Kundenportal entwickeln lassen: Umfang und Fallen

Ein Kundenportal ist kein Website-Bereich mit Passwort davor, sondern eine Anwendung aus fünf Teilen: Anmeldung, Rollen und Rechte, Dokumente, Anbindung an die Systeme, in denen die Daten wirklich liegen, und Betrieb. Der Aufwand hängt nicht an der Zahl der Bildschirme, sondern an der Zahl der Schnittstellen und an der Frage, wer was sehen darf. Dieser Beitrag zerlegt den Umfang in diese fünf Bausteine und endet mit der Liste, die ein Angebot vergleichbar macht. Stand: Oktober 2026.

Was ein Kundenportal ist — und was nicht

Vier Dinge werden regelmäßig verwechselt, und die Verwechslung kostet Geld:

Kundenkonto im Shop. Bestellhistorie, Adressen, Rechnungen zu Shop-Bestellungen. Kommt mit dem Shopsystem, kostet keine Entwicklung.
Dateiablage. Ein geschützter Ordner mit Dokumenten für einen Kunden. Löst „Datei zu groß für die Mail“, aber nichts weiter.
Ticketsystem. Anfragen, Störungen, Bearbeitungsstände — die Sicht auf einen Vorgang, nicht auf Ihre Geschäftsdaten.
Kundenportal. Eine Anwendung, die Daten aus Ihren Systemen kundenbezogen und rechtegeprüft anzeigt — und, wenn Sie das wollen, Eingaben zurückschreibt.

Die ersten drei Varianten sind billiger und schneller: Wer nur Dateien teilen will, braucht kein Portal. In Prozesse digitalisieren: 10 Beispiele aus dem Mittelstand steht das Portal als Beispiel Nummer 8 — dort geht es um den Nutzen, hier um den Umfang.

Die fünf Bausteine, und wo der Aufwand wirklich steckt

1. Anmeldung

Das Anmeldeformular ist eine halbe Tagesaufgabe. Alles danach ist der Posten: Einladung durch den Vertrieb oder Selbstregistrierung mit Freigabe, Passwortregeln, zweiter Faktor, Zurücksetzen über eine Mailadresse, die noch stimmen muss, Sperren beim Ausscheiden eines Mitarbeiters des Kunden.

Bei den Passwortregeln lohnt der Blick auf das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es nennt zwei brauchbare Wege: ein kurzes, komplexes Passwort, das „8 bis 12 Zeichen lang ist und vier Zeichenarten genutzt werden“, oder ein langes, weniger komplexes, das „20 bis 25 Zeichen lang ist und zwei Zeichenarten genutzt werden (beispielsweise eine Folge von Wörtern)“. Den erzwungenen Wechselrhythmus, den viele Portale noch einbauen, können Sie sich sparen: „Ein routinemäßiger Passwortwechsel aber erhöht die Sicherheit nicht automatisch“, schrieb das BSI am 30. Januar 2026 und empfiehlt stattdessen Zwei-Faktor-Authentisierung oder den Umstieg auf Passkeys.

Zweite Entscheidung hier: eigene Benutzerverwaltung oder Anmeldung über einen bestehenden Identitätsanbieter. Der Standard dafür heißt OpenID Connect, maßgeblich in der Fassung „OpenID Connect Core 1.0 incorporating errata set 2“ vom 15. Dezember 2023, die auf dem OAuth-2.0-Rahmenwerk nach RFC 6749 aufsetzt. Haben Sie Großunternehmen als Kunden, wird das gefordert — und von Anfang an eingeplant ist es günstiger.

2. Rollen und Rechte

Der teuerste Baustein, und der am häufigsten unterschätzte. Ein Kunde ist im B2B selten eine Person, sondern eine Firma mit mehreren Personen und unterschiedlichen Rechten — sehen, herunterladen, bestellen, freigeben. Das lässt sich noch gut abbilden.

Was einfache Modelle bricht, sind mehrere Firmen pro Person: die Konzernmutter, die alle Tochterfirmen sehen will; der Steuerberater, der für drei Ihrer Kunden arbeitet und nur Rechnungen sehen darf; die Einkaufsgemeinschaft, die bestellt, während die Rechnung an ein Mitglied geht. Wer die Zuordnung „ein Benutzer gehört zu einer Firma“ fest einbaut, baut sie bei der ersten dieser Anforderungen wieder aus — kein Nachtrag, sondern ein Umbau, weil die Prüfung „darf dieser Benutzer das sehen“ dann schon an zwanzig Stellen im Code steckt.

Gern vergessen: Wer pflegt die Rechte? Legt Ihr Vertrieb jeden Ansprechpartner selbst an, entsteht eine Daueraufgabe; darf der Kunde seine Leute selbst verwalten, brauchen Sie dort eine Administratorenrolle und ein Protokoll, wer wem was gegeben hat.

3. Dokumente

Drei Fragen entscheiden den Aufwand: Woher kommen die Dokumente — ERP, Dokumentenverwaltung, Buchhaltung, Mailanhang? Wie werden sie einem Kunden zugeordnet, automatisch und nicht von Hand? Wie lange liegen sie, wer darf löschen?

Der häufigste Fehler ist technisch und folgenschwer: die direkte Dateiadresse. Liegt ein Dokument unter einem Pfad, den der Server ohne Prüfung ausliefert, besteht die Zugriffskontrolle nur in der Unauffälligkeit dieses Pfades. Jede Dokumentausgabe muss über eine Stelle laufen, die vorher prüft, ob der angemeldete Benutzer dieses Dokument sehen darf. In den OWASP Top 10:2025, der achten Ausgabe dieser Fehlerliste für Webanwendungen, steht „Broken Access Control“ — fehlerhafte Zugriffskontrolle — auf Platz 1, mit 40 zugeordneten Fehlerklassen und einer Datengrundlage von über 2,8 Millionen geprüften Anwendungen. Ausdrücklich genannt sind dort zwei Muster, die in Portalen genau so vorkommen: das Ansehen oder Bearbeiten eines fremden Kontos durch Angabe seiner Kennung („insecure direct object references“) und das Erraten von Adressen, um an geschützte Seiten zu kommen („force browsing“).

4. Anbindung

Der Satz, auf den es ankommt: Ein Portal erzeugt keine Daten, es zeigt sie. Jede Anbindung an ein Quellsystem ist deshalb ein eigener Posten, und jeder besteht aus mehr als einer Leitung: Abzug oder Zugriff in Echtzeit, Abgleichtakt, Verhalten bei Fehlern und Zeitüberschreitungen, ein Testzugang zum Entwickeln, und die Festlegung, welches System die führende Quelle ist, wenn zwei Systeme dieselbe Kundenadresse kennen.

Zählen Sie vor dem Angebotsgespräch ab, wie viele Quellsysteme berührt werden: Bei zwei ist das ein Nebenpunkt, bei fünf der Hauptteil.

5. Betrieb

Der Posten, der im Angebot fehlt und im zweiten Jahr auffällt: Hosting, Sicherungen samt getestetem Rückweg, Aktualisierungen von Anwendung und Abhängigkeiten, Protokollierung, das Nachziehen von Sicherheitslücken, ein benannter Ansprechpartner bei Störungen, Schulung Ihrer eigenen Leute.

Aus dem Serverbetrieb zwei Beobachtungen, die wir regelmäßig machen: Protokolldateien im öffentlich lesbaren Verzeichnis, die jedem die Vorgänge des Portals zeigen. Und Sitzungsdateien, die niemand aufräumt, bis die Platte voll ist und das Portal an einem Freitagabend nicht mehr antwortet. Beides sind Betriebsaufgaben, keine Entwicklungsaufgaben — und beides fällt nur auf, wenn jemand zuständig ist. Nebenbei: Barrierefreiheit stellt sich auch bei einem Portal für Geschäftskunden.

Umfang klein, mittel, groß

Die Spannen unten sind Erfahrungswerte aus unseren Projekten, keine Marktstatistik, und sie sind Personentage — keine Stunden und keine Preise. Eine Spanne ist kein Mittelwert: Sie beschreibt, wo vergleichbare Vorhaben lagen, nicht wo Ihres liegen wird. Wie aus Personentagen ein Preis wird, steht in Software entwickeln lassen: was das kostet.

Baustein	Klein: Lese-Portal	Mittel: Portal mit Rollen	Groß: Selbstbedienung
Anmeldung	Einladung durch Vertrieb, Passwort, Zurücksetzen (3–6 PT)	zusätzlich zweiter Faktor, Sperrprozess (6–12 PT)	zusätzlich Identitätsanbieter, Kundenadministration (12–25 PT)
Rollen und Rechte	eine Rolle je Firma (2–5 PT)	mehrere Rollen je Firma, Rechtebündel (10–20 PT)	Person in mehreren Firmen, Freigabewege (25–50 PT)
Dokumente	eine Dokumentart, geprüfte Ausgabe (4–8 PT)	mehrere Arten, Suche, Löschfristen (10–18 PT)	Versionen, Freigaben, Protokoll je Zugriff (20–40 PT)
Anbindungen	nächtlicher Abzug, 5–10 PT je System	Abzug plus Fehlerbehandlung, 10–20 PT je System	Echtzeit-Zugriff, Rückschreiben, Notlauf, 20–40 PT je System
Betrieb	Hosting, Sicherung, Aktualisierungen	zusätzlich Überwachung, Protokollauswertung	zusätzlich Bereitschaft, Testumgebung, Freigabeprozess

Die Zeile „Betrieb“ trägt bewusst keine Spanne: Betrieb ist kein Projektposten, sondern eine laufende Leistung, gerechnet im Monat. Ein Angebot ohne eigene Betriebsposition ist unvollständig.

Drei Entscheidungen, die den Aufwand verdoppeln

Rechtemodell je Person statt je Firma. Prüffrage: Gibt es unter Ihren Kunden mindestens einen, bei dem zwei Personen unterschiedliche Dinge sehen dürfen? Wenn ja, brauchen Sie das feine Modell von Anfang an, weil es in jede Abfrage eingreift.

Echtzeit-Zugriff statt nächtlichem Abzug. Prüffrage: Trifft der Kunde im Portal eine Entscheidung, die mit den Zahlen von gestern Abend falsch wäre? Verfügbarkeit und Kreditlimit sind solche Fälle, Rechnungen und Lieferscheine fast nie. Entscheiden Sie je Datenart; ein Portal darf gemischt arbeiten.

Selbstbedienung mit Schreibrechten statt reinem Lesen. Sobald der Kunde bestellen, reklamieren oder Stammdaten ändern darf, wird aus der Anzeige ein Vorgang: Plausibilitätsprüfung, Freigabe auf Ihrer Seite, Rückschreiben, Stornierung, Beleg. Prüffrage: Was passiert mit der Eingabe, wenn niemand sie bearbeitet? Gibt es darauf keine Antwort, ist das Lese-Portal die bessere erste Stufe.

Fünf Fallen aus der Praxis

Dokumente über erratbare Adressen. Prüfen Sie das in der Abnahme selbst: Dokumentadresse kopieren, abmelden, im Browser aufrufen. Kommt die Datei, ist das Portal nicht abnahmefähig.
Kein Prozess für scheidende Mitarbeiter des Kunden. Zugänge bleiben jahrelang offen, weil niemand zuständig ist. Entweder der Kunde verwaltet seine Leute selbst, oder Sie brauchen einen wiederkehrenden Abgleich.
Portal und ERP zeigen verschiedene Stände, und niemand merkt es. Ein Abgleich, der nachts scheitert, scheitert still. Jede Anbindung braucht die Anzeige des letzten erfolgreichen Laufs und eine Meldung an einen Menschen, wenn sie ausfällt.
Mandantentrennung erst nachträglich. Die Trennung der Kundendaten gehört in die Datenhaltung und in jede Abfrage, nicht in die Anzeigeschicht. Nachträglich ist das der Umbau, der ein Portal zweimal bezahlt.
Keine Protokollierung, also kein Nachweis. Behauptet ein Kunde, eine Preisliste nie gesehen zu haben, hilft nur ein Protokoll, wer wann welches Dokument abgerufen hat. Dasselbe brauchen Sie für Auskunfts- und Löschanfragen. Nachträglich einzuziehen ist es einfach — die Vorgänge der Vergangenheit sind dann weg.

Die sechste ist keine technische: Einladungs-Mails landen im Spam, und der Vertrieb telefoniert hinterher. Planen Sie die Erstanmeldung als Prozess mit Ansprechpartner, nicht als Mailversand.

Kaufen oder bauen

Drei Wege: ein Portal-Modul Ihres Shop- oder ERP-Anbieters, ein Baukasten, eine Eigenentwicklung. Eine Anbieterrangliste hilft dabei nicht, drei Fragen schon:

Liegen die Daten überwiegend in einem einzigen System? Dann prüfen Sie zuerst dessen Portal-Modul: Es bleibt in seinem Heimatsystem und spart damit die teuerste Position — die Anbindung.
Passt Ihr Rechtemodell in das, was der Anbieter vorsieht? Lassen Sie sich die Ausnahmen aus Ihrer Liste vorführen, nicht erklären. Hinter „Lässt sich anpassen“ steckt genau der Aufwand, den Sie vermeiden wollten.
Wie kommen Sie wieder heraus? Wem gehören Zugangsdaten, Dokumente und Protokolle, und in welcher Form bekommen Sie sie beim Wechsel? Diese Frage vor dem Vertrag zu stellen ist billiger.

Eigenentwicklung lohnt dort, wo Ihr Rechtemodell oder Ihre Prozesse die Besonderheit sind — nicht, weil ein Portal „individuell“ sein müsste. Wie wir solche Anwendungen bauen und betreiben: SaaS- und Software-Entwicklung.

Was vor dem Angebot auf zwei Seiten stehen sollte

Kein Lastenheft, nur die Liste, die zwei Angebote vergleichbar macht:

Nutzergruppen mit je einem Satz, was sie dürfen — samt der Ausnahmen (Steuerberater, Konzern, Einkaufsgemeinschaft).
Dokumentarten einzeln aufgeführt, mit Quellsystem und Aufbewahrungsdauer.
Quellsysteme mit Hersteller, Version und der Angabe, wer dort einen Testzugang freigeben kann.
Mengen: Kundenfirmen, Personen je Firma, Dokumente pro Monat, größte Datei.
Pflichten: Protokollierung, Löschfristen, Auftragsverarbeitung, Barrierefreiheit — jeweils nur, ob sie gelten.

Verlangen Sie ein Angebot, das je Baustein getrennt schätzt und den Betrieb als eigene Position führt. Für das Vorgehen in Phasen trägt das Raster aus unserem Projektplan für einen Website-Relaunch auch hier.

Quellen

BSI, „Sichere Passwörter erstellen“ — Empfehlung zu Länge und Zeichenarten. bsi.bund.de, abgerufen am 23. Oktober 2026.
BSI, Pressemitteilung „Wirksamer Schutz von Benutzerkonten: Der Ändere-dein-Passwort-Tag braucht ein Update“ vom 30. Januar 2026. bsi.bund.de, abgerufen am 23. Oktober 2026.
OWASP Top 10:2025, A01:2025 Broken Access Control. top10.owasp.org, abgerufen am 23. Oktober 2026.
OpenID Foundation, „OpenID Connect Core 1.0 incorporating errata set 2“, 15. Dezember 2023. openid.net, abgerufen am 23. Oktober 2026.

Häufige Fragen

Was kostet ein Kundenportal?

Es gibt keinen Listenpreis, weil Aufwand bezahlt wird und nicht Funktionsumfang. Der Aufwand hängt an zwei Größen: wie viele Quellsysteme angebunden werden müssen und wie fein das Rechtemodell sein soll. Ein Lese-Portal mit einem nächtlichen Abzug aus einem einzigen System ist ein anderes Vorhaben als ein Portal mit Echtzeit-Zugriff, mehreren Rollen je Kundenfirma und Schreibrechten. Wie sich ein Softwarepreis überhaupt zusammensetzt — Personentage mal Satz, Festpreis gegen Aufwand, woran man ein schwaches Angebot erkennt — steht in unserem Beitrag zu den Kosten von Individualsoftware. Für dieses Vorhaben gilt: Lassen Sie je Baustein getrennt schätzen, sonst können Sie zwei Angebote nicht vergleichen.

Wie lange dauert die Entwicklung eines Kundenportals?

Die Dauer wird selten von der Entwicklung bestimmt, sondern von den Zugängen zu Ihren Systemen. Anmeldung, Dokumentenansicht und Rechtemodell sind planbare Arbeit. Der Testzugang zum ERP, die Freigabe durch den Hersteller Ihrer Warenwirtschaft und die Klärung, welches System die führende Quelle für eine Kundenadresse ist, sind es nicht — das sind die Wochen, die in keinem Zeitplan stehen. Fragen Sie im Angebotsgespräch deshalb nicht nur nach der Entwicklungsdauer, sondern danach, wann der Testzugang zu welchem System vorliegen muss.

Brauche ich eine ERP-Anbindung oder reicht ein Export?

Ein regelmäßiger Export reicht überraschend oft, nämlich immer dann, wenn die Daten ohnehin nur täglich fortschreiben: Rechnungen, Lieferscheine, abgeschlossene Aufträge, Verträge. Echtzeit-Zugriff brauchen Sie, wenn der Kunde im Portal eine Entscheidung trifft, die sofort stimmen muss — verfügbarer Bestand, Auftragsstand in der laufenden Produktion, Kreditlimit. Der Unterschied ist erheblich, weil ein Echtzeit-Zugriff Fehlerbehandlung, Zeitüberschreitungen und einen Notlauf braucht, wenn das ERP gerade nicht antwortet. Entscheiden Sie das je Datenart, nicht für das ganze Portal.

Kann ich ein Portal aus dem Shopsystem heraus nutzen?

Wenn Ihre Kunden im Shop bestellen und das Portal vor allem Bestellhistorie, Rechnungen und Lieferadressen zeigen soll: ja, dann ist das Kundenkonto des Shops der kürzere Weg. Die Grenze liegt beim Rechtemodell und bei den Dokumentarten. Sobald bei einem Kunden mehrere Personen mit unterschiedlichen Rechten arbeiten, eine Person für mehrere Firmen tätig ist oder Dokumente ins Spiel kommen, die der Shop nicht kennt — Wartungsprotokolle, Zeichnungen, Verträge, Prüfbescheinigungen —, biegen Shop-Kundenkonten in Anpassungen ab, die teurer werden als eine eigene Anwendung. Prüfen Sie das an Ihrer Liste der Dokumentarten, nicht am Leistungsversprechen des Anbieters.

Wer darf im Portal was sehen, wenn beim Kunden mehrere Personen arbeiten?

Das müssen Sie entscheiden, und zwar vor dem Angebot, weil daran der teuerste Baustein hängt. Das übliche Modell: Ein Zugang gehört zu einer Person, die Person gehört zu einer Kundenfirma, und die Rechte hängen an dieser Zuordnung — etwa sehen, herunterladen, bestellen, freigeben. Schwierig wird es bei den Ausnahmen, die es immer gibt: der Steuerberater, der nur Rechnungen sehen soll, der Einkauf einer Konzernmutter, der alle Tochterfirmen sieht, der Monteur, der nur Wartungsprotokolle einer Anlage braucht. Schreiben Sie diese Ausnahmen auf, bevor jemand ein Rechtemodell baut, in das sie nicht passen.