Website-Backup: Dateien, Datenbank und CMS zuverlässig sichern

Ein vollständiges Website Backup besteht aus zwei Teilen: allen Dateien auf dem Webspace und einem Export der Datenbank. Beides gehört regelmäßig an einen Ort außerhalb Ihres Hostings, und mindestens einmal im Jahr sollten Sie testen, ob sich die Sicherung auch zurückspielen lässt. Das Backup Ihres Hosters ist eine gute Ergänzung, ersetzt aber keine eigene Kopie. Fällt das Kundenkonto weg oder sperrt der Anbieter es, sind auch seine Backups nicht mehr erreichbar.

Was zu einem Website-Backup gehört

Viele sichern nur den Ordner mit den Dateien und wundern sich bei der Wiederherstellung, dass alle Beiträge fehlen. Bei WordPress, Joomla, TYPO3 und den meisten anderen Systemen liegen Texte, Benutzer, Einstellungen und Bestellungen in der Datenbank. Die Dateien enthalten dagegen Programmcode, Themes, Erweiterungen und hochgeladene Bilder.

Dazu kommen Dinge, die gar nicht auf dem Webspace liegen, im Ernstfall aber genauso fehlen:

• DNS-Einträge: Notieren Sie MX, SPF, DKIM und alle eigenen Einträge, etwa als Export aus dem Kundenmenü.
• Postfächer: E-Mails sind bei den meisten Anbietern nicht Teil des Webspace-Backups. Sichern Sie wichtige Postfächer getrennt, zum Beispiel mit einem Mailprogramm per IMAP.
• Zugangsdaten und Einstellungen: PHP-Version, Cronjobs, Weiterleitungen und Zugänge zu Hosting, Domain und Datenbank. Diese gehören in einen Passwort-Manager, nicht ins Backup-Archiv.

Die 3-2-1-Regel

Bewährt hat sich eine einfache Regel, die auch Rechenzentren anwenden. Sie verhindert, dass ein einzelner Fehler alle Kopien gleichzeitig trifft:

Für eine Website heißt das praktisch: Die Live-Seite ist die erste Kopie, das Backup des Hosters die zweite, und eine eigene Sicherung bei einem anderen Anbieter oder auf Ihrem Rechner die dritte. Gegen Erpressungstrojaner hilft zusätzlich eine Kopie, die sich nicht nachträglich löschen oder überschreiben lässt. Viele Cloud-Speicher bieten dafür Versionierung oder eine Löschsperre für eine festgelegte Zeit.

Wie oft Sie sichern sollten

Die Faustregel lautet: so oft, wie Sie den Verlust der Änderungen seit der letzten Sicherung nicht verschmerzen könnten. Ein Blog mit einem Beitrag pro Woche kommt mit einer wöchentlichen Sicherung aus. Bei einem Shop gehen dagegen mit jedem verlorenen Tag Bestellungen und Kundenkonten verloren.

Halten Sie nicht nur die letzte Sicherung vor. Ein Hack oder ein fehlerhaftes Plugin fällt oft erst nach Tagen auf. Dann brauchen Sie einen Stand von davor. Ein übliches Schema sind sieben tägliche, vier wöchentliche und mehrere monatliche Stände. Vor jedem größeren Update gehört zusätzlich ein Website-Backup von Hand dazu.

Vollständig, inkrementell oder differenziell

Backup-Programme unterscheiden drei Arten von Sicherungen. Für kleine Websites reicht fast immer die vollständige Sicherung. Bei großen Seiten mit vielen Gigabyte an Bildern sparen die beiden anderen Arten Zeit und Speicher:

• Vollständig: Jede Sicherung enthält alles. Das braucht am meisten Platz, lässt sich aber am einfachsten zurückspielen, weil Sie nur ein Archiv brauchen.
• Inkrementell: Gesichert wird nur, was sich seit der letzten Sicherung geändert hat. Das geht schnell, zum Wiederherstellen brauchen Sie aber die letzte Vollsicherung und alle Zwischenstände danach.
• Differenziell: Gesichert wird alles, was sich seit der letzten Vollsicherung geändert hat. Zum Zurückspielen genügen die Vollsicherung und der letzte Zwischenstand.

Programme wie restic oder BorgBackup arbeiten mit Deduplizierung. Sie speichern gleiche Dateien nur einmal und fühlen sich trotzdem bei jedem Lauf wie eine Vollsicherung an. Auf einem eigenen Server sind sie eine gute Wahl. Auf Shared Hosting sind sie meist nicht installiert.

Wohin mit den Sicherungen?

Achten Sie bei Speicher außerhalb der EU darauf, die Archive vor dem Hochladen zu verschlüsseln. Dann sieht der Anbieter nur unlesbare Daten.

Website Backup: drei Wege im Vergleich

Backup des Hosters

Fast alle Anbieter sichern Webspace und Datenbanken automatisch, meist täglich. Prüfen Sie im Vertrag oder in der Hilfe, wie viele Tage aufbewahrt werden, ob die Wiederherstellung kostenlos ist und ob Sie einzelne Dateien oder nur alles auf einmal zurückholen können. Diese Sicherung liegt beim selben Anbieter. Sie schützt gegen Fehler auf Ihrer Seite, aber nicht gegen den Verlust des Kontos. Auf einem eigenen Server ist es ähnlich, dort heißen sie Snapshots. Mehr dazu im Ratgeber zu Backups auf dem Root-Server.

Backup per Plugin

Für WordPress sind UpdraftPlus und BackWPup verbreitet, für Joomla Akeeba Backup. Die Plugins sichern Dateien und Datenbank nach Zeitplan und laden das Archiv direkt zu einem externen Speicher hoch, etwa zu einem Cloud-Speicher, per SFTP oder zu S3-kompatiblem Speicher. Wichtig sind drei Einstellungen:

• Ziel außerhalb des Webspace wählen, sonst liegt das Archiv neben der Seite, die es schützen soll.
• Cache-Ordner und alte Backups aus der Sicherung ausschließen, sonst wächst jedes Archiv um das vorige.
• Die Benachrichtigung bei Fehlern einschalten, damit ein abgebrochener Lauf nicht wochenlang unbemerkt bleibt.

Bei sehr großen Seiten stoßen Plugins an die Laufzeitgrenzen von PHP. Dann bricht das Backup mittendrin ab. In dem Fall ist ein Skript per SSH die zuverlässigere Lösung. Worauf es beim Hosting für WordPress sonst ankommt, steht im Ratgeber zum WordPress-Hosting.

Backup per SSH und Cronjob

Haben Sie SSH-Zugang, sichern Sie mit zwei Befehlen. Die Pfade und den Datenbanknamen passen Sie an Ihr Hosting an:

DATUM=$(date +%F)
mkdir -p ~/backups
# Datenbank, ohne die Seite während des Exports zu sperren
mysqldump --single-transaction --quick datenbankname | gzip > ~/backups/db-$DATUM.sql.gz
# alle Dateien der Website
tar -czf ~/backups/dateien-$DATUM.tar.gz -C ~/html .

Das Passwort der Datenbank gehört nicht in den Befehl, sonst steht es in der Prozessliste und im Verlauf. Legen Sie es stattdessen in der Datei ~/.my.cnf ab und geben Sie ihr mit chmod 600 ~/.my.cnf nur für sich Leserechte:

[mysqldump]
user=datenbanknutzer
password=IhrPasswort

Speichern Sie diese Befehle als Datei ~/bin/backup.sh mit der Zeile #!/bin/bash am Anfang und machen Sie sie mit chmod +x ~/bin/backup.sh ausführbar. Für die Kopie außer Haus eignet sich rclone. Es lädt Dateien zu fast jedem Cloud-Speicher hoch und kann sie dabei verschlüsseln. Ein Eintrag in der Crontab startet alles jede Nacht und löscht lokale Archive, die älter als 14 Tage sind:

30 3 * * * ~/bin/backup.sh && rclone copy ~/backups extern:website-backups && find ~/backups -mtime +14 -delete

Den Ordner ~/backups legen Sie außerhalb des öffentlichen Webverzeichnisses an. Liegt ein Archiv im Ordner der Website, kann es jeder herunterladen, der den Dateinamen errät. Mit ihm hätte er auch alle Passwörter aus der Konfiguration.

Vor jedem Update ein Website-Backup

Die meisten Wiederherstellungen sind nicht nach Hacks nötig, sondern nach Updates. Ein Plugin verträgt sich nicht mit der neuen PHP-Version, ein Theme-Update überschreibt eigene Anpassungen, oder ein Datenbank-Update bricht ab. Starten Sie deshalb vor jedem größeren Update eine Sicherung von Hand und warten Sie, bis sie fertig ist. Viele Plugins bieten dafür einen eigenen Knopf. Bei WordPress mit WP-CLI geht der Datenbank-Export mit wp db export. Spielen Sie größere Updates, etwa einen Wechsel der PHP-Version, am besten erst auf einer Testkopie ein.

Die Wiederherstellung testen

Ein Website-Backup, das nie zurückgespielt wurde, ist eine Hoffnung, keine Sicherung. Typische Überraschungen sind leere Datenbank-Exporte, fehlende Upload-Ordner oder Archive, die sich nicht entpacken lassen. Testen Sie die Wiederherstellung deshalb einmal im Jahr und nach jeder Änderung am Backup-Verfahren:

gunzip -c db-2026-10-31.sql.gz | mysql testdatenbank
tar -xzf dateien-2026-10-31.tar.gz -C ~/test-html

Bei WordPress tragen Sie danach in der wp-config.php der Testkopie die Zugangsdaten der Testdatenbank ein und ändern die Adresse der Seite in der Tabelle wp_options. Das Werkzeug WP-CLI erledigt das Ersetzen aller alten Adressen mit wp search-replace. Schützen Sie die Testseite mit einem Passwort, damit Suchmaschinen sie nicht als Doppel finden. Das gleiche Vorgehen nutzen Sie auch beim Umzug zu einem neuen Hoster.

Backups überwachen

Ein Website Backup kann monatelang still scheitern. Das Speicherziel ist voll, ein Zugangsschlüssel abgelaufen oder die Datenbank so gewachsen, dass das Plugin abbricht. Bauen Sie deshalb eine Kontrolle ein, die Sie bemerken:

• Lassen Sie sich bei Fehlern per Mail benachrichtigen. Viele Plugins können das, bei Skripten übernimmt es der Cron-Dienst, wenn eine Ausgabe entsteht.
• Prüfen Sie einmal im Monat, ob das neueste Archiv im Speicher liegt und eine plausible Größe hat. Ein Datenbank-Export mit wenigen Kilobyte ist meist leer.
• Für Skripte eignen sich Dienste wie Healthchecks.io. Das Skript meldet sich nach jedem erfolgreichen Lauf, bleibt die Meldung aus, kommt eine Warnung.

Checkliste für Ihr Website-Backup

1. Datenbank und Dateien werden automatisch gesichert.
2. Mindestens eine Kopie liegt außerhalb des Hostings und ist verschlüsselt.
3. Es gibt mehrere Stände, nicht nur den letzten.
4. Kein Archiv liegt im öffentlichen Webverzeichnis.
5. Fehler lösen eine Benachrichtigung aus.
6. DNS-Einträge, Postfächer und Zugänge sind separat dokumentiert.
7. Die Wiederherstellung wurde in den letzten zwölf Monaten getestet.

Häufige Fehler beim Website-Backup

• Nur Dateien gesichert: Ohne Datenbank fehlen alle Inhalte.
• Backup liegt auf demselben Server: Ein Festplattenschaden, ein Hack oder eine Kündigung trifft Seite und Sicherung gleichzeitig.
• Archiv im öffentlichen Ordner: Jeder kann es herunterladen, samt Datenbank und Passwörtern.
• Nur der letzte Stand: Ist die Seite schon seit einer Woche infiziert, ist auch das Backup infiziert.
• Nie getestet: Fehler fallen erst auf, wenn es zu spät ist.
• Unverschlüsselt in der Cloud: Datenbanken enthalten Namen, E-Mail-Adressen und oft Bestellungen. Verschlüsseln Sie Archive, bevor sie das Hosting verlassen.

Für Betreiber, die personenbezogene Daten verarbeiten, ist das Thema auch rechtlich relevant. Die DSGVO verlangt in Artikel 32, dass sich die Verfügbarkeit der Daten nach einem Zwischenfall rasch wiederherstellen lässt. Ein dokumentiertes und getestetes Backup ist der einfachste Nachweis dafür. Weitere Schutzmaßnahmen für Ihre Seite finden Sie in den Grundlagen der Website-Sicherheit.