Zuerst: Wann du das nicht brauchst
Es gibt Fälle, in denen ein Audit nichts bringt und du dir die 250 € sparen kannst:
- Das Angebot liegt unter etwa 1.500 €. Dann steht der Prüfaufwand nicht mehr im Verhältnis zur Summe, um die es geht. Verhandle lieber direkt.
- Du willst ohnehin etwas anderes. Wenn dir das Bestehende nicht gefällt, ist die Frage nach der Code-Qualität die falsche — dann geht es um Gestaltung und Inhalt, nicht um Technik. Ein Neubau ist dann begründet, egal was der Code sagt.
- Deine Seite steht still oder wurde gehackt. Das ist kein Beurteilungsfall, sondern ein Notfall. Dafür gibt es die Soforthilfe bei Ausfällen und die Hilfe bei gehackten Seiten.
- Niemand ist mehr zuständig. Wenn der bisherige Entwickler nicht mehr antwortet, ist die erste Aufgabe, wieder an deine eigenen Zugänge zu kommen — das steht auf der Seite zur Projektübernahme.
Wann es sich lohnt
Die typische Lage sieht so aus:
- Du hast ein Angebot über einen Relaunch und die Begründung bleibt technisch vage — „nicht mehr zeitgemäß", „gewachsen", „technische Schulden".
- Kleine Änderungen dauern auffällig lange, und die Erklärung dafür kannst du nicht prüfen.
- Du willst investieren — Shop, Schnittstelle, neuer Bereich — und wissen, ob das Fundament das trägt, bevor du es bezahlst.
- Du übernimmst ein Projekt und sollst dafür geradestehen, ohne zu wissen, was drin ist.
In allen vier Fällen fehlt dir nicht Technik, sondern eine Entscheidungsgrundlage. Genau die liefert das Audit.
Was das Audit ansieht
- Aktualität und Sicherheitslage. PHP-Version, Framework-Stände, bekannte Lücken, abgekündigte Abhängigkeiten. Bei WordPress heißt das: Core, Plugins und Themes — dort sitzen die meisten bekannten Lücken. Das ist der Teil, bei dem sich „muss neu" am häufigsten bestätigt — und der Teil, den du selbst nachprüfen kannst, wenn ich dir sage, wonach du suchst.
- Was tatsächlich im Code steht. Wie viel ist eigener Code, wie viel gekaufte Bausteine, wie viel toter Ballast. Ob es Struktur gibt oder alles in wenigen großen Dateien liegt. Ob Änderungen an einer Stelle absehbar drei andere treffen.
- Datenhaltung. Wie die Daten liegen und ob sie sich ohne Verlust mitnehmen lassen. Das entscheidet oft mehr über die Kosten eines Neubaus als der Code selbst.
- Ladeverhalten unter realen Bedingungen. Nicht der Punktestand eines Testwerkzeugs, sondern was langsam ist und warum.
Was du bekommst
Eine schriftliche Einschätzung, die du deinem Anbieter vorlegen kannst — in einer Sprache, die auch jemand versteht, der nicht entwickelt.
Im Audit steht, was in Ordnung ist, was Aufmerksamkeit braucht und was tatsächlich ein Problem ist, jeweils mit der Stelle, an der ich es gesehen habe. Dazu eine Empfehlung mit Größenordnung: weiterbauen, in Teilen erneuern oder neu aufsetzen. Wenn das Angebot, das du vorliegen hast, angemessen ist, sage ich dir auch das.
Keine Punktzahl, kein Ampelsystem. Beides klingt objektiv und ersetzt das Urteil, für das du bezahlst.
Was das Audit nicht leistet
Genauso wichtig wie das, was drinsteht: Wofür du die 250 € nicht ausgibst.
- Keine Sicherheitsprüfung im engeren Sinn. Ich sehe, ob Core, Plugins und Themes aktuell sind und ob bekannte Lücken offenstehen. Ein Penetrationstest ist das nicht. Wer eine belastbare Security-Aussage für eine Zertifizierung oder einen Versicherer braucht, braucht jemand anderen.
- Keine SEO-Analyse. Wenn ein Umbau absehbar Rankings kostet, sage ich das — weil es zur Kostenfrage gehört. Welche Inhalte dir fehlen und wofür du ranken solltest, steht nicht im Audit. Das ist eine eigene Arbeit mit eigenem Aufwand.
- Kein Urteil über deinen Anbieter. Ich prüfe die Begründung, nicht die Person. Dass der Code in Ordnung ist, heißt nicht, dass jemand dich täuschen wollte — viele Relaunch-Angebote entstehen aus ehrlicher Gewohnheit, nicht aus Absicht.
- Keine Garantie auf die Zukunft. Ich sage dir, was heute im Code steht und was absehbar daraus folgt. Ob in zwei Jahren eine Abhängigkeit wegbricht, weiß ich so wenig wie alle anderen — wer dir dazu Sicherheit verspricht, verkauft sie dir.
Was bleibt, ist die eine Frage, für die du bezahlst: Trägt das, was da steht, die Summe, die jemand dafür verlangt?
Was das kostet
- Erste Einschätzung — kostenlos
- Ich sehe mir an, was von außen sichtbar ist, und sage dir, ob eine tiefere Prüfung bei dir überhaupt etwas bringt. Wenn nicht, sage ich das — das kostet mich zwanzig Minuten und dir nichts.
- Code-Review — 250 € netto
- Festpreis. Schriftliche Einschätzung mit Belegstellen und einer Empfehlung. Deckt den weitaus größten Teil der Fälle vollständig ab.
- Größere Systeme — Festpreis nach Absprache
- Bei umfangreichen Anwendungen oder mehreren zusammenhängenden Systemen nenne ich dir vorher einen Festpreis. Du entscheidest in Ruhe. Ich rechne grundsätzlich nicht nach Stunden ab.
Beauftragst du mich anschließend mit der Umsetzung, rechne ich die 250 € an. Beauftragst du jemand anderen, ist das genauso in Ordnung — die Einschätzung gehört dir.
Warum ich
Ich bin Fachinformatiker für Anwendungsentwicklung und schreibe hauptberuflich PHP- und Symfony-Anwendungen. Ich lese fremden Code nicht gelegentlich, sondern täglich — und weiß deshalb, wie viel Unordnung ein System verträgt, bevor es wirklich ein Problem wird.
Der Unterschied zu einer Agentur, die dir dasselbe anbietet: Ich habe keine Auslastung zu füllen. Ein Neubau, den du nicht brauchst, bringt mir einen Auftrag und kostet mich jemanden, der mir das nächste Mal nicht mehr glaubt. Das ist kein Edelmut, sondern die schlechtere Rechnung.
Häufige Fragen zur Zweitmeinung
Du willst den Auftrag doch auch — wie neutral kann das sein?
Berechtigte Frage. Zwei Dinge sprechen dagegen, dass ich dir einen Neubau einrede: Erstens verdiene ich an der Prüfung unabhängig vom Ergebnis, und zweitens ist „das reicht noch drei Jahre" für mich die billigere Aussage — sie kostet mich einen Auftrag, den ich nie hatte, und bringt mir jemanden, der wiederkommt. Wenn du ganz sichergehen willst: Nimm die Einschätzung und lass die Umsetzung von jemand anderem machen. Das ist kein Problem für mich.
Brauche ich dafür Zugang zum Server?
Für die erste Einschätzung nicht — vieles ist von außen sichtbar: Ladeverhalten, ausgelieferte Dateien, verwendete Versionen, eingesetzte Plugins, offensichtliche Baustellen. Für das Review brauche ich Lesezugriff auf den Code, idealerweise ein Repository oder einen Ordner per FTP. Schreibrechte oder Administratorzugänge brauche ich dafür ausdrücklich nicht.
Was, wenn der Neubau tatsächlich nötig ist?
Dann steht das genauso im Bericht, mit Begründung. Das kommt vor — bei Systemen auf abgekündigten PHP-Versionen etwa, oder wenn die Datenhaltung so gebaut ist, dass jede Änderung drei andere Stellen kaputtmacht. Der Unterschied ist, dass du dann weißt, warum, und die Aussage gegenüber deinem Anbieter belegen kannst.
Gilt das Audit nur für WordPress?
Nein. WordPress und WooCommerce sind der häufigste Fall, aber ich lese genauso PHP-Anwendungen mit Symfony oder ohne Framework. Was ich nicht beurteile, sage ich vorher — eine Einschätzung, für die mir die Grundlage fehlt, hilft dir nicht.
Wie lange dauert das?
Die erste Einschätzung bekommst du in der Regel am selben Tag. Für das Audit rechne mit zwei bis drei Werktagen ab dem Moment, in dem ich Zugriff habe. Wenn es länger dauert, sage ich das vorher.