In den Tiefen und unendlichen Weiten des Internets tummeln sich verdammmmmmt viele Webhosting-Anbieter herum. Alle wollen die besten, schönsten und schärfsten Hoster sein und jonglieren wie wildgewordene Dompteure nur so mit allerhand Features umher, um den Kunden in Versuchung zu führen einen lieblichen Hostingvertrag bei ihnen abzuschließen. Aber was macht eigentlich ein wirklich stabiles, knuspriges und zukunftssicheres Webhosting aus? Rein zufällig meine ich mich damit ein wenig auszukennen, denn schließlich mische ich selbst seit mehreren Jahren in diesem Business mit ;). Also, hier folgt meine Anleitung, welche die meiner Meinung nach wichtigsten Features aufzählt, die ein guter Webhoster heutzutage mit an Bord haben sollte. Am Ende schlage ich zwei in Deutschland hausierende Webhoster vor, mit denen ich selbst gute Erfahrungen beim Hosten von WordPress-Webseiten und anderen CMS-Systemen gemacht habe.
Um mit einer Webseite langfristig Freude und Erfolg zu haben, benötigt man ein stabiles und sicheres Fundament auf dem alles weitere aufgebaut werden kann. Das passende Hosting bildet die Basis jedes Webauftritts und entscheidet maßgeblich über Stabilität, Belastbarkeit und Erfolg der Seite. Die folgende Liste fasst kurz zusammen, was man alles für eine geiles, schnelles und vor allem sichere WordPress-Hosting braucht:
Eine Domain, wie in diesem Beispiel „lichtwellenrodeoreiter.de“, kann man bei reinen Domain-Anbietern anmieten oder aber man besorgt sie sich am besten einfach und direkt beim außerwählten Hosting-Anbieter, bei dem man auch die Webseite hosten möchte.
Bei der Domainwahl sollte man die Gesundheit der Domain vor dem Kauf mit einem Domain Blacklist Checker gegenprüfen, da es schon mehrfach vorkam, dass Domainvorbesitzer mit den Domains Schindluder betrieben haben. Diese sind dadurch fatalerweise auf verschiedenen Domain-Blacklisten gelandet, was dem Nachmieter folglich immense Probleme bereitete die Domains wieder von den DNS-Blacklisten zu löschen, um z.B den Mailversand problemlos zu ermöglichen.
Einem Hobby-Blogger ist das vielleicht nicht so wichtig, aber es gibt Menschen, die zeitkritische Webanwendungen hosten möchten (Webshop, Monitoring, etc) und da ist ein zuverlässiger 24/7 Service von essentieller Bedeutung. Vor allem wenn die Kacke abends mal so richtig hart am Dampfen ist (z.B. Webseiten-Hack), kommt so ein Service richtig gut. In der Beschreibung des Hosting-Paketes sollte ein 24/7-Service auf jeden Fall drin sein.
Mit einer TLS verschlüsselten Webseite ist die Verbindung zwischen eurer Webseite und dem Browser der User verschlüsselt. Wichtig ist das vor allem bei der Eingabe von Zugangsdaten und der Übertragung von personenbezogenen Daten, wie Formulare oder Newsletter-Anmeldungen. Ohne ein TLS-Zertifikat darf man sich quasi gar nicht mehr auf die digitale Datenstraße trauen. Mit Let’s Encrypt gibt es eine sehr gute, kostenlose und stabile TLS-Zertifizierungsstelle die mittlerweile jeder gute Webhoster kostenlos anbieten sollte.
Die Zeit die eine Webseite zum Laden braucht hat enorme Auswirkungen sowohl auf eine optimale Auffindbarkeit in den Suchmaschinen (SEO-Rankingfaktor), als auch direkt auf die Usability. Um hier das Frustrationspotential der Benutzer auf ein Minimum zu reduzieren, ist es wichtig ein performantes Netz zu nutzen. Dies vor der Auswahl des Hosters zu testen gestaltet sich zugegebenermaßen etwas schwerer, da man die Überprüfung direkt auf dem bereits erworbenen Webspace testen müsste. Einige Webhoster bieten hier Testaccounts an. Sollte kein Testaccount möglich sein, kann man sich eventuell noch die Hoster der Webseiten von Freunden/Kollegen oder Firmen anschauen und die Seiten mit Performance-Test-Tools, wie Pingdom-Tools oder GTmetrix gechillt durchtesten. Hier ist der „Time to first byte“ (TTFB) wichtig, also wie lange der anfragende Browser wartet, bis er vom angefragten Server den ersten Byte erhält.
Eigene DNS-Einstellungen müssen möglich sein. Dies ist wichtig, um z.B eigene Subdomains (Beispiel: stats.lichtwellenrodeoreiter.de) anzulegen, oder DNS-Records zur Erhöhung der Sicherheit (Dkim-/SPF-Record) einzustellen.
Wenn man einen einfachen Hobby-Blog betreibt ist ein DDOS-Schutz vielleicht nicht von aller höchster Priorität. Aber umso wichtiger wird es, wenn der Kühlschrank durch den Ertrag den die Webseite abwirft voll wird oder wenn zum Beispiel Webshops oder zeitkritische Webdienste angeboten werden. Hier kann eine andauernde DDOS-Attacke einem schnell das Genick brechen. Diese Attacken sind leider keine Raritäten mehr, sehr leicht anzuwenden und kommen immer mehr „in Mode“. Es kamen sogar schon einige der bekanntesten Webhoster (Mittwald, Strato, 1&1 usw) unter die DDOS-Räder.
Email-Postfächer sollte jedes gute Webhosting-Paket mit im Angebot haben. Erstens kommt man professioneller rüber, wenn zur eigenen Domain auch gleich die passende Email-Adresse mit aufgetischt werden kann, zweitens sollte man allein schon aus Sicherheitsgründen wie Spam- und Virenschutz die Blog-/Business-Emails immer von den privaten/finanziellen-Emails trennen und drittens ist es durch verschiedene Email-Adressen möglich mehr Ordnung/Struktur ins digitale Leben zu bringen.
Die Email-Postfächer sollten mindestens mit einem Spam-/Virenschutz und Verschlüsselung (IMAPS, SMTPS, POP3S) angeboten werden.
Beispiel-Mailadressen:
og@schaukelpferddomteur.de – Allgemeiner Email-Account
social@schaukelpferddomteur.de – Emails zu Social-Media Themen
schund@schaukelpferddomteur.de – Freizügiger Wegwerf-/Test-Email-Account
marketing@schaukelpferddomteur.de – Emails für PR/Marketing Angelegenheiten
Auch wenn man nicht gerade hochauflösende Videos zum Download anbietet, ist eine Traffic-Flatrate Pflicht. Warum? Sollte die Webseite mal gehackt werden (Jesus & Friends bewahre) und die bösen Buben verjubeln Terabyte-weise Daten über den eigenen Webspace, ist man so was von im Arsch 🙂
Man sollte sich zwar nie ausschließlich auf die Backup-Mechanismen des Webhosters verlassen (ich spreche hier aus eigener Erfahrung), trotzdem ist es gut zu wissen, dass der Webhoster die eigene Webseite zusätzlich mit absichert. Hier sollte ein 7-Tages Backup Standard sein. Wenn mehr angeboten wird, umso knuspriger.
Heißer Tipp: Hat man genug Webspeicher am Start, kann man diesen z.B auch als externen (Foto) Backup-Speicher nutzen 🙂
Am performantesten ist es, wenn euer Webspeicher auf SSD-Festplatten liegt, da diese im Gegensatz zu den klassischen HDD-Festplatten viel schnellere Lese- und Schreibgeschwindigkeiten schaffen. Auch die Zugriffszeiten liegen bei SSD-Platten bei unter einer Millisekunde, während HDDs bei 5-20 Millisekunden rumdümpeln. Auch sind SSDs fehlerunanfälliger gegen mechanische Mängel wie Stöße oder fehlerhafte Schreib-/Leseköpfe.
SSD (1.0 GB/s) vs HDD (251 MB/s) Platten:
#-------------------------------------------------
# SSD-Performance
#-------------------------------------------------
root@tron:~ dd if=/dev/zero of=/root/testfile bs=1G count=1
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 1.03258 s, 1.0 GB/s <-------- SSD Speed
#-------------------------------------------------
# HDD-Performance
#-------------------------------------------------
root@r2d2:~ dd if=/dev/zero of=/root/testfile bs=1G count=1
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 4.28325 s, 221 MB/s <-------- HDD Speed
Der Login zum Hoster muss durch eine Zwei-Faktor-Authentisierung geschützt sein. Das heißt, dass man sich nicht nur mit den Login-Daten alleine ins Kundencenter einloggen können darf, sondern dass auch noch eine zweite Sicherheitsbarriere (2FA) dazwischen geschaltet sein sollte. Hier wird meist eine SMS/Email mit einem einmaligen Code (TAN) verschickt und erst mit diesem Code kann man sich dann im Kundencenter einloggen.
Es sollte sehr einfach möglich sein, an Logmeldungen und Statistiken der eigenen Webseite zu gelangen, um bei möglichen Problemen den Fehler schneller lokalisieren (Debugging) und eliminieren zu können.
Wenn man es mit der Webseite ernst nimmt, sollten zwei WordPress-Instanzen Pflicht sein. Eine Test-Instanz, in der beispielsweise alle Anpassungen, Plugin-Installationen und Updates zuvor getestet werden, bevor man diese dann auf die Live-Instanz ausrollt. Dies würde über eine Subdomain wie zum Beispiel „dev.lichtwellenrodeoreiter.de“ realisiert werden.
Saubere und logische Ordnerstruktur
Ich habe bei Kunden wirklich sehr oft das Problem, dass die Webseitendaten beim Hoster direkt im Hauptverzeichnis des Webspaces liegen, was verschiedene Webkonstruke wie eine getrennte Live-/Testumgebung oder verschiedene Webapplikationen nicht sauber möglich macht. Die Daten liegen zum Beispiel meist direkt unter „/srv/www/html/“ anstatt in „/srv/www/vhosts/lichtwellenrodeoreiter.de/live/pub“. Den Fehler machen leider auch sehr viele Webagenturen/Webdesigner. Es ist nicht bei jedem Hoster möglich, sich eine eigene und saubere Ordnerstruktur anzulegen. Hier am besten den Hoster vorher anfragen, welche Möglichkeiten angeboten werden, um sich den Pfad zum Basisverzeichnis der Website (Document-Root) selbst anzulegen.
Beispiel einer stabilen Ordnerstruktur:
/srv/www/vhosts/lichtwellenrodeoreiter.de/live/pub # CMS/WordPress-Files
/srv/www/vhosts/lichtwellenrodeoreiter.de/live/log # Log-Files des Vhosts
/srv/www/vhosts/lichtwellenrodeoreiter.de/live/bak # Backup-Files des Vhosts
/srv/www/vhosts/lichtwellenrodeoreiter.de/live/conf # Konfig-Files des Vhosts. htpasswd-Datei usw.
Ein Verzeichnisschutz ist quasi ein Extraschutz für z.B den WordPress-Adminbereich. Dieser Webschutz kann entweder im Kundencenter des Hosters oder noch besser direkt auf dem Webspace (htaccess) eingestellt werden. Dieser Schutz wird über den Webserver abgewickelt, welcher die sehr beliebten Login-Bruteforce-Angriffe schon vor dem Erreichen der WordPress-Instanz viel performanter und sicherer als jedes auf dem Markt verfügbare WP-Sicherheitsplugin abwehrt. Mir ist bis heute einfach unbegreiflich, weshalb so viele Anleitungen nicht auf diesen einfachen, kostenlosen und doch um einiges sichereren Verzeichnisschutz hinweisen.
Ein Verzeichnisschutz sollte bei dem Aufruf des WordPress-Adminbereichs erscheinen.
Beispiel: https://lichtwellenrodeoreiter.de/wp-admin
Ein möglichst naher Serverstandort wirkt sich positiv auf die Performance des Webauftritts aus. Hier gilt die Faustregel „Je näher, desto besser“. Bietet man seinen heißen Stoff für deutsche Leser an, so sollte natürlich auch der Serverstandort des Webhosting-Anbieters in Deutschland sein. Auch aus Datenschutztechnischen Gründen empfehle ich Hoster aus Deutschland oder zumindest in der EU + Schweiz.
Um Daten sicher auf den Webspeicher hochladen zu können, sollte mindestens die verschlüsselte Übertragung mit SFTP/FTPS möglich sein, damit die Daten nicht von bösen Buben abgefangen und eingesehen werden können. Für Profis ist auch der SSH-Zugang ein sehr gern gesehener Dauergast.
Empfehlenswert sind die beiden Open-Source Programme WinSCP (Windows) und Cyberduck (MacOS). Überhaupt nicht empfehlenswert ist das mir unverständliche, von so gut wie allen Online-Anleitung empfohlene Datenübertragungsprogramm Filezilla (Pfui), da dieses (siehe Bild) mit mieser Malware vollgestopft ist.
Bei vielen Hostern ist eine Mindestverfügbarkeit von 99,6% Standard, was meistens auch völlig ausreichend sein sollte. Sehr gute Hoster bieten aber auch einen Service-Level-Agreement Upgrade (SLA) an, der eine Mindestverfügbarkeit von 99,9% garantiert. Gerade für Webshops und zeitkritische Webdienste eine sehr stabile Option.
Sicherer Zugriff auf den Webspeicher
Um Daten sicher auf den Webspeicher hochladen zu können, sollte mindestens die verschlüsselte Übertragung mit SFTP/FTPS möglich sein, damit die Daten nicht von bösen Buben abgefangen und eingesehen werden können. Für Profis ist auch der SSH-Zugang ein sehr gern gesehener Dauergast.
Empfehlenswert sind die beiden Open-Source Programme WinSCP (Windows) und Cyberduck (MacOS). Überhaupt nicht empfehlenswert ist das mir unverständliche, von so gut wie allen Online-Anleitung empfohlene Datenübertragungsprogramm Filezilla (Pfui), da dieses (siehe Bild) mit mieser Malware vollgestopft ist.
Leider ist es immer noch keine Selbstverständlichkeit und deshalb empfehle ich ausdrücklich, ein stabiles Passwortmanagement für den Login im Webhosting-Kundencenter, für den WordPress-Login, den Verzeichnisschutz, den sicheren Zugriff auf den Webspeicher via SFTP/FTPS und natürlich für alles andere, was mit Passwörtern zu tun hat, zu nutzen. Hierfür empfehle ich den extrem kampferprobten Open-Source Passwortmanager von Keepass.
Oft fängt man klein und mit einer einfachen Webseite an. Umso länger man im Online-Showgeschäft Kreise zieht, kommen mit der Zeit meist noch andere Ideen und Anwendungen hinzu, die man gerne mit dazuhosten möchte. Gerade wenn man Respekt vor seinen Besuchern/Kunden/Mitmenschen hat, sollten zum Beispiel Anwendungen wie Matomo parallel zur Webseite laufen (gibts auch als WordPress Plugin). Matomo ist eine um Welten datenschutzfreundlichere und quelloffene Alternative zu der niemals enden wollenden Datensammelweltmeistermaschine Google (Analytics). Aus diesem Grund empfehle ich ein Hostingangebot zu wählen, welches verschiedene Webanwendungen/CMS-Systeme auf dem Webspace ermöglicht.
Weitere coole Open-Source Webanwendungen: Filehosting > Nextcloud, Wissenssoftware > Wiki.js, RSS-Reader > FreshRSS.
Die Erstellung von Cronjobs (Automatisierte Aufgaben) zu festgelegten Zeiten sollte möglich sein. Gerade bei CMS-Systemen wie WordPress kann man durch Cronjobs ein wenig mehr an Performance und Zuverlässigkeit beim Ausführen von Aufgaben herauskitzeln.
Es sollten immer die aktuellsten PHP-/Webserver-/Mysql-Datenbank-Versionen zur Verfügung stehen. Hier einfach die aktuellste Version in der Suchmaschine des Vertrauen erfragen und mit den Webhostern abgleichen.
Bei PHP sollten für eine einfache WordPress-Instanz zumindests diese Angaben gelten:
Hier eine Empfehlung für zwei gute, in Deutschland chillende Webhoster, die ich selbst seit mehreren Jahren intensiv nutze. Zu jedem Webhoster gibt es eine Feature-Übersicht. Falls die hier aufgetischten Webhoster nicht munden, dann solltet ihr mit der Anleitung oben in der Lage sein, euch selbst einen knackigen Hosting-Partner auszusuchen.
Mit Hetzners Webhosting-Paketen und Root-Servern gehe ich schon seit ca. 10 Jahren gassi. Hier stimmt meiner Meinung nach das ganze Preis/Leistungsverhältnis. Einziges Manko ist die meiner Meinung nach etwas hässliche Administrationsoberfläche und die fehlende Möglichkeit, das DocumentRoot-Verzeichnis selbst zu bestimmen. Wegen der fehlenden Cronjob-Möglichkeit und dem nicht vorhandenen telefonischen Support empfehle ich nicht das kleinste Hosting-Pake.
Hetzner Webhosting Angebote und Features
PS: Wer sich mit Linux auskennt und gerne selber Hand anlegt, der ist mit den Weltklasse Root-Servern von Hetzner sehr gut bedient.
Mit Netcup habe ich seit nunmehr 6 Jahren Erfahrungen mit verschiedenen Webhosting-Paketen und Root-Servern gesammelt und hoste dort auch selbst diverse kleinere und größere Kundenprojekte. Das Preis/Leistungsverhältnis ist hier sehr hocherotisch, aber auch hier würde ich das billigste Paket wegen der fehlenden RAM-Garantie nur für einfache Webblogs/Webseiten empfehlen. Alle anderen Pakete sind von diesem Malheur nicht betroffen.
Netcup Webhosting Preise und Features
Sollte sich jemand entscheiden, mit Netcup durch die Online-Prärie reiten zu wollen, der kann sich unter dem Originalpost-Reiter "Netcup Gutscheine" mit den Einmal-Gutschein-Codes 30% auf verschiedene Webhosting-Paketen klar machen. Sollte ein Gutschein-Code nicht mehr ziehen, dann einfachen den nächsten durchprobieren. Die Codes werden hin und wieder mal aufgefrischt.