Eine vollständige WordPress-Backup-Strategie: Dateien, Datenbanken und getestete Wiederherstellungen

Die meisten WordPress-Betreiber haben ein Backup-Plugin installiert. Weit weniger haben je eine Wiederherstellung geprobt. Genau in dieser Lücke zwischen ein Backup haben und einem Backup vertrauen gehen Websites verloren — durch ein fehlerhaftes Update, einen kompromittierten Hoster oder eine falsch konfigurierte Migration. Eine vollständige WordPress-Backup-Strategie schließt diese Lücke systematisch.

Dieser Leitfaden behandelt jede Ebene: was in ein Backup gehört, welche Regeln für die Aufbewahrung gelten, wie sich die Frequenz nach Websitetyp richtet und wie Sie beweisen, dass Ihre Backups tatsächlich funktionieren.

Was in ein vollständiges WordPress-Backup gehört

Viele unvollständige Setups sichern nur die Datenbank. Damit lassen sich Beiträge und Einstellungen zurückholen, aber Theme, Plugins, hochgeladene Medien und individuelle Konfiguration fehlen. Ein vollständiges Backup muss alle Bestandteile umfassen:

• WordPress-Core-Dateien — die Verzeichnisse /wp-admin/ und /wp-includes/. Sie ließen sich neu laden, aber bei einer schnellen Wiederherstellung zählt die passende Version.
• Theme- und Plugin-Dateien — gerade eigene Themes lassen sich nicht neu herunterladen. Nehmen Sie /wp-content/themes/ und /wp-content/plugins/ in jedes Backup auf.
• Uploads-Verzeichnis — /wp-content/uploads/ enthält jedes Bild, PDF und Medium, das Ihre Besucher sehen. Meist der größte und am wenigsten ersetzbare Teil.
• MySQL-Datenbank — enthält alle Beiträge, Seiten, Bestellungen, Nutzer, Einstellungen und Metadaten. Bei WooCommerce der zeitkritischste Bestandteil.
• Konfigurationsdateien — wp-config.php, .htaccess und serverseitige Konfiguration der Installation. Sie tragen Datenbank-Zugangsdaten und eigene Rewrite-Regeln.

Fehlt einer dieser Bestandteile, ist das Backup unvollständig. Wenn eine Wiederherstellung unter Druck stattfindet, ist es teuer, die Lücke um zwei Uhr nachts zu entdecken.

Die 3-2-1-Regel, angewandt auf WordPress

Die 3-2-1-Regel ist der Branchenstandard für Datensicherung und lässt sich sauber auf WordPress übertragen:

• 3 Kopien Ihrer Daten zu jeder Zeit
• 2 verschiedene Speichermedien oder Dienste (etwa lokale Platte und Cloud)
• 1 Kopie außer Haus (physisch und logisch getrennt von Ihrem Hoster)

In der Praxis heißt das: Ihr Hoster hält über sein Snapshot-System eine Kopie, Ihr Backup-Plugin schiebt eine zweite in einen S3-kompatiblen Speicher oder zu Google Drive, und eine dritte liegt in einem separaten Cloud-Konto oder auf einem lokalen NAS. Entscheidend ist, dass der Ausfall eines einzelnen Anbieters — auch der Ausfall Ihres Hosters — nicht alle drei Kopien gleichzeitig vernichten kann.

Vilee LLC verbindet tiefe technische Expertise in WordPress-/WooCommerce-Entwicklung mit KI-gestützter Automatisierung und betreibt damit über 520 profitable Onlinegeschäfte im großen Maßstab.

Vollbackups gegenüber inkrementellen Backups

Zwei Ansätze prägen die Backup-Architektur in WordPress:

Vollbackups kopieren bei jedem Lauf sämtliche Dateien und die komplette Datenbank. Die Wiederherstellung ist einfach — ein Archiv enthält alles —, aber sie brauchen mehr Speicher und mehr Zeit. Passend für kleinere Websites oder als wöchentlicher Ankerpunkt in einer gemischten Strategie.

Inkrementelle Backups erfassen nur, was sich seit dem letzten Vollbackup geändert hat. Sie sind schneller, kleiner und häufiger möglich. Der Preis ist eine komplexere Wiederherstellung: Sie spielen das letzte Vollbackup ein und legen jedes inkrementelle Backup darüber. Werkzeuge wie UpdraftPlus, BlogVault und ManageWP unterstützen das nativ.

Für die meisten produktiven Websites funktioniert eine Mischung am besten: wöchentlich ein Vollbackup, täglich oder stündlich inkrementelle Backups, je nach Änderungsgeschwindigkeit.

Backup-Frequenz je Websitetyp

Nicht jede WordPress-Website ändert sich gleich schnell. Eine statische Imageseite und ein aktiver WooCommerce-Shop haben sehr unterschiedliche Toleranzen für Datenverlust. Nutzen Sie diese Tabelle als Ausgangspunkt:

Backup-Typ	Empfohlene Frequenz	Speicherort
Vollbackup (Imageseite/Blog)	wöchentlich	externe Cloud (S3, Drive)
Vollbackup (WooCommerce)	täglich	externe Cloud + zweite Region
nur Datenbank (WooCommerce)	alle 1–4 Stunden	externe Cloud, eigener Bucket
inkrementelle Dateien	täglich	externe Cloud
Snapshot vor Updates	vor jedem Core-/Plugin-Update	Hoster-Snapshot + extern
Snapshot vor Migration	vor jeder Server- oder DNS-Änderung	externe Cloud + lokaler Download

WooCommerce-Shops verdienen besondere Behandlung. Jede Stunde ohne Datenbank-Backup ist eine Stunde mit Bestellungen, Bestandsänderungen und Kundendaten im Risiko. Für umsatzstarke Shops ergänzt eine Datenbankreplikation in Echtzeit auf eine Lesekopie — getrennt von der Backup-Strategie — eine weitere Schutzschicht.

Speicherung außer Haus und außerhalb des Servers

Backups auf demselben Server wie die WordPress-Installation zu lagern, ist keine Strategie. Wird der Server kompromittiert, beschädigt oder gelöscht, verschwinden die Backups mit ihm. Externe Speicherung bedeutet ein physisch und logisch getrenntes System, das Ihr Webserver nicht eigenständig löschen kann.

Empfehlenswerte externe Ziele:

• Amazon S3 oder S3-kompatibler Speicher (Wasabi, Backblaze B2) — günstig, sehr langlebig, mit Versionierung
• Google Cloud Storage — passt gut in Umgebungen mit Google Workspace
• Rclone zu beliebigen Anbietern — quelloffen, unterstützt über 40 Cloud-Ziele, skriptfähig
• Spezialisierte WordPress-Backup-Dienste — BlogVault und VaultPress lagern Backups auf eigener Infrastruktur, vollständig getrennt von Ihrem Hoster

Aktivieren Sie die Objektversionierung Ihres Speichers, damit ein versehentliches Überschreiben oder ein Ransomware-Vorfall frühere Backup-Stände nicht auslöschen kann.

Die Backup-Strecke automatisieren

Manuelle Backups scheitern unter operativem Druck. Die Nacht vor einem großen Produktstart ist nicht der Moment, in dem Ihnen einfallen soll, dass Sie seit zwei Wochen nicht gesichert haben. Automatisierung nimmt den Menschen aus dem kritischsten Teil Ihrer Wiederherstellungsfähigkeit.

Verlässliche Optionen zur Automatisierung:

• UpdraftPlus — ausgereift, breit unterstützt, sendet planmäßig an externen Speicher
• BlogVault — inkrementelle Backups in Echtzeit, gebaut für Agenturen mit vielen Websites
• ManageWP — zentrales Dashboard für Backups über viele WordPress-Installationen
• Eigene Skripte mit WP-CLI und Cron — maximale Kontrolle für technische Teams; wp db export kombiniert mit rclone sync ergibt eine schlanke, nachvollziehbare Strecke

Welches Werkzeug Sie auch wählen: Richten Sie Fehlermeldungen ein. Ein Backup-Job, der drei Wochen still scheitert, erzeugt trügerische Sicherheit. Anbindungen an E-Mail, Slack oder PagerDuty sollten bei ausgefallenen oder fehlgeschlagenen Läufen alarmieren. Wie wir automatisierte Backup-Überwachung in Kundenumgebungen umsetzen, zeigen unsere Leistungen.

Aufbewahrung und Verschlüsselung

Jedes Backup unbegrenzt aufzubewahren ist teuer und unnötig. Eine sinnvolle Aufbewahrungsregel wägt Wiederherstellungsspielraum gegen Speicherkosten ab:

• tägliche Backups: 14–30 Tage aufbewahren
• wöchentliche Vollbackups: 3 Monate aufbewahren
• monatliche Snapshots: 12 Monate aufbewahren
• Snapshots vor Updates: 30 Tage nach einer stabilen Phase aufbewahren

Verschlüsselung ist bei jedem Backup mit Nutzerdaten nicht verhandelbar, besonders bei WooCommerce-Shops mit Anforderungen aus DSGVO, CCPA oder PCI-DSS. Verschlüsseln Sie Archive vor der Übertragung mit AES-256. Bewahren Sie die Schlüssel getrennt von den Backup-Dateien auf — ein Schlüssel, der im selben Bucket liegt, den er schützen soll, schützt nichts.

Wiederherstellung testen: der Schritt, den die meisten überspringen

Ein Backup, das Sie nie zurückgespielt haben, ist eine Hypothese, kein Wiederherstellungsplan. Der Wiederherstellungstest ist in den meisten Backup-Strategien der am häufigsten übersprungene Schritt — und genau der Schritt, der entscheidet, ob Ihr Backup echt ist.

Testen Sie in einer Staging-Umgebung — einem eigenen Server oder einer Subdomain, die die Produktion spiegelt, ohne Livebesucher zu bedienen. Die meisten Managed-Hoster bieten Staging auf Knopfdruck. Der Testablauf:

1. eine saubere Staging-Umgebung aufsetzen
2. das jüngste Backup-Archiv aus dem externen Speicher holen
3. Dateien und Datenbank ins Staging zurückspielen
4. die kritischen Funktionen durchgehen: Startseite, Checkout-Strecke, Admin-Login, Formularversand
5. Datensatzzahlen gegen die Produktionsstände abgleichen
6. die Dauer dokumentieren — daraus wird Ihre RTO (Recovery Time Objective)

Führen Sie mindestens vierteljährlich einen vollständigen Wiederherstellungstest durch, außerdem nach jeder größeren Infrastrukturänderung. Ziel ist, Ihre Wiederherstellungszeit zu kennen, bevor Sie sie unter Druck brauchen.

Checkliste: bereit zur Wiederherstellung

• Vollbackup (Dateien + Datenbank) innerhalb der letzten 24 Stunden bestätigt
• Backup an mindestens zwei getrennten Orten (3-2-1-Regel)
• mindestens eine Kopie außer Haus und außerhalb des Servers
• Backup enthält: Core-Dateien, Themes, Plugins, Uploads, wp-config.php, .htaccess
• automatischer Backup-Job läuft planmäßig, Fehlermeldungen aktiv
• Archive im Ruhezustand und bei der Übertragung verschlüsselt
• Schlüssel getrennt von den Backup-Dateien aufbewahrt
• Aufbewahrungsregel konfiguriert (täglich/wöchentlich/monatlich)
• Wiederherstellung in den letzten 90 Tagen im Staging getestet
• Wiederherstellungszeit dokumentiert und innerhalb der akzeptierten RTO
• WooCommerce-Datenbank mindestens alle 4 Stunden gesichert (stündlich bei hohem Volumen)
• Snapshot vor dem letzten Core-/Plugin-Update erstellt
• Backup-Zugangsdaten in einem Passwortmanager getrennt vom Hosting-Dashboard abgelegt

Nächste Schritte

Eine vollständige WordPress-Backup-Strategie ist keine Plugin-Einstellung, sondern eine operative Disziplin: was Sie sichern, wie oft, wohin es geht, ob es verschlüsselt ist und ob Sie geprüft haben, dass es sich korrekt zurückspielen lässt. Die Checkliste oben deckt die Grundlagen ab. Der Wiederherstellungstest ist der Beweis.

Wenn Ihr heutiges Setup Lücken hat oder Sie mehrere WordPress- oder WooCommerce-Websites betreuen und eine zentrale, nachvollziehbare Backup-Strecke brauchen, sprechen Sie uns an, um zu besprechen, wie wir Sicherung und Wiederherstellung über unser betreutes Portfolio hinweg umsetzen.

Häufige Fragen

Wie oft sollte ich einen WooCommerce-Shop sichern?

Mindestens täglich die gesamte Website und alle ein bis vier Stunden die Datenbank. Umsatzstarke Shops mit dutzenden Bestellungen pro Stunde sollten zusätzlich zur regulären Sicherung eine fortlaufende Datenbankreplikation erwägen. Jedes Backup-Intervall entspricht der maximalen Menge an Bestelldaten, die Sie im schlimmsten Fall verlieren können.

Reicht das eingebaute Backup meines Hosters?

Backups auf Hoster-Ebene sind ein nützlicher Anfang, sollten aber nie Ihre einzige Kopie sein. Wird Ihr Hosting-Konto gesperrt oder kompromittiert oder fällt der Hoster aus, sind diese Backups womöglich nicht erreichbar oder gehen zusammen mit der Website verloren. Eine saubere WordPress-Backup-Strategie umfasst immer mindestens eine Kopie auf Infrastruktur, die Sie unabhängig von Ihrem Hoster kontrollieren.

Was ist der Unterschied zwischen einem Backup und einer Staging-Website?

Ein Backup ist ein gespeicherter Stand Ihrer Website zu einem Zeitpunkt und dient der Wiederherstellung. Eine Staging-Website ist eine funktionsfähige Kopie, auf der Sie Änderungen testen, bevor sie produktiv gehen. Beides erfüllt verschiedene Zwecke und beides ist nötig. Im Staging testen Sie gefahrlos ein großes Plugin-Update; das Backup rettet Sie, wenn ein Update die Produktion beschädigt, bevor Sie testen konnten.