Aber im Umkehrschluss heißt das ja, es macht Sinn alle Optionen zu aktivieren, um mein Zertifikat vertrauenswürdiger zu machen, richtig?
Prinzipiell JA, aber vertrauenswürdiger wird es dadurch trotzdem nicht. 
Und sollte z.B. HSTS mal fehlschlagen, muss ich entweder das Zertifikat manuell erneuern (was bei netcup ja eigentlich nicht nötig sein sollte?), oder HSTS einfach deaktivieren?
Der letzte Satz ist der Knackpunkt: Das geht nicht bzw. hätte keine Auswirkung.
Der Sinn von HSTS ist ja gerade, dass es bei den bisherigen Besuchern im Browser gespeichert wird. Und die könnten Deine Website dann standardmäßig nicht mehr über HTTP aufrufen. Da kannst Du serverseitig HSTS desktivieren, wie Du willst. Hat bei denen keinen Effekt mehr.
Die Frage ist eher: Will man im Jahr 2022 überhaupt eine Website ohne HTTPS haben? Selbst als Notlösung wäre meine Antwort darauf eher NEIN. Also kann HSTS ruhig immer aktiv sein. Das Einzige, was man vielleicht nicht will, ist das includeSubdomains-Flag.