Agenturen richtig prüfen: Referenzen, Zertifikate, Nachweise

Warum Referenzen allein nicht reichen

Ein Kundenlogo auf der Website beweist wenig, ein Zertifikat lässt sich dagegen nachprüfen. Diese einfache Unterscheidung hilft bei fast jeder Bewertung einer Agentur, und trotzdem fällt sie im Alltag schwer, weil ein gepflegtes Portfolio seriös wirkt, ohne dass es das sein muss. Referenzen sollten deshalb eine konkrete, messbare Aussage enthalten. Durchlaufzeit von vier Tagen auf eineinhalb reduziert ist eine Aussage, erfolgreich umgesetzt ist keine. Fragen Sie bei jeder Referenz nach der Zahl dahinter: Wie viel schneller, günstiger oder fehlerfreier ist ein Prozess seitdem? Und fragen Sie, ob ein direktes Gespräch mit der Referenzkundschaft möglich ist. Agenturen, die regelmäßig gute Arbeit liefern, vermitteln das in der Regel ohne zu zögern, weil sie wissen, dass ihre frühere Kundschaft für sie spricht.

Achten Sie zusätzlich auf die Aktualität der Referenzen. Ein Projekt aus dem Jahr 2021 sagt wenig über den heutigen Stand von Team, Stack und Prozess aus, besonders in schnell wachsenden Feldern wie Machine Learning oder LLM-Integration, wo sich Werkzeuge und Best Practices innerhalb weniger Jahre spürbar verändern. Fragen Sie nach ein bis zwei Projekten aus den letzten zwölf Monaten und danach, was seitdem anders läuft.

Nachweise, die sich tatsächlich prüfen lassen

Nicht jedes Siegel bedeutet dasselbe. ISO 27001 zeigt ein funktionierendes Informationssicherheits-Management und ist überall dort relevant, wo mit sensiblen Daten gearbeitet wird. TISAX ist in der Automobilindustrie bei vielen Zulieferern Pflicht. Ein AWS-, Microsoft- oder Google-Cloud-Partnerstatus belegt geprüfte Kompetenz beim jeweiligen Anbieter, ähnlich wie ein Shopware- oder Shopify-Partnerstatus im E-Commerce. DSGVO-Auftragsverarbeitung und EU-Hosting sollten selbstverständlich sein, sind es in der Praxis aber nicht immer. Ein schriftlicher AV-Vertrag gehört deshalb in jeden Fall auf den Tisch. Bei KI-Projekten kommt seit 2025 die Einstufung nach dem EU AI Act hinzu: Eine Agentur, die Ihren Anwendungsfall selbst einer Risikoklasse zuordnen kann und die passende Dokumentation mitliefert, erspart Ihnen später Aufwand.

Ein Zertifikat allein sagt allerdings nichts darüber aus, ob es noch gültig ist. Fragen Sie nach dem Ausstellungsdatum und, bei ISO 27001, nach dem letzten Überwachungsaudit. Ein abgelaufenes Zertifikat auf der Website ist kein Beleg mehr, sondern nur noch eine Erinnerung an einen früheren Zustand.

Bei Penetrationstests und Sicherheitsaudits lohnt sich zusätzlich ein Blick auf die Qualifikation der einzelnen Testerinnen und Tester, etwa eine anerkannte Zertifizierung wie OSCP. Ein Unternehmenszertifikat sagt wenig darüber aus, wer bei Ihnen konkret am Rechner sitzt. Bitten Sie um einen anonymisierten Auszug aus einem früheren Prüfbericht. Das zeigt die tatsächliche Arbeitstiefe deutlicher als jedes Logo.

Wie ein geprüftes Profil auf techagenturen.de entsteht

Auf techagenturen.de erscheint ein Nachweis erst im Profil, nachdem die Redaktion das zugehörige Dokument gesehen hat. Ein Zertifikat wird also nicht allein aufgrund einer Selbstauskunft angezeigt. Verifiziert bedeutet zusätzlich, dass Identität und Domain der Agentur über das Impressum geprüft sind. Die Verifizierung gilt für zwölf Monate und ist unabhängig davon, ob eine Agentur einen bezahlten Plan gebucht hat: Ein bezahlter Platz verändert weder Prüfung noch Reihenfolge. Für ein Erstgespräch ersetzt das keine eigene Prüfung, verkürzt sie aber: Sie starten mit einer Vorauswahl, bei der die gröbsten Behauptungen schon aussortiert sind.

Wen Sie im Team wirklich beauftragen

Ein überzeugendes Erstgespräch führt oft die Geschäftsführung oder eine erfahrene Vertriebsperson, nicht die Entwicklerin oder der Entwickler, die später tatsächlich am Projekt arbeiten. Das ist normal, sollte aber nicht das letzte Wort sein. Fragen Sie konkret nach den Namen der Personen, die Ihr Projekt umsetzen, und nach deren Erfahrung mit einem vergleichbaren Vorhaben. Bei größeren Projekten lohnt sich ein kurzes Kennenlerngespräch mit der oder dem technisch Verantwortlichen, bevor der Vertrag unterschrieben wird. Achten Sie außerdem auf den Anteil an Senior- und Junior-Zeit im Angebot: Ein Team, das überwiegend aus Berufseinsteigern besteht, ist nicht automatisch schlechter, sollte sich aber im Stundensatz und in der Qualitätssicherung widerspiegeln. Wird die Frage nach dem tatsächlichen Team ausweichend beantwortet, ist das selbst schon eine Antwort.

Ein weiterer Hinweis ist die Verfügbarkeit über die Projektlaufzeit. Manche Agenturen setzen ihre besten Leute in der Angebotsphase ein und wechseln danach auf ein günstigeres, weniger erfahrenes Team, ein Muster, das sich am ehesten über feste Ansprechpartner im Vertrag verhindern lässt. Halten Sie Namen und Rollen der Kernbesetzung schriftlich im Angebot oder im Vertrag fest, statt sie nur mündlich im Erstgespräch zu nennen.

Was Sie selbst ins Gespräch mitbringen sollten

Ein gutes Erstgespräch braucht Vorbereitung auf beiden Seiten. Bringen Sie eine grobe Beschreibung des Vorhabens mit, und sei es nur eine Seite: Ziel, ungefährer Umfang, vorhandene Systeme, mit denen die Lösung sprechen muss, sowie ein realistischer Budgetrahmen. Ohne diese Angaben bleibt jede Antwort der Agentur unverbindlich, weil sie selbst nur raten kann. Klären Sie intern vorher, wer die Entscheidung am Ende trifft und wer während des Projekts als Ansprechpartner zur Verfügung steht. Das beschleunigt spätere Abstimmungen erheblich. Wer sein Vorhaben lieber schriftlich vorstrukturiert, findet im Beitrag zum Lastenheft für Softwareprojekte eine passende Gliederung dafür.

Das Erstgespräch: Fragenkatalog

Die folgenden Fragen lassen sich in einem einzigen Gespräch klären und zeigen meist schon nach wenigen Antworten, ob eine Agentur zum eigenen Vorhaben passt.

1. Welche Nachweise sind geprüft, und wer hat sie geprüft?
2. Wer arbeitet tatsächlich am Projekt, nicht nur in der Akquise?
3. Können Sie mir eine Referenz mit einer konkreten Kennzahl nennen, nicht nur mit einer Beschreibung?
4. Darf ich mit einer Referenzkundin oder einem Referenzkunden direkt sprechen?
5. Wie ist das Eigentum am Code vertraglich geregelt, und was gehört zur Übergabe?
6. Welches Vertragsmodell empfehlen Sie für mein Vorhaben, und warum genau dieses?
7. Wie sieht eine realistische Aufwandsschätzung für mein Projekt aus, in Stunden oder Personentagen?
8. Arbeiten Sie mit Subunternehmern oder einem Nearshore-Team, und wenn ja, mit welchem Anteil?
9. Wie läuft die Kommunikation während des Projekts, und wie oft gibt es einen Statusbericht?
10. Was passiert, wenn ein wichtiges Teammitglied ausfällt oder das Projekt wechselt?
11. Wie sind Datenverarbeitung, Hosting und Auftragsverarbeitung geregelt?
12. Welche Kündigungsfrist und welche Übergabefristen gelten in Ihrem Standardvertrag?

Zur Frage nach dem Code-Eigentum lohnt sich vorab etwas Lektüre: Der Beitrag Nutzungsrechte und Code-Eigentum erklärt, welche Vertragsklauseln dabei üblich sind.

Warnsignale, die Sie ernst nehmen sollten

Manche Antworten sagen mehr als jedes Zertifikat. Ein Festpreis ohne vorherige Anforderungsphase ist eines der häufigsten Warnsignale, weil sich ein realistischer Preis ohne Klärung des Umfangs kaum kalkulieren lässt. Referenzen ohne konkretes Ergebnis, ausweichende Antworten zu Code-Eigentum und Übergabe sowie ein Stack, der angeblich alles abdeckt, gehören ebenfalls dazu. Seriöse Anbieter benennen dagegen ihre Grenzen und begründen, welches Vertragsmodell zu Ihrem Projekt passt und welches nicht. Vorsicht auch bei Druck, schnell zu unterschreiben, oder bei einem Angebot, das deutlich unter allen anderen liegt, ohne dass der Unterschied im Leistungsumfang erklärt wird. Ein weiteres Muster: Zusagen, die nur mündlich fallen und im schriftlichen Angebot dann fehlen, etwa zu Reaktionszeiten oder zum Umfang der Wartung nach Projektabschluss. Was zählt, steht im Vertrag, nicht im Verkaufsgespräch.

Zwei oder drei Kandidaten im direkten Vergleich

Mehr als drei Angebote gleichzeitig einzuholen kostet meist mehr Zeit, als es an zusätzlicher Sicherheit bringt. Grenzen Sie die Leistung zuerst ein, etwa Individualsoftware, IT-Security oder KI-Strategie-Beratung, und filtern Sie erst danach nach Stack, Nachweisen und Budget. In der Suche lassen sich diese Kriterien kombinieren, ohne jedes Profil einzeln durchzugehen. Wer stattdessen das eigene Vorhaben beschreibt, kann über eine Anfrage Angebote von bis zu drei passenden, verifizierten Agenturen erhalten und muss die Vorauswahl nicht selbst treffen. Welche Fragen sich danach beim Vergleich der eigentlichen Angebote stellen, behandelt der Beitrag Agenturangebote vergleichen.