aufbewahrt, und wurde die Wiederherstellung getestet?
• Barrierefreiheit: Ist eine Konformitätsstufe nach WCAG 2.2 vorgesehen (Stufe AA ist ein gängiges Ziel), und wird sie getestet?
• Performance: Wie viele gleichzeitige Nutzer, welche Antwortzeiten sind akzeptabel, was passiert bei Lastspitzen?
• Browser- und Geräte-Support: Welche Browser und Versionen, welche Bildschirmgrößen werden unterstützt?
• Verfügbarkeit: Welche Ausfallzeiten sind tragbar, gibt es Wartungsfenster?
• Datenexport: Können Sie Ihre Daten jederzeit in einem offenen Format erhalten?

Zahlenwerte sollten Sie aus Ihrem Geschäft ableiten, nicht aus Standardvorschlägen. Ein Anbieter, der „schnell und sicher“ zusagt, ohne Zielwerte zu nennen, hat eine Anforderung nicht ernst genommen.

Sicherheit: Mindeststandards im Angebot

Die OWASP Foundation veröffentlicht mit der Top 10 eine Übersicht der kritischsten Sicherheitsrisiken für Webanwendungen; die aktuelle Ausgabe ist die von 2025. Sie eignet sich als Gesprächsgrundlage mit dem Dienstleister. Fragen Sie:

• Wie werden Eingaben geprüft und Zugriffsrechte serverseitig durchgesetzt?
• Wie werden Passwörter gespeichert, und gibt es eine Zwei-Faktor-Anmeldung?
• Wie werden Abhängigkeiten aktuell gehalten und auf bekannte Schwachstellen geprüft?
• Gibt es Protokollierung und Alarmierung bei auffälligem Verhalten?
• Ist ein unabhängiger Sicherheitstest vor dem Go-live vorgesehen, und bei wem liegen die Kosten?

Barrierefreiheit: Was das BFSG betrifft

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt für bestimmte Dienstleistungen, die nach dem 28. Juni 2025 für Verbraucher erbracht werden, darunter Dienstleistungen im elektronischen Geschäftsverkehr (§ 1 Abs. 3 BFSG). Verbraucher sind natürliche Personen, die zu Zwecken handeln, die nicht ihrer gewerblichen oder selbstständigen Tätigkeit zuzurechnen sind. Für Kleinstunternehmen, die Dienstleistungen anbieten, gilt die Barrierefreiheitspflicht nach § 3 Abs. 3 BFSG nicht; ein Kleinstunternehmen hat weniger als zehn Beschäftigte und höchstens 2 Mio. Euro Jahresumsatz oder Bilanzsumme.

Daraus folgt für die Praxis:

• Ein Online-Shop oder Bestellportal für Endkunden kann erfasst sein.
• Rein interne Werkzeuge und reine B2B-Portale sind in der Regel nicht erfasst. Die Einordnung hängt vom Einzelfall ab, etwa davon, ob auch Verbraucher Zugang haben.
• Unabhängig vom Gesetz ist Barrierefreiheit für Mitarbeitende mit Einschränkungen und für die Nutzbarkeit generell sinnvoll.

Klären Sie die Einordnung mit einer Rechtsberatung und verlangen Sie im Angebot die Berücksichtigung der Web Content Accessibility Guidelines (WCAG) 2.2 des W3C, die seit Dezember 2024 als Empfehlung vorliegen und die Konformitätsstufen A, AA und AAA kennen, wenn Ihre Anwendung betroffen sein könnte. Dies ist keine Rechtsberatung.

Webanwendung, PWA oder native App

Wenn die Hauptnutzung am Rechner stattfindet, genügt meist eine responsive Webanwendung. Zur Entscheidung für Mobilgeräte siehe die Seite App-Entwicklung.

Betrieb und Monitoring

Eine Webanwendung ist ein laufender Dienst. Planen Sie ein:

• Überwachung von Erreichbarkeit, Fehlern und Antwortzeiten, mit Benachrichtigung,
• tägliche Datensicherung und einen getesteten Wiederherstellungsweg,
• regelmäßige Updates von Betriebssystem, Framework und Bibliotheken,
• einen Weg, Störungen zu melden, mit vereinbarten Reaktionszeiten.

Ob der Dienstleister in Heidelberg sitzt oder remote arbeitet, ist für den Betrieb zweitrangig. Wichtiger sind dokumentierte Abläufe und eine Vertretung, wenn ein Entwickler ausfällt.

Kostentreiber und Zeitrahmen

Ohne Kenntnis Ihres Falls nennen seriöse Anbieter keine Pauschalen. Treiber sind:

• Zahl der Rollen, Mandanten und Sonderregeln,
• Zahl der Schnittstellen und Qualität der Altdaten,
• Sicherheits-, Revisions- und Barrierefreiheitsanforderungen,
• Umfang von Berichten, Exporten und Benachrichtigungen,
• Betriebsmodell: eigener Server, Cloud, Rufbereitschaft.

Eine Einordnung bietet der Ratgeber Was kostet Individualsoftware.

Lieferung und Warnzeichen

Verlangen Sie Quellcode, Dokumentation, Deployment-Anleitung, Testfälle und Zugangsdaten auf Ihren Namen. Warnzeichen:

• Keine Aussage zu Hosting-Standort, AVV oder Unterauftragnehmern.
• Rechtekonzept wird als „später“ verschoben.
• Kein Sicherheitstest und keine Updates nach dem Go-live vorgesehen.
• Hosting und Domain laufen nur auf den Namen des Anbieters.
• Fragen zu Barrierefreiheit werden pauschal abgetan.

Weitere Kriterien finden Sie im Ratgeber Softwaredienstleister auswählen.

Nächster Schritt

Notieren Sie Nutzergruppen, Rollen und Datenquellen und nutzen Sie dafür das Werkzeug Projekt vorbereiten. Den Weg zu einem belastbaren Anforderungsdokument erklärt der Ratgeber Lastenheft für Software.