Was ist Webhosting?

Einfach erklärt

Webhosting ist die Miete für den Platz, auf dem Ihre Website im Internet liegt. Der Hoster stellt Speicherplatz auf einem Server in einem Rechenzentrum bereit und sorgt für Strom, Anbindung und Technik. So ist Ihre Website rund um die Uhr erreichbar. Oft gehören Domain und E-Mail-Postfächer zum selben Paket. Man kann es sich wie ein Ladenlokal in einem Einkaufszentrum vorstellen: Das Center kümmert sich um Gebäude, Strom und Eingang, die Einrichtung des Ladens ist Ihre Sache.

Die üblichen Formen

• Shared Hosting: Viele Websites teilen sich einen Server. Günstig, der Hoster pflegt Betriebssystem und Webserver, Sie oder Ihre Agentur pflegen die Website-Software.
• Verwaltetes Hosting (Managed Hosting): Der Hoster übernimmt mehr, je nach Vertrag auch Updates des CMS, Backups und Überwachung.
• Eigener Server, als virtueller oder dedizierter Server: volle Kontrolle, aber auch volle Verantwortung für jedes Update.

Worauf es ankommt: wer was pflegt

Der Hoster ist nicht automatisch für alles zuständig, was auf dem Server läuft. Klären Sie schriftlich, wer die PHP-Version aktuell hält, wer das CMS und seine Erweiterungen aktualisiert, wer Backups anlegt und wie schnell der Hoster bei einem Angriff reagiert. Das BSI empfiehlt, solche Sicherheitsaspekte im Vertrag festzuhalten.

Datenschutz

Auf dem Server liegen Daten Ihrer Besucher, etwa Anfragen aus dem Kontaktformular und Protokolle mit IP-Adressen. Speichert der Hoster solche Daten für Sie, verarbeitet er sie in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag zur Auftragsverarbeitung. Ob Ihr Vertrag passt, klärt Ihr Datenschutzbeauftragter.

Formen und Zuständigkeiten

Eine typische Aufteilung, maßgeblich ist der Vertrag:

Beim Shared Hosting teilen sich viele Websites eine IP-Adresse. Welches Zertifikat der Server ausliefert, entscheidet er anhand des Namens, den der Browser im TLS-Handshake nennt (SNI).

Dass eine alte PHP-Version im Kundenmenü noch wählbar ist, heißt nicht, dass sie noch Sicherheitsupdates bekommt (Support-Ende).

Anforderungen an den Hoster

Das BSI nennt im IT-Grundschutz-Baustein APP.3.2 Webserver (Anforderung A10) für die Auswahl eines Webhosters:

• Sicherheitsaspekte vertraglich in einem Service Level Agreement festhalten,
• regelmäßige Kontrolle und Wartung der Systeme durch den Hoster,
• zeitnahe Reaktion bei technischen Problemen oder einer Kompromittierung,
• grundlegende technische und organisatorische Maßnahmen beim Hoster.

Für die Auslagerung insgesamt verweist der Baustein auf OPS.2.3 Nutzung von Outsourcing. Praktisch gehören in den Vergleich außerdem:

• unterstützte PHP-Versionen und wie lange alte angeboten werden,
• automatische Zertifikate, aktuelle TLS-Versionen, frei setzbare Security Header,
• Backups: Häufigkeit, Aufbewahrung, Wiederherstellung durch den Kunden,
• Zugänge: SFTP oder SSH statt FTP, Zwei-Faktor-Anmeldung für das Kundenkonto,
• Standort der Server und Unterauftragsverarbeiter für den Vertrag nach Art. 28 DSGVO.

Typische Fehler

• Zugang liegt bei der Agentur. Kundenkonto, Domain und Hosting laufen auf die Agentur, der Betrieb hat keinen eigenen Zugang.
• Altes PHP aus Bequemlichkeit. Die Website läuft, die PHP-Version bekommt keine Sicherheitsupdates mehr.
• FTP mit Passwort im Klartext für Uploads.
• Backup nur beim Hoster, auf demselben System und nie getestet.

Prüfen

curl -sI https://ihre-firma.de/ | grep -i -E '^(server|x-powered-by)'
dig +short A ihre-firma.de
whois "$(dig +short A ihre-firma.de | head -1)" | grep -i -E '^(org-name|netname|country)'

Die Abfrage zur IP-Adresse zeigt, in wessen Netz die Website tatsächlich liegt.