WordPress-Backup: was wirklich gesichert werden muss

Ein Backup, das Sie noch nie zurückgespielt haben, ist kein Backup. Es ist eine Datei, von der Sie hoffen, dass sie funktioniert.

Das klingt hart, deckt sich aber mit dem, was ich bei Übernahmen bestehender Websites regelmäßig vorfinde: Sicherungen laufen, niemand hat je geprüft, ob sie vollständig sind — und im Ernstfall fehlt ausgerechnet die Datenbank.

Was zu einem vollständigen Backup gehört

Eine WordPress-Installation besteht aus zwei Teilen, die unabhängig voneinander kaputtgehen können:

• Die Datenbank. Darin stehen alle Texte, Seiten, Beiträge, Kommentare, Benutzer und sämtliche Einstellungen. Ohne sie haben Sie eine leere Website.
• Die Dateien. Der Ordner wp-content mit Uploads, Theme und Plugins, dazu wp-config.php und die .htaccess.

Der WordPress-Kern selbst muss nicht gesichert werden — den können Sie jederzeit neu herunterladen. Wer nur die Datenbank sichert, verliert alle Bilder. Wer nur die Dateien sichert, verliert alle Texte. Beides zusammen, sonst gar nicht.

Wie oft sichern?

Die brauchbare Frage lautet nicht „wie oft“, sondern: Wie viel Arbeit wollen Sie im schlimmsten Fall nachholen?

• Shop oder Buchungssystem: täglich, besser stündlich für die Datenbank. Jede verlorene Bestellung ist ein realer Schaden.
• Website mit regelmäßigem Blog: täglich für die Datenbank, wöchentlich für die Dateien. Bilder ändern sich seltener als Texte.
• Statische Firmenseite: wöchentlich reicht. Zusätzlich immer eine Sicherung direkt vor jedem Update.

Der letzte Punkt ist der wichtigste. Die meisten Ausfälle, die ich gesehen habe, entstanden nicht durch einen Angriff, sondern durch ein Plugin-Update an einem Freitagnachmittag.

Wohin sichern?

Nicht auf denselben Server. Eine Sicherung, die im selben Hosting-Paket liegt wie die Website, ist bei einem Server-Ausfall, einem gehackten Konto oder einer versehentlichen Löschung genauso weg wie das Original.

Die bewährte Regel heißt 3-2-1: drei Kopien, auf zwei verschiedenen Medien, davon eine außer Haus. Für eine normale Website heißt das konkret: die Live-Installation, eine Sicherung beim Hoster, eine Kopie in einem externen Speicher wie Nextcloud, Dropbox oder einem S3-Speicher.

Und: Prüfen Sie, wo dieser externe Speicher steht. Bei personenbezogenen Daten in der Sicherung — und die sind in fast jeder WordPress-Datenbank drin — ist der Serverstandort ein Thema. Mehr dazu in meiner DSGVO-Checkliste für WordPress.

Womit sichern — der Stand 2026

• UpdraftPlus — der De-facto-Standard. Kostenlose Version sichert nach Zeitplan in externe Speicher, die Wiederherstellung funktioniert aus dem Backend. Die kostenpflichtige Version kann inkrementell sichern und Installationen umziehen.
• Solid Backups — das ehemalige BackupBuddy von iThemes, inzwischen unter dem Namen SolidWP. Wenn Sie in einer älteren Anleitung über „BackupBuddy“ stolpern: das ist dasselbe Produkt.
• All-in-One WP Migration — eigentlich ein Umzugswerkzeug, das aber auch als Sicherung taugt. Stark, wenn Sie eine Seite als eine einzige Datei wegpacken und anderswo einspielen wollen.
• Die Sicherung Ihres Hosters — meist täglich, meist automatisch, meist auf derselben Infrastruktur. Als einzige Sicherung zu wenig, als zweite Ebene wertvoll und kostenlos.

Was ich mir abgewöhnt habe: Plugins, die nur die Datenbank sichern. Sie wiegen in Sicherheit, decken aber die Hälfte des Problems nicht ab.

Meine Standardeinstellungen

• Datenbank täglich, Dateien wöchentlich, jeweils nachts.
• Ziel ist ein externer Speicher, nie der Webspace selbst.
• Aufbewahrung: die letzten 14 täglichen und die letzten 4 wöchentlichen Sicherungen. Ältere fliegen automatisch raus, sonst läuft der Speicher voll und die Sicherung bricht unbemerkt ab.
• Benachrichtigung per E-Mail bei Fehlschlag — nicht bei Erfolg, sonst liest sie nach zwei Wochen niemand mehr.
• Manuelle Sicherung vor jedem größeren Update.

Der Teil, den fast alle auslassen

Einmal im Jahr spiele ich eine Sicherung testweise zurück — nicht auf der Live-Seite, sondern in einer Testumgebung oder einer lokalen Installation. Das dauert eine halbe Stunde und beantwortet drei Fragen, die sich sonst erst im Ernstfall stellen:

1. Ist die Sicherung überhaupt vollständig?
2. Habe ich die Zugangsdaten zum externen Speicher noch?
3. Weiß ich, in welcher Reihenfolge Datenbank und Dateien eingespielt werden müssen?

Wer diese drei Fragen nicht beantworten kann, hat kein Backup-Konzept, sondern ein Backup-Gefühl.

Häufige Fragen

Reicht das Backup meines Hosters?

Als alleinige Absicherung nein. Es liegt in der Regel auf derselben Infrastruktur, die Aufbewahrungsfrist ist oft kurz, und bei manchen Anbietern kostet das Zurückspielen extra. Als zusätzliche Ebene ist es aber sinnvoll.

Was mache ich, wenn die Seite gehackt wurde?

Nicht einfach die letzte Sicherung einspielen — sie kann die Hintertür bereits enthalten. Erst feststellen, wann der Einbruch passiert ist, dann eine Sicherung von davor nehmen, danach alle Passwörter und Sicherheitsschlüssel erneuern und erst dann wieder online gehen.

Wie viel Speicher brauche ich?

Rechnen Sie mit der Größe Ihres wp-content-Ordners plus Datenbank, mal die Anzahl der aufbewahrten Sicherungen. Bei einer normalen Firmenwebsite sind das schnell 10 bis 30 GB — der häufigste Grund, warum Sicherungen irgendwann still scheitern.

Geht das auch ohne Plugin?

Ja: Dateien per FTP oder SSH herunterladen, Datenbank über phpMyAdmin oder mysqldump exportieren. Funktioniert einwandfrei, wird aber erfahrungsgemäß nach dem zweiten Mal nicht mehr gemacht. Automatisierung schlägt Disziplin.

Fazit

Ein Backup kostet ein paar Minuten Einrichtung und danach nichts mehr. Die Alternative ist, im Ernstfall eine Website aus dem Gedächtnis neu zu bauen — das habe ich einmal für einen Kunden gemacht und möchte es nicht wiederholen.

Wenn Sie Sicherung, Updates und Überwachung nicht selbst betreuen wollen: schreiben Sie mir kurz, dann sehen wir uns Ihre Installation an. Wie ich Websites grundsätzlich aufsetze, steht unter WordPress-Webdesign.