Web-Apps, die echte Arbeit erledigen — nicht nur gut aussehen.
Kundenportale, SaaS-MVPs, B2B-Plattformen, interne Tools und Dashboards — aus Deutschland, mit sauberer Architektur, klaren Rollen, belastbarer Datenschicht und einem ehrlichen Pfad vom MVP zur tragfähigen Plattform. Founder-led aus Krefeld.
- Auth · Rollen · API · DB · CI/CD aus einer Hand
- Next.js · TypeScript · .NET / Node · PostgreSQL · Azure
- Standort Krefeld · Deutschland & EU · DSGVO-bewusst
Eine Web-App ist kein größerer Website-Auftrag — sie ist ein System.
Wenn aus einer Website tägliche Arbeit wird — Nutzer, die sich anmelden, Daten, die geschützt gehören, Prozesse, die nicht „mal eben“ ausfallen dürfen — beginnen die schwierigen Entscheidungen. Welche Rollen gibt es? Wer darf was sehen? Wie sieht das Datenmodell in fünf Jahren aus? Wo läuft die App, wer macht Updates, wie skaliert sie, wie wird sie gesichert? p24.co plant und baut Web-Apps und Plattformen so, dass diese Fragen am Anfang beantwortet sind — nicht zwei Releases zu spät. Das Ergebnis: ein System, das nach dem Launch nicht zerbricht, sondern trägt.
Typische Anwendungsfälle für eine p24.co-Web-App.
Wir bauen Web-Apps und Plattformen für Unternehmen, die ein konkretes Problem digital lösen wollen — nicht für „digitale Transformation“ als Selbstzweck. Diese Use-Cases sehen wir am häufigsten:
Kundenportal & B2B-Self-Service
Ihre Kunden brauchen Zugriff auf Verträge, Statusinformationen, Dokumente, Tickets oder Bestellungen — sicher, schnell, ohne E-Mail-Hin-und-Her. Wir bauen das Portal mit Login, Rollen, Audit-Trail und sauberer Anbindung an Ihre Bestandssysteme.
SaaS-MVP & wachsende Plattform
Sie haben eine Produktidee, die als SaaS in Deutschland und der EU laufen soll. Wir liefern ein fokussiertes MVP mit Multi-Tenant-Architektur, Subscription-Modell, sauberer Auth und einem Pfad, wie das Produkt nach Launch wächst, statt erneut umgebaut zu werden.
Interne Tools & operative Plattformen
Ihre Mitarbeitenden verlieren Zeit in Excel, geteilten Postfächern oder gewachsenen Access-Lösungen. Wir ersetzen das durch ein internes Tool, das Workflow, Rollen, Berechtigungen und Reporting an einem Ort bündelt — mit klarer UX und nachvollziehbarer Architektur.
Dashboards & Reporting-Frontends
Sie haben Daten — in ERP, CRM, Datenbank, externen APIs — aber kein Frontend, das daraus eine tägliche Entscheidungsbasis macht. Wir bauen schnelle, sichere Dashboards mit Rollen-spezifischen Sichten, statt nur einen weiteren Excel-Export.
Workflow- und Prozesssysteme
Anträge, Freigaben, Onboarding, Auftragsabwicklung, Bearbeitungsprozesse: wir modellieren den Workflow als digitalen Prozess mit Zuständigkeiten, Status, Eskalation und Audit-Sicht — statt PDF-Pingpong.
Bestehende Plattform übernehmen & sanieren
Sie haben eine Web-App, die irgendwann mal gebaut wurde, heute aber nicht mehr wartbar ist. Wir übernehmen Audit, dokumentieren den Stand, stabilisieren Architektur und Sicherheit — und führen schrittweise zur Plattform, die Sie wirklich brauchen.
Warum „eine Website mit Login“ keine Plattform ist.
Wir sehen immer wieder, woran selbstgebaute oder bei klassischen Webagenturen gebaute Web-Apps scheitern. Für jeden dieser Punkte haben wir einen klaren technischen Hebel:
Auth- und Rollenmodell fehlt oder ist gewachsen
Login funktioniert, aber Rechte sind über if-Statements verstreut. Wir definieren ein sauberes Rollen-/Permission-Modell, dokumentiert und in der UI sichtbar — inklusive Mandantenfähigkeit, wo nötig.
Datenmodell hält Wachstum nicht aus
Schemas sind aus dem ersten Sprint übrig geblieben, Migrationen sind angstbesetzt. Wir entwerfen das Datenmodell mit Blick auf reale Geschäftslogik und auf die nächsten 12–36 Monate — mit klaren Migrationen und Versionierung.
API ist intransparent oder direkt mit der UI verheiratet
Frontend ruft halb-private Endpunkte auf, die niemand mehr verändern darf. Wir trennen API als eigenständige Schicht (REST oder typsicher), dokumentiert und versionierbar — Basis für mobile Clients, Integrationen oder Public-API.
Sicherheit ist „mal jemand hat OAuth eingebaut“
Token-Handling unklar, kein Rate-Limiting, keine sauberen Logs, kein Audit-Trail. Wir verankern Security früh: Auth-Strategie, Secrets-Management, OWASP-Hygiene, Logging und Monitoring als Teil der Architektur — nicht als Nachgedanke.
Deployment ist „auf dem Server von Markus“
Releases gehen per FTP, kein Rollback, kein Staging, kein automatischer Test. Wir liefern CI/CD mit Staging, Preview-Environments, automatischen Checks und reproduzierbaren Deploys — Wartbarkeit ist ein Feature.
Keine Roadmap nach dem MVP
Nach dem ersten Release ist niemand mehr verantwortlich, Bugs stapeln sich, Features bleiben offen. Wir liefern nicht nur das MVP, sondern auch den Pfad: was kommt nach Launch, in welcher Reihenfolge, mit welchen Risiken.
Architektur und Bausteine — was Sie konkret bekommen.
Eine Web-App von p24.co ist kein „Theme mit Backend“. Jeder Baustein wird bewusst entworfen, dokumentiert und übergeben. Das ist die typische Lieferstruktur:
1. Discovery & Architektur-Skizze
Use-Cases, Nutzerrollen, kritische Workflows, externe Systeme, Compliance-Anforderungen. Ergebnis: kompakte Architektur-Skizze, Datenmodell-Entwurf, Tech-Stack-Begründung — vor der ersten Codezeile.
2. Frontend — UI-System & Anwendungsschicht
Next.js (App Router) + React + TypeScript, getypte Komponenten, eigenes UI-System (Tokens, Layout-Primitives, Tabellen, Formulare, Modale). Sauber für Power-User: Tastatur, Fokus, Geschwindigkeit, keine Klick-Wüste.
3. Backend & Geschäftslogik
API-Layer in Next.js Route Handlers, Node oder .NET — abhängig von Anforderung. Klare Trennung von Domäne, Persistenz und Transport. Validierung, Fehlermodell und Logging als Architektur, nicht als Add-on.
4. Datenbank & Datenmodell
PostgreSQL als Standard (Azure, Supabase oder selbst gehostet), versionierte Migrationen, klare Beziehungen, Indizes, Soft-Deletes wo sinnvoll, Audit-Spalten. Bei Bedarf zusätzliche Stores (Redis, Object Storage, Vector-DB).
5. Authentifizierung, Rollen & Mandantenfähigkeit
Auth über etablierte Lösung (z. B. NextAuth/Auth.js, Azure AD, Keycloak oder eigene Implementierung mit JWT/Session), Rollen- und Permission-Modell, optionale Multi-Tenant-Strategie, MFA und SSO bei Bedarf.
6. Integrationen & Schnittstellen
Anbindung an Ihre ERP-, CRM-, Buchhaltungs-, Mail- oder Branchensysteme — über offizielle APIs, Webhooks oder eigene Konnektoren. Datentransformationen versioniert, Fehlerfälle behandelt, retry-fähig.
7. Sicherheit, Logging & Monitoring
OWASP-Top-10-Härtung, Secrets-Management, Rate-Limiting, Security-Header, CSRF-/XSS-/SQLi-Schutz, strukturierte Logs, Health-Checks, Error-Tracking (z. B. Sentry), Alerting auf reale Vorfälle.
8. CI/CD, Hosting & Betrieb
Repository, automatisierte Tests, Linting, Preview-Deployments, Staging und Produktion getrennt, reproduzierbare Releases, Rollback-Pfad. Hosting auf Vercel, Azure oder vergleichbaren EU-Plattformen — DSGVO-bewusst.
9. Dokumentation & Übergabe
Architektur-Dokument, Datenmodell, API-Referenz, Betriebsanleitung, Onboarding-Leitfaden für Entwickler. Ein neues Teammitglied muss in Tagen einsteigen können — nicht in Wochen.
Prozess: vom MVP zur tragfähigen Plattform.
Wir bauen Web-Apps in klaren Phasen — mit einem ehrlichen MVP zuerst und einem Plan, wie es danach weitergeht. Kein „Big Bang“-Projekt, das nach 18 Monaten nichts ausliefert.
- 01
Discovery & Use-Case-Schärfung
Woche 1–2Wir schärfen die Use-Cases, identifizieren die echten Nutzer und ihre Aufgaben, klären externe Systeme und Compliance-Themen. Output: priorisiertes Backlog, MVP-Scope, klare Nicht-Ziele.
output → Use-Case-Brief · Scope-Definition - 02
Architektur & Datenmodell
Woche 2–3Wir entwerfen Tech-Stack, Architektur, Datenmodell, Auth- und Rollenmodell, API-Skizze, Hosting-Plan und ein Sicherheitskonzept. Keine 80-Seiten-PowerPoint — ein präzises, lebendiges Architektur-Dokument.
output → Architektur-Dokument · Datenmodell - 03
UI-System & klickbarer Prototyp
Woche 3–4Wir bauen die Schlüssel-Screens als interaktiven Prototyp gegen ein leichtgewichtiges UI-System. Frühes Feedback aus echtem Klickverhalten — bevor das Backend in Stein steht.
output → UI-System · Prototyp - 04
MVP-Build (Backend + Frontend)
Woche 4–10Wir bauen das MVP: Datenbank, API, Auth, kritische Workflows, Admin-Bereich. Tägliche Deploys ins Staging, wöchentliche Demos. Sie sehen Fortschritt, nicht nur Statusberichte.
output → MVP-Build · Staging-Umgebung - 05
Härtung, Security & Launch-QA
Woche 10–11Penetrations-Hygiene (OWASP), Performance, Datenschutz, Logging, Error-Tracking, Backup-/Restore-Test, Load-Test der kritischen Pfade, finale UX-Politur und Inhalte.
output → Launch-Checkliste · Security-Notiz - 06
Launch & Plattform-Roadmap
ab Woche 11Go-Live, Monitoring eingerichtet, Onboarding-Material für interne Teams. Übergabe inklusive Roadmap für die nächsten 3–6 Monate: was als Nächstes, was später, was nie.
output → Live-System · Plattform-Roadmap
Was „gut“ bei einer Web-App konkret bedeutet.
Eine gute Plattform erkennt man nicht am Splash-Screen, sondern an den Eigenschaften, die im Alltag tragen. Das ist unsere Messlatte:
Architektonische Klarheit
Domäne, API und UI sind sauber getrennt. Es gibt keine „magische Datei“, in der alles zusammenläuft. Neue Entwickler verstehen die Codebasis ohne Insider-Wissen.
Sicherheit als Default
Auth ist erzwungen, Sessions/JWT korrekt gehandhabt, Secrets sind außerhalb des Repos, Logs enthalten keine personenbezogenen Klartextdaten, Rate-Limiting steht. OWASP-Hygiene ist kein Hobby, sondern Standard.
Performance und Resilienz
Kritische Workflows laufen unter Last in <300ms-Server-Antwortzeiten, Frontends sind im Wahrnehmungstest schnell. Fehlerpfade sind definiert: was passiert bei DB-Ausfall, externer API-Fehler, Token-Ablauf.
Datenintegrität
Validierung passiert serverseitig, Fremdschlüssel sind echt, Transaktionen umfassen, was zusammengehört. Konsistenz schlägt Convenience. Migrationen sind reversibel, Daten sind sichern- und wiederherstellbar.
Wartbarkeit über Jahre
Tests decken Geschäftslogik ab, nicht nur Schönwetter. CI verhindert Brüche. Abhängigkeiten sind aktualisierbar. Die App lebt 5+ Jahre — nicht nur bis zum Abnahme-Workshop.
Beobachtbarkeit & Betrieb
Logs sind strukturiert, Errors gehen in ein Tracking, kritische Metriken (Login-Fehlerrate, 5xx-Rate, Job-Dauer) sind sichtbar. Probleme bemerken wir vor dem Kunden.
Sicherheit, Datenschutz und Founder-Verantwortung.
Eine Plattform speichert reale Geschäfts- und Kundendaten — sie ist kein Spielzeug. p24.co wird von Dimitri Kronich aus Krefeld geführt. Sie haben einen technischen Ansprechpartner mit deutschem Standort, der Verantwortung für Architektur, Sicherheit und Datenschutz wirklich übernimmt — statt sie nach unten zu delegieren.
- 01Founder-Level Verantwortung — direkter Draht zu der Person, die Architektur und Sicherheit entscheidet.
- 02Standort Krefeld · Deutschland & EU — DSGVO-bewusste Umsetzung, EU-Hosting, klare Verarbeitungsgrundlagen.
- 03Auth, Rollen, Verschlüsselung, Backups und Audit-Trail als Standardbausteine — nicht als Aufpreis.
- 04Reproduzierbare Releases, dokumentierte Architektur, Notfall-/Wiederherstellungs-Plan.
- 05Übergabe so, dass auch ein anderes Team Ihre Plattform weiterbetreiben könnte — keine Abhängigkeitsfalle.
Häufige Fragen zur Web-App- und Plattform-Entwicklung.
Wie lange dauert es, ein MVP einer Web-App zu bauen?
Realistisch 8–14 Wochen von Discovery bis Launch eines fokussierten MVPs — je nach Tiefe der Workflows, Integrationen und Compliance-Anforderungen. Wir geben einen verbindlichen Zeitplan nach Discovery und Architektur-Phase.
Was kostet eine individuelle Web-App oder ein Kundenportal?
Ein seriös gebautes MVP einer Web-App bewegt sich typischerweise im mittleren bis oberen fünfstelligen Bereich, größere Plattformen schnell im sechsstelligen Bereich. Wir machen Scope, Annahmen und Risiken transparent — keine „Festpreise“ auf Basis halber Anforderungen.
Welche Technologien setzen Sie für Web-Apps ein?
Frontend: Next.js, React, TypeScript. Backend: Next.js Route Handlers, Node oder .NET — je nach Anforderung. Datenbank meist PostgreSQL. Hosting auf Vercel, Azure oder vergleichbaren EU-Plattformen. Auth über etablierte Lösungen (Auth.js, Azure AD, Keycloak). Jeder Stack-Entscheid ist begründet und dokumentiert.
Bauen Sie Multi-Tenant-SaaS für Deutschland und die EU?
Ja. Wir entwerfen Mandantenfähigkeit auf Datenebene (Tenant-ID), saubere Auth- und Permission-Logik, optional Subdomains pro Mandant und ein Abo-Modell. Datenschutz, DSGVO und EU-Hosting sind Teil der Architektur, nicht ein nachträglicher Disclaimer.
Können Sie eine bestehende Web-App übernehmen und sanieren?
Ja. Wir starten mit einem Architektur- und Sicherheits-Audit der bestehenden App, dokumentieren den Status, identifizieren kritische Risiken und schlagen einen Sanierungs-Pfad vor — bevor wir Code anfassen. So entstehen keine teuren Überraschungen.
Wie ist es mit Datenschutz, DSGVO und Hosting in Deutschland?
Wir hosten standardmäßig in der EU (Azure West Europe, Vercel EU-Edge oder vergleichbar), trennen personenbezogene Daten klar, dokumentieren Verarbeitungen und stellen die nötigen Bausteine für Auftragsverarbeitungsverträge bereit. Datenschutz ist Teil der Architektur, nicht ein nachträglicher Cookie-Banner.
Wer betreibt die Plattform nach dem Launch?
Auf Wunsch übernehmen wir den weiteren Betrieb: Monitoring, Updates, Security-Patches, Weiterentwicklung. Genauso können Sie nach Launch ein eigenes Team übernehmen — wir liefern die Dokumentation und das Setup so, dass das machbar bleibt.
Können wir mit einem kleinen MVP starten und später skalieren?
Genau das ist unser Standard-Modus. Wir wählen Stack und Architektur so, dass das MVP eigenständig sinnvoll ist, aber nicht in der ersten Skalierungsphase neu geschrieben werden muss. Roadmap und Risikobewertung gehören zur Übergabe.
Verwandte Leistungen und Themen
Lassen Sie uns Ihre Plattform sauber planen.
Erzählen Sie kurz, welches Problem die Web-App lösen soll, wer sie nutzen wird und welche Systeme sie berühren muss. Sie bekommen eine ehrliche, technische Einschätzung — direkt vom Gründer, ohne Vertriebsschicht und ohne Buzzwords.