Hosting-Entscheidung 2026: Kriterien, Kosten, Souveränität
Die Frage, wo eine Website läuft, klingt nach einer Sache für die IT. In der Praxis ist sie eine Geschäftsentscheidung. Sie bestimmt, wer im Ernstfall um drei Uhr nachts haftet, wie schnell ein Sicherheitsleck geschlossen wird, in welchem Land die Kundendaten liegen und wie viel internes Personal das Ganze bindet. Wer hier nur auf den Monatspreis schaut, kauft regelmäßig den teuersten Fehler.
Dieser Leitfaden ordnet die Hosting-Entscheidung für Drupal-Websites aus Sicht von Entscheidern ein. Er klärt die Optionen, die rechtliche Lage zum Datenstandort und das vollständige Kostenbild, und er endet mit einer Checkliste, die ihr ins nächste Angebotsgespräch mitnehmen könnt.
Managed oder self-hosted: die eigentliche Frage
Die erste Weichenstellung ist, wie viel Betriebsverantwortung ihr selbst tragen wollt. Vereinfacht gibt es drei Modelle, die sich vor allem darin unterscheiden, wer für Updates, Sicherheit und Verfügbarkeit geradesteht.
Die wichtigere Frage ist dabei nicht "Was kostet der Server?", sondern "Wer kümmert sich, wenn etwas kaputtgeht, und hat diese Person die Zeit und das Wissen dafür?". Ein Wurzelverzeichnis voller Updates, die niemand einspielt, ist kein gespartes Geld, sondern eine offene Sicherheitslücke.
| Modell | Wer betreibt | Passt zu |
|---|---|---|
| Self-hosted (eigener Server) | Euer Team, von Betriebssystem bis Drupal-Update | Häusern mit eigenem, verfügbarem IT-Betrieb und besonderen Anforderungen |
| Managed Hosting (Drupal-spezifisch) | Anbieter übernimmt Server, Updates und Monitoring; ihr pflegt Inhalte | Den meisten mittelständischen Unternehmen ohne eigenes Betriebsteam |
| Plattform/PaaS (z. B. spezialisierte Drupal-Plattformen) | Anbieter liefert standardisierte Umgebung mit Deployment-Workflow | Häusern mit eigenen Entwicklern, die Standardisierung wollen, ohne Server zu betreiben |
In unseren Projekten fahren die meisten mittelständischen Unternehmen mit Drupal-spezifischem Managed Hosting am besten. Der Grund ist selten der Preis, sondern die Verantwortung: Updates und Sicherheits-Patches laufen verlässlich, ohne dass eine ohnehin knappe interne IT sie zwischen Tür und Angel einspielen muss. Self-hosted lohnt sich, wenn echtes Betriebs-Know-how im Haus ist und besondere Anforderungen es rechtfertigen. Welche Kriterien im Detail zählen, vertieft unser Wissen-Artikel Drupal Hosting: Worauf ihr achten müsst.
Souveränität: Datenstandort und Abhängigkeiten
Wo die Daten eurer Website und eurer Nutzer liegen, ist 2026 keine Randfrage mehr. Zwei Ebenen sind zu trennen: die rechtliche und die strategische.
Rechtlich gilt: Die DSGVO verbietet ein Hosting außerhalb der EU nicht pauschal, knüpft eine Übermittlung in Drittländer aber an Bedingungen, etwa einen Angemessenheitsbeschluss oder geeignete Garantien. Praktisch heißt das für die meisten Mittelständler: Ein Hosting mit Servern und Verarbeitung in der EU, bei einem Anbieter, der dem EU-Recht unterliegt, ist der einfachste sichere Weg. Es erspart die aufwendige Prüfung von Drittland-Garantien und die Unsicherheit, ob diese im Streitfall halten. Das ist eine Einordnung, keine Rechtsberatung; den konkreten Fall prüft euer Datenschutzbeauftragter.
Strategisch geht es um Abhängigkeit. Ein Anbieter, dessen Datenformate, Deployment-Wege und Schnittstellen offen sind, lässt sich wechseln. Ein Anbieter mit proprietärer Plattform bindet euch über die Migrationskosten, selbst wenn der Vertrag jährlich kündbar ist. Fragt vor dem Abschluss, wie ein Auszug aussähe: Bekommt ihr Datenbank, Dateien und Konfiguration in gängigem Format heraus, oder beginnt dann ein eigenes Projekt? Diese Make-or-Buy-Logik gilt nicht nur für Hosting; wie ihr solche Entscheidungen grundsätzlich sauber treffen, beschreibt unser Beitrag Make or Buy bei KI-Lösungen.
Das ehrliche Kostenmodell jenseits des Monatspreises
Der Monatspreis eines Hostings ist der kleinste und sichtbarste Teil der Gesamtkosten. Wer Angebote nur über diese Zahl vergleicht, vergleicht das Falsche. Vier Kostenblöcke gehören in die Rechnung:
- Betrieb (sichtbar): der monatliche Hosting-Preis, plus eventuelle Kosten für Traffic, Speicher und zusätzliche Umgebungen wie Staging.
- Pflege (oft versteckt): Drupal-Core- und Modul-Updates, Sicherheits-Patches, Backups und deren Test. Beim Managed Hosting ist das eingepreist, beim self-hosted wird es zu internen Personalstunden, die im Server-Preis nicht auftauchen.
- Personal (am häufigsten unterschätzt): die Zeit der eigenen Leute für Betrieb und Störungen. Eine Stunde Feuerwehr im Quartalsdurchschnitt kostet mehr als die Preisdifferenz zwischen den meisten Hosting-Angeboten.
- Risiko (selten beziffert): die erwartbaren Kosten eines Ausfalls oder einer Sicherheitslücke. Wer hier spart, indem niemand Updates einspielt, bezahlt im Schadensfall ein Vielfaches.
Daraus folgt die häufigste Fehlrechnung, die wir sehen: Ein günstiger Server wird mit einem teuren Managed-Angebot verglichen, ohne die internen Pflege- und Personalstunden des Servers gegenzurechnen. Sobald diese Stunden auf dem Tisch liegen, dreht sich das Bild in vielen Fällen. Rechnet deshalb in Gesamtbetriebskosten über drei Jahre, nicht im Monatspreis.
Was bei Drupal besonders zählt
Drupal stellt eigene Anforderungen an ein Hosting, die ein Allerwelts-Webspace nicht immer erfüllt. Achtet auf eine zu eurer Version passende PHP-Umgebung, ausreichend Arbeitsspeicher, Composer-Unterstützung für saubere Updates und einen Cache wie Redis oder Memcache für die Performance. Ein Anbieter, der Drupal kennt, richtet das von sich aus ein; bei einem generischen Hoster wird es zu eurer Aufgabe.
Besonders wichtig ist die Update-Fähigkeit über die Versionsgrenzen hinweg. Drupal entwickelt sich in einem festen Rhythmus weiter, und veraltete Versionen verlieren ihren Sicherheits-Support. Ein gutes Hosting macht den Sprung auf eine neue Hauptversion zur Routine statt zum Großprojekt. Was eine neue Version konkret mitbringt und warum der Wechsel keine Kür ist, ordnet unser Wissen-Artikel zu Drupal 11 ein. Die Hosting-Wahl entscheidet mit, ob dieser Wechsel reibungslos läuft.
Checkliste für das Auswahlgespräch
Diese sieben Fragen trennen im Angebotsgespräch ein belastbares Angebot von einem schönen Preisschild. Stellt sie, bevor ihr unterschreibt:
1. Wo stehen die Server, und wer unterliegt welchem Recht? EU-Standort und EU-Anbieter sind der einfachste sichere Weg. 2. Wer spielt Drupal-Updates und Sicherheits-Patches ein, in welchem Zeitrahmen? Lasst euch die Zusage schriftlich geben. 3. Wie sehen Backups aus, und werden sie getestet? Ein Backup, das niemand zurückgespielt hat, ist eine Hoffnung, kein Backup. 4. Was kostet ein Versionssprung, etwa auf die nächste Drupal-Hauptversion? Routine oder Sonderprojekt? 5. Wie komme ich wieder heraus? Lasst euch den Export von Datenbank, Dateien und Konfiguration in gängigem Format zusagen. 6. Wer ist im Störfall erreichbar, und wie schnell? Klärt Reaktionszeiten und Verfügbarkeit, nicht nur den Preis. 7. Welche Gesamtkosten über drei Jahre, inklusive eigener Personalzeit? Nur diese Zahl macht Angebote vergleichbar.
Wenn ein Anbieter auf diese Fragen klar und schriftlich antwortet, habt ihr einen Partner. Wenn die Antworten ausweichen, kennt ihr euer Risiko, bevor es teuer wird.
Ist self-hosted günstiger als Managed Hosting?
Auf dem Papier oft ja, in der Gesamtrechnung selten. Der reine Serverpreis ist niedriger, aber die Pflege- und Personalstunden für Updates, Sicherheit und Störungen kommen hinzu und tauchen in keinem Angebot auf. Sobald ihr diese internen Stunden gegenrechnet, ist Managed Hosting für die meisten mittelständischen Unternehmen ohne eigenes Betriebsteam unterm Strich günstiger und vor allem verlässlicher.
Reicht ein normaler Webhoster für Drupal?
Technisch manchmal, praktisch selten gut. Drupal braucht eine passende PHP-Umgebung, genug Arbeitsspeicher, Composer-Unterstützung und im Idealfall einen Cache wie Redis. Ein generischer Webspace erfüllt das nicht immer, und was fehlt, wird zu eurer Aufgabe. Ein Drupal-spezifischer Anbieter richtet diese Punkte von sich aus ein, was Performance und Update-Sicherheit deutlich verbessert.
Müssen die Server zwingend in Deutschland stehen?
Zwingend nicht. Die DSGVO verlangt keinen Standort in Deutschland, sondern einen rechtssicheren Umgang mit den Daten. Ein Hosting in der EU bei einem dem EU-Recht unterliegenden Anbieter ist der einfachste sichere Weg und erspart die aufwendige Prüfung von Drittland-Garantien. Den konkreten Fall, gerade bei besonderen Datenkategorien, sollte euer Datenschutzbeauftragter beurteilen.
Wie oft sollten Updates eingespielt werden?
Sicherheits-Updates zeitnah, idealerweise innerhalb weniger Tage nach Veröffentlichung, weil bekannte Lücken aktiv ausgenutzt werden. Funktions- und Modul-Updates lassen sich in einem geplanten Rhythmus bündeln, etwa monatlich, immer mit Test in einer Staging-Umgebung vor dem Livegang. Beim Managed Hosting gehört dieser Rhythmus zur Leistung; beim self-hosted müsst ihr ihn selbst sicherstellen.
Der erste Schritt
Nehmt euer aktuelles Hosting-Angebot und beantwortet die sieben Fragen der Checkliste so weit wie möglich aus dem Vertrag. Schon dieser Durchgang zeigt meist, wo ihr heute mehr Risiko tragt, als euch bewusst war, und wo der niedrige Monatspreis später teuer wird.
Wenn ihr die Entscheidung sauber aufsetzen oder ein bestehendes Setup prüfen lassen wollt, schauen wir im Zukunfts-Check gemeinsam auf Kosten, Datenstandort und Update-Fähigkeit eurer Website. Direkt erreicht ihr uns über Kontakt.
Zum Vertiefen im Wissensbereich
Ihr wollt wissen, was diese Themen für euer Unternehmen bedeuten? Der Zukunfts-Check zeigt in 2–4 Wochen, wo die größten Hebel liegen.
