WordPress-Backups richtig einrichten: Die 3-2-1-Regel für Schweizer Websites

Ein WordPress-Backup ist erst dann eines, wenn Sie es mindestens einmal erfolgreich wiederhergestellt haben. Der Standard dafür heisst 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine ausser Haus. Wer ein WordPress-Backup so einrichtet, übersteht Serverausfall, Fehlbedienung und Ransomware ohne Datenverlust.

In der Praxis verlassen sich viele KMU allein auf die automatische Sicherung ihres Hosters. Das reicht selten: Bei den Setups, die wir übernehmen, liegen diese Backups meist auf demselben Server, halten 7 bis 14 Tage vor — und ob sie sich zurückspielen lassen, hat niemand geprüft. Fällt der Server aus oder verschlüsselt ein Angriff Ihre Daten, ist die Sicherung im schlimmsten Fall gleich mit betroffen.

Was bedeutet die 3-2-1-Regel für WordPress?

Die 3-2-1-Regel ist ein anerkannter Standard der Datensicherung: Sie halten drei Kopien Ihrer Daten vor, speichern diese auf zwei unterschiedlichen Medientypen und lagern mindestens eine Kopie ausser Haus — also getrennt von Ihrem Webserver. Für eine WordPress-Website bedeutet das: das Live-System plus zwei unabhängige Sicherungen, von denen eine an einem externen Ort liegt.

Der Sinn dahinter ist einfach: Kein einzelner Zwischenfall soll alle Kopien gleichzeitig treffen können. Eine Sicherung auf demselben Server schützt zwar vor einem versehentlich gelöschten Beitrag, aber nicht vor einem defekten Datenträger, einem gehackten Konto oder einem Rechenzentrums-Ausfall. Genau diese Fälle fängt die externe Kopie ab.

Reicht das Backup meines Hosters?

Als alleinige Absicherung meistens nicht. Ein Hoster-Backup ist eine gute erste Ebene, erfüllt aber selten die 3-2-1-Regel. Drei Schwachstellen tauchen bei den Setups, die wir übernehmen, immer wieder auf: Die Sicherung liegt auf demselben System wie die Website, die Aufbewahrung ist mit 7 bis 14 Tagen kurz, und niemand hat je geprüft, ob sich daraus die Website tatsächlich zurückholen lässt.

Besonders die kurze Aufbewahrung ist tückisch. Eine Schadsoftware oder eine manipulierte Datei bleibt oft wochenlang unbemerkt. Wird das Problem erst nach drei Wochen entdeckt, sind alle Hoster-Backups längst mit der Infektion überschrieben. Deshalb empfehlen wir mindestens 30 Tage Aufbewahrung und ein externes Ziel, das der Hoster nicht selbst verwaltet. Auch bei gutem Managed WordPress Hosting gilt: Prüfen Sie, wie lange die Backups vorgehalten werden und ob Sie eine Wiederherstellung selbst anstossen können.

Ein WordPress-Backup richtig einrichten

Ein WordPress-Backup einrichten heisst mehr, als ein Plugin zu installieren. Sie legen fest, was gesichert wird, wie oft, wohin und wie lange — und Sie prüfen, dass sich die Sicherung zurückspielen lässt. Die folgenden zwei Fragen klären die Grundlagen, bevor Sie zum konkreten Werkzeug greifen.

Was gehört in ein vollständiges Backup?

Eine WordPress-Website besteht aus zwei Teilen, die beide gesichert werden müssen. Fehlt einer davon, ist die Wiederherstellung unvollständig. Die offizielle WordPress-Dokumentation zu Backups unterscheidet klar zwischen Datenbank und Dateien.

• Datenbank — Beiträge, Seiten, Kommentare, Benutzer und alle Einstellungen. Ohne sie ist die Website leer.
• Dateien — der Ordner wp-content mit Uploads (Bilder, PDFs), Themes und Plugins sowie die Konfigurationsdatei wp-config.php.

Wie oft und wie lange sichern?

Die Häufigkeit richtet sich danach, wie oft sich Ihre Website ändert. Für kleinere Websites mit wenigen Beiträgen genügt in der Regel eine wöchentliche Sicherung, für Websites mit viel Aktivität empfiehlt sich eine tägliche. Ein Onlineshop mit laufenden Bestellungen braucht häufigere Backups als eine Firmenseite, die sich kaum ändert. Sichern Sie zusätzlich immer vor grösseren Eingriffen — etwa vor einem Update oder einem Website-Relaunch.

Bei der Aufbewahrung gilt: lieber länger als kürzer. 30 Tage sind ein sinnvolles Minimum, weil sich Fehler oder Schadsoftware oft erst mit Verzögerung zeigen. Mehr Aufbewahrung kostet nur etwas Speicherplatz, verschafft Ihnen im Ernstfall aber die entscheidende saubere Version.

Wie teste ich, ob mein Backup funktioniert?

Indem Sie es wiederherstellen — aber nicht auf dem Live-System, sondern auf einer separaten Wegwerf-Umgebung. Diese geplante Übung nennen wir Restore-Drill: Sie spielen die Sicherung auf eine leere Testumgebung zurück und prüfen, ob die Website danach vollständig und funktionsfähig läuft. Erst wenn das gelingt, wissen Sie, dass Ihr Backup im Ernstfall trägt.

Für Webseitenbetreiber: Was bedeutet das für Ihre Website?

Für Sie als KMU geht es um Ausfallzeit und Umsatz. Ist Ihre Website nach einem Zwischenfall einen Tag offline, kostet das Kunden, Vertrauen und im Onlineshop direkt Bestellungen. Ein funktionierendes Backup verkürzt die Wiederherstellung von Tagen auf Stunden. Deshalb sind drei Punkte für Sie entscheidend: eine externe Kopie ausserhalb Ihres Servers, mindestens 30 Tage Aufbewahrung und ein regelmässig getesteter Restore.

Wenn Sie sich nicht selbst darum kümmern möchten, übernehmen wir das im Rahmen unseres WordPress-Supports und der Wartung: tägliche externe, verschlüsselte Backups (7 Tage Aufbewahrung, ab WP-Care Business 30 Tage) und ein automatisierter Restore-Test, damit die Sicherung im Ernstfall auch wirklich funktioniert. Sie erhalten die Gewissheit, dass Ihre Daten sicher und wiederherstellbar sind, ohne sich mit der Technik befassen zu müssen.

Für Agenturen und Entwickler: Die wichtigsten Punkte

Für ein sauberes, skriptbares Backup führt der Weg über WP-CLI. Datenbank und Dateien lassen sich getrennt sichern und wiederherstellen. Beim Export der Datenbank ist --single-transaction wichtig, damit die Sicherung bei InnoDB-Tabellen konsistent bleibt, ohne Schreibzugriffe zu blockieren.

wp db export backup.sql --single-transaction
tar -czf wp-content.tar.gz wp-content/
wp db import backup.sql

Planen Sie Backups nicht über wp-cron, sondern über einen echten System-Cron — wp-cron läuft nur bei Seitenaufrufen und ist auf ruhigen Websites unzuverlässig. Für Point-in-Time-Recovery archivieren Sie zusätzlich die Binlogs der Datenbank: So lässt sich der Stand auf einen exakten Zeitpunkt zwischen zwei Vollsicherungen zurückspielen. Verschlüsseln Sie die externe Kopie vor dem Upload (etwa mit GnuPG oder age), damit die Sicherung auch beim Speicheranbieter geschützt bleibt.

Die klassischen Restore-Fallen sollten Sie im Skript abfangen: Ein abweichendes Datenbank-Präfix erfordert die passende $table_prefix-Angabe in der wp-config.php, eine ältere PHP-Version auf der Zielumgebung bricht den Import oder einzelne Plugins ab, und absolute URLs müssen bei einer Migration per wp search-replace angepasst werden. Automatisieren Sie den Restore-Test auf einer Wegwerf-Umgebung, dann fallen diese Punkte auf, bevor es ernst wird.

Genauso wichtig ist die Überwachung der Backup-Jobs selbst. Ein fehlgeschlagenes Backup meldet sich selten von allein — ein voller Speicher, ein abgelaufenes Token beim Cloud-Ziel oder ein Timeout bei grossen Uploads lassen die Sicherung still ausfallen. Setzen Sie deshalb auf aktives Monitoring: Prüfen Sie den Exit-Code jedes Jobs, verifizieren Sie die Grösse und Integrität der erzeugten Archive (etwa per Prüfsumme) und lassen Sie sich bei einem Fehlschlag aktiv benachrichtigen. Ein Backup-System, das seine eigenen Ausfälle nicht meldet, wiegt Sie in falscher Sicherheit.

Unsere Erfahrung aus der Praxis

Wir behandeln jedes Backup als ungeprüft, bis es wiederhergestellt wurde. Deshalb verifizieren wir unsere Sicherungen automatisiert per Restore-Drill: Backup erstellen, auf eine Wegwerf-Umgebung wiederherstellen, Funktionstest durchführen. Diese Kette deckt genau die Kleinigkeiten auf, an denen der erste echte Restore sonst scheitert — am häufigsten am Datenbank-Präfix oder an einer abweichenden PHP-Version.

Unser Standard-Setup für betreute Websites: tägliche externe, verschlüsselte Backups mit 7 Tagen Aufbewahrung — ab WP-Care Business 30 Tage —, zusätzlich Binlog-Archivierung für Point-in-Time-Recovery. So können wir nicht nur den letzten Tagesstand zurückholen, sondern gezielt den Zeitpunkt kurz vor einem Fehler — und das mit der Sicherheit, dass die Wiederherstellung getestet ist.

WordPress-Backup mit UpdraftPlus einrichten — Schritt für Schritt

Wer selbst Hand anlegt, kommt mit dem kostenlosen Backup-Plugin UpdraftPlus schnell zu einem soliden Setup. Wichtig ist nur, dass Sie ein externes Ziel wählen und den Restore einmal testen — ein Backup auf demselben Server ist kein 3-2-1-Backup.

1. Plugin installieren — UpdraftPlus über Plugins → Installieren hinzufügen und aktivieren, dann Einstellungen → UpdraftPlus Backups öffnen.
2. Externes Ziel wählen — im Reiter Einstellungen ein Remote-Speicherziel wie Google Drive, Dropbox oder Amazon S3 verbinden. Niemals nur auf demselben Server sichern.
3. Zeitplan festlegen — Sicherung für Dateien und Datenbank auf täglich oder wöchentlich stellen, passend zur Änderungshäufigkeit Ihrer Website.
4. Aufbewahrung setzen — die Zahl der zu behaltenden Backups so wählen, dass mindestens 30 Tage abgedeckt sind.
5. Erstes Backup auslösen — mit Backup Now eine vollständige Sicherung erstellen und prüfen, dass sie am externen Ziel ankommt.
6. Restore testen — die Sicherung auf einer Staging- oder Wegwerf-Umgebung zurückspielen und die Website auf Vollständigkeit prüfen. UpdraftPlus beschreibt das Vorgehen in seiner Restore-Anleitung.
7. Überwachen — regelmässig kontrollieren, dass die geplanten Backups laufen, und den Restore-Test in Abständen wiederholen.

Fazit

Ein WordPress-Backup einrichten ist kein einmaliger Klick, sondern ein System aus drei Kopien, einem externen Ziel und einem getesteten Restore. Wer die 3-2-1-Regel befolgt, mindestens 30 Tage aufbewahrt und die Wiederherstellung tatsächlich einmal durchspielt, ist gegen Serverausfall, Fehlbedienung und Angriffe gewappnet. Das Hoster-Backup allein reicht dafür in den seltensten Fällen.

Wenn Sie sicher sein wollen, dass Ihre Sicherung im Ernstfall wirklich trägt, übernehmen wir das getestete Backup-Management als Teil unserer WordPress-Wartung.

Häufig gestellte Fragen

Quellen

• CISA — Data Backup Options (3-2-1-Regel)
• WordPress.org — Backups (Advanced Administration Handbook)
• UpdraftPlus — How to back up your WordPress site with UpdraftPlus
• UpdraftPlus — How to manually restore an UpdraftPlus backup