MVP entwickeln lassen: in 6–12 Wochen produktiv, auf einem Stack, der den Ausbau trägt

Vorab drei Begriffe, die oft verwechselt werden: Ein Klickdummy zeigt, wie ein Produkt aussehen könnte, speichert aber keine Daten. Ein Proof of Concept prüft, ob etwas technisch machbar ist, etwa eine KI-Funktion mit Ihren Daten. Ein MVP (Minimum Viable Product) ist das kleinste Produkt, das Kunden mit echten Daten nutzen und bezahlen können.

Woran Start-ups scheitern: CB Insights hat untersucht, warum mit Wagniskapital finanzierte Start-ups seit 2023 schließen mussten. Bei 385 von ihnen ließ sich die Ursache erkennen, und bei 43 % davon zählte ein schwacher Product-Market-Fit zu den Gründen (Mehrfachnennungen möglich; CB Insights, März 2026). Ein MVP soll früh klären, ob der Markt Ihr Produkt will: Nutzen Kunden es, kommen sie wieder, und zahlen sie? Dafür gibt es vier Wege, und nicht jeder führt zu uns.

Quellen zur Tabelle: Lovable zu Plänen und Credits, zum Datenexport und zu Hosting und Eigentum, freelancermap zum Stundensatz von Softwareentwicklern. Unsere Preise sind Nettopreise, Stand Oktober 2026. Warum eine Festanstellung vor dem Product-Market-Fit selten passt, steht in unserem Beitrag Inhouse, Freelancer oder Agentur.

Vor der Wahl des Weges steht eine Grundfrage: Wollen Sie einen bekannten Ablauf im eigenen Haus digitalisieren, geht es um Individualsoftware. Wollen Sie herausfinden, ob Kunden ein neues Produkt nutzen und bezahlen, geht es um ein MVP.

Weitere Wegweiser: Sollen sich Ihre Kunden anmelden und Aufträge, Dokumente oder Rechnungen selbst abrufen, lesen Sie Kundenportal entwickeln lassen. Bremst ein Altsystem und soll das Neue daneben wachsen, passt Software-Modernisierung. Soll das Produkt als App in App Store und Google Play erscheinen, steht der Weg dorthin unter Web App entwickeln lassen.

Soll KI Abläufe im eigenen Betrieb übernehmen, beginnt das mit der KI-Beratung. Sollen bestehende Systeme Daten ohne Handarbeit austauschen, ist es ein Fall für Prozessautomatisierung. Und soll ein neues Produkt neben einem Java-Kernsystem entstehen, beschreibt Two-Speed IT in der Praxis den Aufbau.

Den Festpreis nennen wir nach dem Konzept-Check, einem Vorprojekt von 1–2 Wochen. Er gilt für einen fest beschriebenen Umfang, und den legen wir hier offen, damit Sie Angebote vergleichen können. Alle Preise in diesem Abschnitt sind Nettopreise, Stand Oktober 2026.

Minimal-Konfiguration ab 8.000 €: der kleinste Umfang, mit dem Kunden Ihr Produkt nutzen und Sie ihr Verhalten messen. Dazu gehören Anmeldung per E-Mail, ein vollständiger Kernablauf für eine Nutzergruppe und eine Testumgebung. Die Messung zählt vier Schritte: den ersten Klick, die begonnene und die abgeschlossene Anmeldung sowie die erste echte Nutzung. So sehen Sie, an welcher Stelle Interessenten abspringen.

Betrieb und Übergabe: Anwendung und Datenbank laufen auf EU-Servern, mit täglichem Backup. Die Wiederherstellung testen wir einmal und dokumentieren sie, denn ein nie zurückgespieltes Backup ist kein Backup. Zur Übergabe gehören ein Termin, ein kurzes Betriebshandbuch und ein Fahrplan für den Ausbau. Repository und Anbieterkonten laufen von Anfang an auf Ihren Namen.

Bis 20.000 €: Zusätzlich ist eine Integration dabei. Ihr Produkt liest dann Daten aus einem anderen System, etwa einem CRM, oder wickelt Zahlungen über einen Standardanbieter wie Stripe ab. Jeder Firmenkunde bekommt eine eigene Organisation, und Postgres trennt die Daten mit Rechte-Regeln auf Datenebene (Row Level Security, kurz RLS). Live ist das MVP in 6–12 Wochen, den Konzept-Check eingerechnet.

Warum Zahlungen in diesen Rahmen passen: Wer Daten in ein fremdes System schreibt, braucht Fehlerbehandlung, Wiederanlauflogik und Tests gegen ein System, das niemand für Experimente hergibt. Für Zahlungen stellt ein Standardanbieter wie Stripe einen Testmodus und einen dokumentierten Ablauf bereit. Eine Integration, die in Ihr ERP schreibt, gehört dagegen in die Ausbaustufe.

Organisation oder Mandant? Im MVP ist jeder Firmenkunde eine Organisation in derselben Anwendung, getrennt per RLS. Von Mandantenfähigkeit sprechen wir erst bei getrennten Datenräumen und eigenen Rollen je Mandant. Eine solche Plattform ist ein eigenes Projekt: Wir bieten sie nach einer Anforderungsanalyse zum Festpreis an, wie auf unserer Seite zur Individualsoftware beschrieben.

Zusätzlich buchbar: Das Firmenkunden-Paket bringt Firmenlogin per SAML (Single Sign-on, kurz SSO), angebunden an einen Identity-Provider wie Microsoft Entra ID. Dazu kommen die Unterlagen für die Standardfragen aus dem Einkauf Ihrer Kunden, vom Löschkonzept bis zur Liste der Unterauftragsverarbeiter. Abgerechnet wird nach Aufwand, Richtwert für das ganze Paket mit einem Identity-Provider: 1,5–3 Personentage. Was genau darin steckt, steht im nächsten Abschnitt.

Festpreis nach Sichtung: Einen KI-Machbarkeitstest oder die Übernahme eines bestehenden Prototyps bieten wir zum Festpreis an, sobald wir Daten oder Code gesehen haben.

Zwölf Posten, die in Angeboten oft fehlen

Die Liste stammt aus unserem Artikel zu Softwarekosten: Diese Posten fehlen in Angeboten regelmäßig und werden trotzdem bezahlt. Dort steht auch: „Ein Angebot ohne die Liste dessen, was nicht enthalten ist, ist kein Angebot. Es ist ein Einstiegspreis.“ Wo jeder Posten bei uns steht, zeigt die Tabelle (Preise netto, Stand Oktober 2026).

Ein MVP ist bei uns kein Wegwerf-Prototyp, sondern der erste Stand Ihres Produkts. Wir bauen mit Next.js und Supabase, also auf Postgres mit Rechte-Regeln auf Datenebene (RLS) ab dem ersten Tag. Ausbaustufen setzen in der Regel darauf auf, statt von vorn zu beginnen: Das Fundament bezahlen Sie nur einmal. Die Ausnahmen stehen weiter unten.

Was einen späteren Umbau teuer macht, bringt unser Artikel Von Firebase zu Supabase migrieren auf einen Satz: „Was Projekte sprengt, ist das Datenmodell.“ Deshalb skizzieren wir das Datenmodell schon im Konzept-Check, auch für Teile, die erst nach dem MVP kommen.

Für die Anmeldung starten Produkt-MVPs mit Supabase Auth. Ein Produkt, das nach der Messphase vielleicht wieder eingestellt wird, braucht keinen eigenen Identity-Server, den jemand pflegen und überwachen muss. Das spart Betriebskosten, solange offen ist, ob das Produkt bleibt.

Keycloak kommt dazu, sobald Anforderungen auftauchen, die Supabase Auth nicht abdeckt. Typisch sind vier Fälle: die direkte Anbindung eines LDAP-Verzeichnisses oder lokalen Active Directory samt Abgleich der Gruppen, SAML-Anmeldungen, die Ihr Produkt selbst für andere Systeme ausstellt, Mandanten mit eigener Anmeldeseite und eigenen Administratoren sowie Betrieb im eigenen Rechenzentrum.

Steht einer dieser Fälle schon zu Beginn fest, ist Keycloak ab dem ersten Tag dabei. Zur Minimal-Konfiguration gehört das nicht, den Aufwand nennt das Festpreisangebot nach dem Konzept-Check. Kommt Keycloak erst später dazu, findet der Wechsel vor der Tür statt, nicht im Fundament: Datenbank und Rechte-Regeln bleiben unverändert, wie Reicht Supabase Auth? zeigt.

In der Regel kein Neubau – mit drei Ausnahmen

Grundlegender Kurswechsel: Zeigt die Messung, dass Kunden ein anderes Produkt wollen, passt oft auch das Datenmodell nicht mehr. Dann bauen wir neu und nutzen dafür, was die Messung gezeigt hat.

Firmenlogin erst nachträglich: Meldet sich jemand mit Passwort-Konto zum ersten Mal per Firmenlogin an, legt Supabase ein zweites Konto mit derselben E-Mail-Adresse an. Zusammengeführt werden die Konten nicht automatisch: Für die Übertragung von Daten und Rechten braucht es eine eigene Funktion. Wer früh weiß, dass Firmenkunden kommen, plant das Firmenlogin deshalb von Beginn an ein.

Übernahme eines fremden Prototyps: Code aus einem KI-Baukasten oder von einem anderen Team sichten wir zuerst. Ob wir ihn weiterführen oder Teile neu aufsetzen, steht danach im Festpreisangebot.

Vorbereitet auf die Standardfragen aus dem Firmeneinkauf

Oft schickt schon der erste Firmenkunde einen Fragebogen zu Sicherheit und Datenschutz. Die technische Grundlage ist ab dem ersten Tag dabei: Rechte-Regeln auf Datenebene, EU-Server für Anwendung und Datenbank, tägliche Backups. Mit dem optionalen Firmenkunden-Paket liegen auch die Antworten bereit, bevor der Einkauf fragt:

Firmenlogin (SSO): Die Beschäftigten Ihres Kunden melden sich mit ihrem gewohnten Firmenkonto an, etwa aus Microsoft Entra ID (früher Azure Active Directory) oder Okta. Technisch läuft das per SAML 2.0 über Supabase Auth.

Technische Unterlagen: eine Beschreibung der technischen und organisatorischen Maßnahmen (TOM), ein Löschkonzept, eine Skizze der Datenflüsse und eine Übersicht, welche Rolle was sehen und ändern darf. Die TOM-Beschreibung brauchen Sie auch als Anlage zum Auftragsverarbeitungsvertrag (AVV) mit Ihren Kunden.

Unterauftragsverarbeiter: Wir listen jeden eingesetzten Dienst mit Sitz und Datenstandort, auch Zahlungsanbieter wie Stripe und den E-Mail-Dienst. Der Auftragsverarbeitungsvertrag von Supabase gilt samt EU-Standardvertragsklauseln automatisch für alle Kunden, eine eigene Unterschrift ist nicht nötig. Wer die Benachrichtigungen abonniert, erfährt Änderungen an der Supabase-Liste der Unterauftragsverarbeiter mindestens 30 Tage vorher.

Protokolldaten: Wir dokumentieren, welche Nutzungs- und Protokolldaten das System erhebt. Danach fragen Datenschutzbeauftragte und oft auch der Betriebsrat Ihres Kunden.

Nachweise: Ein MVP hat keine eigene Zertifizierung. Supabase ist nach SOC 2 Type 2 geprüft und nach ISO 27001 zertifiziert. Den Bericht und das Zertifikat erhalten Sie aber erst ab dem Team-Plan, der ab 599 $/Monat kostet (Stand Oktober 2026).

Datenstandort: Anwendung und Datenbank laufen auf EU-Servern, entweder in Supabase Cloud in der Region Frankfurt oder selbst betrieben in Deutschland. Supabase betreibt allerdings alle Regionen auf AWS, Vertragspartner ist laut Nutzungsbedingungen eine Gesellschaft in Singapur, und der Vertrag unterliegt kalifornischem Recht. Einen Zugriff nach dem US CLOUD Act können wir deshalb nicht ausschließen, nur das Risiko minimieren, etwa mit eigenem Betrieb in Deutschland.

Welcher Betriebsweg zu Ihren Kunden passt, legen wir im Konzept-Check gemeinsam fest. Rechtsberatung ersetzen wir nicht: Die technische Dokumentation liefern wir Ihrem Datenschutzbeauftragten oder Ihrer Kanzlei zu.

Vertrauen ist für ein erstes Projekt viel verlangt. Deshalb können Sie vier Dinge prüfen, bevor Sie das MVP beauftragen, und ein fünftes ab dem ersten Projekttag:

Öffentliche Preise: Die Preisrahmen für Konzept-Check, MVP, Betreuung und Ausbau stehen auf dieser Seite, netto und mit Stand-Datum. Sie kennen die Größenordnung also, bevor wir sprechen.

Elf Prüffragen: Legen Sie unser Festpreisangebot neben die elf Fragen an Ihr Angebot aus unserem Artikel zu Softwarekosten. Jede Frage, die ein Anbieter nicht in zwei Sätzen beantworten kann, ist ein Kostenrisiko, auch bei uns.

Begründete Technik: Warum wir Supabase und Keycloak empfehlen, steht mit Quellen in drei Fachartikeln: Supabase und Keycloak, Was kostet Keycloak wirklich? und Supabase oder Firebase. Der dritte zeigt auch, wann Firebase die bessere Wahl ist.

Erst ein kleiner Auftrag: Der Konzept-Check dauert 1–2 Wochen und kostet 1.500–3.000 € netto (Stand Oktober 2026). Danach kennen Sie unsere Arbeitsweise und halten einen Steckbrief und ein Festpreisangebot in der Hand. Das Angebot können Sie neben andere legen, bevor Sie über das MVP entscheiden.

Repository auf Ihren Namen: Der Quellcode gehört Ihnen, das Repository läuft von Anfang an auf Ihren Namen. So sehen Sie jeden Zwischenstand selbst, nicht erst bei der Übergabe. Blind vertrauen müssen Sie uns also nicht: Sie können jederzeit nachsehen.