Webhosting und Domains: der umfassende Ratgeber zu Namen, Servern, Backups, HTTPS und E-Mail

Eine Website einzurichten heißt, einige getrennte Entscheidungen zu treffen: wo der Name liegt, wo die Dateien liegen, wie sie gesichert werden, wie Besucher sie sicher erreichen und wie E-Mails von Ihrer Domain als vertrauenswürdig gelten. Hosting-Anbieter verkaufen oft alles als ein Paket, was es schwerer macht zu sehen, was jeder Teil tut und was Sie vor der Zahlung fragen sollten. Dieser Ratgeber stellt die Teile an einem Ort zusammen. Jeder Abschnitt stützt sich auf öffentliche Quellen von Mozilla, dem britischen National Cyber Security Centre (NCSC), ICANN, Let's Encrypt, der US-Behörde für Cybersicherheit CISA, WordPress.org, Amazon, DigitalOcean und Googles web.dev und hat einen eigenen Quellenlink und ein Datum der letzten Prüfung („zuletzt geprüft“).

Dieser Ratgeber beruht auf den in jedem Abschnitt genannten öffentlichen Quellen. Wir haben kein Hosting-Unternehmen, keinen Registrar und keinen Dienst getestet und empfehlen keinen. Wo eine Tatsache einen Anbieter betrifft, sagen wir das und nutzen sie nur als Rechenbeispiel. Die Quellen sind englischsprachig und international oder britisch; die deutsche Registrierungsstelle für .de-Domains (DENIC) und deutsche Regeln haben wir nicht gelesen.

Überblick: was jeder Teil tut

Was ein Webserver und Hosting sind

Quelle: Mozilla (MDN), „What is a web server“. Zuletzt geprüft: 15. Oktober 2026.

Ein Webserver ist Hardware (ein Computer, der die Dateien einer Website speichert und online bleibt), Software (ein HTTP-Server, der Webadressen versteht und Anfragen beantwortet) oder beides zusammen. Wenn jemand eine Seite besucht, sendet der Browser eine HTTP-Anfrage für diese Adresse. Der Server sucht eine passende Datei. Findet er eine, sendet er sie zurück. Wenn nicht, kann er die Seite sofort erzeugen, sonst gibt er einen Fehler zurück, meist 404 Not Found.

MDN beschreibt zwei Arten:

• Statischer Server: sendet Dateien genau so, wie sie gespeichert sind.
• Dynamischer Server: fügt einen Anwendungsserver und meist eine Datenbank hinzu, die Seiten vor dem Senden erzeugen, zum Beispiel indem sie eine Vorlage mit Datenbankinhalt füllen.

MDN empfiehlt, wenn möglich mit einer statischen Website zu beginnen, weil sie einfacher ist. Hosting heißt schlicht, die Dateien Ihrer Website auf einem Rechner zu speichern, der verbunden bleibt und meist eine feste IP-Adresse hat, damit Besucher ihn über Ihren Domainnamen erreichen.

Eine kleine Visitenkartenseite braucht also weit weniger als ein Shop mit Datenbank, Logins und Kasse. Passen Sie den Tarif an die Software an, die Sie tatsächlich betreiben.

Domainnamen: woraus sie bestehen und wie die Auflösung funktioniert

Quelle: MDN, „What is a domain name“. Zuletzt geprüft: 15. Oktober 2026.

Ein Domainname ist eine für Menschen lesbare Adresse eines Servers. Er existiert, damit man sich keine IP-Adressen merken muss, die schwer zu merken sind und sich ändern können. Lesen Sie eine Domain von rechts nach links:

Jede Bezeichnung kann 1 bis 63 Zeichen aus Buchstaben, Ziffern und Bindestrichen haben, ohne Bindestrich am Anfang oder Ende.

Was passiert, wenn jemand Ihre Adresse eintippt

1. Er tippt einen Namen ein, etwa example.org.
2. Sein Computer prüft im lokalen DNS-Cache nach der passenden IP-Adresse.
3. Ist sie nicht im Cache, fragt er einen DNS-Server, der die IP-Adresse zurückgibt.
4. Der Browser verbindet sich mit dem Webserver unter dieser Adresse und fragt nach der Seite.

DNS-Daten werden eine Zeit lang zwischengespeichert und dann von maßgeblichen Servern aktualisiert; eine Änderung an einem Eintrag kann daher Stunden brauchen, bis sie sich verbreitet. Deshalb funktioniert ein Umzug der Website oder eine neue E-Mail-Einrichtung nicht immer sofort.

Domain, Registrar, Registry und Host: wer was tut

Quellen: MDN, „What is a domain name“; britisches NCSC, „Managing public domain names“; ICANN-Registrar-Seiten. Zuletzt geprüft: 15. Oktober 2026.

Sie kaufen eine Domain nicht endgültig. MDN erklärt, Sie zahlen für die Nutzung für ein oder mehrere Jahre und können verlängern, wobei Verlängerungen Vorrang vor neuen Anträgen haben. Mit der „whois“-Abfrage eines Registrars sehen Sie, ob ein Name frei ist. Ein falsch geschriebener Name ist bezahlt und nicht rückgängig zu machen; prüfen Sie ihn daher sorgfältig. Geben Sie eine gültige reale Adresse an, weil Registrare Domains ohne eine schließen können. MDN nennt keine Preise; vergleichen Sie Verlängerungspreise auf der Seite jedes Registrars.

Registrar und Host können verschiedene Unternehmen sein, und ein Bündel ist optional. Einen Namen zu registrieren erzeugt keine Website: Der Name braucht Hosting (oder eine Weiterleitung), um etwas anzuzeigen, und ungenutzte Namen können vom Registrar auf einer Werbeseite „geparkt“ werden.

Die Hinweise des NCSC, um die Kontrolle über eine Domain zu behalten

Die Hinweise des NCSC richten sich an Organisationen, gelten aber sinngemäß für jede kleine Website:

• Halten Sie die Domain in einem Konto, das Sie kontrollieren, nicht unter dem Login des Hosting-Unternehmens.
• Stellen Sie sicher, dass mehr als eine vertrauenswürdige Person Zugang hat, und aktivieren Sie die Zwei-Faktor-Anmeldung für das Registrar-Konto mit einem starken, einmaligen Passwort.
• Erwägen Sie eine Registrar-Sperre.
• Aktivieren Sie die automatische Verlängerung und zahlen Sie mit einer Karte, die nicht abläuft, denn ein abgelaufener Name kann von jemand anderem registriert werden.
• Entfernen Sie alte DNS-Einträge, wenn Sie einen Dienst einstellen, weil übrig gebliebene Einträge gekapert werden können.
• Achten Sie auf unerwartete Änderungen an Nameservern und Mail-Einträgen.
• Veröffentlichen Sie SPF-, DKIM- und DMARC-Einträge, um E-Mail-Fälschung zu verringern (unten erklärt).
• DNSSEC ist optional und bringt Komplexität.

Verlängerung und Ablauf: wie Sie keine Domain verlieren

Quelle: ICANN, „Domain name renewal and expiration FAQs“ (Seite von 2018 datiert; prüfen Sie ICANN auf die aktuelle Regelung). Zuletzt geprüft: 15. Oktober 2026.

ICANN sagt, Registrare müssten etwa einen Monat und eine Woche vor Ablauf Verlängerungserinnerungen senden und innerhalb von fünf Tagen danach eine Mitteilung. Erinnerungen helfen nur, wenn Ihre Kontaktdaten aktuell sind. Viele Registrare bieten automatische Verlängerung, die aktuelle Zahlungsdaten braucht.

Was nach dem Ablauf geschieht:

1. Der Registrar kann die Domain löschen, die dann für alle zur Registrierung freigegeben werden kann.
2. Etwa 30 Tage nach der Löschung erlaubt eine Einlösungsfrist (Redemption Grace Period), dass der Registrar den Namen wiederherstellt, oft gegen eine zusätzliche Gebühr.
3. Wird er nicht wiederhergestellt, liegt er etwa fünf Tage in „Pending Delete“, bevor er freigegeben wird.
4. Eine abgelaufene Domain kann übertragen werden, doch eine in der Einlösungsfrist muss zuerst vom bisherigen Registrar wiederhergestellt werden.

Wenn etwas schiefgeht, kontaktieren Sie zuerst Ihren Registrar (die WHOIS-Abfrage von ICANN zeigt, wer es ist). Wenn Erinnerungen fehlten, die Verlängerung scheiterte oder die Einlösung blockiert wurde, kann bei der ICANN Contractual Compliance eine Beschwerde zur Domain-Verlängerung eingereicht werden; Antworten dauern laut ICANN meist 3 bis 5 Werktage. Halten Sie Ihre Kontakt-E-Mail aktuell, tragen Sie das Verlängerungsdatum in den Kalender ein und verlassen Sie sich nicht allein auf die automatische Verlängerung.

Einen Hosting-Tarif wählen: was die Zahlen bedeuten

Quelle: DigitalOcean-Dokumentation, „Choosing a plan“, als Rechenbeispiel für virtuelle Server genutzt, nicht als Empfehlung. Zuletzt geprüft: 15. Oktober 2026.

Ein virtueller privater Server (VPS) ist eine virtuelle Maschine, die aus einem physischen Host herausgeschnitten wird. Die Dokumentation von DigitalOcean nennt die Ressourcen, die Sie vergleichen sollten:

Sie erklärt außerdem, dass Shared-CPU-Tarife Prozessorzeit mit Nachbarn teilen, was sie billiger und für leichte oder stoßweise Websites in Ordnung macht, aber ohne Leistungsgarantie, wenn die Nachbarn ausgelastet sind, während Dedicated-CPU-Tarife Threads für gleichmäßige Leistung reservieren. Ihr Rat zur Wahl ist: messen. Prüfen Sie CPU- und Speicherdiagramme unter realistischer Last und passen Sie die Größe an, wenn eine Ressource ständig am Limit ist.

Unser Ratgeber Webhosting-Arten (Englisch) vergleicht Managed WordPress, Cloud und Shared Hosting genauer.

Was WordPress von einem Host verlangt

Quelle: WordPress.org, „Requirements“. Zuletzt geprüft: 15. Oktober 2026.

Wenn Sie WordPress betreiben, empfiehlt die offizielle Anforderungsseite eine aktuelle PHP-Version, MariaDB oder MySQL, HTTPS-Unterstützung und Apache oder Nginx (mit mod_rewrite) als robusteste Wahl, auch wenn jeder Server funktioniert, der PHP und MySQL ausführt. Ältere Versionen (PHP 7.4 und MySQL 5.5.5 werden als noch laufend genannt) sind am Ende ihres Lebenszyklus und können eine Website Sicherheitsrisiken aussetzen. Die genauen Versionsnummern ändern sich mit jeder Version; lesen Sie daher die Seite statt einer Tabelle auf einer Hosting-Website. WordPress schlägt vor, einen Host zu fragen:

• Unterstützen Sie diese Versionen und HTTPS?
• Betreiben Sie Apache oder Nginx mit mod_rewrite?
• Was tun Sie, um mein Konto zu sichern?

Es empfiehlt außerdem, PHP aus Sicherheitsgründen unter dem eigenen Konto der Website statt unter einem gemeinsamen Standardbenutzer auszuführen.

Fünf Fragen vor der Zahlung

1. Erfüllt es die Softwareanforderungen oben für das, was ich betreiben werde?
2. Was kostet es bei der Verlängerung, nicht nur im ersten Zeitraum, und wie lang ist die Erstattungsfrist? (Allgemeiner Rat: Lesen Sie die Bedingungen des Verkäufers.)
3. Was bedeutet „unbegrenzt“ in den Bedingungen, zum Beispiel Fair-Use-Grenzen für Bandbreite oder Speicher?
4. Wie sehen Backups und Ausstieg aus? (Siehe die nächsten Abschnitte.)
5. Wie wird Verfügbarkeit gemessen, und was bekomme ich, wenn sie ausfällt?

Weitere sinnvolle Prüfungen: wo das Rechenzentrum steht, wann Support erreichbar ist, wie Sie eine vollständige Kopie Ihrer Website exportieren, wie Sie kündigen und ob die Domain auf Ihren eigenen Namen registriert ist.

Backups: die 3-2-1-Regel

Quelle: US-CISA, „Back up business data“. Zuletzt geprüft: 15. Oktober 2026.

Ein Backup auf demselben Server wie Ihre Website hilft nicht, wenn dieser Server ausfällt oder angegriffen wird. Die CISA, die für kleine und mittlere Unternehmen schreibt, nennt eine einfache Regel:

• Halten Sie drei Kopien wichtiger Dateien.
• Speichern Sie sie auf zwei verschiedenen Speichertypen.
• Halten Sie eine Kopie außer Haus.

Cloud-Speicher kann als zweiter Typ dienen. Eine Mischung aus Kopien vor Ort und entfernten Kopien schützt sowohl vor Cyberangriffen als auch vor physischen Schäden.

Was Sie einbeziehen sollten: Kunden- und Finanzunterlagen, E-Mail, Konfigurationsdateien und Website- oder Betriebsdatenbanken. Die CISA schlägt vor, mit einer Bestandsaufnahme zu beginnen: welche Daten Sie haben, wo sie liegen und wer darauf zugreifen kann.

Gute Gewohnheiten: Backups automatisch nach einem regelmäßigen Zeitplan laufen lassen, sie durch physische Sicherheit, Verschlüsselung und Offline-Kopien schützen und Wiederherstellungen testen, vollständige und teilweise. Die CISA sagt, stellen Sie sicher, dass Sie Daten mindestens sieben Tage zurückrollen können.

Die Seite der CISA ist ein allgemeiner Geschäftsrat, keine Hosting-Checkliste. Für eine Website machen Sie daraus Fragen an den Host:

1. Werden Backups auf einem anderen Server oder an einem anderen Ort als die Live-Website aufbewahrt?
2. Wie oft werden sie erstellt und wie lange aufbewahrt?
3. Kann ich meine eigene vollständige Kopie herunterladen?
4. Wie stelle ich wieder her, und kostet die Wiederherstellung extra?
5. Wer ist in diesem Tarif für Backups verantwortlich, der Host oder ich? Lesen Sie die Bedingungen, denn das ist oft Pflicht des Kunden.

HTTPS und das Schloss-Symbol

Quelle: Let's Encrypt, „How it works“. Zuletzt geprüft: 15. Oktober 2026.

HTTPS ist das gewöhnliche Web-Protokoll mit hinzugefügter Verschlüsselung (TLS). Es verbirgt Daten auf dem Weg zwischen Ihrem Browser und der Website und lässt Sie Änderungen unterwegs erkennen.

Let's Encrypt, eine gemeinnützige Zertifizierungsstelle, beschreibt, wie ein kostenloses Zertifikat ausgestellt wird:

1. Die Software des Website-Betreibers beweist, dass sie die Domain kontrolliert, indem sie eine Aufgabe beantwortet, entweder einen DNS-Eintrag oder eine über HTTP bereitgestellte Datei.
2. Die Stelle prüft von mehreren Punkten im Netz.
3. Nach einer signierten Anfrage stellt sie das Zertifikat aus und protokolliert es in öffentlichen Certificate-Transparency-Protokollen.
4. Die Verlängerung wiederholt den Vorgang, und ein Zertifikat kann mit dem Kontoschlüssel widerrufen werden.

Viele Hoster richten das automatisch ein und verlängern es.

Was das Schloss Ihnen sagt: Die Verbindung zu dieser Domain ist verschlüsselt, und wer das Zertifikat beantragt hat, kontrollierte die Domain bei der Ausstellung. Was es Ihnen nicht sagt: wer das Unternehmen ist oder dass es ehrlich ist. Die Seite von Let's Encrypt behauptet nicht, mehr als die Kontrolle über die Domain zu prüfen. Ein Schloss ist kein Grund, einem Shop zu vertrauen; unser Ratgeber Prüfen, ob ein Online-Shop seriös ist (Englisch) behandelt die Prüfungen, die zählen.

Für Website-Betreiber: Fragen Sie, ob ein kostenloses Zertifikat enthalten ist und automatisch verlängert wird und was geschieht, wenn die Verlängerung scheitert.

E-Mail auf Ihrer Domain: SPF, DKIM und DMARC

Quelle: britisches NCSC, „Email security and anti-spoofing“. Zuletzt geprüft: 15. Oktober 2026.

Wenn Sie E-Mails von Ihrer eigenen Domain senden, helfen drei DNS-Einträge empfangenden Servern, Ihre echte Post von Fälschungen zu unterscheiden:

Zusammen machen sie es Kriminellen schwerer, gefälschte E-Mails zu senden, die scheinbar von Ihrer Domain kommen. Das NCSC empfiehlt, alle drei bei jeder Domain einzurichten, die Sie besitzen, einschließlich Domains, die mit Cloud-E-Mail-Anbietern wie Google Workspace und Microsoft 365 genutzt werden. Es rät außerdem sicherzustellen, dass Ihr E-Mail-Dienst mit TLS sendet und empfängt, und Ihre Einrichtung mit seinem kostenlosen E-Mail-Sicherheitscheck zu prüfen. Die Hinweise richten sich an Organisationen, und eine kleine Website kann dieselben drei Prüfungen nutzen.

Fragen an einen Host oder E-Mail-Anbieter: Ist E-Mail mit der Domain enthalten oder ein getrenntes kostenpflichtiges Produkt, kann ich SPF-, DKIM- und DMARC-Einträge in Ihrem DNS-Bereich hinzufügen, welche Postfach- und Sendegrenzen gibt es, und wie wird Spam behandelt?

Verfügbarkeitsversprechen und Service-Level-Agreements

Quelle: Amazon Web Services, EC2 Service Level Agreement, nur als Rechenbeispiel dafür genutzt, wie ein SLA funktioniert. Zuletzt geprüft: 15. Oktober 2026.

Ein Versprechen von 99,9 % Verfügbarkeit klingt fast perfekt. Die Rechnung zeigt, was es erlaubt:

Über ein ganzes Jahr erlauben 99,9 % etwa 8,8 Stunden.

Das Rechen-SLA von Amazon gilt für einen großen Cloud-Anbieter, nicht für Shared Hosting, zeigt die Mechanik aber klar:

• Verfügbarkeit ist eng definiert: Eine Instanz gilt nur als ausgefallen, wenn sie die externe Konnektivität verliert.
• Die Abhilfe ist eine Servicegutschrift als Prozentsatz der Rechnung dieses Monats, in Stufen (zum Beispiel 10 % unter dem Ziel, aber mindestens 99 %, 30 % unter 99 % und 100 % unter 95 %).
• Gutschriften werden auf künftige Rechnungen angerechnet. Sie sind keine Barerstattungen.
• Sie müssen innerhalb einer festgelegten Frist einen Antrag mit Protokollen und Daten stellen (hier bis zum Ende des zweiten Abrechnungszeitraums).
• Ursachen außerhalb der Kontrolle des Anbieters und Ihre eigenen Handlungen oder Software sind ausgenommen.

Worauf Sie in den Bedingungen eines Hosts achten sollten: wie Ausfallzeit gemessen wird und was ausgenommen ist, was die Abhilfe ist und wie man sie beantragt, ob die Gutschrift automatisch erfolgt und ob es eine Frist für Anträge gibt. Wir haben keine Quelle zu typischen Bedingungen beim Shared Hosting; lesen Sie die Bedingungen des Tarifs, den Sie erwägen.

Seitengeschwindigkeit: Core Web Vitals

Quelle: Google web.dev, „Web Vitals“. Zuletzt geprüft: 15. Oktober 2026.

Googles web.dev beschreibt drei Messgrößen für die Seitenerfahrung:

Eine Seite wird am 75. Perzentil der Seitenaufrufe bewertet, getrennt für Mobil und Desktop, und besteht, wenn alle drei an diesem Punkt ihre Ziele erreichen.

Das Hosting kommt über Serverantwortzeit und Caching ins Spiel, die den LCP beeinflussen können. Beim Vergleich von Hostern können Sie fragen, ob Caching enthalten ist und ob der Tarif ein Content Delivery Network bietet. Wir haben keine Quelle dazu, was ein bestimmter Host anbietet. Die Seite von web.dev beschreibt, wie die Messgrößen funktionieren. Sie sagt nicht, dass ein guter Wert die Position einer Seite in den Suchergebnissen verbessert; kaufen Sie einen Tarif daher nicht mit diesem Versprechen.

Eine Checkliste vor dem Start

1. Domain in Ihrem eigenen Konto registriert, mit Zwei-Faktor-Anmeldung, automatischer Verlängerung und gültiger Karte.
2. Hosting-Tarif passend zu Ihrer Software, mit gelesenem Verlängerungspreis, Erstattungsfrist und „unbegrenzt“-Bedingungen.
3. Backups: drei Kopien, zwei Speichertypen, eine außer Haus, mit getesteter Wiederherstellung.
4. HTTPS-Zertifikat enthalten und automatisch verlängert.
5. SPF-, DKIM- und DMARC-Einträge veröffentlicht und die Einrichtung geprüft.
6. Verfügbarkeitsbedingungen gelesen: wie gemessen, welche Abhilfe, wie beantragt.
7. Seitengeschwindigkeit auf Mobilgeräten für Ihre eigenen Seiten gemessen.
8. Eine Möglichkeit, eine vollständige Kopie der Website zu exportieren, und die Kündigungsschritte notiert.

Verwandte umfassende Ratgeber

• Sicher online einkaufen: Betrug, gefälschte Bewertungen, Fälschungen und Prüfungen, die funktionieren: Phishing, gefälschte Bewertungen und sicheres Einkaufen für die Menschen, die Ihre Website nutzen.
• WLAN, Kühlung und Smart-Home-Grundlagen: Heimnetz und Smart-Home-Grundlagen.

Quellen: MDN, what is a web server; MDN, what is a domain name; UK NCSC, managing public domain names; ICANN, domain name renewal and expiration FAQs; DigitalOcean, choosing a plan; WordPress.org, requirements; US CISA, back up business data; Let's Encrypt, how it works; UK NCSC, email security and anti-spoofing; Amazon EC2 SLA; web.dev, Web Vitals (alle englisch).