PHP-Entwickler in Basel

Wer in Basel einen PHP-Programmierer sucht, hat meistens eines von drei Dingen: ein Altsystem, das niemand mehr anfassen will, eine neue Fachanwendung, die Daten aus mehreren Quellen zusammenführen muss, oder eine PHP-Version, deren Support abläuft. Dieser Text zeigt, wie ich damit umgehe, welche Termine bei PHP, Laravel und Symfony wirklich gelten und was das Schweizer Datenschutzgesetz an der technischen Arbeit ändert.

Ich bin Mariusz Szatkowski, PHP-Entwickler aus Gdynia in Polen, und baue seit 2006 Webanwendungen mit PHP. Ich bin eine Einzelperson, keine Agentur, und arbeite ausschliesslich remote und schriftlich. Es gibt keinen Projektleiter dazwischen und keine Vertretung, wenn ich ausfalle. Dafür sprechen Sie mit der Person, die den Code schreibt.

#Was in Basel auf PHP-Systemen läuft

Der Kanton beschreibt seine Wirtschaft auf einer Übersichtsseite zu den wichtigen Branchen. Fünf Bereiche davon führen regelmässig zu Backend-Aufträgen:

Die Seite nennt bei Logistik und Handel die Schweizerischen Rheinhäfen: Dort würden jährlich sechs Millionen Tonnen Güter und über 100’000 Container bewegt, und rund 30 Prozent des Schweizer Exportvolumens liefen über Basel. Für ein Backend heisst das: Es geht oft um viele kleine Datensätze, die zwischen Systemen von Spediteuren, Händlern und Behörden wandern.

Historische Luftaufnahme: Werner Friedli, CC BY-SA 4.0, Wikimedia Commons.

Beim Bereich Digitale Innovation und ICT gliedert der Kanton nach digitalem Wandel der Kernbranchen, Softwarefirmen und Kreativtechnologien und verweist auf die Data-Science-Arbeit der Universität Basel und der FHNW. Ich nenne hier keine Auftraggeber, weil ich für Basel keine belegbaren Referenzen zeige.

#Die Termine, die für Ihre PHP-Version gelten

Die Frage, ob eine Anwendung noch sicher läuft, beantworten drei offizielle Seiten. Stand dieser Seite ist der 11. November 2026.

PHP (nach php.net):

Läuft Ihr System auf PHP 8.1 oder älter, erhält es von dieser Seite gar keine Updates mehr. PHP 8.2 steht kurz vor dem Ende der Sicherheitsupdates.

Laravel (nach der Release-Dokumentation):

Eine Laravel-11-Anwendung bekommt also seit März 2026 keine Sicherheitsfixes mehr aus dem Framework selbst. Laravel 13 verlangt mindestens PHP 8.3, ein Sprung von 11 auf 13 ist deshalb meistens auch ein PHP-Upgrade.

Symfony (nach symfony.com/releases): Symfony 7.4 ist die Version mit Langzeitunterstützung, mindestens PHP 8.2, Bugfixes bis November 2028 und Sicherheitsfixes bis November 2029. Symfony 6.4 erhält Bugfixes bis November 2026 und Sicherheitsfixes bis November 2027. Die aktuelle stabile Version 8.1 verlangt PHP 8.4.

Daraus ergibt sich meine Reihenfolge bei einem Upgrade-Auftrag: erst Bestandsaufnahme von PHP-Version, Framework-Version und composer.lock, dann ein schriftlicher Plan mit Zwischenstationen, die jeweils lauffähig sind. Sprünge über mehrere Hauptversionen auf einmal vermeide ich.

#Das revDSG: wo es die PHP-Arbeit berührt

Das Datenschutzgesetz (DSG), SR 235.1, gilt seit dem 1. September 2023. Aufsicht führt der EDÖB. Die rechtliche Bewertung überlasse ich Ihrer Anwältin oder Ihrem Anwalt. Fünf Artikel verlangen aber Arbeit im Code und in der Datenbank:

#Art. 22: wann eine Folgenabschätzung ansteht

Art. 22 Abs. 2 nennt als Beispiele die umfangreiche Bearbeitung besonders schützenswerter Personendaten und die systematische Überwachung grosser öffentlicher Bereiche. Gerade bei neuen Technologien kann das Risiko aus Art, Umfang, Umständen und Zweck der Bearbeitung folgen. Für ein Basler Unternehmen mit Gesundheitsbezug, etwa ein Portal rund um Studien oder Patientenkommunikation, ist die Frage früh zu stellen. Ergibt die Folgenabschätzung trotz Massnahmen weiter ein hohes Risiko, holt der Verantwortliche nach Art. 23 vorgängig die Stellungnahme des EDÖB ein. Der EDÖB teilt seine Einwände innerhalb von zwei Monaten mit. Diese Frist kann um einen Monat verlängert werden.

Das ist für den Projektplan relevant: Wer Termine für einen Launch setzt, sollte diese Zeit einrechnen. Meine Rolle ist nicht die Bewertung. Ich beschreibe schriftlich, welche Daten das System wohin bewegt, welche Protokolle es schreibt und welche Zugriffsrechte gelten, und Ihre Verantwortlichen bewerten.

#Art. 12: das Verzeichnis beginnt in der Datenbank

Das Verzeichnis des Verantwortlichen enthält nach Art. 12 Abs. 2 mindestens Identität, Bearbeitungszweck, Kategorien betroffener Personen und Personendaten, Kategorien der Empfänger, wenn möglich die Aufbewahrungsdauer, eine allgemeine Beschreibung der Sicherheitsmassnahmen und bei Bekanntgabe ins Ausland den Staat samt Garantien. Abs. 5 sieht Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden und geringem Risiko vor, die der Bundesrat regelt.

Technisch ist die Rohfassung oft schnell geschrieben: ein Schema-Dump, ergänzt um die Frage, welche Spalte welchen Zweck hat. Schwieriger sind die Nebenwege. Logdateien mit E-Mail-Adressen, Fehlermeldungen in Sentry oder ähnlichen Diensten, Queue-Nutzlasten mit Klarnamen, Exporte, die jemand einmal auf ein Laufwerk gelegt hat. Ich suche diese Stellen und trage sie in eine Liste ein.

#Art. 25 und Art. 28: Auskunft und Datenherausgabe

Wer in einem älteren System eine Auskunftsanfrage beantworten soll, merkt schnell, wo die Daten wirklich liegen. In einem gewachsenen PHP-System stehen Personendaten in der Kundentabelle, aber auch in Bestellungen, Notizfeldern, Anhängen, Protokollen und Freitext. Art. 25 Abs. 6 verlangt die Auskunft kostenlos, Abs. 7 nennt als Regel 30 Tage. Ein Skript, das alle Fundstellen zu einer Person sammelt, ist keine grosse Arbeit, wenn es von Beginn an mitgebaut wird, und eine mühsame, wenn es nachträglich aus einem Altsystem herausgearbeitet werden muss.

Art. 28 geht weiter. Die betroffene Person kann ihre Daten in einem gängigen elektronischen Format herausverlangen, wenn sie automatisiert aufgrund einer Einwilligung oder im Zusammenhang mit einem Vertrag bearbeitet werden, und sie kann die Übertragung an einen anderen Verantwortlichen verlangen, sofern das keinen unverhältnismässigen Aufwand bedeutet. Die Herausgabe ist nach dem Gesetz kostenlos. Ob eine Anfrage unter diese Voraussetzungen fällt, ist eine Rechtsfrage. Dass das System einen sauberen Export hat, ist meine.

#Datenexport aus Altsystemen: wie ich vorgehe

Ein Altsystem abzulösen ist selten ein reines Entwicklungsproblem. Meistens ist es ein Problem der Daten: Niemand weiss mehr, welche Felder gepflegt werden und welche seit Jahren leer sind. Mein Ablauf, immer schriftlich:

1. Inventar. Ich lese Schema, Fremdschlüssel und Code, der in die Tabellen schreibt. Daraus entsteht eine Tabelle: Feld, Bedeutung, Pflege, Personenbezug.
2. Zielmodell. Sie bekommen ein schriftliches Datenmodell des neuen Systems und eine Zuordnung Feld für Feld. Was nicht übernommen wird, steht mit Begründung dabei.
3. Probemigration. Ein Lauf auf einer Kopie, mit Zählungen pro Tabelle, Prüfsummen und Stichproben, die Ihre Fachleute gegenlesen.
4. Wiederholbarer Lauf. Die Migration ist ein Skript, kein Handgriff. Sie lässt sich wiederholen, bis die Abweichungen erklärt sind.
5. Umschaltung und Ausstieg. Das alte System bleibt bis zur Freigabe lesbar. Was danach gelöscht wird, steht im Verzeichnis nach Art. 12.

Der Aufwand hängt fast nur von der Datenqualität ab. Deshalb schätze ich ihn erst nach dem Inventar, nicht davor.

#Laravel oder Symfony

Beide Frameworks laufen bei mir produktiv. Die Wahl hängt an der Lebensdauer, nicht am Geschmack:

• Laravel für Fachanwendungen, die zügig stehen sollen: Eloquent, Queues, Scheduler, Blade, Livewire oder Inertia. Die jährliche Versionsfolge heisst, dass ein Upgrade pro Jahr eingeplant werden sollte.
• Symfony für Systeme mit langer Laufzeit und klaren Schnittstellen: Messenger, Doctrine, Security-Komponente, API Platform. Die LTS-Version 7.4 gibt Planungssicherheit bis November 2029.
• Ohne Framework oder mit Slim nur dann, wenn die Aufgabe wirklich klein ist.

Zur Arbeitsweise gehört: declare(strict_types=1), statische Analyse mit PHPStan, Tests auf den fachlich kritischen Pfaden, Composer mit gesperrten Versionen, Prüfung bekannter Schwachstellen in den Abhängigkeiten und ein Deployment ohne manuelle Schritte. Die Testabdeckung richte ich nach dem Risiko, nicht nach einer Zahl.

#Vom Briefing bis zur Übergabe

1. Briefing schriftlich. Sie schicken Ziel, Termin, den bestehenden Stack und, falls vorhanden, Lesezugriff auf das Repository.
2. Rückfragen schriftlich. Ich lese den Code und stelle meine Fragen in einer Liste. Termine oder Telefonate biete ich nicht an.
3. Umfang schriftlich. Leistungen, Annahmen und Ausschlüsse stehen vor Beginn fest. Layout, Design und Texte bringen Sie mit, das halte ich als Annahme fest.
4. Umsetzung auf Staging. Sie sehen jeden Stand unter einer geschützten Adresse.
5. Abnahme. Wir prüfen gegen eine gemeinsame Liste. Hat die Anwendung eine Weboberfläche, sind die offiziellen Core-Web-Vitals-Schwellen der Massstab: LCP bis 2,5 s, INP bis 200 ms, CLS bis 0,1.
6. Übergabe. Repository bei Ihnen, README, Entscheidungsprotokoll für nicht triviale Entscheide und eine Liste der Umgebungsvariablen ohne Geheimnisse. Betreuung danach ist optional.

#Was ich von Ihnen brauche

#Häufige Fragen

#Arbeiten Sie als Agentur oder allein?

Allein. Ich sitze allein in Gdynia in Polen und arbeite nur schriftlich und aus der Ferne. Sie haben eine feste Ansprechperson. Fällt sie aus oder ist im Urlaub, gibt es keine Vertretung, und vor Ort bin ich nie.

#Reicht meine PHP-Version noch aus?

Nach php.net erhält PHP 8.2 Sicherheitsupdates bis 31. Dezember 2026. Alles darunter wird nicht mehr unterstützt. Ich lese Ihre Version und die Composer-Abhängigkeiten aus und schreibe auf, was für ein Upgrade zu tun ist.

#Muss mein Unternehmen ein Verzeichnis der Bearbeitungstätigkeiten führen?

Art. 12 DSG verlangt es grundsätzlich von Verantwortlichen und Auftragsbearbeitern. Für kleine Unternehmen mit geringem Risiko sieht Abs. 5 Ausnahmen vor, die der Bundesrat regelt. Ob sie auf Sie zutreffen, klärt Ihre Rechtsberatung. Ich liefere die technische Übersicht: welche Tabellen und Dienste Personendaten enthalten.

#Können Sie Daten aus einem Altsystem in ein neues überführen?

Ja. Ich schreibe Exporte und Importe mit Prüfsummen und Stichproben und dokumentiere, was übernommen wurde und was nicht. Art. 28 DSG verlangt bei bestimmten Personendaten die Herausgabe in einem gängigen elektronischen Format, das plane ich in neuen Systemen von Anfang an mit.

#Laravel oder Symfony?

Beide laufen produktiv. Laravel passt, wenn eine Geschäftsanwendung schnell stehen soll. Symfony passt, wenn das System über Jahre mit langer Support-Zeit laufen soll. Ich empfehle schriftlich nach Ihren Anforderungen und begründe es.

#Übernehmen Sie Design und Layout?

Nein. Grafikdesign, Mockups und Wireframes gehören nicht zu meinem Angebot, die liefert der Auftraggeber. Ich schicke eine Tabellenvorlage, in der Sie pro Ansicht markieren, welche Elemente wohin gehören, und setze das um.

#Weitere Leistungen in Basel

Läuft Ihr Auftritt auf WordPress, finden Sie die WordPress-Entwicklung in Basel und die Wartung und den Support in Basel. Für ein getrenntes Frontend zu einem PHP-Backend gibt es die Seiten zur Astro-Entwicklung und zur Next.js-Entwicklung in Basel. Für Projekte in der Hauptstadt: PHP-Entwicklung in Bern.

#Schreiben Sie mir

Schicken Sie mir über die Kontaktseite den Zweck Ihrer Anwendung oder die Adresse des Altsystems, Ihr Ziel, den Termin und den aktuellen Stack mit PHP-Version und Framework. Ich lese alles und antworte schriftlich mit Rückfragen und einer ersten Einschätzung. Die ist kostenlos.