Lastenheft für eine Website in der Schweiz: Was zu beachten ist

Warum ein Lastenheft für eine Website in der Schweiz erstellen

Ein Lastenheft ist nicht zwingend vorgeschrieben. Die Methoden des Projektmanagements variieren, und agile Ansätze setzen auf sehr kurze Zyklen. Erstellen Sie dennoch mindestens ein kurzes Dokument: Es skizziert das Projekt und erleichtert die Offerten der befragten Agenturen und Dienstleister.

Das Dokument legt Umfang, Budget, Fristen und Qualitätskriterien fest. Es richtet Geschäftsziele, Wettbewerbsanalyse, Design, Frontend- und Backend-Funktionalitäten sowie nicht-funktionale Anforderungen aufeinander aus. Strukturiert um Kontext, Ziele, technische Spezifikationen, Budget und Zeitplan macht es die Offerten vergleichbar, zuverlässig und bedarfsgerecht.

Die konkrete Herausforderung bleibt die Schätzung. Das Lastenheft ermöglicht es dem Dienstleister, Kosten und Fristen präzise zu beziffern und eine verwertbare Offertanfrage zu erstellen. Rechnen Sie mit einigen Stunden Schreibarbeit für eine möglichst vollständige Grundlage: Je präziser das Dokument, desto präziser die Offerten.

Kontext, Ziele und Zielgruppen des Projekts

Die Einleitung stellt den Auftraggeber und seine Organisation vor. Für die Person, die das Projekt trägt: Werdegang, Expertisen und Vision. Für das Unternehmen: Dienstleistungen und Produkte, Geschichte, Grösse, Spezialgebiete und intern verfügbare Kompetenzen. Sie definiert auch das Team, das das Projekt begleiten wird.

Sie legt die kurz- bis langfristigen Ziele sowie die Nutzungs- und finanziellen Erwartungen dar. Sie identifiziert die Zielgruppe: künftige Kunden, Nutzer, angestrebter Markt und bereits bestehende ähnliche Initiativen.

Dieser Teil sollte nicht ausgelagert werden: Er betrifft Ihre Tätigkeit und Ihr Projekt. Technische Vorkenntnisse sind nicht erforderlich, aber eine Durchsicht durch vertrauenswürdige Personen mit unterschiedlichen Kompetenzen begrenzt Unklarheiten.

Funktionaler Umfang und Seitenstruktur

Der Umfang unterscheidet explizit zwischen öffentlichen Funktionen (Frontend) und Administrationsfunktionen (Backend). Geben Sie für jede Funktion die beteiligte Akteursrolle, den nutzerseitigen Ablauf Schritt für Schritt, die Einstiegs- und Ausstiegspunkte, den Status (unverzichtbar oder wünschenswert) und das Abbruchkriterium an.

Zu den abzudeckenden Rubriken gehören in der Regel die Inhaltstypen und deren Publikationsmodus. Fügen Sie Formulare hinzu: Felder, erhobene Daten, Empfänger der Benachrichtigungen, Bestätigungsmeldungen. Präzisieren Sie Mitgliederbereiche: Registrierung, Rollen und Rechte, Passwort vergessen. Beschreiben Sie gegebenenfalls einen Online-Shop: Katalog, Warenkorb, Zahlung, Lieferung, Retouren.

Die Liste der Ausschlüsse ist ebenso wichtig wie die der enthaltenen Funktionen: Texterstellung, Fotoproduktion, Übersetzung, Übernahme historischer Daten, Anbindung an eine Business-Software. Falls separat veranschlagt, vermeiden diese Ausschlüsse Diskussionen während des Projekts über nicht budgetierte Leistungen.

Design, User Experience und Inhalte

Geben Sie für das Corporate Design an, ob es bereits existiert (Logo, Farben, Schriftarten, Identitätselemente und Lieferformat) oder ob dessen Erstellung Teil des Auftrags ist. Präzisieren Sie die erwarteten Screen-Templates, das Responsive-Verhalten, die abzudeckenden Breakpoints, die Anzahl der Sprachen und die Inhaltsverwaltung für jede Sprache.

Legen Sie für die Barrierefreiheit ausgewählte und überprüfbare Anforderungen fest: ausreichende Kontraste, Tastaturnavigation, Überschriftenstruktur, Alternativtexte für Bilder, Beschriftungen der Formularfelder. Planen Sie für die Suchmaschinenoptimierung die URL-Struktur, Title- und Description-Tags, die Sitemap und vor allem den Redirect-Plan von der alten Website. Ziel: Keine bestehenden Adressen verlieren.

Erstellen Sie für die Inhalte ein Inventar des Bestands. Legen Sie fest, wer Texte und Bilder bis wann liefert und wer sie einpflegt. Redaktioneller Tonfall und Ziel-Seitenstruktur werden in dieser Phase entschieden: Sie bedingen den Aufwand für die Übernahme oder Migration und den Zeitplan für die Veröffentlichung.

Technische Spezifikationen und Integrationen

Das Lastenheft benennt die gewählte Content-Management-Lösung oder das Framework, seine Lizenz und die notwendigen Kompetenzen für den Unterhalt intern oder durch Dritte. Es präzisiert das Hosting: Standort der Server, Backups, erwartete Verfügbarkeit. Es legt die Domain fest: Inhaber, DNS-Verwaltung. Es deckt auch professionelle E-Mail-Adressen und Zertifikate zur Verschlüsselung der Kommunikation ab.

Es listet die Integrationen auf: Schnittstellen zu Drittdiensten, CRM, Rechnungsstellungs- oder Newsletter-Tools, Reichweitenmessung und Conversion-Tracking. Es beschreibt getrennte Umgebungen (Entwicklung, Test, Produktion) und den Prozess der Inbetriebnahme. Es gibt die Häufigkeit und Aufbewahrungsdauer der Backups sowie die Art der Tests einer Wiederherstellung an.

Schliesslich verteilt es die Wartung: Wer führt Sicherheitsupdates durch, wie oft und nach welchem Testverfahren? Wenn ein Cloud-Anbieter personenbezogene Daten für Sie verarbeitet, handelt er als Auftragsverarbeiter. Der Verantwortliche muss sicherstellen, dass dieser die Datensicherheit gewährleisten kann.

Konformität mit dem nDSG: personenbezogene Daten, Cookies und Impressum

Das neue Bundesgesetz über den Datenschutz (nDSG) ist seit dem 1. September 2023 in Kraft, ebenso seine Verordnung (VDSG). Es gilt, sobald private Personen, natürliche oder juristische, sowie die Bundesverwaltung personenbezogene Daten verarbeiten. Es betrifft daher alle Unternehmen in der Schweiz, unabhängig von ihrer Grösse.

Die Website muss eine auf Ihre Struktur zugeschnittene Datenschutzerklärung enthalten. Sie ist auf der Website und auf allen Datenerfassungsmedien präsent und wird in Formularen akzeptiert. Das Impressum muss die Kontaktdaten der Gesellschaft, die Rechtsform, die UID-/MWST-Nummer falls vorhanden und eventuelle Aufsichtsbehörden aufführen.

Sehen Sie für das Impressum einen Auszug aus dem Handelsregister vor. Ein beglaubigter Auszug kostet 40 Franken, unabhängig von der Rechtsform. Nicht beglaubigte Auszüge können kostenlos über die Firmensuche oder das zentrale Firmenindexregister Zefix heruntergeladen werden.

Formulare erfordern die Zustimmung zur Datenschutzerklärung mit einem Link darauf. Eine verantwortliche Person für die Daten wird benannt, um Anfragen auf Auskunft, Berichtigung und Löschung zu bearbeiten.

Das Cookie-Einwilligungsbanner muss die Annahme oder Ablehnung bestimmter Kategorien ermöglichen, zum Beispiel Marketing. Einwilligungen werden im Falle einer Kontrolle durch die Behörden aufgezeichnet. Planen Sie daher den Verlauf der Einwilligungen und ein Formular für den Zugriff auf personenbezogene Daten.

Die geltenden Prinzipien bleiben Rechtmässigkeit, Treu und Glauben, Zweckbestimmung, Transparenz, Verhältnismässigkeit, Richtigkeit und Sicherheit. Jede Person, die personenbezogene Daten verarbeitet, muss sicherstellen, dass diese richtig sind, und geeignete Massnahmen zu ihrer Berichtigung oder Löschung ergreifen.

Die der betroffenen Person geschuldeten Informationen umfassen die Identität und Kontaktdaten des Verantwortlichen, den Verarbeitungszweck und gegebenenfalls die Empfänger oder Kategorien von Empfängern.

Besonders schützenswerte personenbezogene Daten umfassen insbesondere Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Aktivitäten, Gesundheit, Intimsphäre, rassische oder ethnische Herkunft, genetische Daten, biometrische Daten, die eine natürliche Person eindeutig identifizieren, Daten über strafrechtliche oder administrative Verfolgungen oder Sanktionen sowie Daten über Sozialhilfemassnahmen.

Sicherheit und Cyber-Resilienz

Das Lastenheft beschreibt die Zugriffsverwaltung: nominative Konten, unterschiedliche Rollen, Zwei-Faktor-Authentifizierung, Entzug der Zugänge beim Ausscheiden eines Mitarbeiters. Es beschreibt den Prozess der Aktualisierung des CMS und der Erweiterungen mit vorherigem Test in einer separaten Umgebung. Es legt verschlüsselte Backups mit regelmässig geprüfter Wiederherstellung und die Verschlüsselung der Kommunikation fest.

Es sieht das Verfahren zur Meldung vor. Das Nationale Zentrum für Cybersicherheit (NCSC) ist die offizielle Stelle zur Meldung von Sicherheitslücken in der Schweiz.

Das NCSC ist das Kompetenzzentrum des Bundes für Cybersicherheit. Es ist der erste Ansprechpartner für Wirtschaft, Verwaltung, Bildungseinrichtungen und Bevölkerung. Es gewährleistet die koordinierte Umsetzung der nationalen Cyberstrategie.

Dieser Rahmen entwickelt sich weiter. Der Bundesrat hat das NCSC beauftragt, in Zusammenarbeit mit dem BAKOM und dem SECO bis Herbst 2026 einen Entwurf für eine legislative Konsultation zur Cyber-Resilienz digitaler Produkte auszuarbeiten. Er richtet sich insbesondere nach dem europäischen Cyber Resilience Act, der am 11. Dezember 2024 in Kraft getreten ist. Es ist sinnvoll, bereits jetzt im Wartungsvertrag eine Klausel zur Anpassung an die aus diesen Arbeiten resultierenden Cybersicherheitsanforderungen vorzusehen.

Budget, Fristen und Modalitäten der Zusammenarbeit

Die Schätzung gliedert sich nach Paketen: Konzeption und Mock-ups, Frontend- und Backend-Entwicklung, Inhaltspflege, Migration und Redirects, Tests, Inbetriebnahme, Schulung. Fordern Sie einen Tagessatz pro Profil: Projektleitung, Design, Entwicklung, Content. Fordern Sie auch zwei bezifferte Szenarien, einen Basisumfang und eine erweiterte Variante, statt eines einzigen Globalpreises.

Die Phasierung und die Projektmethodik sind im Dokument enthalten: Schritte und Meilensteine, erwartete Deliverables pro Schritt, Ansprechpartner auf beiden Seiten, Tracking-Tools, Entscheidungsgremium. Sehen Sie auch das Verfahren für jede Anfrage ausserhalb des Umfangs vor, mit Schätzung und schriftlicher Validierung vor Ausführung.

Vertraglich präzisieren Sie die Deliverables und das geistige Eigentum: Abtretung der Rechte am Code und an den Kreationen, Lizenzen für das CMS und Drittkomponenten. Präzisieren Sie die Garantien bei Mängeln und den genauen Inhalt der Wartung: inbegriffene Leistungen, Interventionsfristen je nach Schweregrad. Präzisieren Sie die Zahlungsbedingungen, mit einem an Meilensteine geknüpften Zeitplan und einer nach der Abnahme freigegebenen Zurückbehaltung.

Bewertung der Offerten, Abnahme und Wartung

Der Vergleich der Offerten stützt sich idealerweise auf eine gewichtete Matrix. Diese deckt das Verständnis des Bedarfs, Referenzen bei vergleichbaren Projekten, Kompetenzen des zugewiesenen Teams, vorgeschlagene Methode, Fristen und den Gesamtpreis über mehrere Jahre (Entwicklung, Hosting, Lizenzen, Wartung) ab. Sie integriert auch die Konformität im Bereich Datenschutz und Sicherheitsmassnahmen. Lassen Sie unklare Punkte schriftlich beantworten, bevor Sie entscheiden.

Die Abnahme wird vor dem Launch vorbereitet. Ein Testprotokoll greift die im Umfang beschriebenen Abläufe und Akzeptanzkriterien auf. Es wird durch Tests auf den von Ihrer Zielgruppe genutzten Browsern und Geräten ergänzt und, falls nötig, durch Lasttests. Anomalien werden erfasst, nach Schweregrad klassifiziert, und ihre Behebung wird durch Fristen bis zum Abnahmeprotokoll geregelt.

Nach der Online-Stellung legt das Lastenheft die Schulung der Personen fest, die die Website administrieren werden. Es legt die übergebene Dokumentation fest: Admin-Handbuch, Backup- und Wiederherstellungsverfahren. Es legt die Support-Modalitäten fest: Kanal, Öffnungszeiten, Fristen je nach Schweregrad. Es sieht schliesslich die Übertragung der essenziellen Konten auf Ihren Namen vor: Hosting, Domain, Reichweitenmessung, Zertifikate.

Zusammenfassende Checkliste der zu planenden Elemente

Bevor Sie das Lastenheft versenden, prüfen Sie, ob es die Vorstellung der Organisation, ihre Geschichte und internen Kompetenzen enthält. Prüfen Sie auch die kurz- und langfristigen Ziele sowie die Nutzungs- und finanziellen Erwartungen. Prüfen Sie zudem die Zielgruppen, Kunden und Nutzer, den Markt und vergleichbare Initiativen.

Prüfen Sie die Liste der Frontend- und Backend-Funktionalitäten mit Akteuren, Abläufen, Status und Akzeptanzkriterien. Prüfen Sie die explizite Liste der Ausschlüsse und nicht inbegriffenen Leistungen. Prüfen Sie das Corporate Design oder dessen Erstellung, Templates, Responsive, Sprachen und Barrierefreiheitsanforderungen.

Prüfen Sie den URL-Plan, den Redirect-Plan und das Inventar der zu übernehmenden Inhalte. Prüfen Sie das CMS oder Framework, Hosting, Domain, E-Mails, Integrationen, Reichweitenmessung, Umgebungen und Backups.

Fügen Sie die Datenschutzerklärung, das kategorienbasierte Einwilligungsbanner mit Verlauf, das Impressum mit Handelsregisterauszug, die Zustimmungsfelder in Formularen und den Datenverantwortlichen hinzu. Fügen Sie die Identifikation der Rollen des Verantwortlichen und des Auftragsverarbeiters hinzu, einschliesslich für das Hosting. Prüfen Sie den Verweis auf das nDSG und seine Verordnung (VDSG).

Fügen Sie die Zugriffsverwaltung, Updates, Verschlüsselung und das Meldeverfahren für Sicherheitslücken hinzu. Fügen Sie die Schätzung nach Paket und Profil, bezifferte Szenarien, Phasierung, Deliverables, geistiges Eigentum, Garantien, Wartung und Zahlungsbedingungen hinzu.

Fügen Sie die Bewertungsmatrix für Offerten, das Testprotokoll für die Abnahme, Schulung, Dokumentation und Support nach dem Launch hinzu.