Die Kundenseite ist entstellt. Der Kunde ruft den Gastgeber an. Der Gastgeber verweist die Agentur. Die Agentur gibt an, dass der Wartungsvertrag keine Sicherheit beinhaltet. Der Kunde bezahlt drei Anbieter und niemand hat das Runbook. Dieses Chaos ist nicht technisch bedingt – es ist das Fehlen schriftlich festgelegter Grenzen.
Drei Akteure sind beteiligt: Hoster (Infrastruktur, Netzwerk, manchmal Betriebssystem), Agentur oder Integrator (Site, Code, manchmal Betrieb), Kunde (Inhalt, Geschäftsdaten, branchenspezifische Compliance). Die Beherbergungsbedingungen beschränken die Haftung des Gastgebers; Ihr Agenturvertrag sollte eine Ergänzung sein, nicht eine Vermutung.
Vereinfachte RACI-Matrix
| Domäne | Gastgeber | Agentur | Kunde |
|---|---|---|---|
| Verfügbarkeit von Rechenzentren/Hypervisoren | R | Ich | Ich |
| Betriebssystem/Patches (verwalteter VPS) | R/A laut Angebot | C | Ich |
| CMS, Plugins, Theme | Ich | R/A | C |
| Von Unternehmen getestete Backups | C | R/A | A |
| SSL-Zertifikat (Let's Encrypt automatisch) | R | C | Ich |
| Veröffentlichte Inhalte (Texte, Bilder) | Ich | C | R/A |
| DSGVO / DPA-Register | Ich | C | R/A |
| Vorfallkommunikation | C | R | A |
| Meldung von Missbrauch | Technisches R | C | R-Redaktion |
R = verantwortlich, A = Genehmiger, C = konsultiert, I = informiert – passen Sie sich an Ihren tatsächlichen Vertrag an.
Verwaltete Angebote: Lesen Sie die Tiefe
- Geteilt – Host: Plattform, PHP, eingeschränktes Messaging. Sie: Website, Updates, Business-Backups.
- Unverwaltetes VPS – Sie oder die Agentur: alles außer dem Hypervisor.
- VPS oder verwalteter Server – Systemkorrekturen, Infrastrukturüberwachung – nicht unbedingt WordPress-Code.
- Verwaltetes WordPress – Kernaktualisierungen manchmal enthalten – Plugins von Drittanbietern oft ausgeschlossen.
Vergleichen Sie im Verzeichnis, indem Sie auf die Art des Angebots und die internen Fähigkeiten verweisen. Informationen zum gemeinsamen Zugriff finden Sie unter Team-SFTP-Zugriff.
Vermeiden Sie Grauzonen
- Schriftliches Dokument – eine „Wer macht welchen Vorfall“-Seite.
- Zugriff – kein gemeinsames Konto zwischen Agentur und Kunde.
- Vierteljährlich Catering getestet – benannter Manager.
- Eskalation – Gastgeber-, Agentur- und Kundennummern in einer einzigen Datei.
Jede Grauzone wird zu einem Streit nach dem Vorfall. Die Gerichte entscheiden nicht philosophisch: Sie lesen die Hosting-AGB und das Agenturauftragsformular.
Ein Kunde, der „All-Inclusive-Hosting“ abschließt, ohne die AGB gelesen zu haben, stellt nach einem Hackerangriff oft fest, dass WordPress-Updates nicht abgedeckt sind. Die Agentur, die „schlüsselfertige Lieferung vor Ort“ verspricht, ohne eine Post-Launch-Wartungsklausel, steht an vorderster Front – ohne Vergütung für den Eingriff.
Der Gipfel: „all inclusive“ gibt es nicht – nur „all vage“
Das verbirgt sich eigentlich hinter dem Wort „All-Inclusive“.
Entscheide dich und gehe ohne blinden Fleck voran
An einem halben Tag können Sie die Grenzen klären:
- Schreiben Sie eine einseitige RACI-Matrix.
- Hosting-AGB, Agenturvertrag und Kundenerwartungen in Einklang bringen.
- Testen Sie eine Wiederherstellung und Incident-Kommunikation.
- Überprüfen Sie jedes Mal, wenn Sie Ihr Angebot ändern (gemeinsam → VPS).
Beginnen Sie mit einem Treffen mit drei Parteien – Kunde, Agentur, Gastgeber, wenn möglich – um zu überprüfen, wer patcht, wer wiederherstellt und wer kommuniziert. Ohne diese geschriebene Seite wird jeder Vorfall zu einem Ping-Pong der Verantwortlichkeit. Siehe auch den Wiederaufnahmeplan, um Backups zu formalisieren.
Häufig gestellte Fragen
Ist der Host für WordPress-Hacking verantwortlich?
Im Allgemeinen nicht für Anwendungscode- und CMS-Updates – es sei denn, es liegt ein nachgewiesener Infrastrukturfehler auf der Hostseite vor. Der Kunde oder die Agentur pflegt die Anwendung; Der Host stellt je nach abonniertem Angebot das Betriebssystem oder den Hypervisor bereit.
Wer sollte die Backups erstellen?
Doppelte Wachsamkeit: Das „Best-Effort“-Backup des Hosts ist nicht gleichbedeutend mit Geschäftskontinuität. Der Datenverantwortliche bzw. Kunde muss über eine regelmäßig geprüfte Kopie verfügen.
Webagentur: Welcher aktuelle Umfang?
Bereitstellung, Theme, Plugins, manchmal Wartung – selten komplettes Infrastruktur-Outsourcing, außer expliziter MSP-Vertrag. Klären Sie den Umfang in der Bestellung, nicht erst nach dem Vorfall.
Illegale Inhalte gemeldet: Wer antwortet?
Der Site-Editor (Client) zuerst; Der Gastgeber fungiert als technischer Vermittler (Entzug, Aussetzung) gemäß LCEN und den Allgemeinen Geschäftsbedingungen. Siehe den Leitfaden zum Melden von Missbrauch.
Vor dem nächsten Ausfall eine Drei-Wege-Frage: Wer aktualisiert, wer stellt wieder her, wer kommuniziert? Wenn alle auf die anderen schauen, haben Sie nicht drei Dienstleister, sondern niemanden.