Website-Updates: Wer ist zuständig, Hosting oder Dienstleister?

Im Oktober 2026 erschienen dringende Korrekturen für PHP und Node.js, also für die Programme, auf denen ein großer Teil der Firmenwebsites und Shops läuft. Solche Tage werfen immer dieselbe Frage auf: Wer hätte das aktualisieren sollen? Das Hosting, die Firma, die die Website erstellt hat, oder vielleicht Sie?

Die Antwort hängt davon ab, wo die Website läuft und was im Vertrag steht. In diesem Ratgeber zerlege ich die Website in Schichten, zeige, wer für jede davon beim Hosting, auf einem VPS und auf einer Abo-Plattform meist zuständig ist, und gebe Ihnen fertige Fragen an das Hosting und den Dienstleister. Stand: 30. Oktober 2026. Ich bin kein Jurist, die Abschnitte zu Verträgen und zur DSGVO sind daher keine Rechtsberatung.

Oktober 2026: PHP2Shell und Node2Shell

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Sie schließen zwei kritische Lücken namens PHP2Shell, die die Ausführung von Code auf dem Server aus der Ferne ohne Anmeldung ermöglichen können. Am selben Tag veröffentlichte das Node.js-Projekt die Versionen 22.23.4, 24.22.1 und 26.12.1 mit dem Patch für die Lücke Node2Shell im Brotli-Decoder.

Für PHP 8.1 und älter hat das PHP-Projekt keine neuen Versionen veröffentlicht. Es stellte nur Korrekturen im Quellcode für 7.4, 8.0 und 8.1 bereit, die von Personen genutzt werden, die PHP selbst kompilieren. Node.js-Linien nach dem Support-Ende (z. B. 20.x) erhalten keinen Patch. Manche Hosting-Anbieter erklären, ältere PHP-Versionen in Eigenregie zu patchen, nach Ihrer Version müssen Sie daher das Hosting fragen. Details und die Prüfung der Website beschreibe ich in den Ratgebern zur Lücke PHP2Shell in PHP und zur Lücke Node2Shell in Node.js. Später können neuere Releases erscheinen, die diese Korrekturen ebenfalls enthalten, prüfen Sie daher vor einer Entscheidung die aktuellen Versionen auf php.net und in der Mitteilung von Node.js.

Dieser Fall zeigt die Aufgabenteilung gut. Den PHP-Patch installiert beim Shared Hosting das Hosting. Läuft die Website aber auf PHP 7.4, weil sie niemand auf eine neuere Version umgezogen hat, gibt es vom PHP-Projekt kein neues Release: Nach einem Patch müssen Sie das Hosting fragen, und der Umzug der Website ist dann Ihre Aufgabe oder die des Dienstleisters.

Woraus eine Website besteht: 4 Schichten, die aktualisiert werden müssen

Um festzustellen, wer was aktualisiert, zerlegen Sie die Website in Schichten:

1. System und Server: Betriebssystem, Webserver, Datenbank.
2. Laufzeitumgebung: PHP oder Node.js in einer bestimmten Version, z. B. 8.3 oder 24.x.
3. Anwendung: WordPress, PrestaShop, WooCommerce, Plugins, Theme oder eigener Code der Website mit Bibliotheken (z. B. Next.js).
4. Konten und Zugänge: Passwörter, Zwei-Faktor-Authentifizierung, Liste der Personen mit Administratorkonto.

Jede Schicht kann einen anderen „Eigentümer“ haben. Unten die typische Aufteilung:

Das ist eine typische, keine garantierte Aufteilung. Verbindlich sind die AGB Ihres Hostings und der Vertrag mit dem Dienstleister.

Shared Hosting: Den Server patcht das Hosting, die Version wählen Sie

Beim gewöhnlichen Hosting (ein Paket mit Panel, in dem Sie Website und E-Mail haben) gehört der Server dem Anbieter. Er aktualisiert das System und installiert neue PHP-Releases. OVHcloud schreibt in der Hosting-Dokumentation, dass es auf den Servern die neuesten PHP-Versionen installiert, während die Kundschaft dafür sorgen muss, dass ihre Website aktuell und mit den neuen Versionen kompatibel ist (Dokumentation von OVHcloud).

Die PHP-Version, also ob die Website auf 8.2, 8.3 oder 8.4 läuft, wählen Sie meist selbst im Panel. Alte Versionen ziehen Hosting-Anbieter zurück oder verschieben sie in kostenpflichtige Zusatzleistungen. Zwei Beispiele, Stand 30. Oktober 2026:

• nazwa.pl (ein polnischer Hosting-Anbieter): Ohne Aufpreis sind die Versionen ab 8.2 verfügbar, ältere (von 5.3 bis 8.1) nur als kostenpflichtige Zusatzleistung. Ein Versionswechsel gilt für den ganzen Server, also für alle Websites darauf, und nazwa.pl weist darauf hin, dass die Rückkehr zur vorherigen Version kein korrektes Funktionieren der Websites garantiert (Hilfe von nazwa.pl).
• AZ.pl (ebenfalls ein polnischer Hosting-Anbieter): Laut den Bedingungen der Leistung für ältere PHP-Versionen (gültig seit dem 2. Januar 2026) bedeutet schon das Beibehalten einer nicht mehr unterstützten Version die Bestellung einer kostenpflichtigen Leistung. AZ.pl haftet nicht für die Folgen von Lücken in solchen Versionen, und wenn eine alte Version seine Infrastruktur gefährdet, kann es den Wechsel auf eine aktuelle Version erzwingen, falls eine vorherige Aufforderung nichts bewirkt.

Fazit: Das Hosting kümmert sich um die Maschine, zieht Ihre Website aber nicht für Sie auf eine neuere PHP-Version um und aktualisiert weder WordPress noch Plugins. Bleiben Sie bei einer alten Version, zahlen Sie für die Zusatzleistung, und das Risiko bleibt bei Ihnen. Wie Sie die Version sicher wechseln, zeige ich im Ratgeber zum Support-Ende für PHP 8.2.

VPS: Der ganze Server gehört Ihnen, samt Patches

Ein VPS (virtueller Server) gibt volle Kontrolle, aber auch volle Verantwortung. OVHcloud schreibt ausdrücklich, dass im Unterschied zum verwalteten Hosting Wartung des Servers, Backups und Schutz vor Angriffen Sache der Kundschaft sind (Einführung in VPS). Der Anbieter kümmert sich um Hardware und Netzwerk, System, PHP, Node.js und alles, was darauf läuft, aktualisieren Sie selbst oder die Person, die Sie damit beauftragt haben.

Hier entsteht leicht eine Lücke in den Zuständigkeiten. Der Dienstleister richtet die Website auf einem VPS ein, übergibt das Projekt, und der Vertrag sagt nichts über spätere Updates. Bei Node2Shell würde eine solche Website auf die neue Node.js-Version warten, bis jemand sie von sich aus installiert. Haben Sie einen VPS und wissen nicht, wer ihn aktualisiert, behandeln Sie das als dringende Frage an den Dienstleister.

Abo-Plattformen: Shoper, Wix und ähnliche

Auf einer Abo-Plattform haben Sie keinen Zugang zum Server oder zum Code, die Updates erledigt also der Anbieter. Shoper (eine polnische Shop-Plattform) schreibt in seinen Materialien, dass Shops im Abo laufend neue Softwareversionen erhalten. Wix beschreibt ein eigenes Sicherheitsteam, das die Plattform überwacht und auf Bedrohungen reagiert.

Bei Ihnen bleiben die Konten. Aktivieren Sie die Zwei-Faktor-Authentifizierung, löschen Sie die Konten ehemaliger Mitarbeitender und Dienstleister und teilen Sie kein gemeinsames Passwort. Sehen Sie auch die Apps anderer Firmen durch, die mit dem Shop verbunden sind: Für deren Updates ist der jeweilige Anbieter zuständig, die Entscheidung, ob Sie sie nutzen, liegt aber bei Ihnen.

Website nach Maß: Der Vertrag entscheidet

Hat ein Dienstleister die Website für Sie erstellt, patcht das Hosting weiterhin den Server (außer bei einem VPS), aber die Anwendung gehört „niemandem“, solange der Vertrag nichts anderes sagt. Die Erstellung der Website allein umfasst keine späteren Updates. Das ist eine eigene Leistung, meist technische Betreuung genannt.

Verlassen Sie sich auch nicht darauf, dass sich WordPress selbst aktualisiert. Laut der WordPress-Dokumentation werden standardmäßig kleinere Core-Versionen (mit Sicherheitskorrekturen) und Übersetzungen automatisch installiert, große Versionen nur auf Websites, die ab Version 5.6 installiert wurden. Plugins und Themes aktualisieren sich nur dann selbst, wenn jemand das aktiviert, oder in Ausnahmefällen, über die das Sicherheitsteam von WordPress entscheidet.

Was in den Vertrag über die Erstellung oder die Betreuung gehört (mehr zum Vertrag selbst schreibe ich im Ratgeber zum Vertrag über die Erstellung einer Website):

• Umfang der Updates, ausdrücklich benannt: CMS, Plugins, Theme, Bibliotheken im Code, PHP- oder Node.js-Version, beim VPS auch das System.
• Rhythmus und Eilfall: normale Updates zum Beispiel einmal im Monat, bei einer kritischen Lücke eine eigene, in Stunden angegebene Reaktionszeit.
• Backup vorher und Test danach: ein Backup vor jedem Update und die Prüfung von Formular, Warenkorb und Zahlungen danach.
• Support-Ende von Versionen: wer die Termine im Blick behält (PHP 8.2 verliert den Support am 31. Dezember 2026), wer den Umstieg plant und wie er abgerechnet wird.
• Wenn ein Update etwas kaputt macht: wer es repariert, in welcher Zeit und ob im Rahmen der Gebühr.
• Bericht: eine Liste der installierten Updates, zum Beispiel monatlich.
• Zugänge: Administratorkonto und Hosting-Konto auf Ihre Firma, der Dienstleister als zusätzlicher Benutzer. Hat heute nur der Dienstleister die Zugänge, lesen Sie, wie Sie den Zugang zur Website von der Agentur zurückholen.
• Personenbezogene Daten: Hat der Dienstleister Zugriff auf Kundendaten, ist ein Auftragsverarbeitungsvertrag nötig (Art. 28 DSGVO).

Denken Sie daran: Wer die Updates an jemand anderen abgibt, gibt damit nicht die Verantwortung für die Kundendaten ab. Als Verantwortliche im Sinne der DSGVO muss Ihre Firma für angemessene Sicherheitsmaßnahmen sorgen (Art. 32 DSGVO), und Dienstleister und Hosting unterstützen Sie dabei auf Grundlage der Verträge. Die Bedingungen von AZ.pl sagen dasselbe ausdrücklich: Für die Folgen von Lücken, die aus einer nicht mehr unterstützten PHP-Version resultieren, haftet das Kundenunternehmen als Verantwortlicher im Sinne der DSGVO.

So prüfen Sie, wer Ihre Website aktualisiert

Dafür brauchen Sie keine IT-Fachkraft. Eine Viertelstunde genügt.

1. Suchen Sie die Rechnungen heraus. Wofür zahlen Sie: Hosting-Paket, VPS (virtueller Server), Plattform-Abo, Betreuung? Jede Rechnung steht für eine Schicht und eine Adresse für Ihre Fragen.
2. Melden Sie sich im Hosting-Panel an. Sehen Sie dort eine Auswahl der PHP-Version, haben Sie Shared Hosting: Notieren Sie die Versionsnummer. Zeigt der Anbieter einen Server mit Betriebssystem (z. B. Ubuntu oder Debian) und Administratorzugang, haben Sie einen VPS.
3. Prüfen Sie, an wessen E-Mail-Adresse die Mitteilungen des Hostings gehen. Warnungen über die Abschaltung von Versionen landen dort und nicht beim Dienstleister, der das Projekt längst abgeschlossen hat.
4. Öffnen Sie den Vertrag mit dem Dienstleister und suchen Sie nach den Wörtern „Updates“, „Betreuung“, „Wartung“. Fehlen sie, sind Updates niemandes Pflicht.
5. Senden Sie zwei Anfragen, die fertig unten stehen.

An das Hosting:

Guten Tag, ich habe die Website [Domain] im Paket [Name des Pakets]. Bitte teilen Sie mir mit: 1) ob die PHP-Korrekturen vom 21.10.2026 (PHP2Shell) für die in meinem Konto eingestellte PHP-Version eingespielt sind, 2) um welche Version es sich handelt und bis wann sie ohne Aufpreis verfügbar ist, 3) mit welchem Vorlauf und an welche Adresse Sie über die Abschaltung von Versionen informieren, 4) ob Sie Backups anlegen, wie oft und wie lange Sie sie aufbewahren.

An den Dienstleister der Website:

Guten Tag, bitte bestätigen Sie, wer für die Updates der Website [Domain] zuständig ist: CMS, Plugins, Theme, Bibliotheken im Code und PHP- oder Node.js-Version. Deckt unser Vertrag das ab? Wenn nicht, bitte ich um ein Angebot für eine Betreuung mit einer Reaktionszeit bei kritischen Lücken und einer monatlichen Liste der Updates.

Was Sie heute tun sollten

• Notieren Sie an einer Stelle, wo die Website läuft, wer Zugänge hat und an wessen E-Mail-Adresse die Mitteilungen gehen.
• Prüfen Sie die Version von PHP oder Node.js. Hat sie keinen Support mehr, planen Sie den Umstieg noch in diesem Jahr.
• Senden Sie die Anfragen an das Hosting und den Dienstleister, auch wenn alles funktioniert.
• Ist niemand für Updates zuständig, legen Sie es fest: Sie selbst, der Dienstleister oder eine Firma für technische Betreuung. Und halten Sie es im Vertrag fest.

Zusammenfassung

Beim Shared Hosting sind Server und PHP-Korrekturen Sache des Hostings, PHP-Version, CMS und Plugins aber Ihre Sache oder die des Dienstleisters. Auf einem VPS sind Sie für den ganzen Server zuständig, auf einer Abo-Plattform für Konten und Erweiterungen. Alles, was nicht im Vertrag steht, ist in der Praxis niemandes Pflicht.

Wenn Sie das lieber in eine Hand geben, kostet die technische Betreuung bei mir im Paket Wache ab 149 PLN netto pro Monat: Monitoring, wöchentliches Backup außerhalb des Servers, Updates einmal im Monat und dringende innerhalb von 2 Tagen. Standard (ab 349 PLN netto pro Monat) bietet tägliche Backups, Updates 2-mal im Monat und eine Reaktion innerhalb von 1 Werktag, Pro (ab 749 PLN) eine Reaktion innerhalb von 4 Stunden, auch bei einem Ausfall am Wochenende. Ich kann auch Domain und Hosting ab 390 PLN netto pro Jahr bereitstellen. Sie haben eine Frage zu Ihrer Website? Schreiben Sie mir, ich antworte innerhalb von 24 Stunden.