Managed Hosting vs. Self-Hosting: Wer kümmert sich um wichtige PHP-Sicherheitsupdates?

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

Managed Hosting vs Self-Hosting: Who Handles Critical PHP Security Updates? - Zima Store Online

Entscheiden Sie sich für Managed Hosting, wenn ein Anbieter ausdrücklich die von Ihnen benötigte Wartung der Laufzeitumgebung und die erforderlichen Reaktionsmaßnahmen abdeckt. Entscheiden Sie sich für Self-Hosting, wenn Ihnen lokale Kontrolle wichtig ist und Sie die Dienste selbst warten oder kompetente Unterstützung organisieren können. Keine der beiden Optionen hebt die Verantwortung für die Anwendung auf.

Entscheiden Sie danach, wer die Laufzeitumgebung zuverlässig warten, unterstützte Fixes einspielen und die Wiederherstellung überprüfen kann. Managed Hosting deckt nur die Verantwortlichkeiten ab, die in den Leistungsbedingungen des Dienstes enthalten sind; beim Self-Hosting liegen diese betrieblichen Entscheidungen bei Ihnen oder dem von Ihnen beauftragten Administrator.

Verantwortlichkeiten vergleichen, bevor Sie Gebühren vergleichen

Aufgabe	Verwalteter Dienst: Leistungsumfang prüfen	Selbst gehosteter Dienst: Verantwortlichen bestimmen
Patching von Host und Laufzeitumgebung	Möglicherweise enthalten; genaue Grenzen erfragen	Betreiber oder beauftragter Administrator
Updates für benutzerdefinierte Anwendungen und Plugins	Oft getrennt von der Plattformwartung	Anwendungsverantwortlicher
Backups und Wiederherstellung	Abdeckung, Aufbewahrungsdauer und Wiederherstellungsprozess bestätigen	Den vollständigen Wiederherstellungsweg planen und testen
Zugriff im Notfall einschränken	Zuständigkeit und Reaktionskanal bestätigen	Der Betreiber kontrolliert die Netzwerkpfade
Untersuchung einer Kompromittierung	Möglicherweise ist ein zusätzlicher Supportdienst erforderlich	Der Betreiber koordiniert die Untersuchung

Das sind Fragen, die Sie stellen sollten, keine Versprechen für jeden Hosting-Tarif. Bei einer verwalteten virtuellen Maschine, einer verwalteten Anwendung und einem nicht verwalteten VPS können die Verpflichtungen des Kunden sehr unterschiedlich ausfallen.

Fünf Fragen an einen Anbieter

Welche PHP-Installationen und kundenseitig erstellten Container patchen Sie?
Wie gehen Sie mit nicht mehr unterstützten Zweigen und inkompatiblen Anwendungen um?
Welche Nachweise bestätigen, dass der laufende Dienst den Fix verwendet?
Können Sie den Zugriff einschränken, während ein Patch aussteht, und wer genehmigt das?
Welche Wiederherstellungs- und Incident-Response-Arbeiten sind in der Vereinbarung enthalten?

Fragen Sie nach dem vorgesehenen Eskalationsweg und etwaigen vertraglichen Reaktionszusagen. „Automatische Updates“ ist zu ungenau, solange Paketquelle, Bereitstellungstyp und Ausnahmen nicht bekannt sind.

Welche Nachweise sollte ein Managed-Service-Anbieter nach einer kritischen Sicherheitswarnung vorlegen?

Fragen Sie nach der betroffenen Laufzeitumgebung oder Paketquelle, der korrigierten Version, dem Bereitstellungszeitraum und danach, ob Worker neu gestartet oder ersetzt wurden. Die Aussage, dass „die Sicherheit verwaltet wird“, sagt nicht aus, welche Anwendungsebenen der Dienst abdeckt. Manche Vereinbarungen umfassen die Wartung des Betriebssystems, während Plugins, benutzerdefinierter Code und Anwendungskompatibilität in Ihrer Verantwortung bleiben.

Nutzen Sie den Anbieter-Vertrag und den Sicherheitshinweis des zuständigen Maintainers als getrennte Quellen. Der Vertrag legt die Zuständigkeit fest; der Hinweis beschreibt die technische Korrektur. Die Referenz zur Laufzeitprüfung von PHP ist hilfreich, um Nachweise zu sammeln, sofern Sie Zugriff haben. Ein Screenshot aus einer separaten Shell belegt jedoch nicht den Zustand der Web-Worker des Anbieters.

Was Self-Hoster übernehmen

Sie bestimmen den Zeitplan, den Speicherort der Daten, die Softwareauswahl und die Netzwerkrichtlinien. Außerdem müssen Sie Sicherheitshinweise verfolgen, kompatible Versionen auswählen, Backups pflegen und Änderungen überprüfen. Abwesenheit von zu Hause oder eine arbeitsreiche Woche kann zum Risiko werden, wenn niemand sonst den Dienst verwalten kann.

Verringern Sie diesen Aufwand, indem Sie weniger öffentliche Dienste betreiben, den Stack dokumentieren und für wichtige Workloads eine Vertretung für den Backup-Betrieb bestimmen. Eine einfache, gepflegte Bereitstellung ist oft leichter zu betreiben als eine flexible Sammlung aufgegebener Experimente.

Gesamtaufwand ehrlich vergleichen

Managed Hosting verursacht wiederkehrende Gebühren und hat begrenzte Leistungsumfänge. Self-Hosting verursacht Kosten für Hardware, Speicher, Strom, Backups und Verwaltung. Setzen Sie den Zeitaufwand für Wartung und die Folgen von Ausfällen realistisch an. Betrachten Sie den Kauf von Hardware nicht als vollständigen Ersatz für den Betriebsaufwand.

Für manche Haushalte eignet sich eine hybride Lösung: Private Medien und Backups bleiben auf einem ZimaCube 2, während eine öffentliche Unternehmenswebsite bei einem Anbieter gehostet wird, der die Supportanforderungen erfüllt. Dokumentieren Sie den Datentransfer und die Zuständigkeit für Backups in beiden Umgebungen.

Wie sollten Sie die Gesamtbetriebskosten vergleichen?

Verwenden Sie ein beispielhaftes monatliches Wartungsbudget, anstatt nur die Hostinggebühren zu vergleichen. Wenn Self-Hosting zwei Stunden für routinemäßige Updates und während eines Vorfalls eine zusätzliche Stunde erfordert, berücksichtigen Sie den Wert dieser Stunden und die Folgen einer verzögerten Reaktion. Dies sind Planungsannahmen, keine gemessenen Durchschnittswerte oder Zusagen eines Anbieters.

Verantwortung	Frage zum Managed Service	Anforderungen an Self-Hosting
Laufzeitkorrektur	Ist dieser PHP-Zweig abgedeckt?	Ein vertrauenswürdiges Paket/Image und eine verantwortliche Person
App-Kompatibilität	Sind benutzerdefinierte Apps/Plugins enthalten?	Ein unterstützter Aktualisierungspfad
Wiederherstellung	Was lässt sich wiederherstellen und wie schnell?	Eine konsistente Sicherung und Wiederherstellungskenntnisse
Nachweis	Welcher Nachweis für den Abschluss wird bereitgestellt?	Eine dokumentierte laufende Revision und Prüfung

Für beide Wege veranschaulicht die Backup-Anleitung von WordPress, warum Anwendungsdaten eine separate Zuständigkeit neben Laufzeit-Patches darstellen. Nutzen Sie die Checkliste für WordPress und Nextcloud, um anwendungsspezifische Fragen zu stellen, und den Vergleich zwischen Docker und nativer Bereitstellung, wenn Sie entscheiden, wie Sie die Laufzeitumgebung selbst betreiben möchten.

Nutzen Sie den PHP-Vorfall als Bereitschaftsprüfung

Wählen Sie einen Dienst aus und formulieren Sie eine kurze Zuständigkeitserklärung: Wer wartet die Laufzeitumgebung, wer betreibt das Deployment, wer prüft die Kompatibilität und wer ist für die Wiederherstellung zuständig? Gleichen Sie die Erklärung mit dem tatsächlichen Serviceplan oder Ihren eigenen Verfahren ab.

Wenn Sie keine verantwortliche Person für einen kritischen Schritt benennen können, schließen Sie diese Lücke, bevor Sie eine weitere App hinzufügen. Sicherheitswartung funktioniert, wenn die Verantwortung bis zum laufenden System reicht und nicht bei einer Produktbeschreibung endet.

Entdecken Sie ZimaCube 2 Personal Cloud NAS für zu Hause für Ihre private Speicherung und Ihr selbst gehostetes Anwendungssetup. Die Softwaresicherheit hängt von den installierten Diensten, ihrer Konfiguration und verifizierten Updates ab.

Die PHP-Sicherheitsreihe fortsetzen

Quellen und Umfang

Geprüft am 22. Oktober 2026. Deployment-Empfehlungen müssen auf Ihre Anwendung und die Dokumentation des Anbieters abgestimmt sein; diese Artikel belegen keine produktspezifische Anfälligkeit.