Abhängig vom Entwickler? So behalten Sie die Kontrolle

Wie ein SaaS-Projekt von der Idee bis zum Betrieb abläuft, erklärt unser Leitfaden zu SaaS. Wie abhängig Sie sich vom Hersteller fertiger Software machen, vergleicht unser Beitrag Individualsoftware oder Standardsoftware.

Erledigt, wenn Sie jede Zeile für Ihr Projekt beantworten können und wissen, welchen Punkt Sie zuerst angehen.

Repository: Das Repository ist die Ablage Ihres Quellcodes mit allen Änderungen. Legen Sie es in einem Konto Ihres Unternehmens an, bei GitHub etwa in einer Organisation. GitHub rät, mindestens zwei Personen die Inhaberrolle zu geben. Sonst kann ein Projekt unzugänglich werden, sobald die einzige Person mit dieser Rolle nicht erreichbar ist (GitHub-Hilfe zur Inhaberschaft (externe Website)). Einen externen Entwickler nehmen Sie als outside collaborator (externe Website) auf, mit Zugang zu einzelnen Repositorys. Liegt das Repository schon bei ihm, kann er es samt Versionsgeschichte in Ihre Organisation übertragen (GitHub-Hilfe zur Übertragung (externe Website)).

Domain: Bei .de-Domains ist laut der Registrierungsstelle DENIC an der Domain berechtigt, wer im Register als Inhaber steht. DENIC rät, Firmendomains auf das Unternehmen selbst zu registrieren, bei Einzelunternehmen auf den Geschäftsinhaber, und dem beauftragten Dienstleister das schriftlich vorzugeben (DENIC zum Domaininhaber (externe Website)). Als Inhaber ziehen Sie die Domain auch ohne den bisherigen Anbieter um. Wie Sie dabei die Nameserver wechseln, ohne dass die E-Mail ausfällt, zeigt unser Ratgeber Domain-Umzug ohne Mail-Ausfall.

Hosting und Cloud: Bei Amazon Web Services (AWS) hat das Hauptkonto vollen Zugriff auf alle Ressourcen. AWS rät, es mit einer E-Mail-Adresse Ihres Unternehmens (externe Website) zu führen, die an eine Gruppe weiterleitet. So reagiert Ihr Unternehmen rechtzeitig, auch wenn Einzelne im Urlaub, krank oder nicht mehr da sind. Sind alle Mittel für die Zwei-Faktor-Anmeldung verloren, brauchen Sie Telefonnummer und E-Mail-Adresse, mit denen das Konto registriert wurde.

Weitere Dienste: Zahlungsanbieter, E-Mail-Versand, Schnittstellen, Fehlerüberwachung und der Passwortspeicher des Projekts sollten ebenso auf Ihr Unternehmen laufen. Bei einer App gilt das auch für das Entwicklerkonto im App Store: Apple zeigt dessen Inhaber dort als Verkäufer der App (externe Website).

Typischer Fehler: Der Entwickler legt Konten zum Start mit seiner eigenen E-Mail-Adresse an, und niemand stellt sie später um.

Erledigt, wenn Ihre Kontenliste bei jedem Konto Ihr Unternehmen als Inhaber nennt, mindestens zwei Personen auf Ihrer Seite Zugang haben und jeder Dienstleister mit eigenem Zugang arbeitet.

Umgangssprachlich fragen viele, wem der Code gehört. In Verträgen und AGB geht es um Nutzungsrechte, also darum, was Sie mit dem Code tun dürfen. Fragen Sie vor dem Auftrag nach diesen Punkten:

• Ausschließlich oder nicht: Darf der Anbieter denselben Code auch anderen Kunden anbieten? Die AGB eines Anbieters in unserer Durchsicht erlauben ihm, wenn nichts anderes vereinbart ist, übliche Software-Codes auch für andere Projekte zu nutzen.
• Ändern und weitergeben: Dürfen Sie oder ein anderes Team den Code weiterentwickeln, und dürfen Sie die Rechte übertragen, etwa beim Verkauf Ihres Unternehmens oder Ihres SaaS-Produkts?
• Quellcode: Erhalten Sie den Quellcode mit der Versionsgeschichte? Das lauffähige Programm allein, der Objektcode, lässt sich praktisch nicht weiterentwickeln.
• Zeitpunkt: Gelten die Rechte ab der Abnahme oder ab der vollständigen Zahlung, auch für Zwischenstände?
• Bausteine des Anbieters: Welche eigenen Werkzeuge und Bibliotheken bringt der Anbieter mit, und welches Recht erhalten Sie daran? Lassen Sie sie im Angebot auflisten.
• Open Source: Eingesetzte Open-Source-Bausteine behalten ihre eigenen Lizenzen, siehe Bausteine und Lizenzen.

Wie unterschiedlich Anbieter diese Punkte regeln, zeigt unsere Durchsicht von zehn AGB. Lassen Sie die Klauseln vor der Unterschrift von einer Anwältin oder einem Anwalt für IT-Recht prüfen.

Typischer Fehler: Im Gespräch heißt es „Sie bekommen natürlich alles“, und die AGB im Angebot sehen ein Recht nur für den eigenen Betrieb vor, ohne Quellcode.

Erledigt, wenn der Vertragsentwurf Art, Umfang und Zeitpunkt Ihrer Nutzungsrechte nennt, die Herausgabe des Quellcodes regelt und die Bausteine des Anbieters auflistet.

Wie wichtig Dokumentation ist, beschreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Baustein CON.8 Software-Entwicklung (externe Website). Ist die Entwicklung schlecht dokumentiert, kann jede spätere Anpassung oder Erweiterung hohen Aufwand kosten. Nach CON.8 soll die Dokumentation Fachleuten erlauben, den Code nachzuvollziehen und weiterzuentwickeln. Dazu gehören:

• Einstieg: eine Datei im Repository, meist README genannt, mit den Befehlen zum Einrichten, Bauen, Testen und Ausliefern.
• Architektur: Ziele, Bausteine, Schnittstellen und Verteilung. Eine verbreitete Gliederung ist das freie Template arc42 (externe Website) mit zwölf Abschnitten; für Diagramme gibt es das C4-Modell (externe Website).
• Entscheidungen: kurze Protokolle wichtiger Architekturentscheidungen mit Anlass und Folgen. Ohne sie kann jemand, der neu ins Projekt kommt, eine Entscheidung nur blind übernehmen oder blind ändern, schrieb Michael Nygard 2011 in Documenting Architecture Decisions (externe Website).
• Betrieb: ein Betriebshandbuch für Auslieferung, Datensicherung, Wiederherstellung, Überwachung und Notfälle.
• Schnittstellen und Daten: eine Beschreibung jeder Schnittstelle und des Datenmodells.

Die Unterlagen gehören ins Repository und werden mit dem Code aktualisiert; dass sie aktuell bleiben, sieht auch CON.8 vor. Wie Sie dafür Abnahmekriterien schreiben, zeigt unser Ratgeber zum Lastenheft.

Wie Sie Lücken wie fehlende Dokumentation als technische Schulden bewerten und wann sich der Abbau lohnt, zeigt unser Beitrag Technische Schulden.

Typischer Fehler: Die Dokumentation entsteht in der letzten Woche und wird ungelesen abgenommen.

Erledigt, wenn die Unterlagen im Repository liegen, die Abnahmekriterien sie nennen und eine Person außerhalb des Projekts sie gelesen hat.

Bauen heißt, aus dem Quellcode die lauffähige Software zu erzeugen. Reproduzierbar ist ein Build laut dem Projekt Reproducible Builds (externe Website), wenn jeder aus demselben Quellcode, derselben Umgebung und derselben Anleitung bitgenau dieselben Dateien erzeugt. Für einen Wechsel genügt nach unserer Einschätzung, dass ein anderes Team aus dem Repository dieselbe Software baut.

• Feste Versionen: Eine Lock-Datei hält die genaue Version jedes Bausteins fest, bei JavaScript etwa die Datei package-lock.json. Der Befehl npm ci (externe Website) ist für automatische Abläufe gedacht: Er braucht diese Datei und bricht ab, wenn sie nicht zur Paketliste passt.
• Automatischer Ablauf: Bauen, Testen und Ausliefern laufen in einem Konto Ihres Unternehmens, etwa mit den Werkzeugen Ihres Repository-Dienstes. So hängt die Auslieferung nicht am Rechner einer Person.
• Passwörter und Schlüssel: Das OWASP-Merkblatt zu Geheimnissen (externe Website) beobachtet, dass viele Organisationen Zugangsdaten im Klartext im Quellcode ablegen, und rät, sie zentral zu speichern und zu verwalten. Dieser Tresor liegt in einem Konto Ihres Unternehmens.
• Tests: Automatische Tests zeigen einem neuen Team, ob eine Änderung etwas beschädigt. Der Baustein CON.8 des BSI sieht entwicklungsbegleitende Tests vor, auch Negativtests, getrennt vom Echtbetrieb. Für die Testabdeckung, den Anteil des Codes, den Tests ausführen, nennt der Testing-Blog von Google (externe Website) 60 % „akzeptabel“, 75 % „lobenswert“ und 90 % „vorbildlich“. Eine hohe Abdeckung garantiere aber keine guten Tests.

Typischer Fehler: Die Auslieferung klappt nur vom Rechner des Entwicklers, weil dort ein Schlüssel oder eine Einstellung liegt, die nirgends dokumentiert ist.

Erledigt, wenn der automatische Ablauf jede Änderung baut und testet, Sie das Ergebnis in jeder Demo sehen und im Repository kein Passwort steht.

Ursprünglich dienten Softwarestücklisten vor allem dazu, Lizenzen zu verwalten, schreibt das BSI in seiner Technischen Richtlinie TR-03183-2 (externe Website). Sie verlangt je Baustein unter anderem Ersteller, Name, Version, Abhängigkeiten, Lizenz und eine Prüfsumme. Für jede Version der Software gibt es eine eigene Liste, im Format CycloneDX oder SPDX. Bei JavaScript-Projekten erzeugt der Befehl npm sbom (externe Website) eine Stückliste in einem der beiden Formate.

Manche Lizenzen verbinden die Weitergabe mit Pflichten. Copyleft (externe Website) verlangt nach der Erklärung des GNU-Projekts, dass auch veränderte und erweiterte Fassungen eines Programms frei bleiben. Die GNU AGPL soll laut GNU zusätzlich sicherstellen, dass veränderte Fassungen, die einen öffentlichen Dienst betreiben, als Quellcode freigegeben werden; das kann SaaS-Produkte betreffen. Klären Sie bei solchen Lizenzen mit Ihrer Rechtsberatung, was sie für Ihre Pläne bedeuten.

Ein Beispiel aus unserem eigenen Projekt: Die Lock-Datei von datafalke.de verzeichnet 959 Pakete. 33 davon haben wir ausgewählt, die übrigen kommen als deren Abhängigkeiten mit; 501 dienen nur Entwicklung und Tests. 751 stehen unter der MIT-Lizenz. 16 stehen ganz oder teilweise unter der GNU LGPL, die das GNU-Projekt eine Kompromissform des Copyleft nennt; sie laufen nur beim Bauen und Testen. Ausgeliefert werden Bestandteile aus 12 Paketen, aufgeführt in den Lizenzen dieser Website. Bei 2 Paketen fehlt die Lizenz in der Lock-Datei und steht nur in einem veralteten Feld der Paketbeschreibung. Solche Lücken findet nur, wer die Liste prüft.

Messung vom 08.11.2026 · Python 3.12, package-lock.json und Lizenzliste von datafalke.de ausgezählt

Typischer Fehler: Die Stückliste entsteht einmal zur Abnahme und veraltet mit dem ersten Update.

Erledigt, wenn zur aktuellen Version eine Stückliste mit Lizenzen vorliegt, Lizenzen mit besonderen Bedingungen geklärt sind und jede kostenpflichtige Lizenz auf Ihr Unternehmen läuft.

So läuft die Probe ab:

1. Wählen Sie die Fachkraft aus Ihrem Haus oder von einem anderen Dienstleister und setzen Sie einen festen Zeitrahmen, etwa einen Arbeitstag.
2. Sie bekommt Zugang zu Repository und Dokumentation, aber keine Hilfe vom bisherigen Entwickler.
3. Ihre Aufgaben: Software einrichten und bauen, Tests ausführen, auf eine Testumgebung ausliefern, eine kleine Änderung vornehmen und eine Datensicherung zurückspielen.
4. Sie notiert jede Stelle, an der sie nicht weiterkam.
5. Ihr Entwickler schließt die Lücken, danach wiederholen Sie die Probe für die offenen Punkte.

Im Baustein OPS.2.3 zum Outsourcing (externe Website) beschreibt das BSI die Gefahr, dass ohne passende Regeln Daten und Zugänge am Ende einer Zusammenarbeit nicht ordnungsgemäß übergeben werden. Es empfiehlt, Alternativen für ein geplantes und ein ungeplantes Ende zu entwickeln und regelmäßig zu prüfen.

Zur Übergabe gehören das Repository mit der ganzen Versionsgeschichte, die Dokumentation, die Kontenliste, offene Aufgaben und bekannte Fehler. Danach entziehen Sie dem bisherigen Dienstleister die Zugänge und tauschen Passwörter und Schlüssel aus. Hat er das Repository bei GitHub in Ihre Organisation übertragen, bleibt er dort als Mitarbeiter eingetragen, bis Sie ihn entfernen. Was der Wechsel zu einem neuen Team kostet, steht in unserem Kostenratgeber Was kostet Software-Wartung?

Typischer Fehler: Die Übergabe wird erst geplant, wenn die Zusammenarbeit im Streit endet.

Erledigt, wenn die Probe gelaufen ist, das Protokoll jede Lücke mit Zuständigkeit und Termin nennt und alle Lücken geschlossen sind.

Welche Fragen Sie einem Anbieter vor dem Vertrag stellen, zeigt unser Ratgeber Softwareentwickler auswählen.

Erledigt, wenn der Vertragsentwurf jeden Punkt der Checkliste regelt und Ihre Rechtsberatung ihn geprüft hat.

• Zwei Seiten: Der Baustein APP.7 Entwicklung von Individualsoftware (externe Website) behandelt die Seite des Auftraggebers, CON.8 die des Entwicklers, beide im IT-Grundschutz-Kompendium, Edition 2023.
• Versionsverwaltung: Nach CON.8 muss sich jede Änderung am Quellcode nachvollziehen und rückgängig machen lassen, und die Versionsverwaltung darf nicht ohne Datensicherung laufen.
• Hinterlegung: Für institutionskritische Anwendungen rät APP.7 zu prüfen, ob sie gegen den Ausfall des Herstellers abgesichert werden, etwa durch eine Hinterlegung bei einer Escrow-Agentur.