WordPress-Backups: die 3-2-1-Strategie, die hält

Ein Backup ist erst an dem Tag etwas wert, an dem es dich rettet. Und genau an diesem Tag stellt man oft fest, dass es unvollständig war, am selben Ort wie die Website lag oder sich nicht wiederherstellen ließ. Die 3-2-1-Regel gibt es, um solche bösen Überraschungen zu vermeiden. Dieser Artikel erklärt, wie du sie konkret auf WordPress anwendest, wie oft du sichern solltest und warum der Wiederherstellungstest der einzige Beweis ist, der zählt.

Die 3-2-1-Regel erklärt

Anfang der 2000er-Jahre vom Fotografen Peter Krogh zum Schutz seiner Archive formuliert und dann durch sein Buch The DAM Book bekannt geworden, lässt sich die 3-2-1-Regel in drei leicht zu merkenden Zahlen zusammenfassen.

• 3 Kopien deiner Daten: die Live-Website plus zwei Backups. Ein einziges Backup ist ein Single Point of Failure.
• 2 verschiedene Speichermedien: zum Beispiel das Hosting auf der einen Seite und ein entfernter Speicher auf der anderen. Fällt ein Medium aus, hält das andere.
• 1 Kopie außer Haus, also an einem anderen Ort als dem Server, auf dem die Website liegt. Sie rettet dich, wenn der Server gehackt wird, das Rechenzentrum brennt oder der Hoster schließt.

Die Logik dahinter: nie von einem einzigen Element abhängen. Eine gehackte Website, deren einziges Backup auf demselben Server liegt und gleichzeitig kompromittiert oder von Ransomware verschlüsselt wurde, hat kein Sicherheitsnetz mehr.

Sauvegarde : qu'est-ce que la règle 3-2-1 ?Mit dem Klick wird das Video von youtube-nocookie.com (YouTube, Google) geladen. Vor deinem Klick wird nichts geladen.

Eine WordPress-Website sichern heißt zwei Dinge sichern

Ein vollständiges WordPress-Backup umfasst zwingend zwei Teile. Wer einen davon vergisst, steht am Ende mit einer unbrauchbaren Wiederherstellung da.

• Die Datenbank: Beiträge, Seiten, Kommentare, Benutzer, Einstellungen, WooCommerce-Bestellungen. Das ist der lebendige Inhalt der Website.
• Die Dateien: der WordPress-Core, die Themes, die Plugins und vor allem der Ordner wp-content/uploads mit deinen Medien. Ohne sie verweist die Datenbank auf Bilder und Layouts, die es nicht mehr gibt.

Viele Werkzeuge sichern beides, aber prüfe es. Manche Lösungen erfassen nur die Datenbank, andere schließen große Dateien standardmäßig aus, um Platz zu sparen. Ein unvollständiges Backup vermittelt ein falsches Gefühl von Sicherheit.

Wie oft?

Die richtige Häufigkeit hängt davon ab, was du zu verlieren bereit bist. Die eigentliche Frage lautet: Wenn die Website jetzt ausfällt, wie viele Daten kann ich mir leisten, erneut zu verlieren? Dieser akzeptable Zeitraum bestimmt den Rhythmus.

Art der Website	Empfohlene Häufigkeit	Grund
Unternehmenswebsite, die sich selten ändert	Wöchentlich	Wenig neuer Inhalt zwischen zwei Backups
Aktiver Blog	Täglich	Ein verlorener Beitrag bedeutet verlorene Arbeit
WooCommerce-Shop	Täglich oder sogar fortlaufend	Jede verlorene Bestellung ist ein unzufriedener Kunde
Vor einem größeren Update	Bei Bedarf	Zurückgehen können, falls das Update die Website kaputt macht

Denk auch an die Aufbewahrungsdauer. Nur das letzte Backup zu behalten, reicht nicht: Bleibt eine Kompromittierung eine Woche lang unbemerkt, ist deine einzige Kopie bereits infiziert. Mehrere Generationen über mehrere Tage oder Wochen aufzubewahren, erlaubt es, zu einem sauberen Stand zurückzukehren.

Der Wiederherstellungstest, der einzige Beweis

Ein nie getestetes Backup ist nur ein Versprechen. Der einzige Weg zu wissen, ob es funktioniert, ist, es tatsächlich wiederherzustellen, am besten auf einer Testwebsite oder einer Subdomain. Bei dieser Übung entdeckst du die Probleme, bevor sie zählen.

• Ist das Archiv vollständig und nicht beschädigt?
• Lässt sich die Datenbank ohne Fehler wieder importieren?
• Kommen Medien und Layouts korrekt zurück?
• Wie lange dauert der Vorgang? Im Ernstfall ist diese Zeit deine Ausfallzeit.

Führe diesen Test mindestens einmal durch, nachdem du deine Strategie eingerichtet hast, und dann erneut bei jedem Wechsel des Hosters oder des Werkzeugs. Ein erfolgreicher Test ist mehr wert als tausend Backups, die nie geöffnet wurden.

Häufige Fehler

• Alles auf demselben Server aufbewahren. Ein Backup in einem Ordner der Website verschwindet bei einem Hack oder Hardwaredefekt zusammen mit der Website.
• Die Wiederherstellung nie testen. Der häufigste und teuerste Fall.
• Stille Fehlschläge ignorieren. Eine automatische Aufgabe, die ohne Warnung fehlschlägt, lässt glauben, alles sei in Ordnung. Aktiviere eine Benachrichtigung bei Fehlschlägen.
• Das Backup des Hosters mit deinem eigenen verwechseln. Die Backups des Hosters sind nützlich, aber sie unterliegen nicht deiner Kontrolle und können zeitlich begrenzt sein. Behalte mindestens eine Kopie, über die du selbst verfügst.

Wo WP Masquerade hilft (und wo nicht)

Sagen wir es offen: WP Masquerade ist kein Backup-Werkzeug und ersetzt keine 3-2-1-Strategie. Backups bleiben ein unverzichtbarer Baustein, den du anderweitig einrichten musst. Das Plugin hilft aber zu erkennen, wann du wiederherstellen solltest. Seine Integritätsprüfung des WordPress-Core erkennt veränderte Dateien, ein frühes Signal einer Kompromittierung, und seine E-Mail-Benachrichtigungen warnen dich, ohne dass du das Dashboard ständig überwachen musst. Je früher du einen Vorfall erkennst, desto aktueller und sauberer ist das Backup, zu dem du zurückkehren kannst.

Die richtige Kombination ist klar: getestete 3-2-1-Backups, um zurückgehen zu können, und eine Überwachung der Integrität, um zu handeln, bevor sich das Problem festsetzt.

Automatisieren, ohne sich auf die Automatik zu verlassen

Ein manuelles Backup gerät schnell in Vergessenheit. Automatisierung ist daher unverzichtbar, ob über ein eigenes Plugin, ein Werkzeug des Hosters oder ein Skript. Aber Automatisieren entbindet nicht vom Überwachen: Eine Aufgabe, die ohne Warnung fehlschlägt, ist schlimmer als gar kein Backup, weil sie falsches Vertrauen nährt.

• Aktiviere Benachrichtigungen bei Fehlschlägen, damit du erfährst, wenn ein Backup nicht erstellt wurde.
• Prüfe das Ziel: Eine an einen entfernten Speicher gesendete Kopie muss dort tatsächlich ankommen und darf den Platz nicht ausschöpfen.
• Kontrolliere die Größe der Archive: Ein plötzlich winziges Backup deutet oft auf fehlende Inhalte hin.

Vollständig oder inkrementell?

Es gibt zwei Ansätze, und sie zu kombinieren, liefert oft das beste Ergebnis. Ein vollständiges Backup kopiert jedes Mal alles: einfach wiederherzustellen, aber aufwendig an Speicherplatz und Zeit. Ein inkrementelles Backup kopiert nur, was sich seit dem vorherigen geändert hat: leicht und schnell, geeignet für häufige Backups, um den Preis einer Wiederherstellung, die den Zustand aus mehreren Dateien rekonstruieren muss.

Für einen aktiven Shop kombiniert ein gängiges Schema ein wöchentliches Vollbackup mit täglichen oder noch häufigeren inkrementellen Backups. Entscheidend bleibt der Test: Eine inkrementelle Kette ist nichts wert, wenn eines ihrer Glieder beschädigt ist, und das lässt sich nur durch eine echte Wiederherstellung prüfen.

Achte auch darauf, wo das Werkzeug seine Archive ablegt. Ein Backup-Plugin, das in einen Unterordner der Website schreibt, der aus dem Web erreichbar ist, schafft ein doppeltes Problem: Es bläht die Website auf und kann deine Daten offenlegen, wenn der Ordner erratbar ist. Ein Backup-Archiv gehört außerhalb des öffentlichen Stammverzeichnisses oder, besser noch, auf einen entfernten Speicher und darf nie in Reichweite eines Bots bleiben, der gezielt nach .zip- oder .sql-Dateien sucht.

Lies auch: WordPress-Wartungsvertrag: Leistungen, Kosten und Fallstricke.

Ein vollständiges, schon einmal wiederhergestelltes Backup ist auch der Ausgangspunkt für eine Kopie oder einen Hosterwechsel: siehe, wie Sie eine WordPress-Website duplizieren und zu einem neuen Hoster umziehen.

Quellen

• WordPress Developer, WordPress Backups (öffnet in neuem Tab)
• WordPress Developer, Backing Up Your Database (öffnet in neuem Tab)

Weitere herangezogene Quellen: Veröffentlichungen von Sicherheitsforschern.