WordPress-Backup: Was ein Backup wirklich braucht, welche Plugins taugen und wie Sie eines zurückspielen

Die meisten WordPress-Seiten haben ein Backup. Die meisten davon würden im Ernstfall nicht helfen. Nicht, weil die Technik versagt, sondern weil das Backup am falschen Ort liegt, das Falsche enthält oder nie zurückgespielt wurde. Dieser Beitrag geht die vier Fragen durch, an denen Backups scheitern.

1. Was muss gesichert werden?

Eine WordPress-Seite besteht aus zwei Hälften, und beide sind nötig:

• Die Datenbank. Alle Beiträge, Seiten, Einstellungen, Bestellungen, Kommentare, Benutzer. Meist 10 bis 200 MB.
• Der Ordner wp-content. Hochgeladene Bilder (uploads), Themes und Plugins samt deren Einstellungen in Dateien. Oft mehrere Gigabyte.

Der Rest — wp-admin, wp-includes, die Kerndateien — lässt sich jederzeit frisch von WordPress.org holen. Einzige Ausnahme: wp-config.php, denn dort stehen Datenbankzugang und Sicherheitsschlüssel. Ein Backup, das nur die Datenbank sichert (die Standardeinstellung mancher Plugins), verliert alle Bilder. Eines, das nur Dateien sichert, verliert alle Inhalte.

2. Wohin?

Die Regel heißt 3-2-1: drei Kopien, auf zwei verschiedenen Medien, eine davon außer Haus. Für eine Website übersetzt: Das Original auf dem Webspace, ein Backup auf einem anderen Server, eines bei einem anderen Anbieter. Zwei verbreitete Irrtümer:

„Der Hoster macht doch Backups.” Stimmt meist, und sie retten bei Hardware-Ausfällen. Sie helfen nicht, wenn Ihr Konto gesperrt ist (etwa wegen Spam-Versand nach einem Hack), wenn der Hoster nur sieben Tage vorhält und Sie den Fehler erst nach zehn bemerken, oder wenn die Wiederherstellung den ganzen Webspace überschreibt, obwohl Sie nur eine Tabelle brauchen. Und Sie haben keine Kontrolle darüber, ob das Backup heute überhaupt gelaufen ist.

„Das Plugin sichert jede Nacht.” Wohin? Liegt die Sicherung in wp-content/backups auf demselben Webspace, ist sie beim Festplattenschaden weg, beim Hack mit verschlüsselt und bei der Kontosperre unerreichbar. Ein Backup zählt erst, wenn es den Server verlassen hat: Cloud-Speicher, ein zweiter Hoster, ein FTP-Ziel außerhalb.

3. Wie oft?

So oft, wie sich etwas ändert, das Sie nicht neu eingeben wollen. Eine Visitenkarten-Seite, die zweimal im Jahr angefasst wird: wöchentlich reicht, plus ein Backup vor jedem Update. Ein Blog mit drei Beiträgen die Woche: täglich. Ein Shop: täglich die Dateien, die Datenbank alle paar Stunden, weil jede Bestellung darin steht. Dazu die Frage der Vorhaltung: Wie viele Tage zurück? Ein Hack wird im Schnitt nach Wochen bemerkt — wer nur sieben Tage vorhält, hat dann nur infizierte Backups. 30 Tage sind ein vernünftiger Boden, für Shops 90.

4. Welche Plugins taugen?

Alle drei folgenden sichern Datenbank und Dateien, laufen nach Zeitplan und speichern extern. Die Unterschiede liegen im Detail:

• UpdraftPlus. Der Standard. Kostenlos mit Zeitplan, externen Zielen (Google Drive, Dropbox, S3, FTP) und Wiederherstellung per Klick. Zu beachten: Die Lücke CVE-2026-10795 vom Juni 2026 hat gezeigt, dass auch Backup-Plugins ein Einfallstor sein können — aktuell halten.
• BackWPup. Deutsche Entwicklung, sehr flexibel bei Zielen und Formaten, Wiederherstellung in der kostenlosen Version aber nur von Hand.
• Duplicator. Stark für Umzüge und komplette Klone, als Dauer-Backup weniger bequem.

Was Sie nicht brauchen: ein Plugin, das „inkrementell” in den eigenen Webspace sichert und dafür Geld will. Und was Sie prüfen sollten: dass das Backup tatsächlich beim Ziel ankommt. Der Zeitplan im Plugin sagt „läuft täglich”, der Cloud-Ordner sagt, ob es stimmt.

Der Ernstfall: Zurückspielen, Schritt für Schritt

Machen Sie das einmal, bevor Sie es müssen — auf einer Testinstallation oder einer Staging-Kopie. Der Ablauf mit UpdraftPlus als Beispiel:

1. Frische WordPress-Installation anlegen (oder die kaputte Seite behalten, wenn das Backend noch erreichbar ist).
2. UpdraftPlus installieren, das externe Ziel verbinden, Backups „erneut scannen” — die vorhandenen Sicherungen erscheinen.
3. Wiederherstellen: Datenbank, Plugins, Themes, Uploads anhaken. Bei einem Hack nur Uploads und Datenbank aus dem Backup nehmen, Plugins und Themes frisch installieren — sonst kommt die Hintertür mit zurück.
4. Nach dem Zurückspielen: Permalinks einmal speichern, Cache leeren, Seite durchklicken, Formulare testen.
5. Bei anderer Domain oder anderem Pfad (Staging): Suchen-und-Ersetzen in der Datenbank, damit Links und Bildpfade stimmen — UpdraftPlus fragt danach.

Ohne Plugin geht es auch: Datenbank per phpMyAdmin importieren, wp-content per FTP hochladen, wp-config.php anpassen. Dauert länger, funktioniert immer.

Wer sich darum kümmert

Backups sind der Teil der Wartung, der nie sichtbar ist, bis er alles entscheidet. In unseren Wartungspaketen laufen sie außerhalb des Hosters: wöchentlich mit 14 Tagen Vorhaltung im Grundschutz, täglich mit 30 Tagen in der Werkstatt, täglich mit 90 Tagen in der Standleitung — plus ein Backup vor jedem Update und ein Monatsbericht, in dem steht, dass sie gelaufen sind. Ob das Backup zurückspielbar ist, prüfen wir, nicht Sie.