„Die App läuft doch. Warum soll ich jeden Monat für Wartung zahlen?“ Diese Frage höre ich oft von Firmen mit einer eigenen Web-App. Eine Web-App ist ein Programm, das im Browser läuft. Das kann ein Kundenportal sein oder ein internes Planungstool. Die kurze Antwort: In jeder Web-App stecken Ablaufdaten. Danach gibt es für wichtige Teile keine Sicherheitsupdates mehr. Dieser Beitrag ist Teil 8 meiner Serie Website oder Web-App?. Ich zeige dir die Daten für Laravel und PHP und was eine Wartung kostet. Am Ende gibt es eine Checkliste zum Abhaken, auch als PDF.
Laravel Wartung: Was damit gemeint ist
Viele Web-Apps sind mit Laravel gebaut. Laravel ist ein Baukasten für eigene Programme, die im Browser laufen. Er liefert fertige Teile für Login, Formulare oder den Versand von E-Mails. Der Entwickler baut daraus deine App.
Jede solche App steht auf zwei Fundamenten. Das erste ist PHP. Das ist die Programmiersprache, in der die App geschrieben ist. PHP läuft auf dem Server bei deinem Hoster. Das zweite Fundament ist Laravel selbst. Beide bekommen nur eine begrenzte Zeit Updates. Danach werden neu entdeckte Sicherheitslücken nicht mehr geschlossen.
Laravel-Wartung heißt deshalb: Jemand behält diese Fundamente im Blick. Er spielt Updates ein und plant rechtzeitig den Wechsel auf die nächste Version. Dazu kommen Backups und eine Überwachung, ob die App läuft.
Woher die Ablaufdaten kommen
Die Regeln sind öffentlich. Laravel schreibt in seiner offiziellen Dokumentation: Jede Version bekommt 18 Monate lang Fehlerbehebungen und 2 Jahre lang Sicherheitsupdates. Fehlerbehebungen reparieren Dinge, die nicht richtig funktionieren. Sicherheitsupdates schließen Lücken, über die Angreifer eindringen könnten.
Für PHP gilt eine ähnliche Regel. Laut php.net wird jede PHP-Version zwei Jahre lang voll unterstützt. Danach gibt es zwei weitere Jahre nur noch Updates für kritische Sicherheitsprobleme. Nach vier Jahren ist Schluss.
Laravel bringt etwa einmal im Jahr eine neue Hauptversion heraus. Die Versionen 10 bis 13 erschienen jeweils im Februar oder März. Darum läuft auch jedes Jahr eine Version aus.
Die Daten, die du kennen solltest
Stand Ende Oktober 2026 sieht es so aus:
- Laravel 11: Die Sicherheitsupdates endeten am 12. März 2026.
- Laravel 12: Die Fehlerbehebungen endeten am 13. August 2026. Sicherheitsupdates gibt es noch bis 24. Februar 2027.
- Laravel 13: erschienen am 17. März 2026, Sicherheitsupdates bis 17. März 2028.
- PHP 8.2: Die Sicherheitsupdates enden am 31. Dezember 2026.
- PHP 8.3 bis 8.5: Sicherheitsupdates bis Ende 2027, 2028 und 2029.
Was heißt das für dich? Eine App, die 2024 mit Laravel 11 gebaut wurde, bekommt seit März 2026 keine Sicherheitsupdates mehr. Sie braucht jetzt ein Upgrade. Upgrade heißt: Die App wird auf eine neuere Version umgestellt. Läuft deine App mit Laravel 12 auf PHP 8.2? Dann enden in den nächsten Monaten gleich zwei Fristen.
Dazu kommt eine Abhängigkeit. Laravel 13 braucht laut Dokumentation mindestens PHP 8.3. Wer auf Laravel 13 wechselt, muss also oft auch PHP umstellen. Beides gehört in einen gemeinsamen Plan.
Was passiert, wenn sich niemand kümmert
Zuerst nichts. Eine App ohne Updates fällt nicht am Stichtag aus. Sie läuft weiter wie bisher. Sie wird aber mit jeder neu bekannten Lücke angreifbarer. Solche Lücken werden öffentlich beschrieben, damit andere sie schließen können. Das lesen auch Angreifer.
Das zweite Problem ist der Aufwand. Wer Versionen überspringt, hat später einen größeren Sprung vor sich. Drei Versionen Rückstand lassen sich oft nicht mehr in einem Schritt aufholen. Aus einer Routine wird dann ein kleines Projekt.
Eine Grenze gehört dazu: Wie schnell eine bestimmte App angreifbar wird, kann niemand vorhersagen. Das hängt davon ab, welche Bausteine sie nutzt und wer sie erreichen kann. Die Ablaufdaten sagen nur, ab wann niemand mehr nachbessert.
Wo dich das im Alltag betrifft
- Du hast die App von einem früheren Entwickler übernommen. Er ist nicht mehr erreichbar oder hat keine Zeit. Oft weiß dann niemand, welche Version läuft.
- Dein Hoster stellt die PHP-Version um. Hoster schalten alte PHP-Versionen irgendwann ab. Ist die App darauf nicht vorbereitet, kann sie danach stehen bleiben.
- Ein Partner ändert seine Schnittstelle. Eine Schnittstelle ist der Weg, auf dem zwei Programme Daten austauschen. Ändert etwa dein Zahlungsanbieter sein Format, muss deine App nachziehen.
- Deine App hat einen Login für Kunden. Dann liegen dort Daten anderer Menschen. Eine Lücke betrifft nicht nur dich, sondern auch sie.
Was in einer Wartung passiert
Wartung ist hier kein Knopfdruck. Bei WordPress gibt es im Verwaltungsbereich einen Button für Updates. Bei einer Laravel-App muss jemand die Updates einspielen und testen. Manchmal muss er auch den Code anpassen. Der Ablauf sieht so aus:
In meinen Wartungspaketen prüfe ich jede Woche, ob für die verwendeten Bausteine neue Lücken gemeldet wurden. Einmal im Monat spiele ich kleinere Updates ein und teste sie. Backups laufen täglich, die Wiederherstellung ist getestet. Jeden Monat bekommst du einen Bericht, was passiert ist.
Für deinen Webentwickler: So prüfst du den Stand
Diese Befehle laufen im Projektordner der App, auf dem Server oder in der Entwicklungsumgebung.
# Laravel- und PHP-Version anzeigen
php artisan --version
php -v
# Bekannte Sicherheitslücken in den Composer-Paketen prüfen
composer audit
# Veraltete direkte Abhängigkeiten auflisten
composer outdated --directDie Ampel: Wo steht deine App?
Grün heißt: Deine App bekommt alle Updates. Gelb heißt: Die Uhr läuft, aber du hast noch Zeit für einen Plan. Rot heißt: Neu entdeckte Lücken bleiben offen. Welche Farbe deine App hat, findest du mit der Checkliste unten heraus.
Recht: Was der Cyber Resilience Act damit zu tun hat
Seit Dezember 2024 ist in der EU der Cyber Resilience Act (CRA) in Kraft. Das ist eine EU-Verordnung für Produkte mit digitalen Elementen, also auch für Software. Ihre Pflichten treffen vor allem Hersteller. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) müssen Hersteller seit 11. September 2026 Schwachstellen und Sicherheitsvorfälle melden. Alle übrigen Anforderungen gelten ab 11. Dezember 2027.
Deutschland und Österreich: Als EU-Verordnung gilt der CRA direkt, ohne eigenes Landesgesetz. Ob deine Web-App darunter fällt, hängt vor allem davon ab, ob du sie nur selbst nutzt oder anderen anbietest. Dieser Frage widme ich einen eigenen Beitrag in dieser Serie. Was die Meldepflicht genau verlangt, steht im Beitrag Cyber Resilience Act: Meldepflicht für Sicherheitslücken.
Schweiz: Der CRA ist kein Schweizer Recht. Laut BSI gilt er aber für Hersteller unabhängig vom Geschäftssitz, wenn sie Produkte auf dem EU-Markt bereitstellen. Wer von der Schweiz aus Software an Kunden in der EU liefert, sollte das prüfen.
Auch bei der Haftung für Software tut sich etwas. Was sich ab Dezember 2026 ändert, steht im Beitrag zur Produkthaftung für Software. Dieser Beitrag ist keine Rechtsberatung. Eines gilt aber unabhängig vom Gesetz: Eine dokumentierte Wartung zeigt, dass du dich gekümmert hast.
Wann Wartung Sinn macht – und wann nicht
Sinn macht eine laufende Wartung, sobald die App aus dem Internet erreichbar ist. Das gilt erst recht mit Kunden-Login oder Zahlungsdaten. Dort zählt jede offene Lücke.
Anders ist es bei sehr kleinen Tools. Ein Beispiel ist ein internes Werkzeug, das nur im Firmennetz läuft und keinen Login von außen hat. Dort kann ein geplantes Upgrade alle ein bis zwei Jahre reichen. Ein Monatsvertrag wäre dann zu viel. Das sauber abzuwägen gehört für mich zu jedem Erstgespräch.
Wenig Sinn macht Wartung bei einer App, die ohnehin bald abgeschaltet wird. Dann ist die wichtigere Frage, wie du deine Daten sauber herausbekommst. Ob sich eine eigene Web-App überhaupt lohnt, erkläre ich im Beitrag Laravel und Filament statt WordPress.
Was Wartung kostet
Für die Laravel-Wartung gibt es bei mir zwei Pakete. Beide sind monatlich kündbar und haben keine Einrichtungsgebühr. Die Preise verstehen sich ohne Mehrwertsteuer.
- Essentials, 199 € im Monat: für interne Tools und Apps, die stabil laufen sollen. Mit monatlichen Updates, täglichen Backups mit getesteter Wiederherstellung und Reaktion binnen 24 Stunden an Werktagen. Eine Stunde Entwicklungszeit pro Monat ist enthalten.
- Business, 449 € im Monat: für geschäftsrelevante Apps. Dazu kommen begleitete Upgrades auf neue Laravel-Unterversionen, eine Testumgebung und Reaktion binnen 12 Stunden an Werktagen. Drei Stunden Entwicklungszeit pro Monat sind enthalten.
Große Versionssprünge, etwa von Laravel 12 auf 13, rechne ich nach Aufwand ab. Zusätzliche Stunden kosten 120 €. Wie viel Arbeit ein Sprung macht, hängt stark von der App ab. Deshalb gibt es vorher einen Upgrade-Fahrplan mit Aufwandsschätzung, ab 290 €. Wer erst wissen will, wo die App steht, bucht den Laravel-Audit um 290 €. Buchst du innerhalb von vier Wochen ein Wartungspaket, rechne ich den Preis des Checks an.
Zum Vergleich: Wie Wartung bei WordPress aussieht, steht im Beitrag zum WordPress-Wartungsvertrag.
Checkliste: Ist deine Web-App versorgt?
Hake ab, was bei deiner App schon passt. Dein Stand bleibt in diesem Browser gespeichert.
- Ich weiß, welche Laravel-Version meine App hat. Frag deinen Entwickler oder schau in den letzten Wartungsbericht. Vergleiche die Nummer mit dem Zeitstrahl oben.
- Ich weiß, welche PHP-Version am Server läuft. Schau im Kundenbereich deines Hosters nach oder frag deinen Entwickler. PHP 8.2 bekommt nur bis 31.12.2026 Sicherheitsupdates.
- Ich weiß, wann das letzte Update eingespielt wurde. Lass dir ein Datum nennen. Liegt es mehr als drei Monate zurück, frag nach dem Grund.
- Es gibt Backups, und eine Wiederherstellung wurde getestet. Frag, wann zuletzt ein Backup zur Probe zurückgespielt wurde. Ein Backup, das nie getestet wurde, ist nur eine Hoffnung.
- Jemand wird informiert, wenn die App ausfällt. Wer bekommt die Meldung? Und wie schnell reagiert diese Person?
- Es gibt eine Testumgebung. Gemeint ist eine Kopie der App, in der Updates zuerst ausprobiert werden.
- Ich habe selbst Zugang zum Code und zum Server. Liegen die Zugangsdaten bei dir oder nur bei deinem Entwickler?
Häufige Fragen
Wie lange bekommt eine Laravel-Version Updates?
18 Monate lang Fehlerbehebungen und 2 Jahre lang Sicherheitsupdates. Laravel 12 bekommt Sicherheitsupdates bis 24. Februar 2027, Laravel 13 bis 17. März 2028. Dazu kommt die PHP-Version am Server, die ihre eigenen Fristen hat.
Was passiert, wenn ich meine Web-App nicht warte?
Zuerst nichts Sichtbares. Die App läuft weiter, wird aber mit jeder neu bekannten Lücke angreifbarer. Später wird das Upgrade größer und teurer. Und irgendwann schaltet der Hoster die alte PHP-Version ab.
Kann ein anderer Entwickler die Wartung übernehmen?
Ja, wenn du Zugang zum Code und zum Server hast. Ich übernehme oft Laravel-Apps, die ich nicht selbst gebaut habe. Am Anfang steht dann ein Check von Versionen, Bausteinen und Backups. Danach bringe ich die App bei Bedarf auf einen sauberen Stand.
Was kostet ein Upgrade auf eine neue Laravel-Version?
Das hängt von der App ab: wie groß sie ist, wie viele Bausteine sie nutzt und wie weit sie zurückliegt. Einen seriösen Festpreis gibt es deshalb erst nach einem Blick in den Code. Bei mir gibt es dafür einen Upgrade-Fahrplan mit Aufwandsschätzung ab 290 €.
Braucht auch ein internes Tool Wartung?
Weniger häufig, aber ja. Läuft es nur im Firmennetz ohne Login von außen, kann ein geplantes Upgrade alle ein bis zwei Jahre reichen. Sobald es aus dem Internet erreichbar ist, empfehle ich laufende Wartung.
Du willst wissen, wo deine App steht? Schau dir meine Laravel-Wartung an oder frag über die Kontaktseite einen App-Check an. Ich übernehme auch Apps, die ich nicht selbst gebaut habe. Du überlegst noch, ob du überhaupt eine Web-App brauchst? Dann hilft der Selbsttest in 10 Fragen. Und wenn bei dir alles mit einer Tabelle angefangen hat, lies Excel-Liste ablösen. Weiter in der Serie geht es mit der Frage, wem der Code deiner App gehört.
