Lasttest in der Praxis: So finden Sie das Limit, bevor es der Kunde tut

Jeder Shop hat ein Limit. Die einzige offene Frage ist, wer es zuerst findet: Sie an einem ruhigen Dienstag im September — oder vierhundert gleichzeitige Besucher am 27. November um 20:07 Uhr. Der Unterschied zwischen beiden Terminen sind ein paar Stunden Arbeit und ein sehr unterschiedlicher Umsatz.

Im Beitrag zu Hosting unter Last ging es darum, was Ihr Shop an Infrastruktur braucht. Heute geht es um die Frage davor, die fast nie gestellt wird: Woher wissen Sie eigentlich, was er hat? Nicht gefühlt, nicht laut Datenblatt des Hosters — gemessen.

Die unangenehme Erfahrung aus vielen dieser Messungen: Das Limit liegt selten dort, wo man es vermutet. Es liegt fast nie beim Arbeitsspeicher, oft bei einer einzigen Datenbankabfrage und gern in einem Bezahlvorgang, den nie jemand unter Last ausprobiert hat.

Warum Ihr Speedtest nichts über den Peak verrät

Der übliche Ablauf: Jemand gibt die Shop-Adresse in ein Geschwindigkeitswerkzeug ein, bekommt eine Zahl zwischen 70 und 90, ist zufrieden und hakt das Thema ab. Das Problem daran ist nicht das Werkzeug, sondern die Frage, die es beantwortet.

Diese Werkzeuge messen einen Besucher unter Laborbedingungen: ein Gerät, eine Verbindung, ein Standort, ein Server, der sonst nichts zu tun hat. Google beschreibt diesen Unterschied in seiner Dokumentation zu den Unterschieden zwischen Labor- und Felddaten ausführlich: Das Labor begrenzt die Variablen bewusst, damit Ergebnisse vergleichbar bleiben. Genau deshalb kann es das eine nicht abbilden, worauf es im Dezember ankommt — dass gleichzeitig noch dreihundert andere Menschen etwas von demselben Server wollen.

Ein guter Wert im Leerlauf ist also keine Lüge. Er ist nur die Antwort auf eine Frage, die im Weihnachtsgeschäft niemand stellt. Die Frage lautet nicht „Wie schnell ist meine Seite?“, sondern „Ab welcher Zahl gleichzeitiger Besucher hört sie auf, schnell zu sein?“

Und das ist keine Zahl, die man schätzen kann. In unserer Praxis liegen die Vermutungen der Betreiber regelmäßig um den Faktor drei bis fünf daneben — in beide Richtungen. Es gibt sparsam ausgestattete Shops, die erstaunlich viel wegstecken, und großzügig dimensionierte Shops, die bei 80 gleichzeitigen Sitzungen wegen einer ungünstigen Filterabfrage stehen.

Vier Tests, die alle „Lasttest“ heißen

Bevor Sie ein Werkzeug anfassen, sollten Sie wissen, welche Frage Sie eigentlich beantworten wollen. Im Sprachgebrauch heißt alles „Lasttest“, tatsächlich sind es vier Prüfungen mit vier verschiedenen Ergebnissen.

Der Lasttest: Hält er, was realistisch kommt?

Sie simulieren die Last, die Sie tatsächlich erwarten, und prüfen, ob der Shop dabei innerhalb Ihrer Zielwerte bleibt. Das ist der Test, den jeder Shop einmal im Jahr braucht. Ergebnis: ein Ja oder ein Nein zu einer konkreten Besucherzahl.

Der Stresstest: Wo genau ist Schluss?

Hier steigern Sie die Last über das Erwartete hinaus, bis das System nachgibt. Der unangenehme, aber wertvollste Test — denn er liefert die Zahl, die Sie im November brauchen: die Grenze. Wer sie kennt, kann ausrechnen, wie viel Werbebudget der Shop verträgt, bevor er selbst zum Nadelöhr wird.

Der Lastspitzentest: Newsletter, 10 Uhr, alle gleichzeitig

Hier kommt die Last nicht langsam, sondern schlagartig — und geht wieder. Genau das passiert beim Newsletter-Versand, beim Start einer Rabattaktion und in der ersten Minute nach Mitternacht am Black Friday. Zwei Dinge werden geprüft: ob das System die Spitze übersteht und ob es danach in einen normalen Zustand zurückfindet. Der zweite Teil wird gern vergessen und ist der häufigere Ausfallgrund.

Der Dauertest: Was passiert nach vier Stunden?

Ein Dauertest hält moderate Last über einen längeren Zeitraum. Er findet, was kein kurzer Test zeigt: Speicherlecks, volllaufende Verbindungspools, Protokolldateien, die die Festplatte füllen. Der Test für alle, deren Shop am Black Friday nicht in der ersten, sondern in der sechsten Stunde ausfällt — ein Muster, das häufiger vorkommt, als es klingt.

Für die meisten Shops lautet die sinnvolle Reihenfolge: erst Lasttest, dann Stresstest, und wenn beide sauber sind, einmal ein Dauertest über einen halben Tag. Den Lastspitzentest braucht, wer Aktionen zu festen Uhrzeiten startet — also fast jeder im vierten Quartal. Dass diese Unterscheidung keine Wortklauberei ist, zeigt der deutschsprachige Lehrplan Performanztest des German Testing Board, der die Testarten sauber gegeneinander abgrenzt — inklusive der Frage, welche Kennzahlen jede einzelne überhaupt liefern kann.

Die Ziellast: Woher die Zahl kommt, gegen die Sie messen

Ein Test ohne Zielwert ist ein Zeitvertreib. „Wir gucken mal, was passiert“ führt zu einem bunten Diagramm und keiner Entscheidung. Vorher brauchen Sie zwei Zahlen: die Last, die Sie erwarten, und die Grenze, ab der Sie das Ergebnis als Durchfall werten.

Die erwartete Last leiten Sie aus Ihren eigenen Daten ab, nicht aus Branchenwerten. Der Weg dorthin dauert zehn Minuten: Suchen Sie in Ihrer Statistik die stärkste Stunde des vergangenen vierten Quartals. Meist ist das der Black-Friday-Abend zwischen 19 und 22 Uhr oder der zweite Adventssonntag. Nehmen Sie die Besucherzahl dieser Stunde, rechnen Sie Ihr geplantes Wachstum drauf und legen Sie einen Sicherheitsaufschlag von 50 Prozent oben auf.

Ein Beispiel: 1.200 Besucher in der stärksten Stunde, 20 Prozent Wachstum geplant, plus Sicherheitsaufschlag — das ergibt rund 2.160 Besucher pro Stunde als Ziel. Bei einer durchschnittlichen Verweildauer von etwa fünf Minuten sind das grob 180 gleichzeitige Sitzungen. Diese Zahl ist Ihre Ziellast. Sie ist nicht exakt, aber sie ist begründet — und damit jeder Schätzung überlegen.

Die zweite Zahl ist der Zielwert. Legen Sie ihn vor dem Test fest, sonst wird er hinterher passend gemacht. Bewährt hat sich: Die Antwortzeit der wichtigsten Seiten bleibt unter zwei Sekunden, die Fehlerquote unter einem Prozent, und kein einziger Fehler passiert im Bezahlvorgang. Wer sich zusätzlich an den Schwellenwerten der Core Web Vitals orientiert, hat ohnehin den strengeren Maßstab.

Das Szenario ist wichtiger als das Werkzeug

Hier entscheidet sich, ob ein Lasttest brauchbar ist. Die meisten selbst gebauten Tests scheitern nicht am Werkzeug, sondern daran, dass sie das Falsche abfragen.

Warum die Startseite nichts beweist

Die Startseite ist die am besten zwischengespeicherte Seite Ihres Shops. Ein Test, der sie tausendmal abruft, misst im Wesentlichen die Auslieferungsgeschwindigkeit einer fertigen Datei. Beeindruckende Zahlen, keine Aussage.

Last entsteht dort, wo der Cache nicht greift: auf Kategorieseiten mit gesetzten Filtern, in der Suche, im Warenkorb, im Kundenkonto und im Bezahlvorgang. Diese Seiten müssen für jeden Besucher einzeln berechnet werden — und genau sie brechen zuerst weg.

Die Verteilung, die der Realität nahekommt

Bilden Sie keinen einzelnen Seitenaufruf ab, sondern einen Weg durch den Shop. Eine Aufteilung, die für die meisten Sortimente gut funktioniert: rund 45 Prozent der simulierten Besucher stöbern in Kategorien und Filtern, 20 Prozent nutzen die Suche, 25 Prozent öffnen Produktdetailseiten, 7 Prozent legen etwas in den Warenkorb, 3 Prozent gehen bis in die Kasse.

Diese letzten drei Prozent sind der wichtigste Teil des Tests. Der Bezahlvorgang ist der teuerste Weg durch Ihr System — Sitzungsverwaltung, Bestandsprüfung, Steuerberechnung, Anfragen an Zahlungs- und Versanddienstleister. Wenn irgendwo eine Warteschlange entsteht, dann hier. Wer nur Kategorieseiten testet, bekommt ein gutes Ergebnis und eine böse Überraschung. Welche Reibungspunkte dort ohnehin lauern, haben wir im Beitrag zum Checkout-Abbruch beschrieben — unter Last verschärft sich jeder einzelne davon.

Zwei Details, die Ergebnisse verfälschen

Simulierte Besucher, die ohne Pause klicken, erzeugen eine Last, die es in der Realität nicht gibt. Bauen Sie Denkpausen von zwei bis fünf Sekunden zwischen die Schritte — sonst verwerfen Sie ein System, das in Ordnung ist. Und lassen Sie den Shop vor der Messung ein paar Minuten warmlaufen: Der erste Aufruf nach einem Neustart füllt Caches und öffnet Datenbankverbindungen, diese Werte gehören nicht in die Auswertung.

Wo Sie testen: die Kopie, nicht das Original

Der erste Reflex ist, gegen den Live-Shop zu testen — schließlich will man wissen, was der echte Shop aushält. Der Reflex ist verständlich und in den meisten Fällen falsch.

Ein Lasttest gegen die Produktion erzeugt echte Warenkörbe, echte Bestellungen, echte Bestätigungsmails und echte Einträge in Ihrer Statistik. Er verfälscht Ihre Kennzahlen für Wochen, er kann Bestände blockieren, und im schlechtesten Fall bringt er den Shop während der Geschäftszeit zum Stehen — also genau den Zustand, den Sie verhindern wollten. Der IT-Grundschutz des BSI ist an dieser Stelle unmissverständlich: Der Baustein Software-Tests und -Freigaben verlangt eine vom Produktivbetrieb getrennte Testumgebung und warnt ausdrücklich davor, mit Originaldaten zu testen.

Damit die Ergebnisse etwas wert sind, muss die Kopie allerdings eine ehrliche Kopie sein. Vier Punkte entscheiden darüber:

E-Commerce News - Tipps & Tricks Weihnachtsgeschäft 2026: Warum Ihr Q4 im August entschieden wird

Erstens die Dimensionierung. Gleiche Anzahl Prozessorkerne, gleicher Arbeitsspeicher, gleiche PHP-Konfiguration. Ein Testsystem auf dem halben Server liefert die halbe Wahrheit. Zweitens die Datenmenge. Ein Katalog mit 300 Testartikeln verhält sich völlig anders als einer mit 30.000 — die interessanten Datenbankprobleme entstehen erst bei echter Menge. Drittens die Cache-Einstellungen. Wer auf dem Testsystem den Cache abschaltet, um „sauber“ zu messen, misst ein System, das es nicht gibt. Viertens die Erweiterungen. Genau die Module, die live laufen — inklusive der drei, an die sich niemand mehr erinnert.

Werkzeuge: weniger, als Sie denken

Die Werkzeugfrage wird überschätzt. Für den Einstieg brauchen Sie kein Budget, sondern eine halbe Stunde Einarbeitung.

Für einfache Messungen genügt ein Kommandozeilenwerkzeug wie ab oder siege: Adresse und Anzahl gleichzeitiger Zugriffe vorgeben, Antwortzeiten und Fehlerquoten ablesen. Damit lässt sich eine einzelne Kategorieseite in fünf Minuten grob einordnen — mehr aber auch nicht, denn ein Nutzerpfad lässt sich so nicht abbilden.

Sobald Sie mehrere Schritte, Anmeldung und Warenkorb abbilden wollen, führt der Weg zu einem echten Lastwerkzeug. k6 beschreibt Szenarien in JavaScript und ist für Entwicklerteams meist der schnellste Einstieg; Apache JMeter bringt eine grafische Oberfläche mit und kommt ohne Programmierkenntnisse aus; Locust ist die naheliegende Wahl, wenn Ihr Team ohnehin Python schreibt. Alle drei sind quelloffen und kostenlos.

Gemietete Dienste lohnen erst bei Last aus mehreren Regionen und in einer Größenordnung, die ein einzelner Rechner nicht mehr erzeugt — das betrifft die wenigsten Shops. Eine Warnung aus der Praxis gehört aber dazu: Ab einer gewissen Größe ist nicht mehr Ihr Shop der Engpass, sondern der Rechner, von dem aus Sie testen. Steigen die gemessenen Zeiten, während der Shop selbst kaum Auslastung zeigt, messen Sie Ihren eigenen Laptop.

Den Knick lesen: was die Kurve sagt

Das Ergebnis eines Lasttests ist kein Wert, sondern eine Form. Sie steigern die Zahl gleichzeitiger Besucher stufenweise und beobachten zwei Kurven: den Durchsatz — also die tatsächlich bearbeiteten Anfragen pro Sekunde — und die Antwortzeit.

Solange alles gesund ist, steigt der Durchsatz mit der Last, und die Antwortzeit bleibt nahezu flach. Dann kommt der Punkt, an dem der Durchsatz nicht mehr mitwächst, während die Antwortzeit anzieht: der Knick. Dort liegt Ihr Limit — und zwar deutlich vor der ersten Fehlermeldung. Fehler kommen später. Wer auf sie wartet, misst nicht die Grenze des Systems, sondern seinen Zusammenbruch.

Ein Detail entscheidet über die Aussagekraft: Schauen Sie nicht auf den Durchschnitt. Der Lehrplan des German Testing Board weist genau darauf hin — der mathematische Durchschnitt wird durch Ausreißer verzerrt und verbirgt die Fälle, die wehtun. Nehmen Sie das 90er- oder 95er-Perzentil: den Wert, den 90 beziehungsweise 95 Prozent der Anfragen einhalten. Ein Durchschnitt von 1,2 Sekunden klingt gut. Steckt dahinter ein 95er-Perzentil von neun Sekunden, wartet jeder zwanzigste Kunde neun Sekunden — an einem starken Tag einige hundert Menschen.

Wenn es doch die Produktion sein muss

E-News für ambitionierte Entwickler - lesen Sie sich fit Hosting unter Last: Was Ihr Shop im November wirklich braucht

Manchmal gibt es kein Testsystem, und die Entscheidung lautet: gegen die Produktion testen oder gar nicht testen. Dann gilt eine kurze Liste, von der kein Punkt verhandelbar ist.

Reden Sie vorher mit Ihrem Hoster — schriftlich. Ein Lasttest sieht von außen aus wie ein Angriff. Ohne Absprache greifen Schutzmechanismen, im schlechtesten Fall wird Ihr Zugang gesperrt, und in vielen Verträgen steht ein Verbot solcher Tests. Der BSI-Praxis-Leitfaden für IS-Penetrationstests formuliert für vergleichbare Prüfungen zwei Regeln, die sich eins zu eins übertragen lassen: ohne schriftlichen Auftrag wird nicht getestet, und sind Dienste bei einem Hoster ausgelagert, muss dieser in die Vereinbarung einbezogen werden. Derselbe Leitfaden empfiehlt, den Prüfzeitraum in eine Zeit mit möglichst geringer Beeinträchtigung des regulären Betriebs zu legen.

Nachts, nicht mittags. Zwischen zwei und fünf Uhr morgens ist der Schaden am kleinsten, falls der Shop tatsächlich in die Knie geht.

Zahlarten auf Testbetrieb, sonst erzeugen Sie echte Zahlungsvorgänge und dürfen anschließend Buchungen zurückabwickeln. Testverkehr aus der Statistik ausschließen, über eine feste Kennung im Aufruf oder den Ausschluss der Test-IP — sonst erklären Sie im Januar, warum die Absprungrate einer Nacht bei 100 Prozent lag.

Und einen zweiten Menschen dabeihaben, der den Shop im Browser beobachtet und im Zweifel abbricht. Ein Abbruchkriterium, das vorher vereinbart ist, erspart die Diskussion mitten im Test.

Was Sie mit dem Ergebnis machen

Der häufigste Fehler nach einem Lasttest ist, sofort einen größeren Server zu bestellen. Das hilft manchmal, kostet aber dauerhaft und behebt meist das Symptom statt der Ursache.

Die Reihenfolge, die sich bewährt hat, lautet: erst Cache, dann Code, dann Hardware. Prüfen Sie zuerst, was überhaupt zwischengespeichert wird und warum bestimmte Seiten am Cache vorbeilaufen — hier liegen die billigsten Gewinne. Dann suchen Sie die eine langsame Abfrage: In fast jedem Lasttest, den wir begleiten, gibt es einen einzelnen Zugriff, der einen unverhältnismäßigen Teil der Wartezeit verursacht. Häufig ein fehlender Index, eine Filterlogik über zu viele Attribute oder eine Erweiterung, die auf jeder Seite Daten nachlädt, die niemand sieht. Der Beitrag zu den typischen Bremsen im Shop nennt die häufigsten Verdächtigen.

Erst wenn Cache und Code sauber sind, ist Hardware die richtige Antwort — dann aber mit der Zahl aus dem Stresstest im Gepäck statt mit einem Bauchgefühl. Liegt die Grenze in der Bauart des Shops und nicht im Server, ist das eine andere Diskussion: Wir haben sie im Beitrag zu Skalierung und Custom Development geführt.

Und wiederholen Sie die Messung nach jeder größeren Änderung: Ein Lasttest ist eine Momentaufnahme, und die Erweiterung aus dem Oktober kann die im September gemessene Grenze halbieren. Der Technik-Check vor der Hochsaison enthält die Checkliste für alles, was rundherum geprüft gehört.

Fazit: Eine Zahl, die Entscheidungen möglich macht

Ein Lasttest ist keine technische Fleißaufgabe, sondern die Beschaffung einer einzigen Information: Ab wie vielen gleichzeitigen Besuchern wird Ihr Shop langsam? Wer diese Zahl kennt, entscheidet im November anders — beim Werbebudget, beim Zeitpunkt des Newsletters, bei der Frage, ob die Aktion um Mitternacht startet oder um zehn Uhr morgens.

Wer sie nicht kennt, hofft. Das funktioniert in vielen Jahren erstaunlich gut und in einem Jahr überhaupt nicht — und dieses eine Jahr merkt man sich. Der beste Zeitpunkt für die Messung ist jetzt: nicht, weil September ein magischer Monat wäre, sondern weil danach Zeit bleibt, das Gefundene zu beheben. Ein Lasttest im November liefert nur eine gut dokumentierte Panik.

Wo liegt Ihr Limit?

Kennen Sie die Zahl für Ihren Shop — und wann wurde sie zuletzt gemessen? Meine Vermutung: Die meisten kennen sie nicht, und das ist völlig in Ordnung, solange man es weiß.

Die Frage, bei der ich die spannenderen Antworten erwarte: Welcher Teil Ihres Shops hat beim Test zuerst nachgegeben? Bei uns war es einmal eine Länderauswahl im Bezahlvorgang, die bei jedem Aufruf eine Liste mit 40.000 Postleitzahlen geladen hat — unbemerkt seit Jahren, weil im Normalbetrieb nie jemand gleichzeitig dort war. Wenn Sie so ein Fundstück haben, schreiben Sie es mir — solche Fälle stehen in keiner Dokumentation.

Wenn Sie den Test lieber begleiten lassen möchten: Wir übernehmen Messung und Auswertung im Rahmen von Support und Wartung. Für alles andere erreichen Sie uns über die Kontaktseite.

Dieser Beitrag ist Teil unserer Q4-Serie. Jeden Dienstag erscheint hier ein neuer Beitrag zur Vorbereitung auf die Hochsaison. Nächste Woche: Zahlarten-Mix für die Hochsaison — was Erstkäufer im Dezember erwarten.