WordPress Backup einrichten: So sicherst du deine Website

Ein Backup ist die einzige Maßnahme, die auch dann noch hilft, wenn alles andere versagt hat. Und dass etwas versagt, ist keine Frage des Pechs, sondern eine Frage der Zeit: 2025 wurden im WordPress-Umfeld 11.334 neue Sicherheitslücken gemeldet, das sind 42 Prozent mehr als im Jahr davor, und 91 Prozent davon steckten in Plugins (Patchstack 2026).

Dieser Artikel zeigt, was in ein vollständiges Backup gehört, welche Plugins dafür heute tatsächlich gepflegt werden und wie du prüfst, ob deine Sicherung im Ernstfall trägt. Eine Einschränkung vorweg, weil sie oft untergeht: Ein Backup verhindert keinen Einbruch und keinen Fehler. Es begrenzt nur, wie weit du zurücksetzen musst.

Viele Website-Betreiber wissen theoretisch, dass Backups wichtig sind. Trotzdem fehlen sie auf erschreckend vielen produktiven Websites. Der Grund ist kein Unwissen, sondern ein psychologisches Phänomen: Backups schützen vor etwas, das noch nicht passiert ist. Solange nichts kaputt geht, scheint der Aufwand unnötig.

Hinzu kommt, dass viele Hosting-Anbieter im Marketing mit täglichen Backups werben, ohne im Kleingedruckten zu erklären, dass diese Sicherungen nicht in jedem Tarif enthalten sind, nicht immer garantiert funktionieren und oft nur auf Anfrage wiederhergestellt werden, was Zeit und manchmal Geld kostet.

Wie schnell eine Lücke ausgenutzt wird

Zum Zeitfenster gibt es eine Zahl, und sie fällt kürzer aus, als die meisten Wartungspläne annehmen: Von den stark ausgenutzten Sicherheitslücken wird die Hälfte binnen 5 Stunden massenhaft ausgenutzt (Median, Patchstack 2026). Ein Update-Rhythmus von einmal pro Woche kommt dagegen nicht an.

Dazu eine zweite Messung, die das Vertrauen in die Schutzmechanismen des Hosters einordnet: In einem groß angelegten Penetrationstest bei verbreiteten Hosting-Anbietern wurden nur 26 Prozent der Angriffe über Sicherheitslücken abgewehrt (Patchstack 2026). Wichtig dabei: Gemessen wurde die Abwehr, nicht die Qualität der Hoster-Backups. Die Zahl sagt also nichts darüber, wie gut die Sicherung deines Anbieters ist. Sie sagt, wie oft der Fall überhaupt eintritt, in dem du eine brauchst.

Die häufigsten Szenarien, bei denen kein Backup vorhanden war

Die Realität zeigt immer wieder dieselben Muster:

• Ein WordPress-Core-Update macht das Theme unbrauchbar
• Ein Plugin-Konflikt führt zu einer komplett weißen Seite, im Fachjargon White Screen of Death
• Ein Angreifer schleust Schadcode ein und der Hoster sperrt den Account
• Ein Mitarbeiter löscht versehentlich Seiten oder Produktdaten
• Der Hoster selbst hat einen Serverausfall ohne eigenes Backup-System

In all diesen Fällen ist die Frage nicht, ob das schlimm ist, sondern wie weit zurückgedreht werden muss. Wer kein Backup hat, muss die Antwort nicht suchen: Er fängt neu an.

Viele denken bei Backup an die Datenbank. Das ist ein Irrtum, der teuer werden kann. Eine WordPress-Installation besteht aus zwei gleichwertigen Teilen, und beide müssen gesichert sein.

Datenbank: das Gedächtnis deiner Website

Die WordPress-Datenbank enthält alle Inhalte, die du jemals eingegeben hast: Seiten, Beiträge, Kommentare, Benutzerkonten, Plugin-Einstellungen und WooCommerce-Bestelldaten. Ohne sie ist deine Website eine leere Hülle. Eine Datenbank-Sicherung ist vergleichsweise klein, oft nur wenige Megabyte, aber dafür kritisch.

Dateisystem: alles, was du hochgeladen und installiert hast

Das Dateisystem umfasst den gesamten WordPress-Ordner auf dem Server:

• Den Core von WordPress selbst
• Alle installierten Themes und Plugins
• Alle hochgeladenen Medien wie Bilder, PDFs und Videos
• Individuelle Anpassungen und eigenen Code

Ein vollständiges Backup sichert immer beides zusammen, idealerweise zum selben Zeitpunkt. Nur Datenbank oder nur Dateien reichen für eine vollständige Wiederherstellung nicht aus. Woran sich das im Ernstfall zeigt: Spielst du eine Datenbank von gestern in ein Dateisystem von letzter Woche ein, fehlen genau die Bilder, die in den Beiträgen von gestern verlinkt sind.

In der IT-Sicherheit hat sich eine einfache Faustformel durchgesetzt, die auch für WordPress-Websites vollständig anwendbar ist: die 3-2-1-Regel.

1. 3 Kopien deiner Daten: das Original plus zwei Backups
2. 2 verschiedene Speichermedien oder Dienste: zum Beispiel lokaler Speicher und Cloud
3. 1 Kopie außerhalb des Primärstandorts: also nicht auf demselben Server wie die Website

Die Regel hat keinen offiziellen Normgeber, sie ist eine eingebürgerte Merkhilfe. Ihre entscheidende Forderung, die Kopie außer Haus, steht aber wörtlich im IT-Sicherheitshandbuch für KMU der Wirtschaftskammer Österreich:

Die Backup-Datenträger müssen von den gesicherten Rechnern räumlich getrennt aufbewahrt werden, um zu vermeiden, dass bei einem Brand, Wasserschaden, Einbruch etc. Computer und Datensicherungen gleichzeitig zerstört werden.

Für eine Website heißt räumlich getrennt: nicht auf demselben Server. Wenn dieser Server ausfällt, kompromittiert wird oder dir der Zugang gesperrt wird, ist ein Backup, das dort liegt, im selben Moment weg wie das Original.

Ein praktikabler Ansatz für kleine und mittlere Unternehmen sieht so aus:

• Sicherung 1: täglich automatisiert über ein Plugin, gespeichert in einem Cloud-Speicher
• Sicherung 2: wöchentlich vollständig auf einem davon getrennten Speicherort
• Sicherung 3: monatliches Archiv, das du selbst lokal aufbewahrst

Das klingt nach Aufwand, ist aber einmalig eingerichtet und läuft danach automatisch.

Welches Plugin das richtige ist, hängt von Größe, Komplexität und Budget ab. Bei einem Werkzeug, dessen einzige Aufgabe der Ernstfall ist, zählt aber noch ein zweites Kriterium: ob es gepflegt wird. Die folgenden Zahlen stammen aus dem offiziellen WordPress-Plugin-Verzeichnis, Stand 24. September 2026.

UpdraftPlus: der Allrounder

UpdraftPlus steht bei 4.000.000 aktiven Installationen und wurde zuletzt am 21. September 2026 aktualisiert. Die kostenlose Version sichert Dateien und Datenbank automatisch, speichert direkt in Google Drive, Dropbox oder Amazon S3 und stellt direkt aus dem WordPress-Dashboard wieder her. Die kostenpflichtige Fassung ergänzt unter anderem inkrementelle Sicherungen und Unterstützung für Multisite-Installationen.

Eine verbreitete Formulierung gehört dabei richtiggestellt: UpdraftPlus gilt oft als das meistinstallierte Backup-Plugin. Das stimmt nicht. All-in-One WP Migration and Backup kommt auf 5.000.000 aktive Installationen und trägt die Datensicherung sogar im Namen. UpdraftPlus liegt mit 4.000.000 dahinter. Für den laufenden Betrieb ändert das nichts an der Empfehlung, für die Formulierung schon.

Duplicator: stark für Umzüge und vollständige Kopien

Duplicator ist besonders dann nützlich, wenn du eine Website umziehen oder ein exaktes Abbild für ein Testsystem erstellen willst. Es erzeugt ein vollständiges Paket aus Dateien und Datenbank, das sich an einem anderen Ort mit wenigen Klicks wiederherstellen lässt. Für regelmäßige automatisierte Sicherungen ist UpdraftPlus in der Regel die praktischere Wahl.

VaultPress Backup: gemanagt und in Echtzeit

Wer keine Zeit für Plugin-Konfiguration hat, kann auf VaultPress Backup setzen, den Sicherungsdienst von Automattic, dem Unternehmen hinter Jetpack und WooCommerce. Er läuft komplett gemanagt, sichert in Echtzeit und erlaubt die Wiederherstellung auf einen beliebigen Zeitpunkt. Der Dienst lässt sich einzeln kaufen oder steckt im Paket Jetpack Security, das regulär 18,95 Euro im Monat kostet, im ersten Jahr 8,95 Euro, jeweils jährlich abgerechnet, und mit 10 Gigabyte Sicherungsspeicher startet (Jetpack, abgerufen am 24. September 2026).

Inkrementelle Sicherungen, und warum ein spezialisiertes Plugin hier ausfällt

Inkrementelle Sicherungen speichern nach dem ersten vollständigen Durchlauf nur noch die Änderungen. Das spart Speicherplatz und Serverlast, was besonders bei Shops mit vielen Bestellungen zählt. Auf genau das ist WP Time Capsule spezialisiert.

Vor dem Einsatz lohnt allerdings ein Blick auf den Pflegestand: Das Plugin steht bei 10.000 aktiven Installationen, wurde zuletzt am 10. Juni 2026 aktualisiert und ist offiziell nur bis WordPress 6.9.9 getestet, während aktuell 7.1.2 ausgeliefert wird (WordPress.org, Stand 24. September 2026). Zum Vergleich: UpdraftPlus steht bei 4.000.000 Installationen und ist für die aktuelle Version freigegeben.

Das heißt nicht, dass das Plugin nicht funktioniert. Es heißt, dass ein Rückstand von zwei WordPress-Hauptversionen ausgerechnet bei dem Werkzeug ungünstig ist, das im Ernstfall deine einzige Rettung sein soll. Inkrementelle Sicherungen bietet auch UpdraftPlus in der kostenpflichtigen Fassung.

Plugin installiert reicht nicht. Ein Backup-System funktioniert nur dann zuverlässig, wenn es richtig konfiguriert, regelmäßig geprüft und tatsächlich getestet wird.

Schritt 1: Backup-Frequenz festlegen

Die richtige Backup-Häufigkeit hängt davon ab, wie oft sich deine Website verändert:

• Reiner Informations-Blog mit seltenen Updates: wöchentliches Backup reicht
• Aktive Website mit regelmäßigen Blog-Beiträgen: tägliches Backup
• WooCommerce-Shop mit täglichen Bestellungen: mehrmals täglich, zumindest die Datenbank

Eine Faustregel: Frage dich, wie viel Datenverlust du im Ernstfall akzeptieren kannst. Kannst du dir erlauben, die Arbeit eines ganzen Tages neu zu machen? Dann reicht ein tägliches Backup. Wären drei Stunden verlorene Bestelldaten schon ein Problem? Dann brauchst du stündliche Datenbank-Sicherungen.

Schritt 2: externen Speicherort verbinden

Verbinde dein Backup-Plugin sofort mit einem externen Cloud-Dienst. UpdraftPlus bietet dafür unter anderem direkte Anbindungen an:

• Google Drive
• Dropbox
• Amazon S3
• Microsoft OneDrive
• FTP oder SFTP zu einem eigenen Server

Wähle einen Dienst, auf den du unabhängig vom Hosting-Account zugreifen kannst. Wenn dein Hoster dich aussperrt, nützt dir ein Backup im selben Hosting-Panel nichts.

Schritt 3: Wiederherstellung testen

Das ist der Schritt, den fast alle überspringen, und genau deshalb der wichtigste. Ein Backup-Test bedeutet: Stelle die Website einmal auf einem Testsystem wieder her und prüfe, ob alles funktioniert. Themes, Plugins, Inhalte, Shop-Funktionen, alles.

Das IT-Sicherheitshandbuch für KMU der Wirtschaftskammer Österreich nennt den Grund dafür präzise: Durch das Planen und Testen von Wiederherstellungsverfahren lasse sich vermeiden, dass sich Datenbestände erst beim Wiederherstellungsversuch als nicht mehr rekonstruierbar herausstellen. Genau darin liegt der Unterschied zwischen einer Sicherung und einer Annahme.

Ein Backup, das du nie getestet hast, ist eine Hoffnung, keine Sicherheit.

Plane diesen Test mindestens alle drei bis sechs Monate ein. Der Aufwand dafür ist ein Bruchteil des Aufwands für eine komplette Neugestaltung nach einem Datenverlust.

Ein Backup ist die Versicherung, nicht die Prävention. Wer nur auf Backups setzt, ohne die Website grundsätzlich abzusichern, repariert immer wieder dieselben Einbrüche.

WordPress-Sicherheit funktioniert in Schichten:

• Regelmäßige Updates: die Maßnahme mit dem größten Hebel, und die am häufigsten vernachlässigte. 31 Prozent aller WordPress-Installationen laufen auf einer Version, die älter ist als 7.0 (WordPress.org Statistik, abgerufen am 24. September 2026). Dass 91 Prozent der neuen Lücken in Plugins stecken (Patchstack 2026), heißt dabei: Themes und Plugins gehören genauso aktuell gehalten wie WordPress selbst
• Starke Passwörter und Zwei-Faktor-Authentifizierung: besonders für Administrator-Konten ist schwaches Passwortmanagement ein häufiger Einstiegspunkt
• Sicherheits-Plugin: Wordfence mit 5.000.000 aktiven Installationen oder Kadence Security mit 700.000 bieten Firewall-Funktionen, Schadcode-Suche und Login-Schutz. Das zweite trägt in seiner eigenen Beschreibung im Verzeichnis ausdrücklich den Zusatz Formerly iThemes Security, du findest es in älteren Anleitungen also unter diesem Namen
• SSL-Zertifikat: HTTPS ist Standard. Ohne gültiges Zertifikat warnen Browser die Besucher aktiv
• Hosting-Qualität: ein guter Managed-WordPress-Hoster übernimmt viele Sicherheitsaufgaben automatisch. Allein verlassen solltest du dich darauf trotzdem nicht, siehe die 26 Prozent abgewehrter Angriffe weiter oben

Backups und Sicherheit sind kein Entweder-oder. Backups greifen, wenn etwas schiefgelaufen ist. Sicherheitsmaßnahmen verhindern, dass es schiefläuft.

Eine WordPress-Website ohne funktionierendes Backup zu betreiben ist wie ohne Versicherung Auto zu fahren: Solange nichts passiert, fällt es nicht auf. Wenn es passiert, ist der Schaden enorm.

Die wichtigsten Punkte auf einen Blick:

• Ein vollständiges Backup enthält immer Datenbank und Dateisystem zusammen
• Folge der 3-2-1-Regel: drei Kopien, zwei Speicherorte, einer davon außerhalb des Servers
• Nutze ein Plugin, das nachweislich gepflegt wird. Aktive Installationen, letzte Aktualisierung und die getestete WordPress-Version stehen frei einsehbar im Plugin-Verzeichnis
• Passe die Backup-Frequenz an die Änderungshäufigkeit deiner Website an
• Verbinde dein Backup immer mit einem externen Speicher, niemals nur mit dem eigenen Server
• Teste die Wiederherstellung mindestens alle drei bis sechs Monate
• Ergänze Backups um die Grundlagen: Updates, starke Passwörter, Sicherheits-Plugin

Wenn du nach dieser Liste unsicher bist, ob deine Sicherung im Ernstfall trägt, gibt es genau einen Weg, das zu beantworten: Stelle die Website einmal auf einem Testsystem wieder her. Alles davor ist eine Annahme.

• Patchstack: State of WordPress Security in 2026. Auswertung der Daten aus 2025, Stand 25.02.2026. patchstack.com
• Wirtschaftskammer Österreich, Bundessparte Information und Consulting: IT-Sicherheitshandbuch für KMU, 9. Auflage. wko.at
• WordPress.org: Statistiken zur Versionsverteilung, abgerufen am 24.09.2026. wordpress.org/about/stats
• WordPress.org Plugin-Verzeichnis: UpdraftPlus, abgerufen am 24.09.2026
• WordPress.org Plugin-Verzeichnis: Duplicator, abgerufen am 24.09.2026
• WordPress.org Plugin-Verzeichnis: BackWPup, abgerufen am 24.09.2026
• WordPress.org Plugin-Verzeichnis: All-in-One WP Migration and Backup, abgerufen am 24.09.2026
• WordPress.org Plugin-Verzeichnis: WP Time Capsule, abgerufen am 24.09.2026
• WordPress.org Plugin-Verzeichnis: Wordfence und Kadence Security, abgerufen am 24.09.2026
• Jetpack (Automattic): Preisübersicht Jetpack Security, abgerufen am 24.09.2026. jetpack.com/pricing