Hygraph: das Headless-CMS aus Berlin für sichere, wartungsfreie Webseiten

Wenn eine Webseite mehr Inhalte braucht, als sich bequem von Hand pflegen lassen, kommt früher oder später ein CMS ins Spiel. Bei vielen KMU ist das noch immer WordPress, TYPO3, Drupal oder Craft CMS, installiert auf einem eigenen Server oder bei einem Hoster. Das funktioniert, solange sich jemand verbindlich um Updates, Server und Sicherheit kümmert. In der Praxis ist das oft nicht der Fall.

Für Projekte, bei denen ich ein separates CMS einsetze, arbeite ich deshalb mit Headless-CMS aus der Cloud. Eines davon ist Hygraph, ein Headless-CMS aus Berlin. In diesem Beitrag erkläre ich dir, was Hygraph ist, warum ich es vor allem aus Sicherheitsgründen schätze und wann es für deine Webseite die richtige Wahl ist.

Kurz gesagt: Hygraph ist ein vollständig verwaltetes Headless-CMS. Es gibt keinen eigenen Server und keinen PHP-Stack, den du patchen musst. Die Inhalte kommen über eine GraphQL-Schnittstelle auf deine Webseite.

Was ist Hygraph?

Hygraph wurde 2017 in Berlin gegründet und hiess bis 2022 GraphCMS. Der alte Name verrät bereits den Kern: Hygraph ist von Grund auf für GraphQL gebaut, eine Abfragesprache für Schnittstellen, mit der eine Webseite genau die Daten anfordert, die sie braucht, nicht mehr und nicht weniger.

Hygraph ist ein sogenanntes Headless-CMS. Das heisst: Es kümmert sich ausschliesslich um die Inhalte, also um Texte, Bilder, Seitenstrukturen, Blogbeiträge, Referenzen oder Produktdaten. Wie diese Inhalte dargestellt werden, entscheidet ein separates Frontend. Bei mir ist das je nach Anforderungen Webstudio oder ein anderes Frontend, etwa eine individuell entwickelte Anwendung.

Hygraph läuft vollständig als Software-as-a-Service in der Cloud. Du installierst nichts, du betreibst keinen Server, und du spielst keine Updates ein. Das ist für mich der wichtigste Punkt, und deshalb lohnt sich ein genauerer Blick darauf.

Das eigentliche Argument: Sicherheit ohne Wartungsaufwand

Klassische CMS wie WordPress, TYPO3, Drupal oder Craft CMS sind in PHP geschrieben und laufen auf einem Server, den jemand betreiben muss. Zum System gehören das CMS selbst, Erweiterungen, die PHP-Version, der Webserver und die Datenbank. Jede dieser Schichten braucht regelmässig Updates. Und jede kann zur Schwachstelle werden.

Ein aktuelles Beispiel: PHP2Shell

Wie schnell das gehen kann, hat der Oktober 2026 gezeigt. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sie schliessen zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619, beide mit CVSS-Wert 9.2), über die Angreifer ohne Anmeldung eigenen Code auf einem Server ausführen konnten. Betroffen waren grundsätzlich alle PHP-Installationen, die Webanfragen verarbeiten. Laut Kaspersky wurden erste Angriffsversuche beobachtet, bevor die Patches überhaupt verfügbar waren.

Besonders heikel: Die Lücken steckten in PHP selbst, nicht in einer bestimmten Anwendung. Die Forschenden von Wiz zeigten gemäss Recorded Future funktionierende Angriffe auf WordPress, Drupal und Joomla. Und für PHP 8.1 und ältere Versionen liefert das PHP-Projekt gar keine Updates mehr. Wer eine ältere Webseite auf einem veralteten Server betreibt, hat in so einem Fall ein echtes Problem.

Was das für KMU konkret bedeutet, habe ich im Beitrag «Wer kümmert sich eigentlich um die Sicherheit deiner Webseite?» ausführlich beschrieben.

Was bei Hygraph anders ist

Bei Hygraph gibt es keinen eigenen Server, keine PHP-Installation und keine Plugins, die du aktuell halten musst. Der Anbieter betreibt die Infrastruktur, skaliert sie bei Bedarf, erstellt Backups und spielt Sicherheitspatches im Hintergrund ein. Deine Webseite holt die Inhalte über eine Schnittstelle ab. Ist das Frontend zudem statisch oder wird es serverseitig gerendert und zwischengespeichert, gibt es auf deiner Seite kaum noch Angriffsfläche.

Dazu kommt: Hygraph ist nach SOC 2 Type 2 und ISO 27001 zertifiziert und bietet eine DSGVO-konforme Datenverarbeitung. Beim Anlegen eines Projekts wählst du laut Hygraph die Region, in der deine Inhalte gehostet werden, darunter die EU (Irland). Nachträglich lässt sich die Region nicht mehr ändern.

Das Risiko verschwindet damit nicht. Es wird aber von einem Team getragen, das nichts anderes macht. Du kannst dich auf deine Inhalte konzentrieren statt auf Sicherheitsupdates.

Was Hygraph auszeichnet

GraphQL als Herzstück

Alle Inhalte in Hygraph sind über eine GraphQL-Schnittstelle abrufbar. Für die Entwicklung ist das ein grosser Vorteil: Eine Seite fragt mit einer einzigen Abfrage genau die Felder ab, die sie braucht, etwa Titel, Teaser, Bild und Autor eines Blogbeitrags. Das hält Ladezeiten kurz und den Code übersichtlich. Webstudio kann GraphQL-Schnittstellen direkt anbinden, was die Kombination besonders angenehm macht.

Content Federation: Inhalte aus mehreren Quellen

Eine Besonderheit von Hygraph ist die sogenannte Content Federation. Damit bindest du externe Datenquellen an, zum Beispiel ein Shop-System, eine Produktdatenbank oder eine andere Schnittstelle, und stellst sie gemeinsam mit deinen redaktionellen Inhalten über eine einzige GraphQL-Schnittstelle bereit. Die Daten müssen dafür nicht doppelt gepflegt werden. Für KMU, deren Produkt- oder Stammdaten bereits in einem anderen System liegen, ist das ein starkes Argument.

Mehrsprachigkeit und Rollen

Lokalisierung ist in Hygraph von Anfang an mitgedacht. Jedes Feld kann pro Sprache gepflegt werden, und mit Rollen und Berechtigungen legst du fest, wer was bearbeiten und veröffentlichen darf. Die Oberfläche ist aufgeräumt und auch für Redaktionsteams ohne technischen Hintergrund gut verständlich.

Strukturierte Inhalte für SEO, AEO und GEO

Weil Inhalte in Hygraph sauber strukturiert sind, lassen sie sich gezielt für Suchmaschinen und KI-Suchen aufbereiten, etwa als strukturierte Daten oder als FAQ-Bereiche. Das zahlt auf SEO, AEO und GEO ein: Sichtbarkeit in Google und in KI-Chatbots wie ChatGPT, Claude und Gemini.

Kosten: Was kostet Hygraph?

Hygraph bietet einen kostenlosen Hobby-Plan, der für kleinere Webseiten oft ausreicht. Er umfasst unter anderem drei Benutzerplätze und zwei Sprachen. Der Growth-Plan für kleine Unternehmen beginnt laut Hygraph bei 199 US-Dollar pro Monat, Enterprise-Lösungen werden individuell offeriert. Die aktuellen Konditionen findest du direkt bei Hygraph.

Ob der Gratisplan reicht, hängt vor allem von der Anzahl Sprachen, Benutzer:innen und Inhalten ab. Das kläre ich vor Projektstart mit dir, damit es später keine Überraschungen gibt.

Hygraph und Contentful: der Pionier im Vergleich

Wer sich mit Headless-CMS beschäftigt, stösst schnell auf Contentful. Contentful gilt als Pionier unter den SaaS-Headless-CMS: vollständig wartungsfrei, mit Sicherheit auf Enterprise-Niveau und rein über Schnittstellen angebunden. Contentful ist vor allem bei grossen Unternehmen verbreitet.

Hygraph verfolgt dasselbe Grundprinzip, setzt aber konsequent auf GraphQL und Content Federation. Für viele KMU-Projekte ist Hygraph zudem zugänglicher, sowohl beim Einstieg als auch bei den Kosten.

Auf Wunsch setze ich auch Contentful ein, etwa wenn es bei dir bereits im Einsatz ist. Mehr dazu liest du im Beitrag Contentful: der Pionier unter den Headless-CMS.

Hygraph oder Sanity?

Neben Hygraph setze ich auch Sanity ein. Beide sind vollständig verwaltete Headless-CMS ohne eigenen Server. Die Unterschiede liegen im Detail:

• Hygraph passt gut, wenn Inhalte aus mehreren Quellen zusammenkommen, wenn du eine klare, sofort einsatzbereite Oberfläche möchtest und wenn GraphQL im Zentrum stehen soll.
• Sanity passt gut, wenn die Redaktionsoberfläche stark an dein Team angepasst werden soll, wenn mehrere Personen gleichzeitig an Inhalten arbeiten oder wenn Inhalte in vielen Kanälen wiederverwendet werden.

Hygraph mit Webstudio: mein Setup

Je nach Anforderungen kombiniere ich Hygraph mit Webstudio. Webstudio holt die Inhalte über die GraphQL-Schnittstelle ab, rendert die Seiten serverseitig und liefert sie über ein weltweites Netzwerk aus. Das Hosting für Webstudio-Webseiten gibt es bei mir ab CHF 120 pro Jahr. Für Projekte mit besonderen Anforderungen lässt sich Hygraph aber genauso mit einem anderen Frontend verbinden.

Wichtig ist mir dabei die ehrliche Einordnung: Ein Headless-CMS ist nicht für jede Webseite nötig. Für eine Unternehmenswebseite mit wenigen Seiten reicht oft ein System mit eingebautem CMS wie Webflow. Einen ausführlichen Vergleich der klassischen Systeme findest du im Beitrag Craft CMS, Drupal, TYPO3 und WordPress im Vergleich, und wer von WordPress wechseln möchte, findet Antworten im Beitrag WordPress oder Webflow?.

Wann Hygraph für dich passt

• Du möchtest kein CMS mehr selbst betreiben, patchen und absichern.
• Deine Webseite hat viele strukturierte Inhalte, etwa Blog, Referenzen, Produkte oder Veranstaltungen.
• Deine Inhalte erscheinen in mehreren Sprachen.
• Ein Teil deiner Daten liegt bereits in anderen Systemen und soll eingebunden werden.
• Datenschutz und Hosting in Europa sind dir wichtig.

Fazit

Hygraph ist für mich die Antwort auf eine Frage, die sich viele KMU erst stellen, wenn es zu spät ist: Wer kümmert sich um die Sicherheit des CMS? Bei Hygraph ist die Antwort klar. Der Anbieter betreibt, skaliert, sichert und patcht die Plattform, du pflegst nur deine Inhalte. In Kombination mit Webstudio oder einem anderen Frontend entsteht eine schnelle, sichere und flexible Webseite ohne Wartungsballast.

Du überlegst, dein bestehendes CMS abzulösen, oder planst eine neue Webseite mit vielen Inhalten? Schreib mir. Webseiten für KMU gibt es ab CHF 3'000, umfangreichere Projekte mit Headless-CMS offeriere ich individuell, mit einer Offerte, in der alle Positionen einzeln aufgeführt sind.