Eine Backup-Strategie für deine WordPress-Website im Unternehmen beantwortet vier Fragen: Was wird gesichert, wie oft, wo liegen die Kopien, und wie schnell bist du im Ernstfall wieder online? Ein Plugin, das irgendwann nachts eine ZIP-Datei erzeugt, ist noch keine Strategie. Erst wenn Datenbank und Dateien regelmäßig, getrennt vom Server und nachweislich wiederherstellbar gesichert sind, ist deine Website wirklich abgesichert. In diesem Leitfaden zeigen wir dir, wie du genau das aufbaust, egal ob du eine Unternehmenswebsite, ein Portal oder einen WooCommerce-Shop betreibst.
TL;DR
- Ein vollständiges WordPress-Backup besteht immer aus Datenbank und Dateisystem. Fehlt einer der beiden Teile, ist die Sicherung im Ernstfall wertlos.
- Lege fest, wie viele Daten du maximal verlieren darfst und wie lange die Website ausfallen darf. Daraus ergibt sich der Backup-Rhythmus: täglich für die meisten Unternehmensseiten, deutlich häufiger für aktive Shops.
- Bewahre mindestens eine Kopie außerhalb des Webservers und getrennt von deinem Hosting-Zugang auf. Das BSI fordert für den Schutz vor Ransomware ausdrücklich Offline-Backups.
- Ein Backup gilt erst als Backup, wenn du die Wiederherstellung getestet hast. Plane dafür feste Termine ein.
- Backups sind nach DSGVO Teil deiner technischen und organisatorischen Maßnahmen. Dokumentiere dein Konzept schriftlich.
Inhaltsverzeichnis
- Was ein vollständiges WordPress-Backup umfasst
- Warum ein Plugin allein noch keine Strategie ist
- RPO und RTO: Die zwei Zahlen, die deine Strategie bestimmen
- Wie oft du sichern solltest: der passende Rhythmus
- Wo die Kopien liegen: die 3-2-1-Regel für WordPress
- Backup-Lösungen im Vergleich
- Verschlüsselung, Zugriffe und DSGVO
- Der Wiederherstellungstest: dein Backup unter Realbedingungen
- Deine Backup-Strategie in sieben Schritten
- Typische Fehler, die wir in der Praxis sehen
- Backups als Teil deiner WordPress-Wartung
- Häufige Fragen zur WordPress-Datensicherung
- Quellen
Was ein vollständiges WordPress-Backup umfasst
WordPress besteht technisch aus zwei Welten, die du beide sichern musst. Die offizielle Dokumentation spricht davon, dass Datenbank und Dateien gemeinsam gesichert werden müssen, damit eine Website vollständig wiederhergestellt werden kann. In der Datenbank stecken sämtliche Beiträge, Seiten, Kommentare, Einstellungen und Benutzerkonten. Wird sie gelöscht oder beschädigt, verlierst du praktisch alle Inhalte, die du je geschrieben hast.
| Bestandteil | Was drinsteckt | Wie oft es sich ändert |
|---|---|---|
| Datenbank (SQL-Dump) | Seiten, Beiträge, Einstellungen, Nutzer, Formulareingaben, bei WooCommerce auch Bestellungen, Kunden und Lagerbestände | Bei aktiven Websites mehrmals täglich |
| wp-content/uploads | Bilder, PDFs, Videos, Downloads | Bei jedem neuen Upload |
| wp-content/themes und plugins | Dein Theme, Child-Theme und alle Erweiterungen | Bei jedem Update |
| wp-config.php | Datenbankzugang, Sicherheitsschlüssel, individuelle Konstanten | Selten, aber unverzichtbar |
| .htaccess bzw. Serverkonfiguration | Weiterleitungen, Caching- und Sicherheitsregeln | Selten |
Der WordPress-Kern selbst lässt sich jederzeit neu herunterladen. Alles, was du individuell angepasst oder hochgeladen hast, lässt sich das nicht. Deshalb ist die Faustregel: Die Datenbank ist dein wertvollstes Gut, die Dateien sind der Rahmen, ohne den die Datenbank nichts darstellt.
Voll-, inkrementelle und differenzielle Sicherung
Ein Full Backup sichert jedes Mal alles: komplette Datenbank, komplettes Dateisystem. Das ist einfach wiederherzustellen, braucht aber viel Speicher und Zeit. Eine inkrementelle Sicherung speichert nur, was sich seit dem letzten Backup geändert hat, eine differenzielle alles seit der letzten Vollsicherung. Für Unternehmen bewährt sich eine Kombination: zum Beispiel eine wöchentliche Vollsicherung plus tägliche inkrementelle Sicherungen. Bei großen Mediatheken spart das enorm Speicherplatz und Serverlast.
Warum ein Plugin allein noch keine Strategie ist
Viele Unternehmen merken erst bei einem Vorfall, dass ihr Backup nicht funktioniert: Das Plugin lief seit Monaten mit einer Fehlermeldung, die Archive lagen auf demselben Server wie die Website, oder die Datenbank fehlte im Archiv. Das Bundesamt für Sicherheit in der Informationstechnik nennt das Backup die wichtigste präventive Maßnahme bei einem Ransomware-Vorfall und verlangt, dass die Daten in einem Offline-Backup gesichert werden. Ein Backup, das ein Angreifer mit denselben Zugangsdaten erreicht wie deine Website, erfüllt diesen Anspruch nicht.
Dazu kommt die rechtliche Seite. Der Europäische Datenschutzausschuss zählt Backups in seinem Datenschutzleitfaden für kleine Unternehmen zu den Maßnahmen, mit denen du Risiken für personenbezogene Daten adressierst. Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen. Kontaktformulare, Kundenkonten, Bewerbungen, Bestellungen: Fast jede Unternehmenswebsite verarbeitet solche Daten. Wie weit deine Pflichten konkret reichen, klärst du am besten mit deinem Datenschutzbeauftragten.
Eine Strategie unterscheidet sich von einem Plugin also durch drei Dinge: klare Ziele, getrennte Speicherorte und geprüfte Wiederherstellung.
RPO und RTO: Die zwei Zahlen, die deine Strategie bestimmen
Bevor du über Tools sprichst, beantworte zwei Fragen. In der IT heißen sie RPO und RTO.
- RPO (Recovery Point Objective): Wie viele Daten darfst du maximal verlieren? Wenn dein letztes Backup 24 Stunden alt ist, sind im schlimmsten Fall alle Änderungen eines Tages weg. Bei einem Blog mit zwei Beiträgen pro Woche ist das verkraftbar. Bei einem Shop mit 80 Bestellungen am Tag bedeutet es 80 verlorene Bestellungen, fehlende Rechnungsdaten und verärgerte Kunden.
- RTO (Recovery Time Objective): Wie lange darf deine Website ausfallen, bis es ernsthaft schadet? Für eine Imageseite sind ein paar Stunden ärgerlich. Für einen Shop, ein Buchungsportal oder eine Website, über die täglich Anfragen hereinkommen, zählt oft jede Stunde.
Das BSI empfiehlt in seinem Baustein CON.3 Datensicherungskonzept, die Anforderungen an die Datensicherung systematisch zu erheben und in einem Konzept festzuhalten. Für deine WordPress-Website reicht dafür oft eine Seite: welche Daten, welcher Rhythmus, welche Speicherorte, wer zuständig ist und wie lange eine Wiederherstellung dauern darf.
Wie oft du sichern solltest: der passende Rhythmus
Die WordPress-Dokumentation empfiehlt, die Datenbank in regelmäßigen Abständen und vor jedem Upgrade zu sichern. Wie regelmäßig, hängt davon ab, wie schnell sich deine Daten ändern. Diese Orientierung nutzen wir in der Praxis:
| Website-Typ | Datenbank | Dateien | Zusätzlich |
|---|---|---|---|
| Unternehmenswebsite mit seltenen Änderungen | täglich | wöchentlich | vor jedem Update |
| Website mit Blog, Formularen, Bewerbungen | täglich | täglich (inkrementell) | vor jedem Update und Relaunch |
| WooCommerce-Shop mit regelmäßigen Bestellungen | mehrmals täglich bis stündlich | täglich | vor Updates, Aktionen, Importen |
| Portal, Mitgliederbereich, Buchungssystem | stündlich oder nahezu in Echtzeit | täglich | vor jeder Änderung an Schnittstellen |
Gerade bei WooCommerce unterschätzen viele den Unterschied. Bestellungen, Kundenkonten und Lagerbestände ändern sich ständig. Ein nächtliches Backup reicht nur, wenn du damit leben kannst, im Notfall die Bestellungen eines ganzen Tages manuell nachzutragen. Spiel deshalb ein Backup nie blind über einen laufenden Shop zurück, ohne vorher die neuen Bestellungen seit dem Sicherungszeitpunkt zu exportieren.
Backups vor jeder Änderung
Neben dem festen Rhythmus brauchst du anlassbezogene Sicherungen. Auch die offiziellen WordPress-Schulungsunterlagen raten, vor Updates zusätzlich zu sichern. Typische Anlässe sind Core-, Theme- und Plugin-Updates, PHP-Versionswechsel beim Hoster, Umzüge auf einen neuen Server, größere Produktimporte und jeder Relaunch. Wie du solche Änderungen grundsätzlich sauber abwickelst, beschreiben wir in unserem Praxisleitfaden für einen sicheren WordPress-Workflow.
Wo die Kopien liegen: die 3-2-1-Regel für WordPress
Bewährt hat sich die 3-2-1-Regel: drei Kopien deiner Daten, auf zwei unterschiedlichen Speichertypen, davon eine an einem anderen Ort. Übertragen auf WordPress sieht das so aus:
- Kopie 1: das Live-System auf deinem Webserver.
- Kopie 2: die Sicherung des Hosters oder ein Backup auf einem separaten Speicherbereich, ideal für schnelle Wiederherstellungen im Alltag.
- Kopie 3: ein externes, getrenntes Backup bei einem anderen Anbieter, zum Beispiel in einem Cloud-Speicher mit Rechenzentrum in der EU, auf den der Webserver nur schreiben, aber nichts löschen kann.
Der entscheidende Punkt ist die Trennung. Das BSI beschreibt in seinem Maßnahmenkatalog Ransomware ausführlich, warum Backups vor dem Zugriff durch Angreifer geschützt sein müssen. Für WordPress heißt das konkret: Backups, die nur im Ordner wp-content auf demselben Server liegen, sind bei einem Hack, einem Serverausfall oder einer Kündigung des Hosting-Vertrags genauso weg wie die Website. Zusätzlich sind solche Archive oft öffentlich über eine URL abrufbar, wenn der Ordner nicht geschützt ist. Darin stecken Datenbankzugang und Kundendaten.
Versionierung und Aufbewahrung
Hebe nicht nur das letzte Backup auf. Schadcode bleibt oft wochenlang unbemerkt. Wenn deine Sicherungen nur sieben Tage zurückreichen, sicherst du im schlimmsten Fall nur die bereits infizierte Website. Ein praxistaugliches Schema für Unternehmen:
- tägliche Sicherungen für 14 bis 30 Tage
- wöchentliche Sicherungen für drei Monate
- monatliche Sicherungen für ein Jahr
Beachte dabei: Längere Aufbewahrung bedeutet auch, dass personenbezogene Daten länger gespeichert werden. Stimme die Fristen mit deinem Datenschutzkonzept ab. Ob einzelne Daten, zum Beispiel Rechnungen aus deinem Shop, steuerlichen Aufbewahrungspflichten unterliegen, klärst du mit deiner Steuerberatung. Das Shop-Backup ersetzt dabei keine ordnungsgemäße Archivierung in deiner Buchhaltung.
Backup-Lösungen im Vergleich
Es gibt vier typische Wege, WordPress zu sichern. Jeder hat seinen Platz, und in der Praxis kombinierst du meist zwei davon.
| Lösung | Stärken | Schwächen | Geeignet für |
|---|---|---|---|
| Backup des Hosters | automatisch, schnell zurückgespielt, kein Aufwand | liegt beim selben Anbieter, Umfang und Aufbewahrung je nach Tarif begrenzt, bei Kündigung weg | erste Sicherungsebene |
| Backup-Plugin in WordPress | flexibel, Ziel frei wählbar, einfache Einrichtung | läuft auf dem Server, den es schützen soll, belastet ihn, kann bei großen Seiten abbrechen | kleine und mittlere Websites mit externem Speicherziel |
| Serverseitige Sicherung per Cronjob oder externem Dienst | unabhängig von WordPress, zuverlässig, auch bei großen Datenmengen | erfordert technisches Know-how und Pflege | Shops, Portale, größere Websites |
| Betreute Sicherung im Wartungsvertrag | Überwachung, Tests und Wiederherstellung durch Profis, dokumentiert | laufende Kosten | Unternehmen ohne eigene WordPress-Technik |
Wenn du ein Plugin einsetzen möchtest, achte auf diese Kriterien: Sicherung von Datenbank und Dateien, externe Speicherziele, Verschlüsselung, Zeitplanung, Benachrichtigung bei Fehlern und eine Wiederherstellung, die auch ohne funktionierendes WordPress-Backend klappt. Für Shop-Betreiber lohnt sich ein Blick auf diesen Überblick zu Backup-Plugins für WooCommerce, weil dort die Besonderheiten häufig wechselnder Bestelldaten im Fokus stehen.
Wichtig: Die beste Lösung ist nicht die mit den meisten Funktionen, sondern die, die zuverlässig läuft, überwacht wird und deren Wiederherstellung du kennst.
Verschlüsselung, Zugriffe und DSGVO
Ein Backup ist eine vollständige Kopie deiner Website, inklusive Kundendaten, Passwort-Hashes und Datenbankzugang. Behandle es entsprechend:
- Verschlüssele Backups, bevor sie den Server verlassen, und bewahre den Schlüssel getrennt auf.
- Wähle Speicherorte mit Bedacht. Für externe Speicher brauchst du in der Regel einen Vertrag zur Auftragsverarbeitung. Ein Rechenzentrum in der EU vereinfacht die datenschutzrechtliche Bewertung.
- Beschränke Zugriffe. Nur wenige Personen sollten Backups herunterladen oder löschen dürfen. Nutze für den Speicher eigene Zugangsdaten mit Zwei-Faktor-Authentifizierung.
- Dokumentiere alles. Ein schriftliches Backup-Konzept ist Teil deiner TOM und hilft dir bei einer Prüfung durch die Datenschutzaufsicht oder nach einem Vorfall.
Wie streng solche Konzepte in sensiblen Bereichen ausfallen, zeigen die Verhaltensregeln der Bundesnotarkammer, die zu Art. 32 DSGVO ausdrücklich ein Notfallkonzept für Zwischenfälle verlangen. Für eine Unternehmenswebsite musst du nicht so weit gehen, die Logik ist aber dieselbe: Wer im Notfall was tut, muss vorher feststehen. Mehr zu den übrigen Schutzschichten deiner Website findest du in unserem Beitrag zur technischen WordPress-Sicherheit.
Der Wiederherstellungstest: dein Backup unter Realbedingungen
Die unbequeme Wahrheit: Die meisten Backups werden nie getestet. Erst im Notfall zeigt sich, ob das Archiv vollständig ist, ob die Datenbank zur Dateistruktur passt und ob die Wiederherstellung zwei Stunden oder zwei Tage dauert. Das BSI weist in seinen Vorschlägen zu BC-Strategien nach Standard 200-4 darauf hin, dass Datensicherungen nur dann im Notfall helfen, wenn sie auf die tatsächlichen Abläufe abgestimmt sind.
So testest du sinnvoll:
- Staging-Umgebung anlegen: Spiele das Backup nie testweise auf die Live-Website, sondern auf eine separate Testinstanz.
- Vollständig wiederherstellen: Datenbank importieren, Dateien einspielen, wp-config.php anpassen.
- Funktionen prüfen: Startseite, Unterseiten, Formulare, Login, bei Shops Warenkorb, Checkout und Bestellübersicht.
- Zeit messen: Wie lange hat es gedauert? Passt das zu deinem RTO?
- Ergebnis dokumentieren: Datum, Backup-Stand, Dauer, Probleme, Verantwortlicher.
Ein Test pro Quartal ist für die meisten Unternehmenswebsites ein guter Rhythmus, bei Shops zusätzlich nach jeder größeren technischen Änderung.
Deine Backup-Strategie in sieben Schritten
- Bestandsaufnahme: Welche Daten verarbeitet deine Website? Wo liegt sie, wie groß sind Datenbank und Mediathek?
- Ziele festlegen: Definiere RPO und RTO, zum Beispiel: maximal vier Stunden Datenverlust, maximal zwei Stunden Ausfall.
- Rhythmus bestimmen: Lege Zeitpläne für Datenbank und Dateien fest, plus Pflicht-Backups vor jedem Update.
- Speicherorte trennen: Richte mindestens ein externes, verschlüsseltes Ziel ein, auf das der Webserver nichts löschen kann.
- Aufbewahrung regeln: Tägliche, wöchentliche und monatliche Stände mit klaren Löschfristen.
- Überwachung einrichten: Jede fehlgeschlagene Sicherung muss eine Benachrichtigung auslösen, die jemand liest.
- Testen und dokumentieren: Regelmäßige Wiederherstellungstests, schriftliches Konzept, klare Zuständigkeiten inklusive Vertretung.
Typische Fehler, die wir in der Praxis sehen
- Nur Dateien gesichert: Das Archiv enthält Themes und Bilder, aber keine Datenbank. Die Inhalte sind verloren.
- Backups auf dem Webserver: Beim Hack oder Serverausfall ist alles gleichzeitig weg.
- Keine Überwachung: Das Plugin bricht seit Wochen wegen Speichermangel ab, niemand merkt es.
- Zu kurze Aufbewahrung: Alle verfügbaren Stände enthalten bereits den Schadcode.
- Shop-Backup blind zurückgespielt: Neue Bestellungen seit dem Backup werden überschrieben.
- Zugangsdaten nur bei einer Person: Im Urlaub oder nach einem Personalwechsel kommt niemand an die Sicherungen.
Wenn deine Website bereits Probleme hat, ein Update fehlgeschlagen ist oder du einen Hack vermutest, spiel nicht hektisch ein beliebiges Backup ein. Sichere zuerst den aktuellen Zustand, auch den defekten, damit Spuren und neue Daten erhalten bleiben. Unsere WordPress-Problemlösung hilft dir dabei, die Ursache zu finden und sauber wiederherzustellen.
Backups als Teil deiner WordPress-Wartung
Eine Backup-Strategie entfaltet ihren Wert erst, wenn sich jemand dauerhaft darum kümmert. Genau das übernehmen wir bei WERBEEINFACH.de: Mit über 14 Jahren Erfahrung in WordPress und WooCommerce richten wir Sicherungen ein, die zu deinen Geschäftszielen passen, überwachen sie und stehen dir im Ernstfall zur Seite. Im Rahmen unserer WordPress Wartung verbinden wir Backups mit Updates, Sicherheitsprüfungen und Performance-Optimierung, transparent kommuniziert und langfristig betreut. Betreibst du einen Onlineshop, stimmen wir die Sicherung auf deine Bestellabläufe ab, ob für bestehende oder neue WooCommerce-Shops. Warum ein fester Vertrag dabei mehr Sicherheit bringt als Einzelaufträge, erklären wir in unserem Beitrag zu Wartungsverträgen für Websites. Und wer gern selbst mitlernt: Im WP Tagebuch teilen wir regelmäßig praktische WordPress-Tipps aus unserem Agenturalltag.
Häufige Fragen zur WordPress-Datensicherung
Reicht das Backup meines Hosters aus?
Als erste Ebene ist es sehr nützlich, als alleinige Lösung nicht. Die Sicherung liegt beim selben Anbieter, Umfang und Aufbewahrungsdauer hängen vom Tarif ab, und bei einer Kündigung oder einem Problem mit dem Account ist sie nicht mehr erreichbar. Ergänze sie um mindestens ein externes, verschlüsseltes Backup.
Was ist ein Full Backup bei WordPress?
Ein Full Backup sichert die komplette Datenbank und alle Dateien der Installation, also Themes, Plugins, Uploads und Konfigurationsdateien. Damit lässt sich die Website ohne weitere Quellen vollständig wiederherstellen. In einer Strategie kombinierst du es meist mit kleineren, inkrementellen Sicherungen.
Wie oft sollte ein WooCommerce-Shop gesichert werden?
Das hängt davon ab, wie viele Bestellungen du verlieren darfst. Bei regelmäßigem Bestelleingang sicherst du die Datenbank mehrmals täglich bis stündlich, die Dateien täglich. Vor Updates, Aktionen und Produktimporten kommt immer eine zusätzliche Sicherung dazu.
Muss ich Backups nach DSGVO dokumentieren?
Backups gehören zu den technischen und organisatorischen Maßnahmen, mit denen du die Wiederherstellbarkeit personenbezogener Daten nach Art. 32 DSGVO sicherstellst. Ein schriftliches Konzept mit Rhythmus, Speicherorten, Zugriffsrechten und Löschfristen hilft dir, das nachzuweisen. Die Details stimmst du mit deinem Datenschutzbeauftragten ab.
Wie lange dauert eine Wiederherstellung?
Bei einer kleinen Unternehmenswebsite mit geprüftem Backup oft weniger als eine Stunde, bei großen Shops mit umfangreicher Mediathek auch deutlich länger. Verlässlich weißt du es erst, wenn du einen Wiederherstellungstest durchgeführt und die Zeit gemessen hast.
Quellen
- WordPress Developer Resources: Backups
- WordPress Developer Resources: Backing Up Your Database
- Learn WordPress: Backing Up Your WordPress Site
- BSI: Backups, Datensicherungskonzept und zentrale Datenhaltung
- BSI: Maßnahmenkatalog Ransomware
- BSI: IT-Grundschutz-Baustein CON.3 Datensicherungskonzept
- BSI: Hilfsmittel zum Standard 200-4, BC-Strategievorschläge
- Europäischer Datenschutzausschuss: Secure personal data
- Bundesnotarkammer: Verhaltensregeln zu technischen und organisatorischen Maßnahmen
- Haufe: Sicherungsmechanismen zur Einhaltung der DSGVO, Wiederherstellbarkeit
