Webhosting-Sicherheit 2026: Was dein Hoster schützt und was du selbst tun musst

Für die Sicherheit deiner Website sorgen Hoster und du gemeinsam: Der Hoster schützt Server und Netz, du bist für CMS, Plugins, Zugänge und eine eigene Datensicherung zuständig. Gerade beim Backup lohnt der genaue Blick. Von den sieben Webhostern in unserer Übersicht führen zwei – ALL-INKL und netcup – ihre Backups ausdrücklich als freiwilligen Service ohne Anspruch. Eine eigene, getrennt aufbewahrte Sicherung ist deshalb bei jedem Anbieter sinnvoll.

Stand: 2. Oktober 2026 – Preise laut deutscher Anbieterseite inkl. 19 % MwSt., sofern nicht anders angegeben.

Sicherheitsmerkmale von sieben Webhostern

Die Tabelle zeigt, was die Anbieter für ihre Shared-Webhosting-Tarife ausweisen. „Nicht ausgewiesen gefunden“ heißt: Wir haben beim Anbieter keine Angabe gefunden – nicht, dass es die Funktion nicht gibt. „Nicht geprüft“ heißt, dass wir diesen Punkt für den Anbieter nicht recherchiert haben.

Anbieter	Backups	SSL	Malware-Scan	DDoS-Schutz	2FA Kundenkonto
ALL-INKL	„automatische Routinen“, freiwilliger Service ohne Anspruch	Let's Encrypt ab Privat Plus inklusive, im Tarif Privat 0,95 € im Monat	„Malware-Erkennung“ (Werbeseite)	nicht ausdrücklich ausgewiesen gefunden	nicht ausgewiesen gefunden
netcup	freiwillig, über mehrere Tage; Wiederherstellung kostenpflichtig über den Support	„Kostenlose SSL-Zertifikate unbegrenzt“	nicht ausgewiesen gefunden	beim Webhosting nicht geprüft (VPS und Root-Server: inklusive)	Hilfeartikel zur Zwei-Faktor-Authentifizierung vorhanden
Hetzner	jede Nacht, 14 Tage, separates Rechenzentrum; Wiederherstellung selbst in konsoleH	nicht geprüft	„Täglicher Virenscan mit ClamAV“	„DDOS-Schutz für alle Tarife“	ja
IONOS	„Tägliches Backup“ von Speicher und Datenbanken	1 DV-Wildcard-Zertifikat, Ultimate unbegrenzt	Basic; Ultimate Advanced mit automatischer Entfernung	ja	nicht ausgewiesen gefunden
STRATO	„BackupControl“ mit mehreren Sicherungszeitpunkten	1, 3, 5 oder 10 Zertifikate je Tarif	SiteLock Scan, Repair nur im Tarif Pro	nicht ausgewiesen gefunden	ja, per Authenticator-App
webgo	Produktseite: „Tägliche Serverbackups“; Portal-Backups nur manuell	inklusive	nicht ausgewiesen gefunden	„hauseigene DDoS-Protection“	nicht geprüft
Host Europe	„Tägliches Backup inklusive“	Standard: im ersten Jahr kostenlos; ab Deluxe inklusive	laut Subunternehmerliste über imunify360, auf der Produktseite nicht ausgewiesen	laut Subunternehmerliste über Arbor Networks	nicht geprüft

Drei Punkte fallen auf. Erstens die Backups: ALL-INKL nennt automatische Routinen, aber ausdrücklich „kein Anspruch auf die Verfügbarkeit einer Datensicherung“. netcup sichert „auf freiwilliger Basis“, und laut AGB führt netcup „soweit nicht anders vereinbart“ keine Sicherung der Kundeninhalte durch. Hetzner sichert dagegen jede Nacht, bewahrt die Backups 14 Tage in einem separaten Rechenzentrum auf, und du stellst sie selbst wieder her. Zweitens webgo: Die Produktseite wirbt mit täglichen Serverbackups, laut FAQ werden die Backups im Kundenportal aber „nicht automatisch erstellt“. Wie du an die Server-Backups kommst, haben wir bei webgo nicht beschrieben gefunden. Drittens SSL: Nicht in jedem Tarif kostenlos. Bei ALL-INKL kostet Let's Encrypt im Tarif Privat 0,95 € im Monat extra, bei Host Europe ist das Zertifikat im Tarif Standard nur im ersten Jahr kostenlos.

Wer ist wofür zuständig? Nach Hosting-Art

Shared Hosting

Der Hoster pflegt Server, Betriebssystem und Netz. CMS, Themes, Plugins und Passwörter sind deine Sache. Automatische CMS-Updates gibt es nur bei einzelnen Angeboten, etwa über den netcup-Appinstaller für WordPress und Joomla.

Managed WordPress

Hier übernimmt der Anbieter mehr. IONOS schreibt zu seinem Hosting für WordPress: „Die technische und serverseitige Verwaltung übernimmt IONOS.“ STRATO bewirbt „Managed Updates“, Host Europe einen täglichen Malware-Scan mit automatischer Bereinigung und Backups, die 30 Tage gespeichert werden – stellt aber klar, dass die Pflichten des Kunden nach den AGB „unberührt“ bleiben. Raidboxes hat ein Sicherheitspaket mit DDoS-Schutz, Web Application Firewall und Login-Schutz. Einen Überblick gibt unser Vergleich Managed-WordPress-Hosting.

vServer

Mit Root-Zugriff liegt fast alles bei dir: Updates, Firewall, Backups. Hetzner stellt für seine Cloud-Server Firewalls „ohne zusätzliche Kosten“ bereit, die Regeln legst du selbst fest. Backups sind beim vServer eine Zusatzleistung: bei IONOS „optional“, bei Hetzner Cloud pro Server zubuchbar, bei STRATO „nicht inbegriffen“.

Was du selbst tun solltest

• Zwei-Faktor-Anmeldung für Hoster-Konto, CMS und E-Mail aktivieren. Das BSI betont, dass die Faktoren „aus verschiedenen Kategorien stammen“ müssen (Wissen, Besitz, Inhärenz), etwa ein Code aus einer Authenticator-App oder ein FIDO-Token, und rät davon ab, die Zwei-Faktor-Authentisierung wieder zu deaktivieren.
• Eigene Backups von Dateien und Datenbank anlegen. Das BSI empfiehlt eine regelmäßige Datensicherung und, das Backup „räumlich getrennt“ aufzubewahren – also nicht nur auf demselben Server. Spiele eine Sicherung probeweise wieder ein, damit du weißt, dass sie funktioniert.
• Updates für CMS, Themes und Plugins zeitnah einspielen und ungenutzte Plugins und Themes löschen.
• HTTPS für die ganze Website nutzen. Art. 32 Abs. 1 DSGVO nennt die Verschlüsselung personenbezogener Daten als Maßnahme, die „gegebenenfalls“ zu treffen ist – bei Kontaktformularen und Logins kommst du daran kaum vorbei.
• Zugänge aufräumen: eigene, lange Passwörter je Dienst, und Zugänge für Agenturen oder Helfer nach Projektende entfernen.
• DDoS: Das BSI empfiehlt, mit dem Provider über DDoS-Abwehr zu sprechen, und führt eine Liste qualifizierter Dienstleister für die DDoS-Mitigation.

Datenschutz: Sicherheit ist auch eine DSGVO-Pflicht

Verarbeitet deine Website personenbezogene Daten, verlangt Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen, darunter die Fähigkeit, Daten nach einem Zwischenfall „rasch wiederherzustellen“, und ein Verfahren zur regelmäßigen Überprüfung. Mit dem Hoster schließt du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; ALL-INKL, netcup, Hetzner, IONOS, webgo, STRATO und Host Europe bieten ihn online oder im Kundenbereich an. Ob der Server dafür in Deutschland stehen muss, ist eine eigene Frage – die Antwort steht im Ratgeber Serverstandort Deutschland.

Notfallplan: wenn die Website gehackt wurde

• Alle Passwörter ändern: Hoster-Konto, CMS, SFTP und Datenbank.
• Den Hoster informieren. Manche Tarife enthalten eine Bereinigung, etwa IONOS Ultimate, STRATO Pro (SiteLock Repair) oder das WordPress-Hosting von Host Europe.
• Ein sauberes Backup von vor dem Angriff einspielen und danach sofort CMS, Themes und Plugins aktualisieren.
• Prüfen, ob personenbezogene Daten betroffen sind – dann kann eine Meldepflicht bei der Datenschutzaufsicht nach Art. 33 DSGVO bestehen.

Ausführlich beschreibt das BSI das Vorgehen im Leitfaden „Prävention und Erste Hilfe bei Webseiten-Kompromittierung oder Defacement“.

Fazit: Der Hoster legt die Basis, den Rest erledigst du

Kein Hoster nimmt dir die Sicherheit komplett ab. Achte bei der Wahl auf Backups mit klarer Aufbewahrungsdauer und eigener Wiederherstellung, auf SSL im gewählten Tarif und auf 2FA fürs Kundenkonto. Unabhängig vom Anbieter gilt: eigene Backups außerhalb des Servers, aktuelles CMS, 2FA überall. Unser BuddyScore enthält keine eigene Sicherheitsnote; wie die Anbieter insgesamt abschneiden, zeigt der Webhosting-Anbieter-Vergleich.