WordPress-Backups: was ein Backup taugen muss

Woraus ein vollständiges Backup besteht

WordPress liegt in zwei Teilen auf dem Server, und beide werden gebraucht. Die Dateien sind das Programm: der WordPress-Kern, Ihr Theme, alle Plugins und der komplette Upload-Ordner mit Bildern und Dokumenten. Die Datenbank ist der Inhalt: Seiten, Beiträge, Menüs, Benutzer, Einstellungen, bei einem Shop auch Bestellungen und Kundendaten.

Nur die Datenbank zu sichern klingt sparsam, weil sie klein ist. Im Ernstfall haben Sie dann Texte ohne Bilder und ohne die Plugins, die diese Texte überhaupt darstellen. Umgekehrt sind die Dateien allein eine leere Hülle. Wer Speicherplatz sparen will, bewahrt besser weniger Stände auf und sichert dafür immer beide Teile.

Womit Sie sichern können

Für die Sicherung selbst gibt es im Wesentlichen den Hoster, ein Plugin oder die Handarbeit. Die Wege schließen sich nicht aus, viele Seiten nutzen zwei davon nebeneinander.

Welcher Weg der richtige ist, hängt weniger vom Werkzeug ab als davon, ob am Ende eine vollständige Kopie außerhalb des Servers liegt und jemand nachsieht, ob sie durchgelaufen ist.

Fehler, die ich bei neuen Kunden immer wieder sehe

Wer diese Punkte abstellt, hat den größten Teil des Themas erledigt.

1. Die Sicherung liegt auf demselben Server. Standardmäßig legen viele Plugins ihre Archive einfach in einen Ordner der Website. Damit ist die Sicherung ausgerechnet dann weg, wenn Sie sie brauchen: bei einem Serverausfall, bei einer versehentlichen Löschung des Kontos und bei einem Hack sowieso, weil Angreifer diese Ordner kennen.
2. Niemand prüft, ob es läuft. Backups scheitern leise. Der Speicher ist voll, bei großen Seiten greift ein Zeitlimit, oder die Verbindung zur Cloud ist abgelaufen, weil ein Passwort geändert wurde. Das Plugin meldet es höchstens per Mail, und die landet oft im Spam-Ordner.
3. Es wurde nie zurückgespielt. Das ist der häufigste Fall. Ob eine Sicherung vollständig ist, zeigt sich erst, wenn man sie einmal benutzt hat.

Wie oft und wie lange

Für die Häufigkeit gilt als Faustregel: Sichern Sie so oft, wie Sie es verkraften können, Arbeit zu verlieren. Eine Firmenseite, an der monatlich etwas geändert wird, braucht keine stündliche Sicherung. Ein Shop mit täglichen Bestellungen braucht dagegen mindestens eine tägliche Datenbanksicherung, weil jede verlorene Stunde echte Aufträge kostet.

Wichtiger und meistens übersehen ist die Aufbewahrungsdauer. Viele Systeme halten sieben Stände vor und überschreiben dann den ältesten. Das reicht für den Fall, dass ein Update etwas zerlegt. Bei Schadcode reicht es nicht, denn der fällt oft erst auf, wenn Google die Seite markiert oder der Hoster sich meldet, und das kann Wochen dauern. Bis dahin sind alle sieben Stände infiziert.

Wohin die Sicherung gehört

Bewährt hat sich die 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Speichern, eine davon an einem anderen Ort. Für eine Website heißt das konkret, dass mindestens eine Sicherung weder auf demselben Server noch im selben Hosting-Konto liegt.

• Ein externer Speicher, also ein separater Cloud-Speicher oder Server, auf den die Website selbst keinen Vollzugriff hat. Das ist der eigentliche Schutz, denn ein kompromittierter Server soll die Sicherungen nicht löschen können.
• Das Backup des Hosters. Fast alle bieten eines an, oft mit kurzer Aufbewahrung. Als zusätzliche Ebene ist es wertvoll, als einzige nicht, weil Sie damit ganz von einem Anbieter abhängen, den Sie im Streitfall vielleicht gerade verlassen wollen.
• Eine Sicherung von Hand vor jedem größeren Eingriff, etwa vor einem Update, einem Umbau oder der Installation von etwas Neuem. Das dauert ein paar Minuten und erspart Ihnen im Zweifel Stunden.

Ein Backup testweise zurückspielen

Spielen Sie einmal im Jahr eine Sicherung tatsächlich ein, am besten in eine Testumgebung, also eine Kopie der Seite, die niemand sieht. Viele Hoster bieten das kostenlos an. Dabei zeigt sich, ob alle Bestandteile enthalten sind, ob sich das Archiv überhaupt entpacken lässt, ob die Datenbank vollständig ist und wie lange der Vorgang dauert. Die Dauer ist zugleich eine gute Antwort auf die Frage, wie lange Ihre Seite im Ernstfall offline wäre.

Wenn Sie nur eine Sache aus diesem Artikel mitnehmen: Sehen Sie nach, wann Ihre letzte Sicherung erstellt wurde und wo sie liegt. Diese beiden Angaben zeigen meistens sofort, ob Sie ein Backup haben oder nur ein Plugin.

Wie ich das mache

In allen meinen Paketen laufen die Sicherungen täglich und automatisch auf einen externen Server, also nicht auf den Server der Website. In der Wartung werden sie einen Monat aufbewahrt, ab der Betreuung drei Monate. Vor jedem Update kommt zusätzlich ein Stand dazu, damit im Zweifel der Zustand von kurz vor dem Update verfügbar ist.

Mehr Arbeit als die Sicherung selbst macht das Nachsehen: ob sie durchgelaufen ist, ob die Größe plausibel ist und ob nichts leise abgebrochen wurde. An diesem Punkt scheitert die Selbstpflege am häufigsten, deshalb gehört die Kontrolle bei mir fest dazu.

Häufige Fragen

Reicht das Backup vom Hoster?

Für eine kleine Seite, die selten geändert wird, ist ein ordentliches Hoster-Backup deutlich besser als gar keins, und oft auch besser als ein Plugin, das niemand kontrolliert. Als einzige Sicherung hat es aber Grenzen. Es liegt meist beim selben Anbieter, häufig im selben Rechenzentrum, und die Aufbewahrung ist oft kurz. Sie sehen in der Regel nicht selbst, ob jede Sicherung vollständig durchgelaufen ist, und beim Zurückspielen sind Sie auf die Werkzeuge und manchmal auf den Support des Hosters angewiesen. Sperrt der Hoster das Konto oder kündigen Sie, kommen Sie unter Umständen gar nicht mehr heran. Deshalb empfehle ich es als zweite Kopie neben einer externen Sicherung, die Ihnen gehört.

Kann ich nach einem Hack einfach ein Backup einspielen?

Das bringt die Seite zurück, aber auch die Lücke, durch die der Angreifer hereingekommen ist. Außerdem muss das Backup aus der Zeit vor dem Einbruch stammen, und genau das ist bei kurzer Aufbewahrung oft nicht mehr der Fall. Was in diesem Fall zu tun ist, steht in meinem Ratgeber WordPress gehackt: was jetzt zu tun ist.

Was kostet eine verlässliche Sicherung?

Wenn Sie es selbst einrichten, kostet es vor allem Zeit: für die Einrichtung und für die regelmäßige Kontrolle, ob alles durchläuft. Dazu kommt ein externer Speicher. In meinen Betreuungspaketen sind tägliche externe Backups mit Kontrolle ab 179 Euro im Monat inklusive MwSt. enthalten, zusammen mit Updates und Erreichbarkeitsprüfung. Details stehen unter Betreuung.