Hosting für den Mittelstand auswählen: Die richtigen Fragen, die richtige Antwort

„Wir nehmen einfach den billigsten Hoster mit fünf Euro im Monat, ist ja alles dasselbe.“ Dieser Satz fällt in Erstgesprächen erstaunlich oft. Er klingt vernünftig, ist es aber selten. Was im Mittelstand passiert, wenn die Hosting-Wahl falsch ist, sieht etwa so aus: An einem Donnerstagabend um 21 Uhr fällt die Site aus. Der Hoster ist nicht erreichbar. Die Antwort kommt am Montag um 14 Uhr. Bis dahin sind dreitausend potenzielle Besucher weitergeklickt und du hast keine Chance, das je rückwärts zu ermitteln.

Dieser Artikel erklärt, welche Fragen du vor der Hosting-Auswahl stellen musst — und welche Antworten in welchem Mittelstands-Szenario die richtigen sind. Wir machen das seit Jahren für Kunden und haben in dieser Zeit etwa zwei Dutzend Hosting-Migrationen begleitet. Die Muster sind sehr klar.

Die fünf Fragen, die vor der Auswahl kommen

1. Wo stehen die Server physisch?

Klingt banal, ist es nicht. Für viele deutsche Mittelständler ist es ein hartes Kriterium, dass die Server in Deutschland stehen — aus drei Gründen.

• Datenschutz-Vertrauen: Deutsche Server unterliegen deutschem Datenschutzrecht ohne Umweg. Bei Servern im außereuropäischen Ausland kommen Drittlandstransfer-Pflichten dazu, die zwar handhabbar sind, aber zusätzlichen Erklärungsbedarf erzeugen — gegenüber Mandanten, Patienten, Geschäftskunden.
• Mandanten-Diskretion: Wer als Anwalts-Büro, Steuerberater oder Arzt-Praxis Daten ablegt, will im Streitfall sagen können: „Unsere Daten standen physisch in Frankfurt, niemand außerhalb der EU hatte technischen Zugriff.“ Das ist mit europäischem oder deutschem Hosting eindeutig — mit übersee-Hosting komplizierter.
• Latenz und Verfügbarkeit: Server in Frankfurt antworten Nutzern in Hamburg schneller als Server in Virginia. Bei interaktiven Funktionen (Live-Chat, Buchungs-Kalender, Konfiguratoren) ist das spürbar.

Frage konkret nach: „Wo steht der physische Server, auf dem unsere Daten liegen?“ Eine gute Antwort nennt Stadt, Rechenzentrum-Betreiber und Standort-Zertifizierungen. Eine schlechte Antwort sagt nur „in Europa“ — das ist nicht spezifisch genug.

2. Welches Vertrags-Recht gilt?

Wenn der Hoster im Ausland sitzt, gilt im Streitfall ausländisches Vertragsrecht. Im Streitfall heißt: Du musst möglicherweise in der USA oder Irland klagen. Das ist für die meisten Mittelständler unpraktikabel.

Frage konkret: „Welches Recht gilt für unseren Vertrag, welches Gericht ist im Streitfall zuständig?“ Eine saubere Antwort lautet „deutsches Recht, Gerichtsstand X“. Wer ausweichend antwortet oder die Allgemeinen Geschäftsbedingungen ins Englische verlinkt, ist nicht der richtige Partner für Mittelstand.

3. Welche Sicherheits-Architektur wird betrieben?

Premium-Mittelstand orientiert sich am BSI-Grundschutz oder am ISO-27001-Standard. Du musst die Zertifizierungen nicht selbst nachvollziehen, aber der Hoster sollte sie nachweisen können.

Konkrete Marker:

• BSI-Grundschutz-Zertifizierung oder zumindest -Orientierung im Rechenzentrum,
• Regelmäßige Penetration-Tests (jährlich), Ergebnis-Berichte auf Anfrage verfügbar,
• Definierte Update-Fenster für Betriebssystem-Patches (nicht „wenn wir Zeit haben“),
• Schutz gegen Angriffs-Wellen — sowohl auf Netzwerk-Ebene als auch auf Anwendungs-Ebene,
• Verschlüsselung der gespeicherten Daten („encryption at rest“) und der Übertragung („encryption in transit“).

4. Was steht im Service-Level-Versprechen — und was passiert, wenn es verletzt wird?

„99,9 % Verfügbarkeit“ klingt gut — bedeutet aber bis zu 8,7 Stunden Ausfall pro Jahr. Für eine Marketing-Site ist das vertretbar, für einen Shop in der Vorweihnachts-Phase ein Desaster.

Wichtig sind nicht die Verfügbarkeits-Prozente, sondern:

• Reaktions-Zeit bei kritischen Störungen: Wie schnell antwortet jemand, wenn die Site weg ist? Premium-Mittelstand erwartet hier maximal eine Stunde, auch sonntags um 23 Uhr.
• Wiederherstellungs-Zeit: Wie schnell ist die Site wieder online, wenn der Backup-Fall eintritt? Sollte unter vier Stunden liegen.
• Konsequenzen bei Verletzung: Gibt es vertraglich geregelte Service-Gutschriften oder Schadenersatz, wenn die Versprechen gebrochen werden? Wenn nicht, ist das Versprechen wertlos.

5. Wer ist sonntags um 23 Uhr erreichbar?

Diese Frage ist die ehrlichste Test-Frage überhaupt. Probleme passieren nicht in Bürozeiten. Die meisten Premium-Anbieter haben einen 24/7-Bereitschaftsdienst — die meisten Discount-Anbieter haben nichts.

Stell die Frage explizit, bevor du den Vertrag unterschreibst: „Ich rufe an einem Sonntag um 23 Uhr an, weil die Site ausgefallen ist. Was passiert dann?“ Eine gute Antwort beschreibt eine konkrete Eskalations-Stufe (Erst-Antwort binnen 30 Minuten, Techniker am Telefon binnen einer Stunde). Eine schlechte Antwort sagt „dann müssten Sie unser Ticket-System nutzen, das wird montags bearbeitet“.

Hosting-Typen im Mittelstands-Vergleich

Vier Modelle, die im Mittelstand realistisch sind:

A — Shared Hosting (5–25 EUR im Monat)

Mehrere Sites teilen sich einen physischen Server. Günstig, ausreichend für reine Marketing-Sites mit geringer Last und ohne Daten-Schutz-Sensibilität. Nachteile: Wenn ein anderer Kunde auf dem gleichen Server Probleme macht (Spam-Versand, gehackte Site, Performance-Hunger), leidet deine Site mit. Für Premium-Mittelstand selten passend.

B — Virtueller Server / VPS (20–80 EUR im Monat)

Eine isolierte virtuelle Maschine auf einer physischen Hardware. Kontrolle deutlich besser als bei Shared, du verwaltest selbst (oder dein Dienstleister). Performance vorhersagbar. Geeignet für die meisten Mittelstands-Sites. Wichtig: Wartung und Updates müssen jemandem gehören — entweder dir, deinem Dienstleister oder einem „Managed VPS“-Paket.

C — Managed Hosting / Managed Server (80–500 EUR im Monat)

Ein dedizierter oder virtueller Server, der vom Hoster komplett verwaltet wird — Patches, Backups, Monitoring, 24/7-Support inklusive. Für Premium-Mittelstand fast immer die richtige Wahl. Höhere Monats-Kosten, aber dafür kein eigenes IT-Risiko.

D — Eigener Server im eigenen Rechenzentrum (ab 1.000 EUR im Monat aufwärts, plus Personal-Kosten)

Für die meisten Mittelständler überdimensioniert. Lohnt nur, wenn rechtliche Anforderungen (öffentliche Aufträge, Branchen-Pflichten) das verlangen — und auch dann ist Co-Location in einem zertifizierten Rechenzentrum meist besser als der Server-Schrank im eigenen Keller.

Wann reicht Shared Hosting, wann nicht

Shared Hosting reicht für eine reine Visitenkarten-Site eines kleinen Betriebs ohne Buchungs-Funktion, ohne Daten-Eingaben durch Besucher, ohne SEO-Schwerpunkt. Sobald eines davon dazu kommt — Buchungen, Formulare mit Mandanten-Daten, ambitionierte SEO/GEO-Ziele —, ist Shared zu schwach.

Wer eine Wachstumsplattform betreibt, mit integrierten Werkzeugen (Buchung, Rechnung, Dokumente, KI-Berater), kommt mit Shared gar nicht weiter. Hier ist mindestens ein virtueller Server in einer Managed-Variante notwendig.

Typische Migrations-Fehler — und wie du sie vermeidest

Wenn du den Hoster wechseln musst, sind drei Fallen häufig:

1. Mail-Anbindung verloren: Wer mit dem Hoster auch die E-Mail-Postfächer wechselt, sollte vorher dokumentieren, welche E-Mail-Aliase und Weiterleitungen aktiv sind. Sonst verliert man stille Adressen, die nirgends notiert sind.
2. SEO-Bruch durch falsche Umleitungen: Eine Migration ohne sauberes 301-Redirect-Konzept kostet typischerweise zwei bis sechs Monate organisches Ranking. Vorher den vollständigen URL-Bestand exportieren, danach jeden alten URL prüfen.
3. Übergangs-Fenster zu kurz: Wer am Freitag umzieht, hat am Montag das Problem. Lieber am Dienstagvormittag umziehen, dann hast du den Rest der Woche, um Probleme zu fangen.

Was Hannes daraus macht

Wir liefern Hosting nicht als Verkaufs-Position, sondern als integrierten Teil unserer Wachstumsplattform. Server in Deutschland, deutsches Vertragsrecht, Managed-Betreuung durch uns selbst, 24/7-Bereitschaft, BSI-Grundschutz-orientiert. Die monatliche Position für Betrieb und Hosting ist transparent — du weißt, was du zahlst, und du weißt, dass im Notfall in den ersten 30 Minuten jemand antwortet, der dein konkretes System kennt. Wenn du heute auf einem Discount-Hoster bist und unsicher bist, ob das ausreicht: Audit-Werkzeug starten und den Befund anschauen — er prüft auch die wichtigsten Hosting-Marker mit.