Was bedeutet „managed" wirklich? Backups, Updates und Monitoring erklärt

„Managed Hosting" steht auf fast jeder Anbieterseite — und meint überall etwas anderes. Bei dem einen bedeutet es: Du bekommst einen Server, wir kümmern uns um die Hardware. Bei dem anderen: Wir betreiben deine Anwendung inklusive Datenbank, Backup und Rufbereitschaft. Der Unterschied kostet dich im Ernstfall Tage. Dieser Artikel zerlegt den Begriff in die drei Bausteine, die wirklich zählen — Backups, Updates, Monitoring — und gibt dir konkrete Fragen an die Hand, mit denen du jeden Anbieter innerhalb von zehn Minuten einordnen kannst.

Die drei Ebenen, die alle „managed" nennen

Bevor du Angebote vergleichst, sortiere sie in eine dieser Schubladen:

• Managed Infrastructure: Der Anbieter betreibt Strom, Netz, Hardware und Hypervisor. Alles ab dem Betriebssystem gehört dir. Klassisches Root-Server- oder Cloud-VM-Geschäft.
• Managed Server: Zusätzlich Betriebssystem-Patches, Firewall und vielleicht ein Datei-Backup der VM. Die Anwendung darauf — Nextcloud, WordPress, was auch immer — bleibt dein Problem.
• Managed Application: Der Anbieter verantwortet die Anwendung selbst: Versions-Upgrades, Datenbankmigrationen, anwendungsnahe Backups, Wiederherstellung, Erreichbarkeit.

Die meisten Missverständnisse entstehen zwischen Stufe zwei und drei. Ein Server-Backup hilft dir wenig, wenn eine fehlgeschlagene Datenbankmigration deine Anwendung zerlegt hat und niemand außer dir weiß, wie man sie zurückrollt. Frag deshalb nie „macht ihr Backups?", sondern: „Wer stellt meine Anwendung wieder her, und wie lange dauert das?"

Backups: Kopie ist nicht gleich Wiederherstellung

Ein Backup ist erst dann eines, wenn jemand daraus schon einmal zurückgespielt hat. Das ist keine Meinung, sondern Prüfpraxis: Der Baustein CON.3 „Datensicherungskonzept" aus dem IT-Grundschutz-Kompendium des BSI verlangt unter anderem, dass pro System dokumentierte Wiederherstellungszeiten (RTO) und tolerierbare Datenverluste (RPO) festgelegt sind und dass Wiederherstellungen regelmäßig getestet werden. Der ergänzende Baustein DER.2.3 deckt die Notfallwiederherstellung selbst ab.

Rechtlich kommt Artikel 32 DSGVO dazu. Er verlangt in Absatz 1 lit. c ausdrücklich „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen" — und in lit. d ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen. Ein ungetestetes Backup erfüllt beides nicht.

Diese Punkte gehören in den Vertrag oder mindestens in die Leistungsbeschreibung:

• Frequenz und Aufbewahrung: Wie oft wird gesichert, wie viele Stände bleiben wie lange?
• Ablageort: Liegen die Sicherungen physisch getrennt vom Produktivsystem?
• Konsistenz: Wird die Datenbank sauber gesichert oder nur das Dateisystem unter laufendem Betrieb kopiert?
• Restore-Weg: Wer löst eine Wiederherstellung aus, in welcher Zeit, und gibt es Selbstbedienung?
• Testnachweis: Wann wurde zuletzt ein vollständiger Restore durchgeführt?

Updates: der Unterschied zwischen Patch und Upgrade

Sicherheitspatches sind der einfache Teil — sie lassen sich weitgehend automatisieren. Der harte Teil sind Major-Upgrades der Anwendung, weil dort Datenbankschemata wandern, Plugins brechen und Konfigurationen ihre Bedeutung ändern. Genau hier trennt sich Managed Server von Managed Application.

Kläre vor Vertragsschluss:

• Werden Sicherheitsupdates der Anwendung eingespielt oder nur die des Betriebssystems?
• Wer entscheidet über Major-Upgrades, und gibt es davor einen Wiederherstellungspunkt?
• Gibt es ein Wartungsfenster — und wirst du vorher informiert?
• Was passiert mit Erweiterungen und Plugins, die nach dem Upgrade nicht mehr laufen?

Kleiner Realitätscheck für die eigene Kalkulation: Wer selbst hostet, plant nicht die zehn Minuten Update-Kommando ein, sondern das Lesen der Release Notes, das Testen auf einer Staging-Instanz, das Zeitfenster außerhalb der Geschäftszeiten und die Bereitschaft, wenn danach etwas klemmt. Diese Stunden fallen an — die Frage ist nur, in wessen Kalender.

Monitoring: gemessen wird, was wehtut

Monitoring ist mehr als ein grüner Ping. Nützlich wird es, wenn drei Fragen beantwortet sind: Merkt jemand den Ausfall vor dem Kunden? Wird jemand geweckt? Und gibt es Daten, um die Ursache zu finden?

• Verfügbarkeitsprüfung auf Anwendungsebene, nicht nur ICMP — inklusive Warnung vor ablaufenden TLS-Zertifikaten.
• Alarmierung mit Eskalation, damit eine unbeantwortete E-Mail um drei Uhr nachts nicht das Ende der Kette ist.
• Metriken und Logs über Zeit, damit „war letzte Woche langsam" untersuchbar wird.
• Kapazitätswarnungen, bevor die Platte volläuft — der mit Abstand häufigste selbstverschuldete Ausfall.

Auch das hat eine Compliance-Seite: Nach Artikel 33 DSGVO musst du eine meldepflichtige Datenschutzverletzung „unverzüglich und möglichst binnen 72 Stunden" nach Bekanntwerden an die Aufsichtsbehörde melden. Wer nichts überwacht und nichts protokolliert, bemerkt Vorfälle spät und kann die geforderten Angaben zu Art, Umfang und Folgen nicht liefern.

Woran du echtes Managed Hosting erkennst

Fünf Fragen, die ein ernstzunehmender Anbieter ohne Zögern beantwortet:

1. Wie lange dauert die vollständige Wiederherstellung meiner Instanz — und wann habt ihr das zuletzt geprobt?
2. Welche Update-Klassen spielt ihr ein, und wer entscheidet über Major-Versionen?
3. Wer bekommt nachts den Alarm, und was ist eure Reaktionszeit?
4. Wo stehen Daten und Backups physisch, und wer hat administrativen Zugriff?
5. Gibt es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO inklusive Liste der Unterauftragnehmer?

Frage fünf ist kein Formalismus: Sie zeigt, ob dein „deutscher Anbieter" die Last am Ende bei einem Hyperscaler abladt.

Wie AllAppsCloud das umsetzt

AllAppsCloud ist Managed Open Source Hosting der Wodanio GmbH im eigenen deutschen Rechenzentrum — ohne fremde Cloud darunter. Der Katalog umfasst 33 Anwendungen, darunter Nextcloud für Dateien, Kalender und Zusammenarbeit, Vaultwarden als Team-Passwortmanager und Paperless-ngx fürs durchsuchbare Dokumentenarchiv.

„Managed" ist dabei auf der Anwendungsebene gemeint: Jede Instanz läuft redundant über mehrere Knoten, Sicherungen laufen verschlüsselt und automatisch, Updates werden ohne Downtime eingespielt, und Monitoring läuft rund um die Uhr. Wer die Überwachung zusätzlich selbst in der Hand haben will, findet mit Uptime Kuma für Verfügbarkeit und Statusseiten und Grafana für Dashboards und Alarme die passenden Bausteine im selben Katalog.

Zum Stand dieses Artikels befindet sich AllAppsCloud in der Vorbereitung des Starts: Alle Anwendungen sind als „Bald" markiert, Preise sind noch nicht veröffentlicht, und der Zugang läuft über die Early-Access-Warteliste. Die ISO-27001-Zertifizierung befindet sich in der Zertifizierung, ist also noch nicht abgeschlossen.

Häufige Fragen

Ist Managed Hosting automatisch DSGVO-konform?

Nein. Der Anbieter liefert technische und organisatorische Maßnahmen nach Artikel 32 DSGVO, verantwortlich für die Verarbeitung bleibst aber du. Du brauchst zusätzlich einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, einen Eintrag im Verarbeitungsverzeichnis und Klarheit über alle Unterauftragnehmer.

Reicht ein Snapshot der virtuellen Maschine als Backup?

Als einzige Sicherung nicht. Ein Snapshot liegt oft auf derselben Plattform wie das Produktivsystem und ist bei laufenden Datenbanken nicht zwingend konsistent. Der BSI-Baustein CON.3 verlangt getrennte Ablage sensibler Sicherungen und regelmäßige Wiederherstellungstests — beides deckt ein reiner Snapshot nicht ab.

Verliere ich mit Managed Hosting die Kontrolle über meine Daten?

Bei Open-Source-Anwendungen nicht zwangsläufig. Entscheidend sind drei Punkte: Du kannst deine Daten in offenen Formaten exportieren, die Software ist auch anderswo betreibbar, und der Vertrag regelt Herausgabe und Löschung bei Kündigung. Prüfe genau diese drei Punkte, bevor du migrierst.