Ein fehlgeschlagenes Update, ein gehacktes Plugin, ein versehentlich gelöschter Beitrag oder ein Serverausfall beim Hoster: Irgendwann braucht fast jede Website eine Sicherung. Wer dann ein aktuelles, vollständiges und getestetes WordPress Backup hat, ist in kurzer Zeit wieder online. Ohne Sicherung muss die Seite im schlimmsten Fall neu gebaut werden. Was ein gutes Backup ausmacht, welche Plugins es gibt und wie Sie auch ohne Plugin sichern, steht in diesem Artikel.
Woraus ein WordPress Backup besteht
Eine WordPress-Website besteht aus zwei Teilen, die Sie beide sichern müssen. Fehlt einer davon, ist das Backup im Ernstfall wertlos.
- Die Datenbank: Hier liegen alle Inhalte, also Seiten, Beiträge, Kommentare, Benutzer, Menüs und die Einstellungen von WordPress und den Plugins. Bei Onlineshops kommen Bestellungen und Kundendaten dazu. Mit jeder Bearbeitung und jedem Formulareintrag ändert sich die Datenbank.
- Die Dateien: Dazu gehören der WordPress-Core, Themes, Plugins, die hochgeladenen Medien im Ordner wp-content/uploads und die Konfigurationsdatei wp-config.php mit den Zugangsdaten zur Datenbank. Auch die .htaccess mit Weiterleitungen gehört dazu.
Der wichtigste Ordner ist wp-content. Er enthält alles, was Ihre Website individuell macht. Den WordPress-Core könnten Sie jederzeit neu herunterladen, trotzdem ist eine Komplettsicherung aller Dateien einfacher wiederherzustellen, weil die Versionen genau zusammenpassen.
Die 3-2-1-Regel für Backups
Die 3-2-1-Regel ist ein Grundsatz der Datensicherung, der auch für Websites gilt:
- 3 Kopien Ihrer Daten: die Live-Website und zwei Sicherungen
- 2 verschiedene Speicherarten, etwa der Server des Hosters und ein Cloud-Speicher
- 1 Kopie außer Haus, also räumlich und technisch getrennt vom Webserver
Der entscheidende Punkt ist die Trennung. Ein Backup, das auf demselben Server wie die Website liegt, hilft bei einem gelöschten Beitrag, aber nicht bei einem Serverausfall oder einem Angriff. Schadsoftware, die Zugriff auf den Webspace hat, kann auch die dort abgelegten Sicherungen verändern oder löschen. Mindestens eine Kopie gehört deshalb an einen Ort, auf den die Website selbst keinen Schreibzugriff hat.
Wie oft sollten Sie sichern?
Das richtige Backup-Intervall hängt davon ab, wie oft sich Ihre Website ändert und wie viel Datenverlust Sie verkraften können. Fragen Sie sich: Wenn das letzte Backup von gestern Abend stammt, was ginge verloren? Bei einer Visitenkarten-Website fast nichts, bei einem Shop womöglich die Bestellungen eines ganzen Tages.
| Art der Website | Datenbank | Dateien | Aufbewahrung |
|---|---|---|---|
| Unternehmensseite, selten geändert | wöchentlich bis täglich | wöchentlich | mindestens 4 Wochen |
| Website mit Blog oder Formularen | täglich | täglich bis wöchentlich | 30 Tage |
| Onlineshop mit WooCommerce | mehrmals täglich bis stündlich | täglich | 30 Tage und länger |
| Vor jedem Update oder Umbau | zusätzlich manuell | zusätzlich manuell | bis alles läuft |
Die Aufbewahrungsdauer wird oft unterschätzt. Wird ein Hack erst nach zwei Wochen bemerkt, sind alle Sicherungen der letzten zwei Wochen bereits infiziert. Halten Sie deshalb mehrere Generationen vor, etwa tägliche Backups für einen Monat. Noch länger sollten Sie Backups wegen des Datenschutzes nicht ohne Grund aufheben, dazu unten mehr.
Bei großen Websites lohnt ein Blick auf inkrementelle Backups. Dabei wird nur einmal komplett gesichert, danach nur noch das, was sich seit der letzten Sicherung geändert hat. Das spart Speicherplatz und entlastet den Server, weil nicht jede Nacht mehrere Gigabyte an Medien neu gepackt werden. Einige Plugins bieten diese Funktion in der Bezahlversion an, viele Hoster arbeiten serverseitig ohnehin so. Unabhängig vom Intervall sollte vor jedem Update von WordPress, Theme oder Plugins ein zusätzliches Backup entstehen, damit Sie bei Problemen sofort zum Stand davor zurückkehren können.
Der richtige Speicherort
Wo ein Backup liegt, entscheidet darüber, ob es im Ernstfall verfügbar ist. Die gängigen Optionen im Überblick:
- Auf dem eigenen Server: schnell und bequem, aber kein Schutz bei Serverausfall, Hack oder Kündigung des Hosting-Vertrags. Nur als zusätzliche Kopie geeignet.
- Cloud-Speicher: Dienste wie Dropbox, Google Drive, Amazon S3 oder S3-kompatible Speicher lassen sich mit den meisten Backup-Plugins verbinden. Achten Sie auf einen Anbieter oder eine Region innerhalb der EU.
- Externer Server per FTP oder SFTP: ein getrennter Speicherplatz bei einem zweiten Anbieter. Nutzen Sie SFTP, weil einfaches FTP Zugangsdaten unverschlüsselt überträgt.
- Lokal auf dem Rechner oder einer externen Festplatte: gut als zusätzliche Kopie, aber fehleranfällig, weil es jemand regelmäßig von Hand erledigen muss.
Die Zugangsdaten zum Speicherort sollten nur für diesen Zweck angelegt sein und möglichst nur Schreibrechte haben. Wenn ein Angreifer die WordPress-Installation übernimmt, kann er dann die vorhandenen Sicherungen nicht löschen.
Backups beim Hoster reichen allein nicht
Viele Hoster erstellen automatisch Sicherungen und bieten eine Wiederherstellung per Klick im Kundenmenü an. Das ist eine sinnvolle erste Ebene. Prüfen Sie aber genau, was enthalten ist: Wie oft wird gesichert, wie lange werden die Backups aufbewahrt, sind Dateien und Datenbank enthalten, und kostet die Wiederherstellung extra? Bei günstigen Tarifen ist die Rücksicherung manchmal kostenpflichtig oder nur für den gesamten Webspace möglich.
Das Hoster-Backup liegt außerdem meist im selben Rechenzentrum und beim selben Anbieter. Gibt es dort ein größeres Problem, wird der Vertrag gekündigt oder der Zugang gesperrt, haben Sie keinen Zugriff. Ergänzen Sie das Backup des Hosters deshalb immer um eine eigene, unabhängige Sicherung.
Backup-Plugins im Vergleich
Ein Plugin ist für die meisten Websites der einfachste Weg zu automatischen Backups. Es sichert nach Zeitplan Datenbank und Dateien, packt alles in ein Archiv und überträgt es an einen externen Speicherort. Diese vier Plugins sind verbreitet und haben unterschiedliche Schwerpunkte:
| Plugin | Schwerpunkt | Zeitplan und Cloud (kostenlos) | Geeignet für |
|---|---|---|---|
| UpdraftPlus | regelmäßige Backups mit Wiederherstellung aus dem Backend | ja, viele Ziele wie Dropbox, Google Drive, S3, FTP | die meisten Websites, auch ohne Technikkenntnisse |
| BackWPup | flexible Backup-Jobs mit getrennten Zeitplänen | ja, unter anderem FTP, Dropbox, S3, E-Mail | Nutzer, die Datenbank und Dateien getrennt planen möchten |
| Duplicator | Umzug und Klonen einer Website als Paket mit Installer | nur in der Pro-Version | Umzüge auf einen neuen Server oder eine neue Domain |
| All-in-One WP Migration | Export und Import der ganzen Website als eine Datei | nur über kostenpflichtige Erweiterungen | einfache Umzüge, kleinere Websites |
Der Funktionsumfang der kostenlosen Versionen ändert sich immer wieder, prüfen Sie ihn deshalb vor der Entscheidung in der aktuellen Version. UpdraftPlus und BackWPup sind für laufende Sicherungen gebaut, Duplicator und All-in-One WP Migration vor allem für den Umzug einer Website. Als einzige Backup-Lösung eignen sich die Umzugs-Plugins in der Gratisversion nur bedingt, weil der automatische Zeitplan fehlt.
Egal welches Plugin: Stellen Sie einen externen Speicherort ein, lassen Sie sich per E-Mail über fehlgeschlagene Sicherungen informieren und schließen Sie unnötige Ordner wie Cache-Verzeichnisse aus. Bei großen Websites kann ein Backup-Plugin an Grenzen des Servers stoßen, etwa bei der maximalen Ausführungszeit von PHP. Dann helfen serverseitige Backups oder eine Aufteilung in mehrere Jobs.
WordPress Backup manuell per FTP und phpMyAdmin
Auch ohne Plugin lässt sich ein vollständiges Backup erstellen. Das ist sinnvoll vor größeren Eingriffen, wenn ein Plugin nicht funktioniert oder wenn Sie das Backend gar nicht mehr erreichen. Sie brauchen die FTP- oder SFTP-Zugangsdaten und den Zugang zu phpMyAdmin, beides finden Sie im Kundenmenü Ihres Hosters.
Wartungsmodus oder ruhige Zeit wählen
Sichern Sie zu einer Zeit, in der wenig auf der Website passiert. Bei Shops verhindert ein kurzer Wartungsmodus, dass während der Sicherung Bestellungen verloren gehen oder Datenbank und Dateien nicht zusammenpassen.
Per FTP verbinden
Verbinden Sie sich mit einem FTP-Programm wie FileZilla oder Cyberduck per SFTP mit dem Server. Wechseln Sie in das Verzeichnis, in dem WordPress liegt. Sie erkennen es an den Ordnern wp-admin, wp-content und wp-includes.
Alle Dateien herunterladen
Laden Sie das gesamte WordPress-Verzeichnis in einen Ordner auf Ihrem Rechner herunter, mindestens aber wp-content, wp-config.php und .htaccess. Blenden Sie versteckte Dateien ein, damit die .htaccess nicht fehlt. Bietet Ihr Hoster einen Dateimanager mit Packfunktion, geht es als ZIP-Archiv deutlich schneller.
Datenbanknamen ermitteln
Öffnen Sie die heruntergeladene wp-config.php in einem Texteditor. Unter DB_NAME steht der Name der Datenbank, unter $table_prefix das Tabellenpräfix. So wählen Sie in phpMyAdmin sicher die richtige Datenbank aus.
Datenbank in phpMyAdmin exportieren
Melden Sie sich bei phpMyAdmin an, wählen Sie links die Datenbank aus und klicken Sie auf „Exportieren“. Die schnelle Methode im Format SQL reicht in den meisten Fällen. Speichern Sie die Datei, sie enthält alle Inhalte und Einstellungen.
Backup beschriften und extern ablegen
Legen Sie Dateien und SQL-Export gemeinsam in einen Ordner mit Datum und Domain im Namen und packen Sie ihn als Archiv. Eine Kopie gehört an einen zweiten Ort, etwa verschlüsselt in einem Cloud-Speicher in der EU.
Achtung: Die wp-config.php enthält Passwörter
In der Datei stehen Benutzername und Passwort der Datenbank. Behandeln Sie jedes Backup deshalb wie ein vertrauliches Dokument, verschlüsseln Sie es und geben Sie es nicht per E-Mail weiter.
Backup wiederherstellen und testen
Solange ein Backup nie wiederhergestellt wurde, wissen Sie nicht, ob es funktioniert. Häufige Probleme zeigen sich erst im Ernstfall: Das Archiv ist unvollständig, die Datenbank fehlt, das Passwort für die Verschlüsselung ist nicht mehr auffindbar oder die Sicherung bricht bei großen Medienordnern ab.
Wiederherstellung per Plugin
Bei UpdraftPlus wählen Sie im Backend die gewünschte Sicherung aus und starten die Wiederherstellung, das Plugin spielt Datenbank und Dateien zurück. Andere Plugins bieten eine Wiederherstellung aus dem Backend je nach Version nur eingeschränkt oder in der Pro-Fassung. Voraussetzung ist, dass WordPress noch läuft. Ist das Backend nicht erreichbar, installieren Sie WordPress frisch, installieren das Plugin, verbinden den Speicherort und stellen von dort wieder her.
Manuelle Wiederherstellung
Laden Sie die gesicherten Dateien per FTP auf den Server und ersetzen Sie die vorhandenen. Leeren Sie in phpMyAdmin die bestehende Datenbank oder legen Sie eine neue an und importieren Sie den SQL-Export über „Importieren“. Stimmen Datenbankname, Benutzer oder Passwort nicht mehr, passen Sie die Werte in der wp-config.php an. Rufen Sie anschließend die Permalink-Einstellungen einmal auf und speichern Sie sie, damit die Weiterleitungsregeln neu geschrieben werden.
So testen Sie Ihre Backups
Spielen Sie mindestens einmal pro Quartal eine Sicherung auf einer Testumgebung ein, zum Beispiel einer Subdomain oder einer Staging-Umgebung beim Hoster. Prüfen Sie danach Startseite, Unterseiten, Bilder, Formulare und bei Shops den Bestellvorgang. Notieren Sie, wie lange die Wiederherstellung gedauert hat. Diese Zeit brauchen Sie auch im Ernstfall. Spielen Sie nach einem Hack außerdem nicht blind das letzte saubere Backup ein, sonst bleibt die Sicherheitslücke offen. Erst die Ursache finden und schließen, dann wiederherstellen. Mehr dazu auf unserer Seite zur WordPress Sicherheit.
Datenschutz bei Backups technisch mitdenken
Backups sind Kopien Ihrer Datenbank, und die enthält fast immer personenbezogene Daten: Benutzerkonten, Kommentare mit E-Mail-Adressen, Einträge aus Kontaktformularen, bei Shops Namen, Anschriften und Bestellungen. Diese Kopien brauchen deshalb denselben Schutz wie die Live-Website. Technisch haben sich diese Punkte bewährt:
- Speicherort in der EU: Wählen Sie einen Speicher mit Serverstandort in Deutschland oder der EU.
- Verschlüsselung: Verschlüsseln Sie Backups, bevor sie den Server verlassen, und schützen Sie den Zugang mit einem starken Passwort und Zwei-Faktor-Anmeldung.
- Aufbewahrung begrenzen: Legen Sie fest, wie lange Backups aufbewahrt werden, und löschen Sie ältere automatisch. Daten, die in der Live-Datenbank gelöscht wurden, stecken sonst noch lange in alten Sicherungen.
Welche Verträge mit dem Anbieter des Speicherplatzes nötig sind und was in die Datenschutzerklärung gehört, klären Sie mit Ihrem Datenschutzbeauftragten. Wir kümmern uns um die Technik, Rechtsberatung gehört nicht zu unseren Leistungen.
Checkliste für Ihr WordPress Backup
- Datenbank und Dateien werden automatisch gesichert
- das Intervall passt zur Änderungshäufigkeit der Website
- mindestens eine Kopie liegt getrennt vom Webserver
- der Speicherort liegt in der EU, ein Vertrag zur Auftragsverarbeitung besteht
- Backups sind verschlüsselt, Zugangsdaten sicher abgelegt
- mehrere Generationen werden aufbewahrt, ältere automatisch gelöscht
- fehlgeschlagene Sicherungen lösen eine Benachrichtigung aus
- vor jedem Update entsteht ein zusätzliches Backup
- eine Wiederherstellung wurde in den letzten drei Monaten getestet
Backups abgeben statt selbst kontrollieren
Sie möchten sich nicht selbst um Sicherungen kümmern?
In unserer WordPress Wartung sichern wir Datenbank und Dateien täglich auf einem getrennten Server in Deutschland und testen regelmäßig die Wiederherstellung. Vor jedem Update entsteht zusätzlich ein Backup. Ist die Website bereits gehackt, hilft Ihnen unsere Seite zur WordPress Sicherheit weiter.
Häufige Fragen
Welches Backup-Plugin ist das beste für WordPress?
Für laufende Sicherungen sind UpdraftPlus und BackWPup bewährt, weil beide schon kostenlos nach Zeitplan an externe Speicherorte sichern. Duplicator und All-in-One WP Migration sind vor allem für Umzüge gedacht. Wichtiger als das Plugin sind ein externer Speicherort und ein regelmäßiger Wiederherstellungstest.
Reicht das Backup meines Hosters aus?
Als einzige Sicherung nicht. Das Hoster-Backup liegt meist beim selben Anbieter und ist bei einem größeren Ausfall, einer Sperrung oder einem Angriff unter Umständen nicht verfügbar. Eine zweite, unabhängige Sicherung an einem getrennten Ort schließt diese Lücke.
Wie groß ist ein WordPress Backup?
Die Datenbank ist meist nur wenige bis einige hundert Megabyte groß. Den größten Teil machen die Medien im Upload-Ordner aus. Kleine Unternehmensseiten kommen oft mit wenigen hundert Megabyte aus, Shops und Websites mit vielen Bildern oder Videos mit mehreren Gigabyte.
Kann ich ein Backup auf einen anderen Server einspielen?
Ja, so funktioniert auch ein Umzug. Ändert sich dabei die Domain, müssen die Adressen in der Datenbank ersetzt werden. Plugins wie Duplicator erledigen das automatisch, beim manuellen Weg brauchen Sie ein Werkzeug für Suchen und Ersetzen, das serialisierte Daten korrekt behandelt.
Muss ich Backups in der Datenschutzerklärung erwähnen?
Wenn Backups bei einem externen Dienstleister liegen, sollten Sie das in der Datenschutzerklärung angeben und mit dem Anbieter einen Vertrag zur Auftragsverarbeitung schließen. Die Details klären Sie am besten mit Ihrem Datenschutzbeauftragten oder einer Rechtsberatung.
