WordPress-Backups richtig einrichten: Die 3-2-1-Regel für Schweizer Websites

Ein WordPress-Backup ist erst dann eines, wenn Sie es mindestens einmal erfolgreich wiederhergestellt haben. Der Standard dafür heisst 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine ausser Haus. Wer ein WordPress-Backup so einrichtet, übersteht Serverausfall, Fehlbedienung und Ransomware ohne Datenverlust.

In der Praxis verlassen sich viele KMU allein auf die automatische Sicherung ihres Hosters. Das reicht selten: Bei den Setups, die wir übernehmen, liegen diese Backups meist auf demselben Server, halten 7 bis 14 Tage vor — und ob sie sich zurückspielen lassen, hat niemand geprüft. Fällt der Server aus oder verschlüsselt ein Angriff Ihre Daten, ist die Sicherung im schlimmsten Fall gleich mit betroffen.

Was bedeutet die 3-2-1-Regel für WordPress?

Die 3-2-1-Regel ist ein anerkannter Standard der Datensicherung: Sie halten drei Kopien Ihrer Daten vor, speichern diese auf zwei unterschiedlichen Medientypen und lagern mindestens eine Kopie ausser Haus — also getrennt von Ihrem Webserver. Für eine WordPress-Website bedeutet das: das Live-System plus zwei unabhängige Sicherungen, von denen eine an einem externen Ort liegt.

Der Sinn dahinter ist einfach: Kein einzelner Zwischenfall soll alle Kopien gleichzeitig treffen können. Eine Sicherung auf demselben Server schützt zwar vor einem versehentlich gelöschten Beitrag, aber nicht vor einem defekten Datenträger, einem gehackten Konto oder einem Rechenzentrums-Ausfall. Genau diese Fälle fängt die externe Kopie ab.

Reicht das Backup meines Hosters?

Als alleinige Absicherung meistens nicht. Ein Hoster-Backup ist eine gute erste Ebene, erfüllt aber selten die 3-2-1-Regel. Drei Schwachstellen tauchen bei den Setups, die wir übernehmen, immer wieder auf: Die Sicherung liegt auf demselben System wie die Website, die Aufbewahrung ist mit 7 bis 14 Tagen kurz, und niemand hat je geprüft, ob sich daraus die Website tatsächlich zurückholen lässt.

Besonders die kurze Aufbewahrung ist tückisch. Eine Schadsoftware oder eine manipulierte Datei bleibt oft wochenlang unbemerkt. Wird das Problem erst nach drei Wochen entdeckt, sind alle Hoster-Backups längst mit der Infektion überschrieben. Deshalb empfehlen wir mindestens 30 Tage Aufbewahrung und ein externes Ziel, das der Hoster nicht selbst verwaltet. Auch bei gutem Managed WordPress Hosting gilt: Prüfen Sie, wie lange die Backups vorgehalten werden und ob Sie eine Wiederherstellung selbst anstossen können.

Ein WordPress-Backup richtig einrichten

Ein WordPress-Backup einrichten heisst mehr, als ein Plugin zu installieren. Sie legen fest, was gesichert wird, wie oft, wohin und wie lange — und Sie prüfen, dass sich die Sicherung zurückspielen lässt. Die folgenden zwei Fragen klären die Grundlagen, bevor Sie zum konkreten Werkzeug greifen.

Was gehört in ein vollständiges Backup?

Eine WordPress-Website besteht aus zwei Teilen, die beide gesichert werden müssen. Fehlt einer davon, ist die Wiederherstellung unvollständig. Die offizielle WordPress-Dokumentation zu Backups unterscheidet klar zwischen Datenbank und Dateien.

• Datenbank — Beiträge, Seiten, Kommentare, Benutzer und alle Einstellungen. Ohne sie ist die Website leer.
• Dateien — der Ordner wp-content mit Uploads (Bilder, PDFs), Themes und Plugins sowie die Konfigurationsdatei wp-config.php.

Wie oft und wie lange sichern?

Die Häufigkeit richtet sich danach, wie oft sich Ihre Website ändert. Für kleinere Websites mit wenigen Beiträgen genügt in der Regel eine wöchentliche Sicherung, für Websites mit viel Aktivität empfiehlt sich eine tägliche. Ein Onlineshop mit laufenden Bestellungen braucht häufigere Backups als eine Firmenseite, die sich kaum ändert. Sichern Sie zusätzlich immer vor grösseren Eingriffen — etwa vor einem Update oder einem Website-Relaunch.

Bei der Aufbewahrung gilt: lieber länger als kürzer. 30 Tage sind ein sinnvolles Minimum, weil sich Fehler oder Schadsoftware oft erst mit Verzögerung zeigen. Mehr Aufbewahrung kostet nur etwas Speicherplatz, verschafft Ihnen im Ernstfall aber die entscheidende saubere Version.

Wie teste ich, ob mein Backup funktioniert?

Indem Sie es wiederherstellen — aber nicht auf dem Live-System, sondern auf einer separaten Wegwerf-Umgebung. Diese geplante Übung nennen wir Restore-Drill: Sie spielen die Sicherung auf eine leere Testumgebung zurück und prüfen, ob die Website danach vollständig und funktionsfähig läuft. Erst wenn das gelingt, wissen Sie, dass Ihr Backup im Ernstfall trägt.

Für Webseitenbetreiber: Was bedeutet das für Ihre Website?

Für Sie als KMU geht es um Ausfallzeit und Umsatz. Ist Ihre Website nach einem Zwischenfall einen Tag offline, kostet das Kunden, Vertrauen und im Onlineshop direkt Bestellungen. Ein funktionierendes Backup verkürzt die Wiederherstellung von Tagen auf Stunden. Deshalb sind drei Punkte für Sie entscheidend: eine externe Kopie ausserhalb Ihres Servers, mindestens 30 Tage Aufbewahrung und ein regelmässig getesteter Restore.

Wenn Sie sich nicht selbst darum kümmern möchten, übernehmen wir das — mit Managed WordPress Hosting auf unserem Server oder mit WP-Care bei Ihrem bisherigen Hoster. In beiden Fällen sichern wir täglich, verschlüsselt und ausserhalb des Webservers in der EU. Wie weit die Stände zurückreichen, hängt von der Stufe ab und ist in beiden Angeboten gleich: 30 Tage in Start, 90 Tage in Business, 180 Tage in Premium. Beim Managed Hosting sichern wir in Premium zusätzlich die Datenbank stündlich, sodass sich dort für die letzten drei Tage ein Zeitpunkt genau treffen lässt, und prüfen die Sicherungen automatisch: täglich, ob sich Datenbank und Dateien zurückspielen lassen, wöchentlich zusätzlich die Datenbank-Sicherungen im externen Speicher. Um die Technik müssen Sie sich in beiden Fällen nicht kümmern.

Für Agenturen und Entwickler: Die wichtigsten Punkte

Für ein sauberes, skriptbares Backup führt der Weg über WP-CLI. Datenbank und Dateien lassen sich getrennt sichern und wiederherstellen. Beim Export der Datenbank ist --single-transaction wichtig, damit die Sicherung bei InnoDB-Tabellen konsistent bleibt, ohne Schreibzugriffe zu blockieren.

wp db export backup.sql --single-transaction
tar -czf wp-content.tar.gz wp-content/
wp db import backup.sql

Planen Sie Backups nicht über wp-cron, sondern über einen echten System-Cron — wp-cron läuft nur bei Seitenaufrufen und ist auf ruhigen Websites unzuverlässig. Für Point-in-Time-Recovery archivieren Sie zusätzlich die Binlogs der Datenbank: So lässt sich der Stand auf einen exakten Zeitpunkt zwischen zwei Vollsicherungen zurückspielen. Verschlüsseln Sie die externe Kopie vor dem Upload (etwa mit GnuPG oder age), damit die Sicherung auch beim Speicheranbieter geschützt bleibt.

Die klassischen Restore-Fallen sollten Sie im Skript abfangen: Ein abweichendes Datenbank-Präfix erfordert die passende $table_prefix-Angabe in der wp-config.php, eine ältere PHP-Version auf der Zielumgebung bricht den Import oder einzelne Plugins ab, und absolute URLs müssen bei einer Migration per wp search-replace angepasst werden. Automatisieren Sie den Restore-Test auf einer Wegwerf-Umgebung, dann fallen diese Punkte auf, bevor es ernst wird.

Genauso wichtig ist die Überwachung der Backup-Jobs selbst. Ein fehlgeschlagenes Backup meldet sich selten von allein — ein voller Speicher, ein abgelaufenes Token beim Cloud-Ziel oder ein Timeout bei grossen Uploads lassen die Sicherung still ausfallen. Setzen Sie deshalb auf aktives Monitoring: Prüfen Sie den Exit-Code jedes Jobs, verifizieren Sie die Grösse und Integrität der erzeugten Archive (etwa per Prüfsumme) und lassen Sie sich bei einem Fehlschlag aktiv benachrichtigen. Ein Backup-System, das seine eigenen Ausfälle nicht meldet, wiegt Sie in falscher Sicherheit.

Unsere Erfahrung aus der Praxis

Wir behandeln jedes Backup als ungeprüft, bis es wiederhergestellt wurde. Auf unserer Hosting-Plattform prüfen wir die Sicherungen deshalb automatisch: täglich, ob sich Datenbank und Dateien zurückspielen lassen, wöchentlich zusätzlich die Datenbank-Sicherungen im externen Speicher. Solche Prüfungen ersetzen nicht, die ganze Website einmal in eine andere Umgebung zurückzuspielen. Erst dabei zeigen sich die Kleinigkeiten, an denen der erste echte Restore sonst scheitert — am häufigsten das Datenbank-Präfix oder eine abweichende PHP-Version.

Unser Standard-Setup bei Managed WordPress Hosting: tägliche externe, verschlüsselte Backups; die Stände reichen je nach Stufe 30, 90 oder 180 Tage zurück. In Premium sichern wir die Datenbank zusätzlich stündlich, sodass sich dort für die letzten drei Tage auch ein Stand zwischen zwei Tagessicherungen zurückholen lässt. Bei WP-Care bleibt die Website bei Ihrem Hoster; dort sichern wir täglich, extern und verschlüsselt, und die Aufbewahrung ist gleich gestaffelt.

WordPress-Backup mit UpdraftPlus einrichten — Schritt für Schritt

Wer selbst Hand anlegt, kommt mit dem kostenlosen Backup-Plugin UpdraftPlus schnell zu einem soliden Setup. Wichtig ist nur, dass Sie ein externes Ziel wählen und den Restore einmal testen — ein Backup auf demselben Server ist kein 3-2-1-Backup.

1. Plugin installieren — UpdraftPlus über Plugins → Installieren hinzufügen und aktivieren, dann Einstellungen → UpdraftPlus Backups öffnen.
2. Externes Ziel wählen — im Reiter Einstellungen ein Remote-Speicherziel wie Google Drive, Dropbox oder Amazon S3 verbinden. Niemals nur auf demselben Server sichern.
3. Zeitplan festlegen — Sicherung für Dateien und Datenbank auf täglich oder wöchentlich stellen, passend zur Änderungshäufigkeit Ihrer Website.
4. Aufbewahrung setzen — die Zahl der zu behaltenden Backups so wählen, dass mindestens 30 Tage abgedeckt sind.
5. Erstes Backup auslösen — mit Backup Now eine vollständige Sicherung erstellen und prüfen, dass sie am externen Ziel ankommt.
6. Restore testen — die Sicherung auf einer Staging- oder Wegwerf-Umgebung zurückspielen und die Website auf Vollständigkeit prüfen. UpdraftPlus beschreibt das Vorgehen in seiner Restore-Anleitung.
7. Überwachen — regelmässig kontrollieren, dass die geplanten Backups laufen, und den Restore-Test in Abständen wiederholen.

Fazit

Ein WordPress-Backup einrichten ist kein einmaliger Klick, sondern ein System aus drei Kopien, einem externen Ziel und einem getesteten Restore. Wer die 3-2-1-Regel befolgt, mindestens 30 Tage aufbewahrt und die Wiederherstellung tatsächlich einmal durchspielt, ist gegen Serverausfall, Fehlbedienung und Angriffe gewappnet. Das Hoster-Backup allein reicht dafür in den seltensten Fällen.

Wenn Sie Einrichtung und Überwachung Ihrer Backups nicht selbst übernehmen möchten, erledigen wir das als Teil unserer WordPress-Wartung oder unseres Managed WordPress Hosting.

Häufig gestellte Fragen

Quellen

• CISA — Data Backup Options (3-2-1-Regel)
• WordPress.org — Backups (Advanced Administration Handbook)
• UpdraftPlus — How to back up your WordPress site with UpdraftPlus
• UpdraftPlus — How to manually restore an UpdraftPlus backup