Wer ist zuständig: Hoster, Entwickler oder du?

Hoster, Entwickler und deine Firma sehen jeweils nur einen Teil: der Hoster den Server, der Entwickler den Code, du das Geschäft. Die Lücken entstehen dazwischen, bei Aufgaben, die alle für die Aufgabe eines anderen halten. Stand dieses Artikels: 6. November 2026.

Wer ist wofür zuständig?

Die Matrix zeigt die übliche Verteilung bei einer PHP-Anwendung auf Shared Hosting. «Typisch» heisst: Das gehört meist zum Produkt. «Vertraglich regeln» heisst: Das passiert nur, wenn es schriftlich vereinbart ist. Auf einem eigenen Server, also einem Root- oder vServer, fällt die Hoster-Spalte weitgehend weg. Dann gehören Betriebssystem und PHP zum Entwickler oder Betreuer, oder zu dir.

Aufgabe	Hoster	Entwickler oder Betreuer	Deine Firma
Server und Betriebssystem	Typisch: Hardware, Netz, Betriebssystem, Webserver	Nur auf einem eigenen Server, vertraglich regeln	Auf einem eigenen Server ohne Betreuung: alles
PHP-Version	Typisch: Versionen bereitstellen, patchen, alte abstellen	Vertraglich regeln: prüfen, ob die Anwendung mit der neuen Version läuft, und umstellen	Über das Upgrade entscheiden, Ankündigungen des Hosters lesen
Updates der Anwendung	Typisch nicht, ausser bei Standard-CMS über den Installer des Hosters	Vertraglich regeln: Framework, CMS, Pakete und Erweiterungen	Ohne Vertrag: alles
Backups	Typisch: Sicherung der eigenen Server, oft ohne Zusage für deine Daten	Vertraglich regeln: eigenes Backup ausserhalb des Servers, getestete Wiederherstellung	Wissen, wo die Backups liegen und wer sie zurückspielen kann
Sicherheitslücken	Typisch: in PHP und in der Server-Software	Vertraglich regeln: in Framework, CMS, Paketen und eigenem Code, dazu die Prüfung auf Spuren eines Angriffs	Dafür sorgen, dass jemand zuständig ist und Warnungen ankommen
Domain und DNS	Typisch: Domain und DNS verwalten, wenn sie dort registriert sind	DNS-Einträge einrichten, wenn nötig	Inhaberin der Domain sein, mit eigenem Zugang zum Konto
Zugänge	Typisch: Zugänge für den Kontoinhaber wiederherstellen	Eigene Zugänge nutzen, keine geteilten Passwörter	Kontoinhaberin sein, alle Zugänge im Passwort-Tresor der Firma
Ausfall	Typisch: Server, Netz und Rechenzentrum, Meldungen auf der Statusseite	Vertraglich regeln: Fehler in der Anwendung, etwa nach einem Update	Wissen, wen du zuerst anrufst, und entscheiden, ob die Anwendung vom Netz geht

Dass Domain, Hosting-Konto und Zugänge auf deine Firma laufen, ist kein Misstrauen gegenüber dem Entwickler. Es ist die Voraussetzung dafür, dass jemand anderes übernehmen kann, wenn er ausfällt. Darauf achtest du am besten schon beim Auftrag: Webapplikation in Auftrag geben ohne Abhängigkeit.

Bearbeitet deine Anwendung Personendaten, bleibt die Verantwortung dafür ohnehin bei deiner Firma. Wer Daten in seinem Auftrag bearbeiten lässt, muss sich laut Art. 9 Abs. 2 DSG vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Was das bei einem Altsystem bis zur Abschaltung heisst, steht im Artikel Altsystem bis zur Ablösung. Das ist keine Rechtsberatung.

Wartung, Support, Betrieb und Weiterentwicklung

Die vier Begriffe gehen oft durcheinander, auch in Offerten. Wer «Support» bestellt und Wartung erwartet, merkt den Unterschied erst, wenn ein Update liegen bleibt.

Begriff	Was er heisst	Beispiel
Betrieb	Die Anwendung läuft: Server, PHP, Datenbank, Überwachung und Backups funktionieren	Das Zertifikat wird rechtzeitig erneuert, die Cronjobs laufen, der Speicher reicht
Wartung	Die Anwendung bleibt aktuell und sicher, ohne dass sich ihre Funktionen ändern	Ein Sicherheitsupdate für Laravel einspielen, auf PHP 8.4 umstellen
Support	Hilfe, wenn etwas nicht funktioniert oder eine Frage auftaucht	Das Kontaktformular verschickt keine Mails mehr, ein Export bricht ab
Weiterentwicklung	Neue oder geänderte Funktionen	Eine Schnittstelle zum ERP, ein neuer Bestellablauf

Zwei Verwechslungen sind besonders häufig. Der Support des Hosters gilt dem Hosting, nicht deiner Anwendung. Und ein Entwicklungsauftrag umfasst nicht automatisch die Wartung danach: Ob der Entwickler nach der Abnahme Updates einspielt, steht im Vertrag oder nirgends.

Was Hoster selbst zusagen

Die Vertragsbedingungen und Supportseiten der Hoster sind in diesem Punkt deutlich. Drei Beispiele aus der Schweiz, abgerufen am 6. November 2026:

• Hostpoint schreibt auf seiner Support-Seite zu WordPress-Updates: «Wartungs- und Anpassungsarbeiten sowie Updates müssen von Ihnen selbst oder von Ihrem Webmaster durchgeführt werden.» Für Anwendungen von Drittanbietern bietet Hostpoint laut derselben Seite keinen Support an.
• Infomaniak hält in den Besonderen Bedingungen für Webhosting fest (Ziff. 5.2), dass es in der Verantwortung des Kunden liegt, «die Skripte, Anwendungen (CMS, Foren und andere) sowie deren Abhängigkeiten zu aktualisieren». Für Probleme wegen veralteter Versionen oder fehlender Updates haftet Infomaniak nicht. Nur bei WordPress, das über das Installationswerkzeug von Infomaniak eingerichtet wurde, übernimmt Infomaniak laut eigener Anleitung die Sicherheitsupdates grösstenteils selbst.
• hosttech sichert laut AGB (Ziff. 4) die eigenen Server regelmässig, trotzdem «ist der Kunde für die Sicherung der übermittelten Daten verantwortlich». Die Haftung für Schäden durch Sicherheitslücken in installierten Applikationen schliesst hosttech aus (Ziff. 5). Wer einen Rootserver oder vServer selbst betreibt, ist laut einem hosttech-Beitrag vom 22. Oktober 2026 für die Updates seines Systems selbst verantwortlich.

Das heisst nicht, dass Hoster untätig sind. Bei den PHP-Lücken vom Oktober 2026 haben viele über Nacht gepatcht, einige haben Server vorsorglich vom Netz genommen. Sie prüfen aber nicht, ob deine Anwendung angegriffen wurde, und machen sie nicht fit für eine neue PHP-Version. Bei einem Managed Server übernimmt der Hoster zusätzlich Teile der Systemverwaltung. Was genau dazugehört und ob die Anwendung dabei ist, steht in seiner Leistungsbeschreibung. Lies sie, bevor du dich darauf verlässt.

Was du schriftlich regeln solltest

Für jede Zeile der Matrix braucht es einen Namen, nicht ein «das macht doch der Hoster». Sieben Fragen, auf die du eine Antwort haben solltest:

1. Wer spielt Updates von Framework, CMS und Paketen ein, und in welchem Rhythmus?
2. Wer liest die Mails des Hosters und reagiert, wenn er eine PHP-Umstellung ankündigt?
3. Wo liegen die Backups, wer prüft sie, und wann wurde die Wiederherstellung zuletzt getestet?
4. Wer reagiert, wenn eine kritische Lücke bekannt wird, und wer prüft auf Spuren eines Angriffs?
5. Auf wen laufen Hosting, Domain und Lizenzen?
6. Wer hat welche Zugänge, und wo sind sie hinterlegt?
7. Wen rufst du bei einem Ausfall zuerst an, und wer entscheidet, ob die Anwendung vom Netz geht?

Wie schnell die Reaktion sein muss, gehört in den Wartungsvertrag. Ist der bisherige Entwickler nicht mehr erreichbar, beginnst du mit den Sofortmassnahmen, wenn der Entwickler nicht erreichbar ist: Zugänge sichern, Backup ziehen, Rechte klären. Steht deine Anwendung nach einer Umstellung des Hosters schon still, hilft der Artikel Webapplikation wieder zum Laufen bringen.

So ist es bei Unique-P geregelt

Bei der Wartung und Betreuung durch Unique-P ist die Aufteilung so festgehalten:

• Hoster: Hosting und Domain laufen auf deine Firma, bei einem Hoster deiner Wahl. Bei Bedarf bekommst du eine Empfehlung für einen passenden Anbieter, die Einrichtung inklusive. Der Vertrag gehört dir.
• Betreuung durch Unique-P: Updates von PHP, Framework oder CMS, Paketen und Erweiterungen in einem festen Rhythmus, vorher auf der Testumgebung geprüft. Sicherheitsupdates zeitnah einspielen, bekannte Schwachstellen im Blick behalten, Zugänge und Rechte sauber halten. Erreichbarkeit, Fehlerlogs, Zertifikate und Hintergrundprozesse überwachen. Backups von Datenbank und Dateien ausserhalb des Servers, mit regelmässig getesteter Wiederherstellung. Dazu Fehlerbehebung, kleine Anpassungen und Weiterentwicklung in Etappen.
• Du: Alle Zugänge zu Hosting, Datenbank, Domain und Drittanbietern liegen in einem gemeinsamen Passwort-Tresor, auf den du jederzeit Zugriff hast. Code und Dokumentation liegen in einem Repository, auf das du jederzeit zugreifen kannst, Deployment, Backups und Wiederherstellung sind beschrieben. So kann jederzeit eine andere Fachperson übernehmen.
• Erreichbarkeit: Antwort innert eines Arbeitstags, Notfälle gehen allem anderen vor, und für Notfälle gibt es eine Telefonnummer. Die Reaktionszeit steht im Wartungsvertrag, ein 24/7-Pikett gehört nicht dazu.

Am Anfang steht das Übernahme-Assessment, weil sich eine Anwendung, die niemand richtig kennt, nicht seriös betreuen lässt.