Hosting für Unternehmen auswählen

Für die meisten mittelständischen Unternehmen ist Managed Hosting oder ein Cloud‑Modell mit klarer Verantwortungsteilung die richtige Wahl, kleine Firmen mit einfacher Website kommen oft mit Shared Hosting aus. Wichtiger als der Preis sind aber zwei Fragen: Wer patcht im Ernstfall, und wie schnell ist ein Backup wirklich wiederhergestellt? Erst danach folgt die technische und vertragliche Detailprüfung, die weiter unten als Checkliste steht.

Die richtige Reihenfolge

Viele Vergleichsportale drehen die Entscheidung um: Sie zeigen zuerst Preise, dann Funktionen, und die betriebliche Realität kommt ganz am Schluss. Das führt zu Fehlkäufen. Sinnvoller ist es, erst das Betriebsmodell und die betrieblichen Anforderungen zu klären und Angebote danach zu vergleichen. Die Reihenfolge, die sich in der Praxis bewährt hat, sieht so aus:

1. Systemanforderungen festlegen
   Welches CMS oder Shopsystem läuft auf der Seite? WordPress, Shopware, oder ein eigenentwickeltes Backend haben unterschiedliche Anforderungen an PHP‑Version, Datenbank und Schnittstellen.
2. Betriebsmodell wählen
   Erst wenn klar ist, wie viel technisches Personal im eigenen Haus verfügbar ist, lässt sich entscheiden, ob Shared, VPS, Managed oder Cloud passt.
3. Datenschutz und Vertrag prüfen
   Ein Auftragsverarbeitungsvertrag ist Pflicht, sobald ein Anbieter personenbezogene Daten verarbeitet, und das betrifft praktisch jedes Unternehmen mit Kundendaten.
4. Performance‑ und Wiederherstellungsziele definieren
   Wie lange darf ein Ausfall dauern, bis der Shop wieder online ist? Diese Zahl bestimmt, welche Anbieter überhaupt infrage kommen.

Bei der Anforderungsanalyse lohnt sich ein nüchterner Blick auf den Alltag:

• Wie viele gleichzeitige Besucher muss die Seite an Spitzentagen verarbeiten?
• Gibt es saisonale Lastspitzen, etwa durch Rabattaktionen oder Kampagnen?
• Wie viele Mitarbeiter greifen auf Backend oder Content‑Management zu?
• Existiert bereits eine interne IT, die Patches selbst einspielen kann, oder fehlt dieses Personal komplett?

Diese Antworten entscheiden mehr über die passende Hosting‑Lösung als jeder Preisvergleich. Ein Unternehmen mit eigener IT‑Abteilung kann einen Root‑Server sinnvoll betreiben, ein Unternehmen ohne diese Kompetenz sollte sich gar nicht erst mit Root‑Zugriff belasten. Die Datenschutzprüfung gehört bewusst früh in den Prozess, denn ein Anbieter, der bei Art. 28 DSGVO Lücken hat, fällt unabhängig von Preis oder Leistung aus dem Rennen. Wer diese Reihenfolge einhält, vermeidet die häufigste Falle bei der Hosting‑Auswahl: sich in Funktionslisten zu verlieren, bevor die betriebliche Grundfrage geklärt ist.

 

Betriebsmodelle im Vergleich: Wer patcht, wer haftet?

Ein Webhosting‑Vergleich für Unternehmen entscheidet sich selten am Monatspreis. Er entscheidet sich daran, wie die Betriebsverantwortung zwischen Kunde und Anbieter verteilt ist. Genau das unterscheidet die vier gängigen Modelle grundlegend.

Shared Hosting: günstig, aber mit engen Grenzen

Beim Shared Hosting teilen sich mehrere Kunden einen Server. Der Anbieter kümmert sich um Betriebssystem, Sicherheitsupdates und Hardware, der Kunde bekommt dafür wenig Kontrolle über Konfiguration und Ressourcenverteilung. Für eine kleine Firmenwebsite mit moderatem Besucheraufkommen reicht das oft aus. Für einen Onlineshop mit Zahlungsabwicklung und Kundendaten wird es schnell eng, weil Performance‑Spitzen anderer Kunden auf demselben Server die eigene Seite ausbremsen können.

VPS und Root‑Server: mehr Kontrolle, mehr Eigenverantwortung

Ein virtueller oder dedizierter Server gibt dir volle Kontrolle über Betriebssystem und Software, verlangt im Gegenzug aber, dass jemand diese Verantwortung auch trägt. Sicherheitsupdates, Firewall‑Konfiguration, Backup‑Strategie: All das liegt beim Kunden, sofern kein Managed‑Zusatz gebucht wird. Aus zahlreichen Agenturprojekten zeigt sich ein wiederkehrendes Muster: Viele kleine und mittelständische Unternehmen unterschätzen genau diese Verantwortung. Ein VPS ohne benanntes internes Team ist eine offene Sicherheitslücke, die irgendwann zuschlägt.

Managed Hosting: Betrieb wird ausgelagert

Managed Hosting verspricht, dass der Anbieter Patches, Monitoring und oft auch Backups übernimmt. Das Problem dabei: Der Begriff „managed“ ist nicht einheitlich definiert. Ein Anbieter versteht darunter automatische Sicherheitsupdates, ein anderer nur die Basis‑Infrastruktur ohne Anwendungsebene. Vor Vertragsabschluss muss schriftlich feststehen, welche Leistungen tatsächlich enthalten sind, sonst klafft im Ernstfall eine Lücke zwischen Erwartung und Realität. Wer sich für diesen Weg entscheidet, findet ausführliche Hintergründe in unserem Praxisguide zu Managed Hosting für KMU.

Cloud Hosting: flexibel, aber erklärungsbedürftig

Cloud‑Angebote skalieren Ressourcen automatisch nach Bedarf und eignen sich gut für Unternehmen mit stark schwankendem Traffic, etwa saisonale Händler oder Kampagnen‑getriebene Marken. Die Kehrseite: Abrechnung nach Verbrauch macht Kosten schwerer planbar, und die Verantwortungsgrenzen zwischen Infrastrukturanbieter und Anwendungsbetreiber sind oft komplexer als bei klassischem Managed Hosting. Wer Cloud wählt, sollte genau wissen, welche Schicht der Anbieter betreibt und welche Schicht im eigenen Haus bleibt. Als grobe Orientierung für die Wahl:

• Reine Marketing‑Website ohne Kundendaten: Shared Hosting oder ein einfaches Managed‑Paket reicht meist aus.
• Onlineshop mit Zahlungsdaten: Managed Hosting oder Cloud mit klar dokumentierten SLAs, selten Shared.
• Individuelle Plattform mit eigener Entwicklung: VPS oder Root‑Server, aber nur mit eigenem oder extern beauftragtem technischem Team.
• Stark schwankender Traffic: Cloud Hosting mit automatischer Skalierung.

Ein Migrationsauslöser ist meist erreicht, wenn Ladezeiten bei Lastspitzen deutlich steigen, wenn Sicherheitsupdates aus Kapazitätsgründen liegen bleiben, oder wenn der Shop wächst und Shared Hosting an seine Ressourcengrenzen stößt.

Welche technischen Anforderungen muss ein Angebot erfüllen?

Bevor du ein Angebot unterschreibst, brauchst du handfeste technische Zahlen. Die wichtigste Vorarbeit dabei: Herstelleranforderungen aus der Shop‑ oder CMS‑Dokumentation schriftlich in das Hosting‑Angebot übernehmen. Ohne diese Übereinstimmung drohen Funktionsausfälle, die erst nach dem Livegang auffallen. Konkret solltest du diese Punkte aus der Dokumentation deines Shopsystems oder CMS ziehen und beim Anbieter abfragen:

• Unterstützte PHP‑Version und ob automatische Updates auf neuere Versionen erfolgen
• Mindestwert für memory_limit, besonders bei Shopsystemen wie Shopware oder JTL, die im Betrieb deutlich mehr Arbeitsspeicher benötigen als eine einfache Website
• Unterstützte Datenbankversion, etwa MySQL oder MariaDB, inklusive Update‑Zyklus
• Verfügbare Erweiterungen und Schnittstellen, etwa für Zahlungsdienstleister oder Warenwirtschaftssysteme
• Speichertyp: NVMe‑ oder SSD‑Speicher statt klassischer Festplatten

Profi-Tipp: Lass dir vom Anbieter die tatsächliche Speicherarchitektur schriftlich bestätigen, nicht nur „SSD“ im Prospekt. Manche Anbieter mischen NVMe‑Cache mit klassischen Datenträgern, und genau das erklärt, warum zwei „SSD‑Hosting“-Angebote bei Ladezeiten weit auseinanderliegen.

Der Speichertyp beeinflusst die Ladezeit direkter, als viele Entscheider annehmen. NVMe‑Speicher liest und schreibt Daten deutlich schneller als klassische SSDs, und dieser Unterschied wirkt sich besonders bei Shopsystemen mit vielen Datenbankabfragen aus, etwa bei Produktfilterungen oder Warenkorbaktionen. Wer nur die Marketingaussage „SSD‑Hosting“ akzeptiert, ohne nach der konkreten Architektur zu fragen, kauft mitunter ein Versprechen ohne technische Substanz.

Ebenso wichtig: Monitoring und Logging. Ein guter Anbieter zeigt dir nicht nur, dass ein Server läuft, sondern liefert Kennzahlen zu Antwortzeiten, Fehlerquoten und Ressourcenauslastung. Frag gezielt nach einem Lasttest oder nach Referenzwerten aus vergleichbaren Projekten. Ein Anbieter, der auf diese Frage keine konkrete Antwort hat, hat vermutlich selbst noch keinen ernsthaften Lasttest unter Praxisbedingungen durchgeführt.

Die technischen Unterschiede zwischen Anbietern sind messbar und nicht nur Werbeversprechen: NVMe‑Speicher und passende PHP‑Versionen entscheiden direkt über Kompatibilität und Ladezeit bei Shop‑ und CMS‑Systemen. Wer diese Werte vorab dokumentiert, erspart sich später teure Nachbesserungen am Livesystem.

Datenschutz und DSGVO: Worauf du bei der Auftragsverarbeitung achten musst

Sobald ein Hosting‑Anbieter personenbezogene Daten deiner Kunden verarbeitet, wirst du zum Verantwortlichen im Sinne der DSGVO, und der Anbieter wird zum Auftragsverarbeiter. Diese Konstellation verlangt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, doch der Vertrag allein reicht nicht aus. Nach den Beschlüssen der Datenschutzkonferenz zu extraterritorialen Zugriffen müssen Verantwortliche die Zuverlässigkeit ihres Auftragsverarbeiters aktiv prüfen, besonders bei Konzernstrukturen mit möglichem Drittlandzugriff. Ein AVV muss aus rechtlicher Sicht mehrere Pflichtinhalte abdecken:

1. Gegenstand und Dauer der Verarbeitung sowie die Art der verarbeiteten Daten, klar benannt statt pauschal formuliert.
2. Technische und organisatorische Maßnahmen, die der Anbieter zum Schutz der Daten umsetzt, etwa Verschlüsselung und Zugriffsprotokolle.
3. Unterstützungspflichten bei Betroffenenrechten, etwa wenn ein Kunde Auskunft über seine gespeicherten Daten verlangt.
4. Nennung aller Unterauftragsverarbeiter, inklusive der Möglichkeit, neuen Unterauftragsverarbeitern zu widersprechen.
5. Löschungs‑ und Rückgabepflichten nach Vertragsende, mit konkreter Frist.

Diese Anforderungen sind nicht nur Juristendetails. Die technischen und organisatorischen Maßnahmen, die das BfDI empfiehlt, verlangen konkrete Nachweise. Ein Anbieter, der auf die Frage nach Unterauftragsverarbeitern nur mit „das regeln wir intern“ antwortet, erfüllt diese Nachweispflicht nicht.

Besonders kritisch wird es bei internationalen Konzernstrukturen. Viele deutsche Hosting‑Marken gehören zu größeren Unternehmensgruppen, und manche dieser Gruppen haben Tochtergesellschaften oder Support‑Einheiten außerhalb der EU. Serverstandort Deutschland ist ein gutes Signal, ersetzt aber nicht die vertragliche Prüfung der tatsächlichen Datenzugriffsmöglichkeiten durch Konzerneinheiten in Drittländern. Frag deshalb konkret: Wer innerhalb der Unternehmensgruppe hat theoretisch Zugriff auf die Server, und unterliegt diese Einheit möglicherweise einem Gesetz wie dem US-Cloud Act?

Profi-Tipp: Verlange die vollständige Liste der Unterauftragsverarbeiter schriftlich vor Vertragsunterschrift, nicht erst danach. Wenn ein Anbieter diese Liste nicht ohne Umwege liefern kann, ist das ein Warnsignal für die gesamte Compliance‑Struktur im Haus.

Backups, Wiederherstellungszeit und Sicherheitsnachweise

Die Frage „Wie oft wird gesichert?“ ist die falsche Frage. Die richtige Frage lautet: Wie lange dauert es, bis ein gesichertes System nach einem Ausfall wieder vollständig läuft? Diese Kennzahl heißt Wiederherstellungszeit, kurz RTO, und sie ist aussagekräftiger als die bloße Backup‑Frequenz.

Ein Anbieter kann stündliche Backups anbieten und trotzdem 48 Stunden brauchen, um ein System vollständig wiederherzustellen, wenn die Rücksicherung nie unter realen Bedingungen getestet wurde. Genau deshalb solltest du nach dokumentierten Restore‑Tests fragen, nicht nur nach der Sicherungsfrequenz. Ein seriöser Anbieter kann dir zeigen, wann er zuletzt eine echte Wiederherstellung durchgeführt hat und wie lange sie gedauert hat.

Support‑Qualität und Infrastrukturtiefe verteilen sich unterschiedlich zwischen kleinen und großen Anbietern. Kleine Hoster punkten häufiger mit persönlichem Support und Spezialfunktionen, große Anbieter mit Skalierbarkeit und differenzierten Tarifstufen. Welche Variante besser passt, hängt vom konkreten Betriebsbedarf ab. Über Backups hinaus solltest du folgende Sicherheitsnachweise konkret einfordern:

• Verschlüsselung der Daten sowohl bei der Übertragung als auch im Ruhezustand auf dem Server.
• Mehrstufige Authentifizierung (MFA) für alle administrativen Zugänge zum Hosting‑Konto.
• Rollenbasierte Zugriffskontrolle, damit nicht jeder Mitarbeiter automatisch vollen Serverzugriff hat.
• Aktuelle Zertifikate oder Prüfberichte, etwa aus Penetrationstests durch unabhängige Prüfer.
• Ein dokumentiertes Vorfallmeldeverfahren, das festlegt, wie schnell dich der Anbieter bei einem Sicherheitsvorfall informiert.

Auch die Absicherung der eigenen Anwendung gehört in dieses Bild, unabhängig vom Hoster. Ein Hosting‑Vertrag ohne dokumentierte Restore‑Tests ist im Kern ein Vertrauensvorschuss ohne Beleg, und genau diesen Beleg solltest du vor Unterschrift einfordern, nicht danach.

Diese Fragen muss dein Hosting-Angebot schriftlich beantworten

Ein mündliches Verkaufsgespräch ist keine Vertragsgrundlage. Bevor du unterschreibst, sollte jede der folgenden Fragen im Angebot oder im Vertragstext schriftlich beantwortet sein:

1. Wie hoch ist die vertraglich zugesicherte Verfügbarkeit, und was passiert bei Unterschreitung dieser Zusage?
2. Wie lange dauert die Wiederherstellungszeit nach einem Totalausfall, dokumentiert durch einen echten Test statt einer Schätzung?
3. Wer übernimmt Sicherheitsupdates auf Betriebssystem‑ und Anwendungsebene, und in welchem Zeitfenster erfolgen kritische Patches?
4. Welche Unterauftragsverarbeiter sind eingebunden, und wo befinden sich ihre Standorte?
5. Wie sieht die Haftungsregelung bei Datenverlust oder verlängertem Ausfall konkret aus, in Euro und in Tagen?
6. Wie funktioniert eine Migration weg vom Anbieter, falls der Vertrag endet, und welche Kosten oder Fristen sind damit verbunden?
7. Ist die Preisstabilität über die Vertragslaufzeit garantiert, oder gibt es Klauseln für einseitige Preiserhöhungen?
8. In welcher Sprache und zu welchen Zeiten ist der Support erreichbar, und über welche Reaktionszeit wird bei kritischen Störungen zugesichert?

Diese Liste wirkt auf den ersten Blick nach viel Papierkram. In der Praxis sortiert sie aber innerhalb von wenigen Tagen die seriösen Anbieter von jenen, die auf Nachfragen nur ausweichend antworten. Ein Anbieter, der SLA‑Details, RTO‑Zusagen und Subprocessor‑Liste ohne Zögern schriftlich liefert, hat diese Prozesse intern bereits etabliert. Wer stattdessen auf „das klären wir individuell“ verweist, hat das vermutlich noch nicht.

Wie wir Unternehmen bei der Hosting‑Auswahl unterstützen

Wir unterstützen Unternehmen bei diesem Prozess: von der Anforderungsanalyse über die Auswahl des Betriebsmodells bis zur laufenden Betreuung nach dem Livegang. Der Ansatz beginnt mit einer nüchternen Bestandsaufnahme, welches CMS oder Shopsystem im Einsatz ist, wie viel interne technische Kompetenz vorhanden ist und welche Datenschutzanforderungen konkret gelten.

Für Unternehmen ohne eigenes Serverteam gibt es Managed Hosting, bei dem Patches, Monitoring und laufende technische Betreuung übernommen werden, ergänzt durch WordPress‑Wartung für Kunden mit WordPress‑Websites oder WooCommerce‑Shops. Datenschutz‑Checks sind dabei Teil des Standardprozesses.

Wenn du unsicher bist, welches Modell zu deinem Unternehmen passt, ist der sinnvollste nächste Schritt eine Erstprüfung deiner aktuellen Anforderungen, unverbindlich und auf Basis der Kriterien, die du in diesem Beitrag kennengelernt hast.

Unsere Hosting-Optionen als praktische Alternative

Anders als bei generischen Vergleichsportalen bekommst du bei uns feste Ansprechpartner, die deine technischen Anforderungen und deine Datenschutzpflichten von Anfang an mitdenken. Für kleinere Unternehmen mit überschaubarem Traffic eignet sich unser Basic Performance Hosting ab 10 € im Monat, für Onlineshops und Websites mit höheren Performance‑Anforderungen bieten wir High Performance Hosting mit entsprechend leistungsfähigerer Infrastruktur an. Wer eine WordPress‑Website betreibt und laufende Pflege ohne eigenes Team benötigt, findet in unserer WordPress Wartung ab 9,90 € im Monat die passende Ergänzung.

Diese Struktur passt besonders für Unternehmen, die bisher bei einem austauschbaren Massenanbieter gehostet haben und merken, dass niemand dort für konkrete Fragen zu Wiederherstellungszeit oder Auftragsverarbeitung erreichbar ist. Statt dich durch anonyme Support‑Tickets zu arbeiten, sprichst du mit jemandem, der dein Projekt kennt. Details zu Leistungsumfang, technischen Spezifikationen und Vertragsbedingungen findest du auf unserer Seite zu Domain & Hosting, wo du auch eine unverbindliche Anfrage stellen kannst.

FAQ

Welcher Hoster ist in Deutschland am besten?

Es gibt keinen einzelnen besten Hoster, sondern nur den passenden für deinen konkreten Anwendungsfall. Entscheidend ist, ob das Betriebsmodell zu deiner internen technischen Kompetenz passt und ob der Anbieter nachweisbare RTO‑Werte und ein vollständiges AVV liefern kann.

Wer ist der größte Hoster in Deutschland?

Zu den größten deutschen Hosting‑Anbietern zählen etablierte Marken mit breiter Infrastruktur und hoher Kundenzahl, die vor allem durch Skalierbarkeit und differenzierte Tarifmodelle punkten. Für Unternehmen mit speziellen Anforderungen ist Größe allein aber kein Qualitätsmerkmal, oft bieten kleinere Anbieter engeren Support.

Was ist besser, ein großer Massenanbieter oder ein spezialisierter Hoster?

Große Anbieter überzeugen meist durch Infrastrukturtiefe und Preisstruktur, spezialisierte Anbieter oft durch persönlichen Support und passgenaue Betreuung. Die richtige Wahl hängt davon ab, wie viel eigene technische Kompetenz im Unternehmen vorhanden ist und wie individuell die Anforderungen an Betrieb und Datenschutz sind.

Welches Webhosting ist in Deutschland am günstigsten?

Die günstigsten Angebote liegen im Shared‑Hosting‑Bereich, reichen für einfache Unternehmenswebsites aber oft nicht bei höherem Traffic oder sensiblen Kundendaten aus. Unser eigenes Basic Performance Hosting startet bei 10 € im Monat und eignet sich für kleinere Unternehmensprojekte ohne komplexe Anforderungen.

Was muss ein Auftragsverarbeitungsvertrag beim Hosting enthalten?

Ein AVV muss unter anderem Gegenstand und Dauer der Verarbeitung, die technischen und organisatorischen Schutzmaßnahmen sowie die vollständige Liste aller Unterauftragsverarbeiter enthalten. Diese Pflichten ergeben sich aus Art. 28 DSGVO und den zugehörigen Beschlüssen der Datenschutzkonferenz.