Hosting und Sicherheit: Wo deine Website stehen sollte

01Die Entscheidung, die niemand bewusst trifft

Hosting wird meistens nebenbei mitbestellt. Sichtbar wird es erst, wenn etwas kaputt ist.

In den meisten Projekten läuft es so: Der Webdesigner sagt "Hosting kann ich mitmachen", der Kunde nickt, und danach spricht nie wieder jemand darüber. Der Server steht irgendwo, die Rechnung ist klein genug, um nicht aufzufallen. Genau deshalb ist Hosting die unterschätzteste Position im Projekt: Es ist die einzige laufende Leistung, bei der du im Schadensfall nicht selbst handeln kannst, sondern auf jemand anderen angewiesen bist.

Sichtbar wird die Entscheidung an drei Punkten. Erstens, wenn das TLS-Zertifikat abläuft und der Browser deinen Besuchern eine Warnseite zeigt. Zweitens, wenn die Seite weg ist und niemand sagen kann, wann sie wiederkommt. Drittens, wenn jemand wissen will, wo die Daten aus deinem Kontaktformular landen. In allen drei Fällen entscheidet sich in wenigen Stunden, ob die Sache lästig oder teuer wird.

Der Preisrahmen ruiniert dabei niemanden: In der Praxis liegen brauchbare Tarife meist zwischen 8 und 25 Euro im Monat. Der Unterschied zwischen 3 und 15 Euro ist selten die Hardware, sondern das Drumherum: Sicherungsrhythmus, Aufbewahrungsdauer, Reaktionszeit des Supports. Einen "sichersten Hoster" gibt es nicht, nur Anbieter, deren Zusagen zu deinem Risiko passen.

02SSL im Klartext: was das Schloss bedeutet und was nicht

HTTPS verschlüsselt den Transportweg. Über die Seriosität des Betreibers sagt es nichts.

Wenn im Browser das Schloss erscheint, heißt das genau eines: Die Verbindung zwischen dem Gerät deines Besuchers und dem Server ist verschlüsselt. Niemand im selben WLAN und kein Zwischenknoten im Netz kann mitlesen. Das ist heute Grundausstattung, keine Zusatzleistung, denn Browser markieren unverschlüsselte Seiten seit Jahren als "nicht sicher". Was das Schloss nicht bedeutet: dass der Betreiber vertrauenswürdig ist. Phishing-Seiten haben ebenfalls gültige Zertifikate, weil ein Standardzertifikat nur prüft, ob jemand Kontrolle über die Domain hat.

Der zweite Mythos betrifft den Preis. Ein kostenloses Zertifikat von Let's Encrypt verschlüsselt technisch exakt genauso stark wie eines für 200 Euro im Jahr. Der Unterschied liegt in der Prüftiefe bei der Ausstellung und in Haftungszusagen, die für eine normale Firmenwebsite praktisch bedeutungslos sind. Wer dir ein kostenpflichtiges Zertifikat als Sicherheitsgewinn verkauft, verkauft dir Papier.

Woran HTTPS in der Praxis scheitert

Das Zertifikat selbst ist selten das Problem. Kaputt geht die Umsetzung drumherum, meist an denselben Stellen: Die automatische Verlängerung läuft nicht mehr (Zertifikate von Let's Encrypt sind typischerweise 90 Tage gültig, ohne Automatik ist das eine tickende Uhr). Das Zertifikat gilt für deine-domain.de, aber nicht für www.deine-domain.de. Es fehlt die dauerhafte Weiterleitung von http auf https. Oder einzelne Bilder und Skripte werden noch über http geladen, was den Mixed-Content-Fehler auslöst und das Schloss verschwinden lässt.

Prüfen kannst du das selbst: Rufe die Seite mit www und ohne auf, mit http und mit https, und schau, ob du jedes Mal auf derselben verschlüsselten Adresse landest. Öffne dann die Entwicklerkonsole und sieh nach, ob Mixed-Content-Warnungen erscheinen. Für die Tiefenprüfung gibt es kostenlose Online-Tests, die Protokollversionen, Zertifikatskette und Ablaufdatum in einem Bericht anzeigen.

03Serverstandort und DSGVO: warum Deutschland oder EU der kürzere Weg ist

Nicht weil ausländische Anbieter schlecht wären, sondern weil du dir eine ganze Argumentationskette sparst.

Sobald jemand deine Website aufruft, wird seine IP-Adresse verarbeitet. Das ist ein personenbezogenes Datum, und dein Hoster ist damit dein Auftragsverarbeiter. Daraus folgt eine Pflicht, die viele Betriebe nie erfüllt haben: Du brauchst mit ihm einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Bei seriösen Anbietern liegt der als PDF im Kundenkonto. Findest du dazu nichts und bekommst auf Nachfrage keine klare Antwort, ist das kein Detail, sondern ein Ausschlusskriterium.

Der Serverstandort ist rechtlich nicht der einzige Faktor, aber der einfachste. Steht der Server in Deutschland oder der EU und sitzt auch der Anbieter hier, entfällt die Diskussion um Drittlandtransfers. Bei US-Anbietern brauchst du eine belastbare Grundlage. Seit 2023 gibt es dafür den EU-US Data Privacy Framework mit einem Angemessenheitsbeschluss der Kommission, gegen den anhaltende juristische Kritik besteht. Das ist nicht automatisch rechtswidrig, aber es ist Aufwand: Rechtsgrundlage darstellen, Zertifizierung des Anbieters prüfen, bei Änderungen nachziehen. Für eine Handwerksfirma mit fünf Unterseiten lohnt sich das nicht.

Der Server in Nürnberg reicht nicht, wenn die Seite in die USA funkt

Der Standort deines Hosters sagt nichts darüber aus, wohin deine Website beim Aufruf Verbindungen aufbaut. Eine Seite kann auf einem deutschen Server liegen und trotzdem bei jedem Besuch Daten an vier oder fünf Drittanbieter senden: extern nachgeladene Schriften, eingebettete Karten, ein Video-Player, ein Analyse-Skript, ein Chat-Widget, ein Content Delivery Network für die Bilder.

Die Schriften sind der bekannteste Fall. Ein viel zitiertes Urteil des Landgerichts München I aus dem Jahr 2022 sprach einem Besucher Schadensersatz zu, weil eine Seite Schriften dynamisch von einem US-Dienst nachlud und damit dessen IP-Adresse übertrug. Das war eine Einzelfallentscheidung, keine höchstrichterliche Klärung, und es folgte eine Welle fragwürdiger Massenabmahnungen. Die praktische Lehre bleibt richtig: Schriften lokal abzulegen kostet eine halbe Stunde und beendet die Diskussion. Bei Pixylmedia ist das Standard und kein Aufpreis: lokale Fonts, kein US-CDN, Hosting in Deutschland oder der EU.

1. Öffne deine Website und die Entwicklerkonsole des Browsers, Reiter "Netzwerk".
2. Lade die Seite neu und notiere jede Domain, die nicht deine eigene ist.
3. Prüfe für jeden Dienst: Brauche ich ihn, oder kann ich ihn lokal einbinden oder ersetzen?
4. Was übrig bleibt, gehört in die Datenschutzerklärung, inklusive Rechtsgrundlage und Empfängerland.

04Die zehn Hosting-Kriterien und was sie wirklich bedeuten

Eine Liste, die du direkt neben ein Angebot legen kannst.

Hosting-Tarife werben mit Zahlen, die kaum jemanden interessieren: Speicherplatz in Gigabyte, Anzahl der Datenbanken, Traffic in Terabyte. Für eine normale Firmenwebsite sind diese Werte praktisch nie der Engpass. Die Kriterien, die im Ernstfall zählen, stehen selten in der großen Tarifübersicht, sondern im Kleingedruckten.

Wenn dein Budget begrenzt ist und du priorisieren musst: Am schnellsten rächt sich Sparen bei Backups mit definierter Aufbewahrung, bei einem eigenen Zugang auf deinen Namen, bei aktuellen Software-Versionen und bei einem Support, der innerhalb eines Werktags antwortet. Speicherplatz, Traffic und die Zahl der Postfächer sind dagegen bei fast jedem Tarif reichlich bemessen.

05Backups: die Frage, die erst am schlimmsten Tag zählt

Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung, sondern eine Vermutung.

Fast jeder Hoster wirbt mit Backups. Fast niemand prüft, ob sie funktionieren. Der Unterschied zwischen "es gibt Sicherungen" und "ich bin in zwei Stunden wieder online" liegt in fünf Fragen, die dir ein guter Anbieter in drei Sätzen beantwortet.

1. Wie oft wird gesichert? Täglich ist der sinnvolle Mindeststandard für eine Seite, an der gearbeitet wird.
2. Wie lange werden Sicherungen aufbewahrt? Sieben Tage sind knapp, 14 bis 30 Tage sind belastbar.
3. Wo liegen sie? Auf demselben Server ist keine Sicherung, sondern eine zweite Kopie im selben Risiko.
4. Kann ich selbst zurückspielen, oder muss ich den Support bitten? Und kostet ein Restore extra?
5. Werden Dateien und Datenbank zum selben Zeitpunkt gesichert? Getrennte Stände erzeugen kaputte Seiten.

Punkt zwei wird konstant unterschätzt. Sieben Tage reichen für "ich habe gestern versehentlich eine Seite gelöscht". Sie reichen nicht für den Fall, der häufiger vorkommt: ein kompromittiertes System, das drei Wochen unbemerkt Schadcode ausliefert. Ist dein ältester Wiederherstellungspunkt jünger als der Schaden, hilft dir das beste Backup-System nichts.

Punkt drei ist der klassische Baufehler. Liegt die Sicherung auf derselben Maschine, ist sie bei Hardwaredefekt, gelöschtem Account oder einem Angriff mit Serverzugriff genauso weg wie das Original. Ein monatlicher Export von Dateien und Datenbank auf einen Rechner im Büro oder in einen europäischen Cloudspeicher kostet zehn Minuten und ist deine letzte Rückfallebene.

06Updates und Ausfallsicherheit: wer ist eigentlich zuständig?

Die gefährlichste Konstellation ist nicht die falsche Technik, sondern die unbesetzte Rolle.

Nach dem Launch entsteht in vielen Projekten eine Zuständigkeitslücke, die niemand bewusst geschaffen hat. Der Hoster kümmert sich um Betriebssystem, Webserver und Laufzeitumgebung. Um dein Content-Management-System, deine Erweiterungen und dein Theme kümmert er sich ausdrücklich nicht. Der Webdesigner ist nach der Abnahme raus, sofern nichts anderes vereinbart wurde. Und der Betrieb weiß oft gar nicht, dass hier noch etwas zu tun ist.

Wie groß die Lücke ist, hängt an der Technik. Eine WordPress-Installation mit fünfzehn Erweiterungen produziert realistisch mehrere Updates pro Monat, davon einige mit Sicherheitsbezug. Wer die drei Monate liegen lässt, betreibt eine bekannte Schwachstelle im offenen Netz, und automatisierte Angriffe suchen genau danach. Eine individuell gebaute, weitgehend statische Seite hat eine viel kleinere Angriffsfläche, aber nicht null: Formular-Endpunkte und Serverkonfiguration wollen ebenfalls gepflegt werden, nur seltener.

Konkret heißt das: Wenn niemand im Betrieb Zeit für monatliche Updates hat, brauchst du entweder ein System mit sehr geringem Pflegebedarf oder jemanden, der die Aufgabe verbindlich übernimmt. Bei Pixylmedia sind nach dem Launch 30 Tage Support inklusive, danach gibt es einen Care-Plan ab 99 Euro im Monat mit Updates, Backups und Monitoring. Ob du das dort buchst oder woanders, ist zweitrangig. Wichtig ist, dass die Rolle besetzt ist. Was Pflege insgesamt kostet, steht ausführlicher im Ratgeber zu den laufenden Kosten einer Website.

Verfügbarkeit: was Prozentangaben praktisch bedeuten

Verfügbarkeitsangaben klingen abstrakt, umgerechnet auf ein Jahr sind sie konkret: 99 Prozent bedeuten rund 3,7 Tage Ausfall pro Jahr, 99,9 Prozent rund 8,8 Stunden, 99,99 Prozent rund 53 Minuten. Entscheidend ist weniger die Zahl als die Verteilung: acht Stunden verteilt auf kurze Wartungsfenster nachts sind harmlos, acht Stunden am Stück an einem Dienstagvormittag nicht. Wichtiger ist ohnehin, ob du überhaupt merkst, dass die Seite weg ist. Ein Uptime-Monitor braucht fünf Minuten Einrichtung und ist oft kostenlos.

07Was Billig-Hosting wirklich kostet

Der Preisunterschied liegt fast nie an der Hardware, sondern an dem, was passiert, wenn etwas passiert.

Ein 3-Euro-Tarif und ein 15-Euro-Tarif liefern beide deine Seite aus, meistens ähnlich schnell, solange nichts los ist. Der Unterschied zeigt sich an vier Stellen: bei der Zahl der Kunden auf demselben Server (Überbuchung führt zu schwankenden Ladezeiten), bei der Backup-Tiefe, bei den wählbaren Software-Versionen und beim Support. Diese vier Punkte spielen im Normalbetrieb keine Rolle und im Störfall die einzige.

Rechne den Unterschied einmal gegen. Von 4 auf 15 Euro im Monat zu wechseln kostet 132 Euro im Jahr. Ein einziger Arbeitstag ohne erreichbare Website kostet einen Betrieb, der darüber zwei bis drei Anfragen am Tag bekommt, in aller Regel mehr. Hosting ist eine der kleinsten Stellschrauben im Website-Budget und die mit dem schlechtesten Verhältnis von Ersparnis zu Risiko.

08Warnzeichen beim Anbieter

Neun Formulierungen und Konstellationen, bei denen du genauer hinsehen solltest.

Die meisten Hosting-Probleme sind vor Vertragsabschluss erkennbar, wenn man weiß, worauf man achtet. Die folgenden Warnzeichen bedeuten nicht automatisch, dass ein Anbieter unseriös ist. Sie bedeuten, dass eine Frage offen ist, die du beantwortet haben willst, bevor du unterschreibst.

Zwei dieser Punkte hängen an einer größeren Frage: Wem gehören Domain, Hosting-Vertrag und Quellcode am Ende? Liegen Zugänge und Verträge alle beim Dienstleister, ist gutes Hosting technisch trotzdem wertlos, weil du im Konfliktfall nicht handeln kannst. Wie du deinen Stand dazu prüfst, steht im Ratgeber dazu, wem die Website gehört. Wie du Angebote verschiedener Anbieter auf eine vergleichbare Grundlage bringst, klärt der Ratgeber zum Angebotsvergleich.

09Fazit: was du diese Woche konkret tun solltest

Kein Anbieterwechsel als Reflex, sondern eine Bestandsaufnahme in etwa 45 Minuten.

Hosting ist keine Frage von gut und böse, sondern eine Frage der Passung. Für die große Mehrheit der Firmenwebsites in Deutschland ist ein solider Shared-Tarif bei einem deutschen oder europäischen Anbieter für 8 bis 20 Euro im Monat die richtige Antwort. Darunter fehlen meistens Backup-Tiefe und Support, darüber bezahlst du Reserven, die du nicht abrufst. Ein Wechsel lohnt sich nicht wegen ein paar Euro, sondern nur, wenn eines der harten Kriterien fehlt: kein Auftragsverarbeitungsvertrag, keine definierten Backups, kein eigener Zugang, veraltete Software oder ein Support, der faktisch nicht erreichbar ist. Bevor du etwas änderst, mach die Bestandsaufnahme.

1. Herausfinden, wo deine Seite liegt: Nameserver prüfen, Rechnung lesen, im Zweifel den Dienstleister fragen.
2. Prüfen, ob der Hosting-Vertrag auf deine Firma läuft und ob du eigene Zugangsdaten hast.
3. Auftragsverarbeitungsvertrag im Kundenkonto suchen, sonst beim Anbieter anfordern.
4. Zertifikatsablauf prüfen und ein Monitoring einrichten, das 30 Tage vorher warnt.
5. Seite mit und ohne www sowie mit http aufrufen und kontrollieren, dass immer dieselbe verschlüsselte Adresse herauskommt.
6. Backup-Bereich öffnen: Wie oft, wie lange aufbewahrt, selbst zurückspielbar? Einmal einen Restore in eine Testumgebung durchziehen.
7. Netzwerk-Reiter im Browser öffnen und alle externen Domains notieren, die deine Seite kontaktiert.
8. Laufzeitversion prüfen und, falls abgekündigt, einen Update-Termin einplanen.
9. Uptime-Monitoring einrichten, damit du einen Ausfall vor deinen Kunden bemerkst.
10. Festhalten, wer für Updates zuständig ist. Lautet die Antwort "niemand", ist das dein nächster Punkt, nicht der Anbieterwechsel.

Passt danach alles, hast du eine Stunde investiert und weißt seitdem, wie belastbar deine Website wirklich ist. Bleiben drei oder vier Punkte offen, hast du eine konkrete Aufgabenliste statt eines diffusen Unbehagens. Und wenn du an mehreren Stellen feststellst, dass du auf einen Dienstleister angewiesen bist, der dir keine Auskunft gibt, dann ist nicht das Hosting dein Problem, sondern die Konstellation dahinter. Das ist unangenehm, aber lösbar, solange beide Seiten noch miteinander reden.