Angebot · Produktionsreife
Es läuft. Nur darf es so nicht in Betrieb.
Die Fachabteilung hat sich das Tool selbst gebaut, und die IT gibt es nicht frei. Der MVP steht, aber der erste zahlende Kunde stellt Fragen zur Datenhaltung. Im Haus laufen inzwischen vier selbstgebaute Anwendungen, und niemand weiß, welche davon ein Problem ist.
In allen drei Fällen ist dieselbe Frage offen: Was fehlt bis zur Produktionsreife, und was kostet es?
Woran es scheitert
Prototypen scheitern selten an der Funktion.
Sie scheitern an dem, was der Baukasten nicht mitgebaut hat. Vier Achsen, in denen wir nachsehen — mit den Befunden, die wir tatsächlich finden.
Achse 1/4 · Sicherheit
- Secrets und API-Keys, die im Client-Bundle mit ausgeliefert werden
- Fehlende oder umgehbare Autorisierung — etwa abgeschaltetes Row Level Security
- Validierung, die nur im Frontend stattfindet
- Endpunkte, die ohne Anmeldung erreichbar sind
Sicherheit
- Secrets und API-Keys, die im Client-Bundle mit ausgeliefert werden
- Fehlende oder umgehbare Autorisierung — etwa abgeschaltetes Row Level Security
- Validierung, die nur im Frontend stattfindet
- Endpunkte, die ohne Anmeldung erreichbar sind
Datenschutz
- Wohin die Daten tatsächlich fließen — nicht, wohin sie fließen sollen
- Fehlende Auftragsverarbeitungsverträge für eingebundene Dienste
- Kein Lösch- und kein Auskunftskonzept
- US-Dienste ohne belastbare Rechtsgrundlage
Skalierung & Betrieb
- Was bei zehnfacher Nutzung passiert — und was es dann kostet
- Backup und Rollback: ob es sie gibt und ob sie je erprobt wurden
- Logging und Monitoring, damit ein Ausfall auffällt, bevor der Kunde anruft
- Wer im Fehlerfall zuständig ist und woran er es merkt
Tragfähigkeit
- Testabdeckung — meist keine, was jede Änderung zum Risiko macht
- Abhängigkeit vom Baukasten: kommt der Code überhaupt heraus?
- Ob eine zweite Person die Anwendung in drei Jahren noch versteht
- Dokumentation des Fachprozesses, der im Prototyp steckt
Stufe 1
Zwei Pakete. Beide enden mit einem Urteil, nicht mit einem Angebot.
Fixpreis, feste Dauer, festes Ergebnis. Was danach passiert, entscheidet ihr — auch gegen uns.
Produktionsreife-Check
3.000 €
3 Werktage · netto zzgl. USt.
Ein Prototyp mit überschaubarem Umfang — das typische Projekt aus Lovable, v0 oder Bolt.
Enthalten
- Befundliste, sortiert nach Schweregrad — nicht nach Regelverstoß
- Ein klares Urteil zur Härtbarkeit, mit Begründung
- Aufwandsspanne für die Umsetzung
- Ein Gespräch über das Ergebnis
Produktionsreife-Audit
5.000 €
5 Werktage · netto zzgl. USt.
Eine größere Anwendung oder mehrere selbstgebaute Tools im Haus.
Enthalten
- Befundliste, sortiert nach Schweregrad — nicht nach Regelverstoß
- Ein klares Urteil zur Härtbarkeit, mit Begründung
- Aufwandsspanne für die Umsetzung
- Ein Gespräch über das Ergebnis
Zusätzlich zum Check
- DSGVO-Betrachtung mit Zuarbeit für euer Verarbeitungsverzeichnis
- Last- und Kostenverhalten unter realistischer Nutzung
- Maßnahmenplan mit Aufwand je Position
- Betriebs- und Deployment-Skizze
Ablauf
Was in den Tagen passiert.
Die vollständige Codebasis wird gelesen, nicht stichprobenartig geprüft — genau deshalb ist ein Fixpreis über drei oder fünf Werktage überhaupt möglich. Bewertung, Priorisierung und das Urteil kommen von Menschen.
Schritt 1
Zugang und Eingrenzung
Wir sehen uns an, was ihr gebaut habt und wofür es benutzt wird. Wozu die Anwendung dienen soll, entscheidet mit, welche Befunde überhaupt zählen.
Schritt 2
Vollständiger Lesedurchlauf
Die gesamte Codebasis wird gelesen — dazu Konfiguration, Abhängigkeiten und die Dienste, an denen die Anwendung hängt.
Schritt 3
Nachstellen statt behaupten
Wo sich ein Befund reproduzieren lässt, stellen wir ihn nach, bevor er in den Bericht kommt. Was sich im Zeitrahmen nicht nachstellen ließ, steht mit genau diesem Vermerk drin — als Verdacht, nicht als gesicherter Fund.
Schritt 4
Priorisierung und Urteil
Die Befunde werden nach Schweregrad sortiert, nicht nach Regelverstoß. Dazu das Urteil zur Härtbarkeit und die Aufwandsspanne für den nächsten Schritt.
Schritt 5
Ergebnisgespräch
Wir gehen den Bericht mit euch durch und beantworten, was offen geblieben ist.
Was wir von euch brauchen
- Zugriff auf das Repository oder einen Export aus dem Baukasten
- Zugang zu einer laufenden Instanz — eine Kopie genügt
- Eine Ansprechperson für Rückfragen zum Fachprozess
Stufe 2
Drei mögliche Wege. Einer davon führt an uns vorbei.
Härten
Der Code bleibt und wird produktionsreif gemacht: Zugriffsrechte, Validierung, Tests, Betrieb. Der günstigste Weg — wenn das Fundament ihn trägt.
Neubau
Der Prototyp gilt als lauffähiges Pflichtenheft. Das Verhalten bleibt, das Fundament wird neu gebaut. Teurer im Moment, billiger über die Laufzeit.
Nicht bauen
Es gibt Standard-Software, die das kann. Diese Empfehlung geben wir, wenn sie stimmt — sonst wäre das Urteil aus Stufe 1 nichts wert.
Was der Check nicht ist
Keine Rechtsberatung, kein Penetrationstest, keine Zertifizierung. Wir prüfen technisch und benennen, wo ihr juristischen Rat braucht — die Bewertung selbst ist nicht unsere.
Wo eure Daten verarbeitet werden
Standardmäßig arbeiten wir mit Claude Code. Auf Wunsch läuft die Prüfung über eine Plattform mit EU-Hosting oder vollständig auf lokalen Modellen — dann verlassen euer Code und eure Daten eure Umgebung nicht.
Die drei Stufen im DetailGeht es nicht um einen Prototyp, sondern um gewachsene Bestandssoftware, ist dieCode-Analyse & Auditdie passende Leistung — dort lautet die Frage „erweitern, ablösen oder ersetzen?".
Prototyp da, Freigabe fehlt?
Schickt uns, was ihr habt.
Kurze Beschreibung genügt für den Anfang: womit gebaut, was es tut, wer es nutzen soll. Wir sagen euch, welches Paket passt — und wenn keines passt, auch das. Antwort innerhalb eines Werktages.
Prüfung anfragen