Ein WordPress Backup fällt meistens erst auf, wenn es fehlt. Ein fehlerhaftes Update, ein gehackter Account, ein versehentlich gelöschter Seitenbaum oder ein Hoster, der den Server nicht zurückbekommt: Dann entscheidet eine einzige Frage, ob du in einer Stunde wieder online bist oder tagelang Inhalte rekonstruierst. Gibt es eine aktuelle, vollständige Sicherung, und weißt du, wie du sie zurückspielst?
In diesem Artikel geht es nicht um „installier irgendein Plugin und gut ist“. Du erfährst, was ein vollständiges Backup ausmacht, wie oft du sichern solltest, wie die 3-2-1-Regel in der Praxis aussieht und wie du die Wiederherstellung regelmäßig testest. Das gilt für deine eigene Website genauso wie für Kundenprojekte, die du betreust.
Was gehört in ein vollständiges WordPress Backup?
Eine WordPress-Installation besteht aus zwei Teilen, und beide müssen gesichert werden:
- Die Datenbank: Hier liegen Beiträge, Seiten, Kommentare, Nutzer, Einstellungen, Menüs und bei Shops auch Bestellungen. Ohne Datenbank ist die Website leer.
- Die Dateien: Der Ordner
wp-contentmit Uploads (Bilder, PDFs), Themes und Plugins. Dazu diewp-config.phpmit Zugangsdaten und Konfiguration sowie gegebenenfalls die.htaccess.
Der WordPress-Core selbst lässt sich jederzeit neu herunterladen. Viele Backup-Lösungen sichern ihn trotzdem mit, was die Wiederherstellung vereinfacht.
Nicht gesichert werden müssen in der Regel Cache-Ordner, alte Backup-Archive innerhalb der Installation und temporäre Dateien. Gerade Backups, die sich selbst in wp-content ablegen und beim nächsten Durchlauf mitsichern, blähen die Archive schnell auf mehrere Gigabyte auf.
Die 3-2-1-Regel für WordPress
Die 3-2-1-Regel ist ein bewährter Grundsatz aus der IT und funktioniert auch für Websites:
- 3 Kopien deiner Daten: das Original plus zwei Backups
- 2 verschiedene Speicherorte bzw. Medien: zum Beispiel Hoster-Backup und externer Cloud-Speicher
- 1 Kopie außerhalb der eigentlichen Infrastruktur, also nicht beim selben Hoster und nicht auf demselben Server
Übersetzt in eine typische WordPress-Umgebung heißt das:
| Kopie | Wo | Wer steuert es |
|---|---|---|
| Original | Live-Server beim Hoster | Hoster |
| Backup 1 | Automatische Server-Snapshots des Hosters | Hoster |
| Backup 2 | Plugin-Backup in einen externen Speicher (S3-kompatibler Speicher, SFTP, Cloud-Speicher) | Du |
Der wichtigste Punkt ist die externe Kopie. Hoster-Backups sind praktisch, aber wenn der Account gesperrt, gekündigt oder kompromittiert wird, sind sie oft genauso weg wie die Website. Ein Backup, das nur im selben wp-content-Ordner liegt, ist kein Backup, sondern eine Kopie mit demselben Risiko.
Wie oft sollte man WordPress sichern?
Die richtige Frequenz hängt davon ab, wie viel Datenverlust verkraftbar ist. In der IT heißt das Recovery Point Objective: Wie viele Stunden Arbeit darf im schlimmsten Fall verloren gehen?
| Website-Typ | Datenbank | Dateien | Aufbewahrung |
|---|---|---|---|
| Visitenkarten-Website, selten geändert | wöchentlich | wöchentlich | 4–8 Wochen |
| Unternehmensseite mit Blog | täglich | wöchentlich | 30 Tage |
| Online-Shop, Buchungssystem, Community | mehrmals täglich oder in Echtzeit | täglich | 30–90 Tage |
Zusätzlich gilt: Vor jedem Update, jeder Theme-Änderung und jedem größeren Eingriff ein manuelles Backup. Das ist die Sicherung, die du am häufigsten brauchst.
Die Aufbewahrungsdauer wird oft unterschätzt. Wenn eine Website unbemerkt gehackt wurde, ist das Schadskript womöglich schon seit Wochen in jeder Sicherung enthalten. Mit nur drei rotierenden Tagesbackups hast du dann keine saubere Version mehr.
Die gängigen Backup-Methoden im Vergleich
Hoster-Backups
Viele Hoster erstellen automatisch tägliche Snapshots und bieten eine Wiederherstellung per Klick. Prüfe im Vertrag, wie lange die Backups aufbewahrt werden, ob einzelne Dateien oder nur der ganze Account wiederherstellbar sind und ob die Wiederherstellung kostenpflichtig ist. Als alleinige Lösung reicht das nicht, als erste Ebene ist es sehr wertvoll.
Backup-Plugins
Plugins sind die flexibelste Lösung, weil sie Zeitplan, Umfang und Speicherziel selbst bestimmen. Verbreitete Optionen sind etwa UpdraftPlus, BackWPup, Duplicator oder All-in-One WP Migration. Die Plugins unterscheiden sich in Details: manche sind stärker auf Migrationen ausgelegt, andere auf regelmäßige Sicherungen, einige bieten inkrementelle Backups nur in der Bezahlversion.
Achte bei der Auswahl auf:
- Automatische Zeitpläne getrennt für Datenbank und Dateien
- Externe Speicherziele (SFTP, S3-kompatibel, Cloud-Speicher)
- Verschlüsselung der Archive
- Aufteilung großer Archive, damit Uploads nicht an Server-Limits scheitern
- Einfache Wiederherstellung, im Idealfall auch auf einer neuen, leeren Installation
- Aktive Pflege und regelmäßige Updates
Ein Nachteil: Plugin-Backups laufen auf demselben Server wie die Website. Bei großen Installationen können sie an Speicher- oder Zeitlimits scheitern und die Seite während der Sicherung bremsen.
Externe Backup-Dienste
Einige Dienste sichern die Website von außen und speichern die Daten auf eigener Infrastruktur. Das entlastet den Server und erfüllt automatisch die „1 extern“-Bedingung. Für Agenturen und Freelancer mit vielen Kundenseiten ist das oft bequemer, kostet aber laufend.
Manuell per WP-CLI oder SSH
Wenn du Shell-Zugriff hast, ist ein manuelles Backup in wenigen Befehlen erledigt:
wp db export backup-$(date +%F).sql
tar -czf files-$(date +%F).tar.gz wp-content wp-config.phpDas eignet sich hervorragend vor Eingriffen und lässt sich per Cronjob automatisieren. Die Archive danach unbedingt vom Server herunterladen oder in einen externen Speicher verschieben.
Restore-Test: Das vergessene Herzstück
Ein Backup, dessen Wiederherstellung nie getestet wurde, ist eine Hoffnung, keine Sicherung. Typische Überraschungen im Ernstfall: Das Archiv ist unvollständig, weil der Upload abgebrochen ist. Die Datenbank-Datei ist leer. Das Plugin braucht zur Wiederherstellung eine funktionierende WordPress-Installation, die es gerade nicht gibt. Oder niemand weiß mehr, wo die Zugangsdaten zum Cloud-Speicher liegen.
So testest du sinnvoll:
- Mindestens einmal pro Quartal ein Backup auf einer Staging-Umgebung oder lokal wiederherstellen.
- Prüfen, ob Startseite, Unterseiten, Bilder, Formulare und der Login funktionieren.
- Bei Shops: Stimmen Produkte, Bestellungen und Kundenkonten?
- Die Dauer messen. Wie lange hat die Wiederherstellung gedauert? Das ist deine realistische Ausfallzeit.
- Den Ablauf kurz dokumentieren: Wo liegt das Backup, welche Zugangsdaten braucht man, welche Schritte in welcher Reihenfolge.
Die Dokumentation ist besonders wichtig, wenn mehrere Personen an einer Website arbeiten. Im Ernstfall steht niemand gern vor einem verschlüsselten Archiv ohne Passwort.
Backups und Datenschutz
Backups enthalten personenbezogene Daten: Kommentare, Formulareinträge, Nutzerkonten, bei Shops auch Adressen und Bestellungen. Damit gelten die gleichen Datenschutzanforderungen wie für die Live-Website. Konkret heißt das:
- Speicherorte mit Sitz in der EU bevorzugen
- Mit dem Anbieter des Backup-Speichers einen Auftragsverarbeitungsvertrag abschließen
- Archive verschlüsseln, wenn sie extern liegen
- Alte Backups nach Ablauf der Aufbewahrungsfrist löschen
Einen Überblick über die Pflichten rund um Websites gibt dir der Artikel DSGVO für Websites.
WordPress Backup als Leistung für Kunden
Wenn du Kundenwebsites betreust, gehört die Backup-Strategie in deine Wartungsleistung und sollte schriftlich festgehalten sein. Kläre im Vertrag:
- Wie oft wird gesichert, und wie lange werden Backups aufbewahrt?
- Wo liegen die Sicherungen, und wer hat Zugriff?
- Wie schnell stellst du im Ernstfall wieder her, und was kostet das?
- Wer haftet, wenn der Kunde selbst Änderungen vornimmt und dabei Daten verloren gehen?
Welche Punkte darüber hinaus in eine solche Vereinbarung gehören, zeigt der Artikel zum Website-Wartungsvertrag. Backups sind außerdem nur eine Säule. Die zweite ist, Angriffe von vornherein zu erschweren, dazu mehr in WordPress Sicherheit: 12 Maßnahmen gegen Hacker.
Ein praktischer Nebeneffekt: Ein sauberes, vollständiges Backup ist auch die Grundlage für einen Serverwechsel. Wie das im Detail abläuft, liest du in WordPress umziehen.
Checkliste: WordPress Backup einrichten
- Datenbank und
wp-contentwerden automatisch gesichert - Frequenz passt zur Änderungshäufigkeit der Website
- Mindestens eine Kopie liegt außerhalb des Hosters
- Archive sind verschlüsselt, Speicher in der EU, AVV vorhanden
- Aufbewahrung von mindestens 30 Tagen
- Manuelles Backup vor jedem Update und Eingriff
- Restore-Test mindestens einmal pro Quartal
- Ablauf und Zugangsdaten dokumentiert und für Vertretung auffindbar
- Benachrichtigung bei fehlgeschlagenen Backups aktiviert
Fazit: Backups sind ein Prozess, kein Plugin
Ein gutes WordPress Backup besteht aus vier Dingen: vollständiger Sicherung von Datenbank und Dateien, einer Frequenz, die zur Website passt, mindestens einer externen Kopie nach der 3-2-1-Regel und regelmäßig getesteter Wiederherstellung. Das Plugin ist dabei das kleinste Problem. Wer den Ernstfall einmal geprobt hat, bleibt ruhig, wenn er eintritt.
Du willst die Betreuung deiner WordPress-Website in erfahrene Hände geben? Im Freelancer-Verzeichnis findest du WordPress-Profis, die Backups, Updates und Sicherheit übernehmen. Du bietest selbst WordPress-Wartung an? Dann kostenlos eintragen.