Ein WordPress Backup ist eine Kopie der Dateien und der Datenbank deiner Website, aus der du sie nach einem Fehler wiederherstellen kannst. Ob dein Backup das kann, weißt du erst, wenn du es einmal zurückgespielt hast. Bis dahin ist es eine Annahme.
Wie trügerisch diese Annahme sein kann, zeigte eine Serverprüfung. Ein Backup-Zeitplan galt als eingerichtet, war aber nie aktiviert, und es gab kein einziges Backup. Gemeldet hatte das niemand: Ein Zeitplan, der nicht läuft, verschickt auch keine Fehlermeldung.
In diesem Artikel zeige ich dir, was ein WordPress Backup enthalten muss, warum das Backup deines Hosters allein nicht reicht, wie du mit einem Rücksicherungstest prüfst, ob dein Backup im Ernstfall trägt, und welchen Rhythmus ich für Sichern und Testen empfehle.
Zusammenfassung
- Ein WordPress Backup besteht aus zwei Teilen: den Dateien und der Datenbank. Nur mit beiden lässt sich die Website wiederherstellen.
- Das Backup des Hosters ist eine gute erste Ebene. Dazu gehört eine eigene Kopie außerhalb des Hosters, auf die du selbst zugreifen kannst.
- Ein Backup gilt erst als geprüft, wenn es einmal auf eine Testkopie zurückgespielt wurde. Für Websites, die Anfragen oder Umsatz bringen, empfehle ich das einmal pro Quartal.
- Ein Zeitplan, der nicht läuft, meldet keinen Fehler. Prüfe deshalb regelmäßig, ob neue Backups mit plausibler Größe entstehen.
- Die DSGVO nennt unter den geeigneten Schutzmaßnahmen die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren, die Maßnahmen regelmäßig zu überprüfen.
Was ein WordPress Backup enthalten muss
Ein vollständiges WordPress Backup sichert die Dateien und die Datenbank. Die WordPress-Dokumentation sagt es knapp: Du brauchst beides, um eine typische WordPress-Seite vollständig wiederherzustellen (WordPress-Dokumentation).
Die Dateien enthalten WordPress selbst, Theme, Plugins und alle hochgeladenen Bilder und Dokumente. In der Datenbank stehen die Inhalte: Seiten, Beiträge, Einstellungen, Benutzer und bei Shops die Bestellungen. Wer nur den Ordner herunterlädt, hat deshalb keine Sicherung der Inhalte, denn die Datenbank liegt getrennt davon.
Die Dokumentation empfiehlt außerdem, mindestens drei bis fünf aktuelle Backups aufzubewahren. Der Grund ist praktisch: Fällt ein Fehler erst nach ein paar Tagen auf, ist das jüngste Backup womöglich schon betroffen, und du brauchst einen älteren Stand.
Warum das Backup des Hosters allein nicht reicht
Für die meisten Unternehmer empfehle ich zwei Ebenen: das tägliche Backup beim Hoster und zusätzlich eine eigene Kopie außerhalb des Hosters, auf die du selbst zugreifen kannst. Das Backup beim Hoster deckt den Alltag ab. Die eigene Kopie schützt vor dem Fall, in dem der Hoster selbst das Problem ist: ein Ausfall des Servers, ein gesperrtes Konto oder ein Wechsel des Anbieters.
Die WordPress-Dokumentation weist auf einen zweiten Punkt hin. Die meisten Hoster sichern den ganzen Server, aber es dauert, eine Kopie der eigenen Website aus diesen Backups anzufordern. Sie empfiehlt deshalb, selbst zu lernen, wie man die eigene Website sichert und wiederherstellt (WordPress-Dokumentation).
Hoster sehen das naturgemäß etwas anders. Raidboxes, selbst Anbieter von WordPress-Hosting, schreibt, dass das Hosting dort Backup-Plugins überflüssig macht, weil jede Nacht automatisch ein Backup entsteht (Raidboxes). Für das Plugin mag das stimmen. Im selben Artikel empfiehlt Raidboxes aber, Dateien zusätzlich herunterzuladen und auf einer externen Festplatte oder einem anderen Speichermedium abzulegen. Genau das ist die zweite Ebene.
Für meine eigenen Websites ist dafür eine monatliche Kopie von Hand vorgesehen. Das soll ein paar Minuten kosten und keine zusätzliche Lizenz.
Praxisfall: Der Zeitplan, der nie lief
Bei der eingangs erwähnten Serverprüfung fiel auf, dass im Backup-Ordner keine Website-Backups lagen. Der Zeitplan in der Serververwaltung war vollständig ausgefüllt, nur der Haken bei „Aufgabe aktivieren“ fehlte. Es lief also nie ein Backup, und niemand hat es gemerkt.
Behoben war das in wenigen Minuten: Zeitplan aktivieren, täglich nachts sichern, einmal pro Woche vollständig, fünf Vollbackups aufbewahren und bei Fehlern eine Mail verschicken. Wichtiger ist die Lehre daraus. Eine Benachrichtigung bei Fehlern schützt nur, wenn die Aufgabe überhaupt läuft. Deshalb gehört zur Kontrolle ein Blick auf die Liste der vorhandenen Backups: Gibt es ein Backup von letzter Nacht, und ist es ungefähr so groß wie das davor?
Der Rücksicherungstest: so prüfst du dein Backup
Ein Backup ist erst geprüft, wenn du es einmal zurückgespielt hast. Ich empfehle das einmal pro Quartal, und zwar auf eine Testkopie der Website, nie auf die Live-Seite. Wie eine solche Testkopie aufgebaut ist und was sie abgeschottet braucht, steht im Artikel zu WordPress Staging.
Der Test selbst hat fünf Schritte:
- Backup auswählen. Nimm nicht das jüngste, sondern eines, das ein paar Tage alt ist. So prüfst du gleich mit, ob ältere Stände noch vorhanden und vollständig sind.
- Auf die Testkopie zurückspielen. Dateien und Datenbank, mit dem Werkzeug, das du auch im Ernstfall nutzen würdest.
- Prüfen, was zählt. Startseite und eine Unterseite aufrufen, Bilder ansehen, im Backend anmelden, das Kontaktformular abschicken. Bei Shops eine Testbestellung.
- Zeit messen. Notiere, wie lange die Rücksicherung gedauert hat. Diese Zeit ist im Ernstfall deine Ausfallzeit.
- Ergebnis festhalten. Datum, verwendetes Backup, Dauer, Auffälligkeiten. Beim nächsten Test siehst du, ob sich etwas verändert hat.
Auch die WordPress-Dokumentation rät, automatische Backups ab und zu durch ein manuelles zu ergänzen, um sicherzugehen, dass der Vorgang funktioniert. Der Rücksicherungstest geht einen Schritt weiter, weil er die Richtung prüft, auf die es ankommt: zurück.
Praxisfall: Rückweg nach einem automatischen Update
Wie wertvoll ein funktionierender Rückweg ist, habe ich nach einem automatischen Update erlebt, das eine Website beschädigt hat. Ich habe die Seite aus dem Server-Backup zurückgespielt, nach weniger als einer Stunde lief sie wieder. Danach habe ich den Fehler auf der Testkopie behoben und das Update erst dann erneut eingespielt.
Bei mir gilt heute: Reguläre Updates laufen zuerst über die Testkopie, nur Sicherheitsupdates gehen sofort live und werden direkt danach getestet. Wie dieser Ablauf aussieht, steht im Artikel zur WordPress Wartung.
Wie oft du sichern und testen solltest
Mein empfohlener Rhythmus für Websites, die Anfragen oder Umsatz bringen:
- Täglich: automatisches Backup beim Hoster oder über die Serververwaltung, mit Benachrichtigung bei Fehlern.
- Vor Änderungen: zusätzlich ein Backup von Hand, wenn sich die Live-Seite seit dem letzten täglichen Backup verändert hat.
- Wöchentlich: ein Vollbackup, damit eine Rücksicherung nicht von einer langen Kette einzelner Teilsicherungen abhängt.
- Monatlich: eine eigene Kopie außerhalb des Hosters.
- Vierteljährlich: ein Rücksicherungstest auf der Testkopie.
Für eine reine Visitenkarten-Website, die sich selten ändert, reicht weniger. Dort genügt meist das tägliche Backup des Hosters, eine externe Kopie nach jeder größeren Änderung und ein Test im Jahr.
Backup und Datenschutz
Ein Backup ist auch eine Datenschutzfrage, sobald personenbezogene Daten auf der Website liegen, etwa Anfragen, Kundenkonten oder Bestellungen. Artikel 32 DSGVO verlangt Schutzmaßnahmen, die dem Risiko angemessen sind. Dazu gehört gegebenenfalls die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Außerdem verlangt sie ein Verfahren zur regelmäßigen Überprüfung, ob die technischen und organisatorischen Maßnahmen wirken (Art. 32 DSGVO).
Ein Backup, das nie getestet wurde, ist aus meiner Sicht kein Nachweis für den zweiten Teil. Ich bin kein Anwalt, aber der dokumentierte Rücksicherungstest ist aus meiner Sicht der einfachste Weg, beide Anforderungen praktisch abzudecken.
Was du selbst prüfen kannst
- Gibt es ein Backup von letzter Nacht? Schau in die Backup-Übersicht deines Hosters oder deiner Serververwaltung, nicht nur in die Einstellungen.
- Ist es ungefähr so groß wie die vorherigen? Ein deutlich kleineres Backup kann heißen, dass Dateien oder die Datenbank fehlen.
- Gibt es eine Kopie außerhalb des Hosters? Und wann wurde sie zuletzt erneuert?
- Bekommst du eine Nachricht, wenn ein Backup fehlschlägt? Prüfe, an welche Adresse sie geht und ob diese Adresse gelesen wird.
- Wann wurde zuletzt ein Backup zurückgespielt? Wenn du das nicht weißt, plane den ersten Rücksicherungstest auf einer Testkopie ein.
Häufige Fragen zum WordPress Backup
Ein vollständiges WordPress Backup enthält die Dateien und die Datenbank. Die Dateien umfassen WordPress, Theme, Plugins und Uploads, die Datenbank alle Inhalte, Einstellungen und Benutzer. Nur mit beiden Teilen lässt sich die Website vollständig wiederherstellen.
Für Websites, die Anfragen oder Umsatz bringen, empfehle ich ein tägliches automatisches Backup, ein wöchentliches Vollbackup und vor Änderungen ein zusätzliches Backup von Hand, wenn sich seit dem letzten täglichen Backup etwas geändert hat. Eine reine Visitenkarten-Website kommt mit weniger aus.
Als erste Ebene ja, wenn es täglich läuft und du weißt, wie du es zurückspielst. Zusätzlich empfehle ich eine eigene Kopie außerhalb des Hosters, damit du auch dann an deine Daten kommst, wenn der Hoster selbst ausfällt oder du den Anbieter wechselst.
Spiel ein Backup auf eine Testkopie der Website zurück, nie auf die Live-Seite. Prüfe danach Startseite, Unterseiten, Bilder, Anmeldung und Kontaktformular und notiere, wie lange die Rücksicherung gedauert hat. Ich empfehle diesen Test einmal pro Quartal.
An mindestens zwei Orten: beim Hoster für die schnelle Rücksicherung im Alltag und an einem Ort außerhalb des Hosters, auf den du selbst Zugriff hast. Die [WordPress-Dokumentation](https://developer.wordpress.org/advanced-administration/security/backup/) empfiehlt, Kopien an verschiedenen Orten aufzubewahren.
Fazit
Ein WordPress Backup schützt dich erst, wenn drei Dinge zusammenkommen: Es entsteht wirklich, es liegt nicht nur beim Hoster, und es lässt sich nachweislich zurückspielen. Ein Zeitplan, der nie lief, sieht in den Einstellungen genauso aus wie einer, der jede Nacht sichert. Deshalb gehört der Blick in die Backup-Liste dazu.
Fang mit drei Schritten an: Backup-Liste prüfen, eine Kopie außerhalb des Hosters anlegen, den ersten Rücksicherungstest auf einer Testkopie einplanen.
Wenn du unsicher bist, ob deine Website im Ernstfall wiederherstellbar ist: Im Erstgespräch schauen wir gemeinsam an, welcher nächste Schritt sich bei dir rechnet. Wie ich WordPress-Websites baue und betreue, steht auf der Seite zur WordPress-Entwicklung.
