Ein Webhosting-Paket für zehn Euro im Monat liegt selten allein auf einem Server. Üblich sind einige hundert Websites auf derselben Maschine, manchmal über tausend. Im Normalbetrieb merkt davon niemand etwas. An einem Tag wie dem 21. Oktober 2026 wird daraus eine Frage, die sich vorher kaum jemand gestellt hat: Was passiert mit meiner Website, wenn die Seite nebenan übernommen wird?
Dieser Beitrag erklärt, wie die Trennung technisch funktioniert, wo sie endet und woran Sie die Qualität Ihres Anbieters erkennen.
Was „geteilt" tatsächlich heißt
Auf einem Shared-Hosting-Server teilen sich alle Kunden:
- Das Betriebssystem und damit den Systemkern
- Den Webserver – eine Installation bedient alle Domains
- Die PHP-Installation. Das ist der Punkt, auf den es bei PHP2Shell ankam: Eine Lücke in PHP betrifft jeden auf dieser Maschine gleichzeitig.
- Rechenleistung und Arbeitsspeicher
- Die Internetanbindung und damit die IP-Adresse
Getrennt sind in der Regel:
- Die Dateiverzeichnisse. Jeder Kunde hat sein eigenes, und der eine kommt nicht in das des anderen.
- Die Datenbanken, mit eigenen Benutzern und Rechten
- Die PHP-Prozesse, wenn der Anbieter es richtig macht – dazu gleich mehr
Die entscheidende Frage lautet also nicht, ob getrennt wird, sondern wie tief.
Der Unterschied, der im Ernstfall zählt
Es gibt zwei Bauarten, und die Qualität des Anbieters zeigt sich genau hier.
Alle laufen unter demselben Benutzer. Die ältere und billigere Variante. Alle PHP-Prozesse gehören dem Webserver-Benutzer. Wer auf einer Website Code ausführen kann, läuft damit unter demselben Konto wie alle anderen – und kann im Zweifel deren Dateien lesen.
Jeder Kunde hat einen eigenen Systembenutzer. Die ordentliche Variante. PHP läuft für jedes Paket unter einem eigenen Konto mit eigenen Rechten. Wer auf einer Website Code ausführt, sitzt in einem Verzeichnis und kommt in die anderen nicht hinein.
Bei PHP2Shell macht das den Unterschied zwischen einem betroffenen Kunden und allen Kunden auf der Maschine.
Was Sie trifft, auch wenn Ihre Website in Ordnung ist
Selbst bei sauberer Trennung gibt es Nebenwirkungen, die Sie treffen können:
Die IP-Adresse teilen Sie. Verschickt der Nachbar über seine übernommene Website massenhaft Nachrichten, landet die gemeinsame Adresse auf Sperrlisten. Ihre E-Mails kommen dann schlechter an – ohne dass bei Ihnen irgendetwas passiert ist.
Die Leistung teilen Sie. Ein Server, auf dem jemand fremde Rechenarbeit laufen lässt, wird für alle langsam.
Die Aufmerksamkeit des Anbieters teilen Sie. Wenn tausend Kunden gleichzeitig anrufen, ist das Ticket mit Ihrer Frage eines von tausend.
Eine Abschaltung kann Sie mittreffen. Stellt der Anbieter fest, dass auf einer Maschine etwas passiert, nimmt er im Zweifel die Maschine vom Netz – nicht die eine Website.
Die drei Fragen an Ihren Anbieter
Keine davon ist unverschämt, und alle drei sollten innerhalb eines Arbeitstages beantwortbar sein.
1. Läuft PHP bei uns unter einem eigenen Systembenutzer? Die wichtigste Frage. Wer sie nicht beantworten kann, hat vermutlich die billige Bauart.
2. Welche vollständige PHP-Version läuft auf unserem Paket? Mit Unternummer, Stand heute.
3. Wie erfahren wir von Sicherheitsvorfällen auf unserem Server? Gibt es eine Statusseite, eine Benachrichtigung, oder gar nichts?
Die Antworten mit Datum aufheben. Nicht aus Misstrauen – sondern weil Sie bei einem Schaden gefragt werden, was Sie geprüft haben.
Der Fall, der in der Praxis am häufigsten vorkommt
Nicht der böse Nachbar, sondern der eigene Altbestand. Viele Hosting-Pakete enthalten mehrere Domains, und über die Jahre sammeln sich dort Dinge an: die Seite für eine Messe von 2021, ein Testsystem unter einer Unteradresse, der alte Auftritt vor dem letzten Relaunch.
Diese Installationen laufen unter demselben Konto wie Ihre aktuelle Website – sie liegen nicht nebenan, sondern im selben Verzeichnisbaum. Wer dort hereinkommt, ist damit auch bei Ihrer Hauptseite.
Und sie sind der wahrscheinlichste Einstieg: Die Hauptseite wird gepflegt, die alte Messeseite seit vier Jahren nicht. Dort steht eine WordPress-Version von damals, mit Erweiterungen von damals.
Die Prüfung dauert zehn Minuten: Im Kundenbereich die Liste aller Domains und Unterverzeichnisse des Pakets ansehen. Alles, was niemand mehr braucht, gehört gelöscht – nicht deaktiviert, gelöscht. Was noch gebraucht wird, gehört auf denselben Stand wie die Hauptseite.
Das ist die billigste Sicherheitsmaßnahme, die es in diesem Umfeld gibt, und sie wird fast nie gemacht.
Wann Shared Hosting die richtige Wahl bleibt
Dieser Beitrag soll nichts schlechtreden. Für eine Firmenwebsite mit zwanzig Seiten, einem Kontaktformular und drei Änderungen im Jahr ist ein ordentliches Webhosting-Paket die vernünftige Lösung. Der Anbieter kümmert sich um Betriebssystem, Webserver und PHP – das sind genau die Dinge, die am 21. Oktober schnell gehen mussten, und ein guter Anbieter hat sie zentral für alle Kunden erledigt, während einzelne Serverbetreiber noch suchten.
Shared Hosting ist nicht per se unsicherer als ein eigener Server. Es ist nur anders unsicher – und es verlagert die Verantwortung dorthin, wo sie oft besser aufgehoben ist.
Wann es nicht mehr reicht
Drei Fälle, in denen die geteilte Maschine zum Problem wird:
Sie verarbeiten besonders schutzbedürftige Daten. Patientendaten, Mandantenakten, Personaldaten. Dann sollte der Server nicht mit beliebigen Nachbarn geteilt werden, und das steht auch in Ihrer Auftragsverarbeitung.
Sie betreiben einen Shop mit Kundendaten. Dort ist das Schadensausmaß ein anderes – siehe Onlineshop: warum statisch hier nicht geht.
Sie brauchen Kontrolle über den Patchstand. Auf geteilten Maschinen entscheidet der Anbieter, wann aktualisiert wird. Das ist meistens ein Vorteil – bis es einmal nicht schnell genug geht und Sie nichts tun können. Was dann bleibt, steht in Der Hoster hat nicht gepatcht.
Dann führt der Weg zu einem eigenen, betreuten Server – oder, bei einer reinen Inhaltsseite, zu einer statischen Fassung, bei der die Frage nach der PHP-Version gar nicht mehr auftritt.
Checkliste: erste Schritte
- Klären, ob Ihre Website auf geteiltem Hosting, einem eigenen Server oder bei einer Agentur liegt
- Beim Anbieter erfragen: eigener Systembenutzer je Paket, ja oder nein
- Vollständige PHP-Version mit Unternummer erfragen
- Prüfen, ob es eine Statusseite gibt und ob Sie dort Benachrichtigungen bekommen
- Nachsehen, ob Ihre IP-Adresse auf Sperrlisten steht, falls E-Mails schlechter ankommen
- Bei besonders schutzbedürftigen Daten die Auftragsverarbeitung mit der Hosting-Form abgleichen
- Antworten mit Datum ablegen
Wie DAVINCI unterstützt
Wir sagen Ihnen nach einem Blick auf Ihre Umgebung, ob geteiltes Hosting für Ihren Fall ausreicht – auch dann, wenn die Antwort ja lautet und wir Ihnen nichts verkaufen. Wenn nicht, betreiben wir virtuelle und dedizierte Server in deutschen Rechenzentren mit festem Patchverfahren. Eine erste Einordnung Ihrer Website liefert der kostenlose PHP-Sicherheitscheck. Kontakt über die Kontaktseite.
Häufige Fragen
Woran erkenne ich, ob ich auf geteiltem Hosting bin?
Am Preis und am Produktnamen. Pakete unter etwa zwanzig Euro im Monat sind praktisch immer geteilt. „Managed Server", „VPS" oder „Dedicated" heißen, dass Sie eine eigene Maschine oder eine eigene virtuelle Umgebung haben.
Kann ich sehen, wer sonst auf meinem Server liegt?
Über die gemeinsame IP-Adresse lässt sich das teilweise ermitteln; es gibt Dienste dafür. Besonders hilfreich ist es selten – Sie können die Nachbarn ohnehin nicht beeinflussen. Interessant wird es, wenn Sie Zustellprobleme bei E-Mails haben.
Schützt ein eigener Server vor PHP2Shell?
Nein. Die Lücke saß in PHP, und PHP läuft auch auf einem eigenen Server. Der Unterschied ist, dass Sie dort selbst entscheiden, wann gepatcht wird – und selbst verantwortlich sind, wenn es nicht geschieht.
Unser Anbieter hat am 21. Oktober zentral aktualisiert. Sind wir damit durch?
Die Lücke ist zu. Offen bleibt, ob zwischen dem 20. Oktober und dem Update jemand hereingekommen ist. Auf geteilten Maschinen können Sie das meist nicht selbst prüfen, weil Ihnen die Systemprotokolle fehlen – fragen Sie, ob der Anbieter das geprüft hat.
Lohnt der Umzug auf einen eigenen Server?
Nur wenn es einen Grund gibt, der über das Gefühl hinausgeht: besonders schutzbedürftige Daten, ein Shop, eigene Anwendungen oder die Notwendigkeit, den Patchstand selbst zu bestimmen. Ein eigener Server ohne Betreuung ist unsicherer als ein gutes geteiltes Paket, nicht sicherer.
Verwandte Themen: Wer hier weiterdenkt, liest bei WordPress-Sicherheit, Housing, Hosting oder virtuell – die Entscheidung und Linux-Server weiter.
