Zum Inhalt springen
EnglishErstgespräch vereinbaren

Ratgeber · SaaS & Software

Software­entwickler auswählen: 12 Prüffragen vor dem Vertrag

Kurz gesagt

Einen Softwareentwickler wählen Sie am besten mit denselben zwölf Prüffragen an jeden Anbieter, schriftlich beantwortet. Sie zeigen, wer wirklich am Projekt arbeitet, wie der Preis zustande kommt, wie Qualität und Sicherheit geprüft werden und was Ihnen bei einer Trennung bleibt. Gute Anbieter belegen ihre Antworten mit Unterlagen, die Sie einsehen können.

Das Wichtigste in Kürze

  • Stellen Sie jedem Anbieter dieselben zwölf Fragen schriftlich. Nur dann lassen sich Antworten und Angebote direkt vergleichen.
  • Das BSI führt die Beauftragung ungeeigneter Entwickler als Gefährdung auf: Sie kann vermeidbare Sicherheitslücken und erhebliche Verzögerungen bringen.
  • Frühe Aufwandsschätzungen können um den Faktor vier danebenliegen. Ein Festpreis ist belastbarer, wenn eine Analyse den Umfang vorher geklärt hat.
  • Von 17 Softwareanbietern nennen 8 eigene Preise, 3 für Wartung, Support oder Betrieb. Keiner zeigt auf der Leistungsseite ein Ergebnis mit Ausgangswert.
  • Fragen Sie, wer KI-erzeugten Code prüft. Ohne Sicherheitsvorgaben enthielt er in Tests eines Sicherheitsanbieters in rund 38 % der Aufgaben eine Schwachstelle.

Wie bereiten Sie die Auswahl eines Software­entwicklers vor?

Schreiben Sie auf, welches Problem die Software lösen soll, wer mit ihr arbeitet und welches Budget Sie haben. Schicken Sie dann wenigen Anbietern dieselben zwölf Fragen und bitten Sie um schriftliche Antworten, damit Sie sie nebeneinanderlegen können. Der Ratgeber gilt für die Vergabe eines Projekts an externe Entwickler oder Softwarefirmen.

Auswahl eines Softwareentwicklers: Ablauf in sechs Schritten
Auswahl eines Softwareentwicklers: Ablauf in sechs Schritten Ablauf in sechs Schritten: Erstens Problem, Nutzer und Budget aufschreiben. Zweitens wenigen Anbietern dieselben zwölf Fragen stellen und schriftliche Antworten erbitten. Drittens jede Antwort mit 0, 1 oder 2 Punkten bewerten. Danach die Entscheidung: Hat ein Anbieter null Punkte bei Prüffrage 3, 8, 9 oder 12, scheidet er aus. Viertens die Punkte summieren, das ergibt die engere Wahl. Fünftens einen kleinen, bezahlten ersten Auftrag vergeben, etwa eine Analyse oder einen Piloten. Sechstens den Vertrag über das ganze Vorhaben schließen, nachdem eine Anwältin oder ein Anwalt für IT-Recht ihn geprüft hat. 1 Vorbereiten Problem, Nutzer und Budget aufschreiben 2 Dieselben zwölf Fragen wenige Anbieter, Antworten schriftlich 3 Jede Antwort bewerten 0, 1 oder 2 Punkte Null Punkte bei Prüffrage 3, 8, 9 oder 12? ja Anbieter scheidet aus nein 4 Punkte summieren ergibt die engere Wahl 5 Kleiner, bezahlter erster Auftrag etwa Analyse oder Pilot 6 Vertrag über das ganze Vorhaben vorher anwaltlich geprüft

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt im Baustein APP.7 Entwicklung von Individualsoftware (externe Website) die Beauftragung ungeeigneter Software-Entwickelnder als eigene Gefährdung auf. Die Folgen reichen von vermeidbaren Sicherheitslücken bis zu erheblichen Verzögerungen. Ein Grund für die falsche Wahl sind laut BSI zu knappe, unrealistische Kostenkalkulationen.

Planen Sie ein Produkt, das Sie selbst verkaufen wollen, erklärt unser Leitfaden zu SaaS, was dazugehört. Für die Auswahl legen Sie sich drei Dinge bereit:

  • Ihre Anforderungen: Ziel, Nutzer und die Abläufe, die die Software tragen muss. Wie Sie das aufschreiben, zeigt unser Ratgeber Lastenheft für Software.
  • Ihren Rahmen: Budget, Wunschtermin, vorhandene Systeme und was nach dem Start passieren soll.
  • Ihre Kriterien: Legen Sie vorher fest, welche Fragen für Sie am stärksten zählen. Für die Auswahl von Software rät die IHK Region Stuttgart (externe Website) zu einem strukturierten Vorgehen mit klaren Kriterien und zu höchstens drei bis fünf Lösungen in der engeren Wahl. Bei Anbietern ist das nach unserer Einschätzung genauso sinnvoll.

Mit „Anbieter“ meinen wir hier einzelne Entwickler ebenso wie Softwarefirmen.

Die zwölf Prüffragen und ihre Warnzeichen
Nr.PrüffrageWarnzeichen
1Prüfen Sie zuerst, ob eine Standardsoftware reicht?Standardprodukte kommen nicht vor, alles wird neu entwickelt
2Welche vergleichbaren Projekte können Sie belegen?nur Logos, und jedes Projekt ist angeblich vertraulich
3Wer arbeitet an meinem Projekt, und wer vertritt diese Person?das Team steht erst nach der Unterschrift fest
4Wie kommen Sie zu Ihrem Preis, und was ist nicht enthalten?verbindlicher Festpreis nach einem Telefonat
5Was passiert, wenn sich Anforderungen ändern?„kein Problem“, aber kein Verfahren
6Wie oft sehen wir laufende Software?nur Statusberichte, erste Vorführung kurz vor dem Ende
7Woran erkennen wir, dass etwas fertig ist?Abnahme ohne schriftliche Kriterien
8Wer prüft den Code, und wie wird getestet?keine zweite Prüfung, Tests erst am Ende von Hand
9Nach welchem Standard entwickeln Sie sicher?„DSGVO-konform“ als einzige Antwort
10Setzen Sie KI-Werkzeuge ein, und wer prüft das Ergebnis?keine Aussage dazu
11Wer betreut die Software nach dem Start, und was kostet das?„Das klären wir später“
12Was bekomme ich, wenn wir uns trennen?Code und Konten bleiben beim Anbieter

Erledigt, wenn Ihre Anforderungen schriftlich vorliegen und jeder Anbieter in Ihrer Auswahl dieselben zwölf Fragen erhalten hat.

Wie prüfen Sie, ob ein Software­entwickler zu Ihrem Vorhaben passt?

Ob ein Softwareentwickler passt, zeigen drei Fragen: ob er zuerst prüft, ob Sie überhaupt eigene Software brauchen, welche vergleichbaren Projekte er belegen kann und wer konkret an Ihrem Projekt arbeitet. Gute Antworten nennen Personen, Rollen und Unterlagen, die Sie einsehen können.

Prüffrage 1: „Prüfen Sie zuerst, ob eine Standardsoftware reicht?“

Individualsoftware ist laut BSI für Aufgaben gedacht, die sich mit unangepasster Software nicht mehr hinreichend lösen lassen. Wann sich was lohnt, zeigt unser Vergleich Individual- oder Standardsoftware.

Gute Antwort: Der Anbieter nennt Standardprodukte, die Ihren Ablauf abdecken könnten, und begründet, warum sie reichen oder nicht reichen. Er rät auch von eigener Software ab, wenn sie sich nicht lohnt.

Warnzeichen: Standardprodukte kommen im Gespräch gar nicht vor, und jedes Problem braucht angeblich eigene Software.

Erledigt, wenn Sie schriftlich haben, welche Standardprodukte geprüft wurden und warum sie für Ihren Ablauf nicht reichen.

Prüffrage 2: „Welche vergleichbaren Projekte können Sie belegen?“

Auf ihren Websites belegen Anbieter Ergebnisse selten mit Zahlen. In unserer Durchsicht von 17 Anbietern zeigt keiner auf der wichtigsten Leistungsseite ein Projektergebnis mit Ausgangswert und Endwert. Es zählt deshalb, was ein Anbieter Ihnen im Gespräch zeigen kann.

Gute Antwort: Der Anbieter beschreibt ein Projekt mit ähnlichen Abläufen oder Schnittstellen, nennt seine eigene Rolle und sagt, ob die Software noch läuft. Sie dürfen mit dem Kunden sprechen oder anonymisierte Unterlagen sehen.

Warnzeichen: Nur Logos und Sterne, und über jedes Projekt darf angeblich niemand reden.

Erledigt, wenn Sie mit einem früheren Kunden gesprochen oder Unterlagen gesehen haben und wissen, was der Anbieter in dem Projekt selbst gebaut hat.

Prüffrage 3: „Wer arbeitet an meinem Projekt, und wer vertritt diese Person?“

Wie stark ein Projekt an Einzelnen hängt, beschreibt die Forschung mit dem Truck Factor: der kleinsten Zahl von Entwicklern, die ausfallen müssten, bevor ein Projekt stillsteht. In einer Untersuchung von 133 beliebten GitHub-Projekten (externe Website) lag dieser Wert bei 65 % der Projekte bei höchstens zwei. Für Auftragsprojekte fehlen solche Zahlen; dasselbe Risiko besteht dort nach unserer Einschätzung auch. Das BSI rät im Baustein APP.7, die Qualifikation des eingesetzten Personals zu berücksichtigen.

Gute Antwort: Sie kennen die Namen oder Rollen der Beteiligten und sprechen vor dem Vertrag mit der Person, die den Code schreibt. Der Anbieter sagt, wer bei Urlaub oder Krankheit übernimmt und wie Wissen geteilt wird.

Warnzeichen: Das Team steht erst nach der Unterschrift fest, oder Sie sprechen nur mit dem Vertrieb.

Erledigt, wenn das Angebot Personen oder Rollen nennt und Sie mit der Person gesprochen haben, die Ihre Software baut.

Wie kommt das Angebot eines Software­entwicklers zustande?

Ein belastbares Angebot nennt den Aufwand je Baustein, die Annahmen dahinter und was nicht enthalten ist. Es regelt außerdem, wie Änderungen ablaufen. Vergleichen Sie Beträge erst, wenn Umfang und Annahmen gleich sind, sonst vergleichen Sie zwei verschiedene Vorhaben.

Prüffrage 4: „Wie kommen Sie zu Ihrem Preis, und was ist nicht enthalten?“

Frühe Schätzungen streuen stark. Am Projektbeginn können sie laut dem Fachautor Steve McConnell um den Faktor vier zu hoch oder zu niedrig liegen, selbst wenn erfahrene Fachleute schätzen (Cone of Uncertainty (externe Website)). Verbindliche Zusagen empfiehlt er erst, wenn der Umfang geklärt ist. Marktpreise mit Quellen nennt unser Kostenratgeber Was kostet es, Software entwickeln zu lassen? Wann ein Festpreis passt und wann die Abrechnung nach Aufwand, vergleicht unser Beitrag Festpreis oder Aufwand.

Gute Antwort: Das Angebot nennt je Baustein die geschätzten Personentage, die Annahmen und was nicht dazugehört, zum Beispiel: „Auftragserfassung, 12 Personentage. Annahme: Stammdaten liegen bereinigt als CSV vor. Nicht enthalten: Anbindung an das ERP.“ Steht der Umfang noch nicht fest, nennt der Anbieter eine Spanne mit den offenen Punkten oder schlägt eine Analyse vor, nach der er den Festpreis nennt.

Warnzeichen: Ein verbindlicher Festpreis nach einem kurzen Telefonat oder ein Gesamtbetrag ohne Aufstellung.

Erledigt, wenn Sie von jedem Anbieter Personentage, Annahmen und Ausschlüsse schriftlich haben und die Gesamtkosten über mehrere Jahre vergleichen können.

Prüffrage 5: „Was passiert, wenn sich Anforderungen ändern?“

Zu Beginn stehen oft noch nicht alle Anforderungen fest. Agile Vorgehensmodelle passen sich dem laut BSI besser an, bieten aber nicht dieselbe Kalkulationssicherheit wie lineare Modelle. Beides kann passen, wenn der Weg für Änderungen feststeht.

Gute Antwort: Änderungen laufen über einen schriftlichen Antrag mit den Folgen für Preis und Termin, bevor die Arbeit beginnt. Der Anbieter sagt, wer auf Ihrer Seite freigibt und nach welchem Vorgehensmodell er arbeitet.

Warnzeichen: „Änderungen sind kein Problem“, ohne dass jemand sagt, wie sie berechnet werden. Genauso schwierig ist ein Anbieter, der jede Änderung ablehnt.

Erledigt, wenn der Weg für Änderungen im Angebot steht, mit Freigabe und Folgen für Preis und Termin.

Woran erkennen Sie Fortschritt und Fertigstellung?

Während des Projekts sollten Sie regelmäßig laufende Software sehen und Einblick in Aufgabenliste und Quellcode haben. Fertig ist, was vorher schriftlich als Kriterium festgelegt wurde. So erkennen Sie früh, ob das Projekt auf Kurs ist, und bei der Abnahme, ob das Ergebnis stimmt.

Prüffrage 6: „Wie oft sehen wir laufende Software?“

Steuert der Auftraggeber die Entwicklung nicht ausreichend, drohen laut BSI Verzögerungen und falsche Prioritäten. Ein Mittel dagegen sind regelmäßige Vorführungen. Im Scrum Guide (externe Website) sichtet das Team jedes Ergebnis mit den Beteiligten und bespricht, was als Nächstes kommt; ein Zwischenergebnis muss dabei benutzbar sein.

Gute Antwort: Sie sehen in festen Abständen lauffähige Software, etwa jede Woche oder alle zwei Wochen. Sie haben Zugang zur Aufgabenliste und zum Repository, der Ablage des Quellcodes.

Warnzeichen: Nur Statusberichte, oder die erste Vorführung kommt kurz vor dem Ende.

Erledigt, wenn der Rhythmus der Vorführungen und Ihr Zugang zu Aufgabenliste und Repository im Angebot stehen.

Prüffrage 7: „Woran erkennen wir, dass etwas fertig ist?“

Fertig ist, was vorher schriftlich festgelegt wurde. Der Scrum Guide nennt das Definition of Done: eine formale Beschreibung, wann ein Arbeitsergebnis die geforderte Qualität erreicht. Für die Abnahme brauchen Sie Abnahmekriterien mit festgelegtem Ergebnis. Das BSI empfiehlt, Fachverantwortliche schon vor der endgültigen Abnahme an den Tests zu beteiligen. Welche rechtlichen Folgen die Abnahme hat, klären Sie mit Ihrer Rechtsberatung.

Gute Antwort: Es gibt eine schriftliche Definition von „fertig“, etwa Code geprüft, Tests bestanden, dokumentiert. Zu jeder wichtigen Anforderung steht ein Abnahmekriterium, und Ihre Fachleute testen früh mit.

Warnzeichen: Die Abnahme ist ein Termin am Projektende, und niemand kann sagen, was dort geprüft wird.

Erledigt, wenn Abnahmekriterien und die Definition von „fertig“ im Vertragsentwurf stehen und feststeht, wer auf Ihrer Seite testet.

Wie prüft der Anbieter Qualität und Sicherheit?

Jede Änderung am Code sollte eine zweite Person prüfen, und automatische Tests sollten bei jeder Änderung laufen. Für sichere Entwicklung nennt ein seriöser Anbieter eine überprüfbare Grundlage, liefert eine Softwarestückliste und sagt, wer Sicherheitsupdates übernimmt.

Prüffrage 8: „Wer prüft den Code, und wie wird getestet?“

Im Baustein CON.8 Software-Entwicklung (externe Website) verlangt das BSI entwicklungsbegleitende Tests, auch mit Fehleingaben, und eine Sichtung des Quellcodes. Nach Googles Regeln für Code-Reviews (externe Website) trägt, wer Code prüft, Mitverantwortung für diesen Code. Übertragen auf Ihr Projekt heißt das: Eine zweite Person liest jede Änderung, bevor sie ins gemeinsame Repository kommt.

Gute Antwort: Jede Änderung prüft eine zweite Person, und automatische Tests laufen bei jeder Änderung. Arbeitet jemand allein, nennt er, wer seinen Code gegenliest und wie er Fehler findet, bevor sie zu Ihnen gelangen.

Warnzeichen: Getestet wird erst am Ende von Hand, oder eine zweite Prüfung gibt es nicht.

Erledigt, wenn Sie an einem Beispiel gesehen haben, wie eine Änderung geprüft und getestet wird, und die Regeln im Angebot stehen.

Prüffrage 9: „Nach welchem Standard entwickeln Sie sicher?“

Fragen Sie gezielt nach der Sicherheit des Produkts, das der Anbieter baut. Die US-Behörde für Cybersicherheit CISA (Cybersecurity and Infrastructure Security Agency) beobachtet in ihrem Leitfaden für Softwarekäufer (externe Website), dass viele Standards beim Einkauf die Sicherheit des Unternehmens prüfen und nur wenige die des Produkts. Als überprüfbare Grundlage kann ein Anbieter zum Beispiel diese nennen:

Gute Antwort: Der Anbieter nennt eine solche Grundlage und zeigt, wie er sie umsetzt. Er liefert eine Softwarestückliste (SBOM) und sagt, wie er mit gemeldeten Schwachstellen umgeht.

Warnzeichen: „Wir sind DSGVO-konform“ ist die einzige Antwort, oder niemand ist für Sicherheitsupdates zuständig.

Erledigt, wenn das Angebot die Grundlage der sicheren Entwicklung, die Softwarestückliste und den Umgang mit Schwachstellen nennt.

Wie geht der Anbieter mit KI-Werkzeugen um?

Fragen Sie jeden Anbieter, welche KI-Werkzeuge er beim Programmieren einsetzt, ob Ihr Code oder Ihre Daten dorthin gelangen und wer das Ergebnis prüft. Ob KI im Spiel ist, sagt wenig über die Qualität. Wichtig ist, dass ein Mensch jede Änderung prüft, bevor sie in Ihre Software gelangt.

Prüffrage 10: „Setzen Sie KI-Werkzeuge ein, und wer prüft das Ergebnis?“

KI-Werkzeuge gehören beim Programmieren inzwischen zum Alltag. In der Developer Survey 2026 von Stack Overflow (externe Website) nutzen 73 % der Befragten täglich Programmierassistenten und KI-Agenten. Prüfen müssen Menschen das Ergebnis trotzdem: In Tests des Sicherheitsanbieters Veracode, veröffentlicht im Oktober 2026, enthielt KI-erzeugter Code in rund 38 % der Testaufgaben eine bekannte Schwachstelle, wenn die Aufgabe keine Sicherheitsvorgaben machte.

Quelle: Veracode (externe Website),  · Anbieterstudie · 18 Modelle, vier Programmiersprachen, vier Arten von Schwachstellen

Ob KI ein Projekt verkürzt, ist offen. In einem randomisierten Versuch der Non-Profit-Organisation METR (externe Website) brauchten erfahrene Open-Source-Entwickler Anfang 2025 mit KI 19 % länger. METR nennt diese Ergebnisse inzwischen überholt, hält aber auch seine neueren Daten (externe Website) für ein unzuverlässiges Signal. Was Studien zu Sicherheit und Wartbarkeit von KI-Code zeigen, erklärt unser Beitrag Was ist Vibe Coding? Wie Anbieter den Einsatz von KI in ihren AGB regeln, zeigt unsere Durchsicht von zehn AGB.

Gute Antwort: Der Anbieter nennt die Werkzeuge und sagt, ob Ihr Code oder Ihre Daten dorthin gelangen. Jede Änderung, die ein KI-Werkzeug schreibt, prüft ein Mensch wie jeden anderen Code.

Warnzeichen: Keine Aussage zum Einsatz von KI, oder kürzere Laufzeiten wegen KI ohne ein Wort dazu, wer den Code prüft.

Erledigt, wenn Sie wissen, welche KI-Werkzeuge eingesetzt werden, ob Ihre Daten dorthin gelangen und wer die Ergebnisse prüft.

Was gilt nach dem Start und bei einer Trennung?

Software braucht nach dem Start laufend Updates, Überwachung und Fehlerbehebung. Klären Sie vor dem Vertrag, wer das übernimmt und was es kostet. Klären Sie außerdem, was Sie bekommen, wenn die Zusammenarbeit endet, damit ein anderes Team ohne den bisherigen Anbieter weitermachen kann.

Prüffrage 11: „Wer betreut die Software nach dem Start, und was kostet das?“

Sicherheitskritische Updates müssen nach dem Baustein CON.8 des BSI zeitnah bereitstehen, auch wenn fremde Bausteine betroffen sind. Preise für Wartung, Support oder Betrieb nennen Anbieter selten öffentlich: In unserer Durchsicht waren es 3 von 17. Was Wartung am Markt kostet, zeigt unser Kostenratgeber Was kostet Software-Wartung?

Gute Antwort: Ein Wartungsangebot nennt Umfang, Stunden und Preis, etwa für Sicherheitsupdates und Überwachung, und sagt, wie schnell der Anbieter bei Störungen reagiert. Arbeiten außerhalb des Vertrags haben einen genannten Stundensatz.

Warnzeichen: „Darüber reden wir nach dem Start“, oder das Angebot enthält kein Wort zur Wartung.

Erledigt, wenn Sie die laufenden Kosten über mehrere Jahre kennen und wissen, wer Sicherheitsupdates einspielt.

Prüffrage 12: „Was bekomme ich, wenn wir uns trennen?“

Für ausgelagerten IT-Betrieb fordert das BSI im Baustein OPS.2.3 zur Nutzung von Outsourcing (externe Website) Regelungen für eine geplante und eine ungeplante Beendigung. Nach unserer Einschätzung gehören sie auch in einen Entwicklungsvertrag. Was dafür im Einzelnen nötig ist, etwa Konten, Rechte und Dokumentation, steht in unserem Ratgeber Abhängig vom Entwickler?

Gute Antwort: Code und Konten laufen von Anfang an auf Ihr Unternehmen. Der Vertrag regelt Nutzungsrechte, Quellcode, Dokumentation und das Ende der Zusammenarbeit.

Warnzeichen: Der Code kommt erst am Projektende, Konten laufen auf den Namen des Anbieters, oder die Antwort lautet „Das brauchen Sie nicht“.

Erledigt, wenn Ihr Vertragsentwurf jeden Punkt unserer Checkliste für den Vertrag regelt und eine Anwältin oder ein Anwalt für IT-Recht ihn geprüft hat.

Wie vergleichen Sie die Antworten und entscheiden?

Bewerten Sie jede Antwort mit null, einem oder zwei Punkten und legen Sie vorher fest, welche Fragen ein Ausschlusskriterium sind. Die Summe zeigt, wer in die engere Wahl kommt. Vor dem Vertrag über das ganze Vorhaben prüfen Sie mit einem kleinen ersten Auftrag, ob die Zusammenarbeit im Alltag funktioniert.

Die IHK Region Stuttgart empfiehlt bei der Softwareauswahl Punkte je Kriterium und einen Gesamtwert für den direkten Vergleich. Für die zwölf Fragen schlagen wir diese einfache Skala vor:

  • 0 Punkte: keine Antwort, oder sie weicht aus.
  • 1 Punkt: Die Antwort ist nachvollziehbar, aber nicht belegt.
  • 2 Punkte: Die Antwort ist mit einer Unterlage oder einem Beispiel belegt.

Eine Null bei den Prüffragen 3, 8, 9 oder 12 sollte einen Anbieter nach unserer Einschätzung ausschließen, auch wenn sein Preis niedrig ist. Gehen Sie danach in Stufen vor: Vergeben Sie zuerst einen kleinen, bezahlten Auftrag mit eigenem Ergebnis, etwa eine Analyse oder einen abgegrenzten Piloten. So sehen Sie, wie der Anbieter arbeitet, bevor Sie das ganze Vorhaben beauftragen.

Erledigt, wenn für jeden Anbieter eine Punkteliste vorliegt, die Ausschlusskriterien geprüft sind und der erste kleine Auftrag beschrieben ist.

Was gilt bei der Auswahl in Deutschland und der EU?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in den Bausteinen APP.7 und CON.8, was Auftraggeber und Entwickler bei Individualsoftware regeln sollten. Diese Anforderungen eignen sich als Prüfliste für die Auswahl. Geht es um personenbezogene Daten, gehört auch der Datenschutz in den Vertrag.

  • Prüfliste des BSI: APP.7 richtet sich an Auftraggeber, CON.8 an die Entwicklung. Fragen Sie, welche Anforderungen aus CON.8 der Anbieter erfüllt, und planen Sie für Ihre Seite die Anforderungen aus APP.7 ein, etwa dass Fachverantwortliche früh mittesten.
  • Kriterienkatalog der IHK: Die IHK Region Stuttgart bietet einen Katalog für die Auswahl von IT-Dienstleistern mit den Teilen Organisation, Prävention, Reaktion und Lieferant. Er zielt auf IT-Sicherheit und passt zu Prüffrage 9.
  • Datenschutz und Anbieter außerhalb der EU: Verarbeitet der Anbieter personenbezogene Daten, gehört der Datenschutz in den Vertrag. Legen Sie außerdem Arbeitszeiten und Sprache fest und fragen Sie, wo Ihre Daten verarbeitet werden. Was das rechtlich bedeutet, klären Sie mit Ihrer Rechtsberatung.

Erledigt, wenn Sie wissen, welche BSI-Anforderungen der Anbieter erfüllt und wo Ihre Daten verarbeitet werden.

Aus der Praxis: Was 17 Softwareanbieter öffentlich angeben

Von 17 Softwareanbietern nennen 8 Euro-Beträge für eigene Leistungen, 3 einen Preis für Wartung, Support oder Betrieb, und keiner zeigt auf der wichtigsten Leistungsseite ein Projektergebnis mit Ausgangswert und Endwert. Das ergab unsere Durchsicht vom 09.11.2026.

Die Anbieter stammen aus unserer Marktdurchsicht vom Oktober 2026. Geöffnet haben wir 64 Seiten: je Anbieter die Startseite, die wichtigste Leistungsseite und, wo vorhanden, Seiten zu Preisen, Kosten, Wartung oder Ablauf. Ein 18. Anbieter war am 09.11.2026 nicht erreichbar. 15 der 17 sitzen in Deutschland, zwei in Österreich. Die Namen nennen wir nicht.

Öffentliche Angaben von 17 Softwareanbietern, gelesen am 09.11.2026
MerkmalAnzahl
Euro-Beträge für eigene Leistungen genannt8 von 17
davon nur für Betrieb und Support2 von 8
Preis für Wartung, Support oder Betrieb genannt3 von 17
Projektergebnis mit Ausgangswert und Endwert auf der wichtigsten Leistungsseite0 von 17
Projektergebnis dort nur in Worten oder ohne Ausgangswert4 von 17

Quelle: eigene Erhebung,  · 17 Softwareanbieter, 64 Seiten, je Seite im ausgelieferten HTML gelesen

So haben wir gezählt: Als eigene Preise gelten Euro-Beträge, die ein Anbieter für seine eigene Leistung nennt, auch Ab-Preise. Allgemeine Marktspannen in Ratgebern zählen nicht, und eine Größenordnung ohne Betrag auch nicht. Als Projektergebnis zählt eine Aussage aus einem Kundenprojekt, die eine Messgröße vorher und nachher nennt. Vier Leistungsseiten beschreiben ein Ergebnis, aber ohne Ausgangswert, etwa eine deutliche Zeitersparnis.

Wer keine Preise nennt, ist deshalb nicht unseriös, denn Projektpreise hängen vom Umfang ab. Was auf der Website fehlt, müssen Sie aber erfragen. Dafür sind die zwölf Prüffragen da.

So prüfen Sie die öffentlichen Angaben eines Anbieters selbst:

  1. Öffnen Sie die wichtigste Leistungsseite des Anbieters. Nennt ein Beispiel Ausgangswert, Endwert und Zeitraum?
  2. Suchen Sie eine Preis- oder Kostenseite. Steht dort ein Betrag für eine eigene Leistung oder nur eine allgemeine Marktspanne?
  3. Suchen Sie auf der Website nach „Wartung“. Stehen Umfang und Preis dabei?
  4. Lesen Sie die Referenzen. Steht dort, was der Anbieter selbst gebaut hat, und dürfen Sie mit dem Kunden sprechen?

Auch wir verkaufen Softwareentwicklung, und auch für uns gilt diese Prüfung. Auf unserer Seite Softwareentwicklung nennen wir bisher keine Beträge; Kunden nennen wir nur mit schriftlicher Freigabe. Den Preis der Entwicklung kennen Sie, bevor sie beginnt, denn wir entwickeln zum Festpreis nach der Analyse. Stellen Sie uns die zwölf Fragen genauso wie jedem anderen Anbieter.

Häufige Fragen

Freelancer oder Softwarefirma: Was passt besser?

Das hängt vom Vorhaben ab. Für ein klar beschriebenes, kleines Projekt kann ein einzelner Entwickler genügen, wenn die Vertretung geregelt ist. Braucht ein Vorhaben mehrere Rollen gleichzeitig, passt eher ein Team. Prüfen Sie beide mit denselben zwölf Fragen. Eine größere Firma schützt Sie nach unserer Einschätzung nicht automatisch, wenn Code, Konten und Wissen trotzdem bei einzelnen Personen liegen.

Ich kenne mich mit Technik nicht aus. Wie bewerte ich die Antworten?

Achten Sie darauf, ob ein Anbieter konkret wird, ob er Beispiele zeigt und ob Sie die Antwort verstehen. Bei den Prüffragen 8 und 9 hilft eine Person mit Softwareerfahrung aus Ihrem Umfeld, die die Antworten liest. Ein Anbieter, der seine Arbeit nicht verständlich erklären kann, wird es im Projekt auch schwer haben.

Quellen

  1. Bundesamt für Sicherheit in der Informationstechnik (BSI): APP.7 Entwicklung von Individualsoftware (IT-Grundschutz-Kompendium, Edition 2023). . Abgerufen am .
  2. IHK Region Stuttgart: IT-Dienstleister und Software gezielt auswählen. Abgerufen am .
  3. Avelino, Passos, Hora, Valente (ICPC 2016): A Novel Approach for Estimating Truck Factors. . Abgerufen am .
  4. Steve McConnell, Construx Software: Software Development’s Cone of Uncertainty. . Abgerufen am .
  5. Ken Schwaber, Jeff Sutherland: The 2020 Scrum Guide. . Abgerufen am .
  6. Bundesamt für Sicherheit in der Informationstechnik (BSI): CON.8 Software-Entwicklung (IT-Grundschutz-Kompendium, Edition 2023). . Abgerufen am .
  7. Google Engineering Practices: The Standard of Code Review. Abgerufen am .
  8. Cybersecurity and Infrastructure Security Agency (CISA), FBI: Secure by Demand Guide: How Software Customers Can Drive a Secure Technology Ecosystem. . Abgerufen am .
  9. National Institute of Standards and Technology (NIST): SP 800-218, Secure Software Development Framework (SSDF) Version 1.1. . Abgerufen am .
  10. OWASP Foundation: OWASP Application Security Verification Standard 5.0.0. . Abgerufen am .
  11. Bundesamt für Sicherheit in der Informationstechnik (BSI): BSI TR-03185 Sicherer Software-Lebenszyklus. . Abgerufen am .
  12. Stack Overflow: 2026 Developer Survey: AI. 2026. Abgerufen am .
  13. Veracode: GenAI Code Security Fall 2026: The Ceiling Moves, But on the Low-Hanging Fruit. . Abgerufen am .
  14. METR: Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity. . Abgerufen am .
  15. METR: We are Changing our Developer Productivity Experiment Design. . Abgerufen am .
  16. Bundesamt für Sicherheit in der Informationstechnik (BSI): OPS.2.3 Nutzung von Outsourcing (IT-Grundschutz-Kompendium, Edition 2023). . Abgerufen am .

Redaktionsvermerk

Recherche und Entwurf mit KI-Unterstützung. Die Prüfung von Quellen, Zahlen und Aussagen durch Mohammad Alboush steht noch aus.

Inhalt noch nicht geprüft

Änderungen an diesem Beitrag

DatumArtÄnderung
ErstveröffentlichungBeitrag veröffentlicht

Fehler gefunden? Schreiben Sie uns an kontakt@datafalke.de. Wir korrigieren und vermerken die Änderung.

Ihr nächster Schritt

Sprechen Sie direkt mit einem Entwickler

Im Erstgespräch sprechen Sie mit dem Entwickler, der Ihre Software auch baut. Wir klären Ziel, Daten, Nutzergruppen und den sinnvollsten ersten Schritt.

Menü

Erstgespräch vereinbarenEnglish