Blog · 2. September 2026 · aktualisiert 17. Oktober 2026
WordPress-Backup: Was ein Backup wirklich braucht, welche Plugins taugen und wie Sie eines zurückspielen
Das Backup beim Hoster ist keins, das Plugin-Backup im selben Webspace auch nicht. Was gesichert werden muss, wohin, wie oft — und der Ernstfall Schritt für Schritt, bevor er eintritt.
Brauchbar ist eine Sicherung mit Datenbank und wp-content, die außerhalb Ihres Webspace liegt und die Sie einmal zurückgespielt haben. Faustregel: Blogs täglich, selten geänderte Seiten wöchentlich, bei Shops die Datenbank mehrmals am Tag.
Das Video liegt auf unserem eigenen Server — kein YouTube-Skript, kein Cookie, nichts wird vor dem Abspielen geladen.
Selbsttest: Würde mein Backup im Ernstfall helfen?
Sechs Haken: Ihr Backup trägt. Fehlt Haken 2 oder 4, haben Sie vermutlich nur eine Kopie, die im Ernstfall nicht erreichbar oder nicht lesbar ist. Fehlt Haken 1, sind entweder Bilder oder Inhalte nicht gesichert. Fehlt Haken 3, 5 oder 6, geht im Ernstfall Arbeit verloren oder Sie bemerken es zu spät. Die Schritte weiter unten zeigen, wie Sie jeden Punkt beheben.
Die meisten WordPress-Seiten haben ein Backup. Die meisten davon würden im Ernstfall nicht helfen. Nicht, weil die Technik versagt, sondern weil das Backup am falschen Ort liegt, das Falsche enthält oder nie zurückgespielt wurde. Quellenstand: 17.10.2026.
Selber machen oder abgeben? Einrichten und Testen schaffen Sie selbst, wenn die Seite klein ist und eine Staging-Kopie bereitsteht (Schritte unten). Ist die Seite schon kaputt, hilft die WordPress-Soforthilfe zum Festpreis (99 €). Soll das Backup dauerhaft jemand betreuen, übernehmen das die Wartungspakete ab 39 € im Monat.
1. Was muss gesichert werden?
Zwei Hälften, beide nötig:
- Die Datenbank. Alle Beiträge, Seiten, Einstellungen, Bestellungen, Kommentare, Benutzer. Oft 10 bis 200 MB (Erfahrungswert, unbelegt).
- Der Ordner
wp-content. Hochgeladene Bilder (uploads), Themes und Plugins samt Einstellungen. Oft mehrere Gigabyte (Erfahrungswert, unbelegt).
Der Rest — wp-admin, wp-includes, die Kerndateien — lässt sich jederzeit
frisch von WordPress.org holen. Einzige Ausnahme: wp-config.php, denn dort
stehen Datenbankzugang und Sicherheitsschlüssel. Ein Backup, das nur die
Datenbank sichert (die Standardeinstellung mancher Plugins), verliert alle
Bilder, eines nur mit Dateien alle Inhalte.
2. Wohin?
Die verbreitete Faustregel heißt 3-2-1 (US-CERT, Belege): drei Kopien, auf zwei verschiedenen Medien, eine davon außer Haus. Für eine Website übertragen (unsere Auslegung, nicht der Wortlaut der Quelle): Das Original auf dem Webspace, ein Backup auf einem anderen Server, eines bei einem anderen Anbieter. Zwei verbreitete Irrtümer:
„Der Hoster macht doch Backups.” Stimmt meist, und sie retten bei Hardware-Ausfällen. Sie helfen nicht, wenn Ihr Konto gesperrt ist (etwa wegen Spam-Versand nach einem Hack), wenn der Hoster nur sieben Tage vorhält und Sie den Fehler erst nach zehn bemerken, oder wenn die Wiederherstellung den ganzen Webspace überschreibt, obwohl Sie nur eine Tabelle brauchen. Beispiel Kinsta: täglicher Rhythmus, 14 Tage Aufbewahrung (Quelle von 2023, kann sich geändert haben), Beispiel IONOS WordPress-Hosting: eine Sicherung pro Tag, höchstens die letzten sieben Tage (Belege). Beides kein Maßstab für Ihren Tarif.
„Das Plugin sichert jede Nacht.” Wohin? Liegt die Sicherung in
wp-content/backups auf demselben Webspace, ist sie beim Festplattenschaden
weg, beim Hack mit verschlüsselt und bei der Kontosperre unerreichbar. Ein
Backup zählt erst, wenn es den Server verlassen hat: Cloud-Speicher, ein
zweiter Hoster, ein FTP-Ziel außerhalb.
3. Wie oft?
So oft, wie sich etwas ändert, das Sie nicht neu eingeben wollen. Eine Visitenkarten-Seite, die zweimal im Jahr angefasst wird: wöchentlich reicht, plus ein Backup vor jedem Update. Ein Blog mit drei Beiträgen die Woche: täglich. Ein Shop: täglich die Dateien, die Datenbank mehrmals am Tag, weil jede Bestellung darin steht. Contabo nennt wöchentlich bis monatlich für wenig aktive Seiten (Belege); ein Monatsbackup verliert im Zweifel einen Monat Arbeit, deshalb ist unsere Faustregel enger. Dazu die Vorhaltung: Ein Hack fällt oft erst spät auf (erkennen). Wer nur sieben Tage vorhält und den Befall nach zehn bemerkt, hat nur infizierte Backups. 30 Tage sind ein vernünftiger Boden, für Shops 90.
4. Welche Plugins taugen?
UpdraftPlus und BackWPup sichern Datenbank und Dateien schon in der kostenlosen Version nach Zeitplan und extern. Bei Duplicator gilt das nur in der Bezahlversion (Stand der Plugin-Seiten: 17.10.2026, Belege):
- UpdraftPlus. Der Standard. Kostenlos mit Zeitplan, externen Zielen (Google Drive, Dropbox, S3, FTP) und Wiederherstellung per Klick. Das automatische Backup vor Updates gibt es nur in der Bezahlversion; in der kostenlosen lösen Sie es vor jedem Update von Hand aus. Auch Backup-Plugins können Einfallstor sein (CVE-2026-10795, Belege, Stand 17.10.2026): aktuell halten, vor dem Zurückspielen aktualisieren.
- BackWPup. Deutsche Entwicklung, sehr flexibel bei Zielen und Formaten, Zeitplan und Wiederherstellung sind laut Plugin-Seite schon in der kostenlosen Version enthalten; die Bezahlversion spielt zusätzlich direkt aus der Cloud zurück. Das stammt von der Plugin-Seite, nicht aus eigenem Test.
- Duplicator. Stark für Umzüge und komplette Klone, als Dauer-Backup weniger bequem: Die kostenlose Version sichert nur von Hand, ohne Zeitplan, und legt extern nur bei „Duplicator Cloud“ ab. Geplante Backups und Ziele wie Dropbox, Google Drive, S3 oder FTP gibt es nur in Pro.
Bezahl-Lösungen wie BlogVault sichern in Echtzeit, was bei Shops sinnvoll sein kann (Contabo, Belege). Prüfen Sie immer, ob das Backup beim Ziel ankommt: Der Zeitplan im Plugin sagt „läuft täglich”, der Cloud-Ordner sagt, ob es stimmt.
Backup einrichten in fünf Schritten
Beispiel UpdraftPlus; Menünamen gleichen Sie bitte in Ihrer Installation ab.
- Plugin installieren und aktivieren, im Backend unter Einstellungen den Zeitplan öffnen.
- Zeitplan setzen nach der Faustregel aus Abschnitt 3: Dateien und Datenbank getrennt einstellbar, bei Shops die Datenbank häufiger.
- Aufbewahrung festlegen: wie viele Sicherungen behalten werden. Bei täglichem Lauf entsprechen 30 Sicherungen 30 Tagen.
- Externes Ziel verbinden (Cloud-Speicher, zweiter Anbieter oder FTP-Ziel) und beim Einrichten ausdrücklich „Dateien und Datenbank” anhaken. Das Ziel gehört einem Konto, das nicht dasselbe Passwort wie das WordPress-Backend hat.
- Einmal von Hand auslösen und am Ziel nachsehen: Ist die Datei da, hat sie eine plausible Größe, trägt sie das heutige Datum? Und tragen Sie eine E-Mail-Adresse für Fehlermeldungen ein, die jemand liest.
Ohne Plugin sichern
Handarbeit mit phpMyAdmin, FTP und mysqldump aufklappen
Vor einem riskanten Eingriff: in phpMyAdmin die Datenbank als SQL-Datei
exportieren, per FTP wp-content und wp-config.php herunterladen, beides in
einen Ordner mit Datum legen und an einen zweiten Ort kopieren. Per SSH
exportiert mysqldump -u BENUTZER -p DATENBANKNAME > sicherung.sql die
Datenbank. Ohne Passwort hinter -p fragt mysqldump danach, und die
MySQL-Dokumentation nennt ein Passwort in der Befehlszeile unsicher (Belege).
Einen Zeitplan ersetzt das nicht.
Wiederherstellung testen und im Ernstfall zurückspielen
Der Test ist der Schritt, den die meisten überspringen. Spielen Sie nie auf der Live-Seite zurück: Das überschreibt den aktuellen Stand (Kinsta, Belege), also auch Bestellungen und Kommentare seit der Sicherung. Machen Sie es einmal auf einer Testkopie (Staging beim Hoster oder frische Installation unter einer Test-Adresse), holen Sie die Sicherung dabei vom externen Ziel und stoppen Sie die Zeit: Das ist Ihre echte Ausfallzeit.
Ablauf mit UpdraftPlus in fünf Schritten aufklappen
- Frische WordPress-Installation anlegen (oder die kaputte Seite behalten, wenn das Backend noch erreichbar ist).
- UpdraftPlus installieren, das externe Ziel verbinden, Backups „erneut scannen” — die vorhandenen Sicherungen erscheinen.
- Wiederherstellen: Datenbank, Plugins, Themes, Uploads anhaken. Bei einem Hack nur Uploads und Datenbank aus dem Backup nehmen, Plugins und Themes frisch installieren — sonst kommt die Hintertür mit zurück.
- Danach Permalinks einmal speichern, Cache leeren und durchklicken: Startseite, Beitrag mit Bild, Anmeldung, jedes Formular, bei Shops eine Testbestellung ohne echte Zahlung.
- Bei anderer Domain (Staging): Suchen-und-Ersetzen in der Datenbank, UpdraftPlus fragt danach. Notieren Sie, was fehlte, und testen Sie einmal im Quartal erneut.
Ohne Plugin: Datenbank per phpMyAdmin importieren, wp-content per FTP
hochladen, wp-config.php anpassen. Sind nur die Kerndateien beschädigt, genügt
im Backend „Dashboard → Updates → Jetzt neu installieren“; die Datenbank bleibt
unberührt (Kinsta, Belege).
Nach einem Hack gehört mehr dazu: Passwörter und Sicherheitsschlüssel wechseln, Kern, Plugins und Themes frisch installieren. Den Befall erkennen Sie mit So erkennen Sie, ob Ihre WordPress-Seite gehackt wurde. Anforderungen an Backups für Unternehmen ordnet die Infoseite NIS2 und WordPress ein.
Wann Sie Hilfe holen sollten
Wenn die Seite schon kaputt ist und Sie nicht wissen, welches Backup sauber ist, wenn ein Shop läuft, die Staging-Kopie fehlt oder der Import abbricht. Bei einem Ausfall hilft die WordPress-Soforthilfe (99 €), bei einer gehackten Seite der Malware-Notfall.
In den Wartungspaketen (ab 39 € im Monat) laufen Backups außerhalb des Hosters: wöchentlich mit 14 Tagen Vorhaltung im Grundschutz, täglich mit 30 Tagen in der Werkstatt, täglich mit 90 Tagen in der Standleitung, dazu ein Backup vor jedem Update und ein Monatsbericht. Was ein Vertrag kostet, steht in Was kostet WordPress-Wartung.
Belege
Belege: 12 Stellen mit Wortlaut (abgerufen am 16.10. und 17.10.2026)
Fremdangaben dieses Beitrags mit Wortlaut. Die Anbieterangaben sind Beispiele und können sich ändern; die Rechtsstelle ersetzt keine Beratung.
| Aussage | Wortlaut | Quelle |
|---|---|---|
| Hoster-Beispiel: Rhythmus und Aufbewahrung | „Automatische Backups, die alle 24 Stunden erstellt und für 14 Tage gespeichert werden (bei höheren Plänen länger).“ | Kinsta, WordPress aus einem Backup wiederherstellen, Stand 03.10.2023 |
| Hoster-Beispiel IONOS (gilt für IONOS WordPress-Hosting, nicht jeden Tarif) | „One backup is created per day, for a maximum of the last seven days.“ | IONOS, Restoring a WordPress installation and database, abgerufen am 17.10.2026 |
| 3-2-1-Regel | „Keep 3 copies of any important file: 1 primary and 2 backups“, „Keep the files on 2 different media types“, „Store 1 copy offsite“ | US-CERT, Data Backup Options, 2012, abgerufen am 17.10.2026 |
| Plugin-Umfang Free/Pro (UpdraftPlus, BackWPup, Duplicator) | UpdraftPlus: Zeitplan und Ziele kostenlos, Backup vor Updates nur Premium. BackWPup: Free enthält „everything needed to automate, store, and restore“. Duplicator: geplante Backups und Dropbox, Google Drive, S3, FTP nur Pro. Sinngemäß aus den Plugin-Seiten. | WordPress.org, abgerufen am 17.10.2026: UpdraftPlus, BackWPup, Duplicator |
| Wiederherstellen überschreibt die Live-Seite | „Dadurch wird deine Live-Umgebung überschrieben.“ | Kinsta, ebd. |
| Datenbank-Import überschreibt | „Der Import Ihrer *.sql -Datei überschreibt den aktuellen Inhalt deiner Datenbank.“ | Kinsta, ebd. |
| Kern neu installieren, Daten bleiben | „Dies hat keinen Einfluss auf deine (in der Datenbank gespeicherten) Daten oder Anpassungen.“ | Kinsta, ebd. |
| Häufigkeit nach Änderungsrate | „Hochfrequentierte oder häufig aktualisierte Webseiten : Tägliche Backups werden empfohlen.“, „Moderat aktualisierte Seiten : Wöchentliche Backups können ausreichen.“, „Webseiten mit geringer Aktivität : Monatliche Backups könnten ausreichend sein.“ | Contabo, WordPress Backup erstellen, Stand 03.10.2024 |
| Datenbank per Kommandozeile; Echtzeit-Plugins | „mysqldump -u [username] -p[password] [database_name] > [backup_name]. sql“; „BlogVault : Eine zuverlässige Option für WooCommerce-Webseiten, die Backups in Echtzeit bietet“ | Contabo, ebd. |
| Wiederherstellbarkeit nach Zwischenfall (DSGVO) | „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“ | Art. 32 Absatz 1 Buchstabe c DSGVO |
| Lücke im Backup-Plugin UpdraftPlus | Sinngemäß: Authentifizierungs-Umgehung (CVSS 8,1), betroffen alle Versionen bis einschließlich 1.26.4, veröffentlicht 11.06.2026 (die Datenbank trägt selbst den Hinweis, KI-erzeugt zu sein). | SentinelOne, CVE-2026-10795 |
| UpdraftPlus: behoben, Bedingung, weitere Sicherheits-Releases | Changelog sinngemäß: Sicherheitskorrektur vom 05.06.2026 gegen unbefugte Aktionen bei Seiten mit aktivem Migrator-Schlüssel (nur Bezahlversionen) oder UpdraftCentral-Schlüssel (kostenlose und Bezahlversionen); seitdem weitere SECURITY-Einträge, der jüngste vom 16.10.2026. | WordPress.org, UpdraftPlus, Changelog, abgerufen am 17.10.2026 |
| mysqldump: Passwort-Abfrage | „The password value is optional. If not given, mysqldump prompts for one.“ und „Specifying a password on the command line should be considered insecure.“ | MySQL 8.4 Reference Manual, mysqldump, abgerufen am 17.10.2026 |
Häufige Fragen
Reicht das Backup meines Hosters?
Meist nicht allein. Es schützt gegen Hardware-Ausfall, aber Sie steuern weder Zeitpunkt noch Aufbewahrung, und bei gesperrtem Konto kommen Sie nicht heran. Behandeln Sie es als zusätzliche Kopie und legen Sie eine eigene an, die den Server verlässt. Ob und wie lange Ihr Hoster sichert, steht in dessen Tarifbeschreibung; ein Beispiel für übliche Werte steht in den Belegen am Ende.
Muss ich als Unternehmen Backups machen?
Die DSGVO verlangt kein Backup-Produkt, aber Maßnahmen, die personenbezogene Daten nach einem technischen Zwischenfall rasch wiederherstellen können (Art. 32 Absatz 1 Buchstabe c, Wortlaut in den Belegen). Wer Kundendaten, Bestellungen oder Kontaktformular-Einträge speichert, kann das mit einem getesteten Backup außerhalb des Webspace erfüllen. Wie das in Ihrem Fall genau aussehen muss, klärt Ihre Datenschutzberatung.
Wie oft sollte ich ein WordPress-Backup machen?
So oft, wie sich etwas ändert, das Sie nicht neu eingeben wollen. Unsere Faustregel, keine Norm: selten geänderte Seite wöchentlich, Blog täglich, Shop täglich die Dateien und die Datenbank mehrmals am Tag, dazu jeweils ein Backup vor jedem Update.
Wie lange sollte ich Backups aufbewahren?
Mindestens so lange, wie Sie im Schnitt brauchen, um einen Hack oder Fehler zu bemerken. Als Faustregel nennen wir 30 Tage, für Shops 90. Wer nur sieben Tage vorhält, hat nach einem spät bemerkten Hack nur noch infizierte Sicherungen.
Wie teste ich, ob mein Backup funktioniert?
Spielen Sie es auf einer Testkopie oder Staging-Umgebung zurück, nie auf der Live-Seite. Danach: Startseite, ein Beitrag, Anmeldung, jedes Formular und bei Shops eine Testbestellung. Notieren Sie, wie lange das gedauert hat; diese Zeit ist Ihre realistische Ausfallzeit.
Was passiert, wenn ich eine Datenbank-Sicherung importiere?
Der Import überschreibt die vorhandene Datenbank. Was seit der Sicherung hinzukam, etwa Bestellungen oder Kommentare, ist danach weg, wenn Sie es nicht vorher separat gesichert haben (Kinsta-Anleitung zur Wiederherstellung, abgerufen 08.10.2026). Sichern Sie deshalb den aktuellen Stand, bevor Sie zurückspielen.
Übernehmen Sie das Backup für mich?
Ja, im Rahmen der Wartungspakete: Sicherung außerhalb des Hosters, Backup vor jedem Update und Meldung im Monatsbericht. Wenn die Seite schon kaputt ist, hilft die Soforthilfe zum Festpreis. Die Pakete und Preise stehen auf der Seite WordPress-Wartung.
Zum Weiterlesen
WordPress-Version jetzt checken →kostenlos, ohne Anmeldung