WordPress Backup einrichten: So sicherst du deine Website

Es passiert meistens dann, wenn man es am wenigsten braucht: ein fehlgeschlagenes Update, ein gehacktes Plugin, ein unbeabsichtigter Klick im falschen Moment, und die Website ist weg. Wer kein aktuelles Backup hat, fängt von vorne an, und zwar komplett. Für KMU bedeutet das nicht nur verlorene Inhalte, sondern auch verlorene Aufträge, zerstörtes Vertrauen und manchmal Tage an Wiederherstellungsarbeit. Diesen Artikel liest du am besten, bevor dir das passiert.

Viele Website-Betreiber wissen theoretisch, dass Backups wichtig sind. Trotzdem fehlen sie auf erschreckend vielen produktiven Websites. Der Grund ist kein Unwissen, sondern ein psychologisches Phänomen: Backups schützen vor etwas, das noch nicht passiert ist. Solange nichts kaputt geht, scheint der Aufwand unnötig.

Hinzu kommt, dass viele Hosting-Anbieter im Marketing mit „täglichen Backups" werben, ohne im Kleingedruckten zu erklären, dass diese Backups a) nicht garantiert funktionieren, b) nicht bei allen Tarifen inkludiert sind oder c) nur auf Anfrage wiederhergestellt werden, was Zeit und manchmal Geld kostet. Dein Hosting-Backup ist eine Notlösung, keine Strategie.

Wer die Kontrolle über seine Backups dem Hoster überlässt, gibt auch die Kontrolle über seine Daten ab.

Die häufigsten Szenarien, bei denen kein Backup vorhanden war

Die Realität zeigt immer wieder dieselben Muster:

• Ein WordPress-Core-Update macht das Theme unbrauchbar
• Ein Plugin-Konflikt wirft eine White Screen of Death auf
• Ein Hacker injiziert Schadcode und der Hoster sperrt den Account
• Ein Mitarbeiter löscht versehentlich Seiten oder Produktdaten
• Der Hoster selbst hat einen Serverausfall ohne eigenes Backup-System

In all diesen Fällen ist die Frage nicht „Ist das schlimm?", sondern „Wie weit müssen wir zurückdrehen?" Wer kein Backup hat, muss die Antwort nicht suchen: man fängt neu an.

Viele denken bei „Backup" an die Datenbank. Das ist ein Irrtum, der teuer werden kann. Eine WordPress-Installation besteht aus zwei gleichwertigen Teilen, die beide gesichert sein müssen.

Datenbank: das Gedächtnis deiner Website

Die WordPress-Datenbank enthält alle Inhalte, die du jemals eingegeben hast: Seiten, Beiträge, Kommentare, Benutzerkonten, Plugin-Einstellungen und WooCommerce-Bestelldaten. Ohne sie ist deine Website eine leere Hülle. Eine Datenbank-Sicherung ist vergleichsweise klein (oft nur wenige Megabyte), aber dafür kritisch.

Dateisystem: alles, was du hochgeladen und installiert hast

Das Dateisystem umfasst den gesamten WordPress-Ordner auf dem Server:

• Den Core von WordPress selbst (`/wp-admin`, `/wp-includes`)
• Alle installierten Themes und Plugins (`/wp-content/themes`, `/wp-content/plugins`)
• Alle hochgeladenen Medien wie Bilder, PDFs, Videos (`/wp-content/uploads`)
• Individuelle Anpassungen und Custom Code

Ein vollständiges Backup sichert immer beides zusammen, idealerweise zeitgleich. Nur Datenbank oder nur Dateien reichen für eine vollständige Wiederherstellung nicht aus.

In der IT-Sicherheit gilt seit Jahrzehnten eine einfache Regel, die auch für WordPress-Websites vollständig anwendbar ist: die 3-2-1-Regel.

1. 3 Kopien deiner Daten: das Original plus zwei Backups
2. 2 verschiedene Speichermedien oder Dienste: zum Beispiel lokaler Speicher und Cloud
3. 1 Kopie außerhalb des Primärstandorts: also nicht auf demselben Server wie die Website

Was bedeutet das konkret für dich? Dein Backup darf nicht auf demselben Server liegen wie deine WordPress-Installation. Wenn der Server abbrennt (im übertragenen Sinne: ausfällt, kompromittiert wird oder vom Hoster gelöscht wird), ist das lokale Backup wertlos.

Ein praktikabler Ansatz für KMU sieht so aus:

• Backup 1: Täglich automatisiert via Plugin, gespeichert im Cloud-Speicher (z.B. Google Drive, Dropbox, Amazon S3)
• Backup 2: Wöchentliches vollständiges Backup auf einem separaten Speicherort
• Backup 3: Monatliches Archiv-Backup, das du selbst lokal aufbewahrst

Das klingt nach Aufwand, ist aber mit den richtigen Tools einmalig eingerichtet und läuft dann vollautomatisch.

Der WordPress-Ökosystem bietet eine Reihe bewährter Backup-Lösungen. Welche die richtige ist, hängt von Größe deiner Website, Komplexität und Budget ab.

UpdraftPlus: der Klassiker mit breiter Unterstützung

UpdraftPlus ist das meistinstallierte Backup-Plugin im WordPress-Repository, mit gutem Grund. Die kostenlose Version ermöglicht automatische Backups von Dateien und Datenbank, direktes Speichern in Cloud-Dienste wie Google Drive, Dropbox oder S3, und eine unkomplizierte Wiederherstellung direkt aus dem WordPress-Dashboard. Die kostenpflichtige Version (UpdraftPlus Premium) fügt unter anderem inkrementelle Backups, Multisite-Unterstützung und erweiterte Scheduler-Optionen hinzu.

Duplicator: stark für Migrationen und vollständige Klone

Duplicator ist besonders dann nützlich, wenn du eine Website migrieren oder ein exaktes Abbild für einen Staging-Server erstellen willst. Es erzeugt ein vollständiges Paket aus Dateien und Datenbank, das sich an einem anderen Ort mit wenigen Klicks wiederherstellen lässt. Für regelmäßige automatisierte Backups ist UpdraftPlus in der Regel die praktischere Wahl.

WP Time Capsule: inkrementell und ressourcenschonend

WP Time Capsule arbeitet mit inkrementellen Backups, speichert also nach dem ersten vollständigen Backup nur noch die Änderungen. Das spart Speicherplatz und Serverressourcen erheblich. Besonders für WooCommerce-Shops mit häufigen Bestellungen und Produktänderungen ist das ein relevanter Vorteil.

Jetpack Backup (früher VaultPress): managed und simpel

Wer keine Zeit für Plugin-Konfiguration hat, kann auf Jetpack Backup (Teil von Automattic, dem Unternehmen hinter WordPress.com) setzen. Der Dienst läuft komplett gemanagt, sichert in Echtzeit und ermöglicht die Wiederherstellung auf einen beliebigen Zeitpunkt. Der Preis ist höher als bei kostenlosen Alternativen, aber für geschäftskritische Websites durchaus gerechtfertigt.

Plugin installiert reicht nicht. Ein Backup-System funktioniert nur dann zuverlässig, wenn es richtig konfiguriert, regelmäßig geprüft und tatsächlich getestet wird.

Schritt 1: Backup-Frequenz festlegen

Die richtige Backup-Häufigkeit hängt davon ab, wie oft sich deine Website verändert:

• Reiner Informations-Blog mit seltenen Updates: wöchentliches Backup reicht
• Aktive Website mit regelmäßigen Blog-Beiträgen: tägliches Backup
• WooCommerce-Shop mit täglichen Bestellungen: mehrmals täglich, zumindest die Datenbank

Eine Faustregel: Frage dich, wie viel Datenverlust du im Ernstfall akzeptieren kannst. Kannst du dir erlauben, die Arbeit eines ganzen Tages neu zu machen? Dann reicht tägliches Backup. Käme ein Verlust von drei Stunden Bestelldaten schon einem Problem gleich? Dann brauchst du stündliche Datenbank-Backups.

Schritt 2: externen Speicherort verbinden

Verbinde dein Backup-Plugin sofort mit einem externen Cloud-Dienst. UpdraftPlus zum Beispiel bietet direkte Integrationen mit:

• Google Drive
• Dropbox
• Amazon S3
• Microsoft OneDrive
• FTP/SFTP zu einem eigenen Server

Wähle einen Dienst, auf den du unabhängig vom Hosting-Account zugreifen kannst. Wenn dein Hoster dich aussperrt, nützt dir ein Backup im selben Hosting-Panel nichts.

Schritt 3: Wiederherstellung testen

Das ist der Schritt, den fast alle überspringen, und genau deshalb der wichtigste. Ein Backup-Test bedeutet: Stelle die Website einmal auf einem Staging-System wieder her und überprüfe, ob alles funktioniert. Themes, Plugins, Inhalte, Shop-Funktionen, alles.

Ein Backup, das du nie getestet hast, ist eine Hoffnung, keine Sicherheit.

Plane diesen Test mindestens alle drei bis sechs Monate ein. Wenn du das für aufwändig hältst: der Aufwand für einen Test ist ein Bruchteil des Aufwands für eine komplette Neugestaltung deiner Website nach einem Datenverlust.

Ein Backup ist die Versicherung, nicht die Prävention. Wer nur auf Backups setzt, ohne die Website grundsätzlich abzusichern, repariert immer wieder dieselben Einbrüche.

WordPress-Sicherheit funktioniert in Schichten:

• Regelmäßige Updates: WordPress-Core, Themes und Plugins immer aktuell halten. Die meisten Hacks nutzen bekannte Sicherheitslücken in veralteten Versionen aus.
• Starke Passwörter und Zwei-Faktor-Authentifizierung: Besonders für Administrator-Accounts ist schwaches Passwortmanagement ein häufiger Einstiegspunkt.
• Sicherheits-Plugin: Tools wie Wordfence oder Solid Security (früher iThemes Security) bieten Firewall-Funktionen, Malware-Scans und Login-Schutz.
• SSL-Zertifikat: HTTPS ist heute Standard und Pflicht. Ohne gültiges SSL-Zertifikat werden Besucher von Browsern aktiv gewarnt.
• Hosting-Qualität: Billiges Shared Hosting ohne Sicherheits-Features ist eine Einladung für Probleme. Ein guter Managed-WordPress-Hoster übernimmt viele Sicherheitsaufgaben automatisch.

Backups und Sicherheit sind kein Entweder-oder. Backups greifen, wenn etwas schiefgelaufen ist. Sicherheitsmaßnahmen verhindern, dass es schiefläuft.

Deine WordPress-Website ohne funktionierendes Backup zu betreiben ist wie ohne Versicherung Auto zu fahren: solange nichts passiert, fällt es nicht auf. Wenn es passiert, ist der Schaden enorm.

Die wichtigsten Punkte auf einen Blick:

• Ein vollständiges Backup enthält immer Datenbank und Dateisystem zusammen
• Folge der 3-2-1-Regel: drei Kopien, zwei Speicherorte, einer davon extern
• Nutze ein bewährtes Backup-Plugin wie UpdraftPlus, Duplicator oder Jetpack Backup
• Passe die Backup-Frequenz an die Änderungshäufigkeit deiner Website an
• Verbinde dein Backup immer mit einem externen Cloud-Dienst, niemals nur mit dem Server
• Teste deine Wiederherstellung mindestens alle drei bis sechs Monate
• Ergänze Backups um grundlegende Sicherheitsmaßnahmen: Updates, starke Passwörter, Sicherheits-Plugin

Wenn du nicht sicher bist, ob deine Website aktuell ausreichend abgesichert ist, oder wenn du das Backup-System lieber von jemandem einrichten lassen willst, der das täglich macht: DeMacher kümmert sich genau darum. Keine Panik, kein Fachkauderwelsch, einfach ein funktionierendes System.