WordPress-Backups sicher automatisieren

Veröffentlicht am 7. November 2026

Ein WordPress-Backup ist nur dann nützlich, wenn es die richtigen Daten enthält und wiederhergestellt werden kann, bevor sich der Ausfall im Unternehmen bemerkbar macht. Um WordPress-Backups sicher zu automatisieren, planen Sie Sicherungen sowohl der Dateien als auch der Datenbank, speichern Sie Kopien außerhalb des Produktionsservers und überprüfen Sie, ob eine Wiederherstellung tatsächlich funktioniert. Ein Backup-Auftrag, der Erfolg meldet, aber ein leeres Archiv speichert, bietet keinen Schutz. Es ist lediglich ein sehr höfliches Problem, das auf Freitagabend wartet.

Was ein vollständiges WordPress-Backup umfasst

WordPress besteht nicht nur aus einer Komponente. Ihre Website-Inhalte, Konfiguration, Plugins, Themes, hochgeladenen Medien und Nutzerdaten sind auf das Dateisystem und die Datenbank verteilt. Für eine vollständige Wiederherstellung werden beide benötigt.

Die Datenbank enthält Beiträge, Seiten, WooCommerce-Bestellungen, Kundenkonten, Formulareinträge, Einstellungen und weitere veränderliche Inhalte. Das Dateisystem enthält WordPress-Kerndateien, Plugins, Themes, Uploads und Dateien wie `wp-config.php`. Wenn Sie nur die Dateien wiederherstellen, wird die Website möglicherweise mit veralteten oder fehlenden Inhalten geladen. Wenn Sie nur die Datenbank wiederherstellen, verweist sie möglicherweise auf Dateien, die nicht vorhanden sind.

Für viele Unternehmenswebsites sind tägliche Datenbank-Backups und tägliche vollständige Website-Backups das praktische Minimum. E-Commerce-Shops, Mitgliedschaftsplattformen, Buchungssysteme und stark frequentierte SaaS-Landingpage-Umgebungen benötigen möglicherweise häufigere Datenbank-Backups, da jede Stunde neue Bestellungen und Kundendaten eingehen können. Der Zeitplan sollte sich danach richten, wie viele Daten Sie sich realistisch leisten können zu verlieren – nicht danach, was gerade bequem erscheint.

Die richtige Ebene für die Automatisierung wählen

Es gibt drei gängige Möglichkeiten, WordPress-Backups zu automatisieren: ein WordPress-Backup-Plugin, das Hosting-Control-Panel oder ein Managed Service sowie Aufgaben auf Serverebene. Keine davon ist grundsätzlich die beste. Die richtige Wahl hängt davon ab, wer den Server verwaltet, wie groß die Website ist und wie schnell Sie sie wiederherstellen müssen.

Plugin-basierte Backups

Für eine kleine Website ist ein Plugin oft die einfachste Möglichkeit. Es kann Archive erstellen, Aufträge planen und Backups an einen externen Speicher senden, ohne dass ein Shell-Zugriff erforderlich ist. So erhalten Website-Betreiber direkten Einblick. Das ist nützlich, wenn der Hosting-Tarif keinen Backup-Service umfasst.

Der Nachteil ist die Serverlast. Das Komprimieren einer großen Mediathek, während die Website Besuchern bereitgestellt wird, kann CPU, Arbeitsspeicher, Festplatten-I/O und PHP-Worker beanspruchen. In einer stark ausgelasteten Shared-Hosting-Umgebung oder auf einem kleinen VPS können Backup-Aufträge mit einer Zeitüberschreitung abbrechen oder den Checkout verlangsamen. Planen Sie den Auftrag nach Möglichkeit für Zeiten mit wenig Datenverkehr und beobachten Sie die ersten Durchläufe, statt einfach anzunehmen, dass der Zeitplan passt.

Backups über das Hosting oder einen Managed Service

Backups auf Hosting-Ebene werden außerhalb von WordPress ausgeführt. Das ist im Allgemeinen sicherer, wenn ein Plugin ausfällt, Malware auftritt oder ein WordPress-Update schiefgeht. Ein verwaltetes Backup-System kann Datenbanken und Dateien sichern, ohne darauf angewiesen zu sein, dass die Website-Anwendung fehlerfrei läuft.

Dieser Ansatz reduziert die Zahl der Komponenten innerhalb von WordPress und erleichtert normalerweise die Wiederherstellung auf Infrastrukturebene. Für Unternehmen, die Backup-Plugins, Zeitpläne, Speicheranmeldedaten und Benachrichtigungsregeln nicht selbst warten möchten, sind verwaltete Hosting-Backups die entspanntere Lösung. Bei kodu.cloud lassen sich solche Betriebsaufgaben zusammen mit der Serverüberwachung und dem Support erledigen, statt als monatliche Erinnerung liegenzubleiben, auf die sich niemand freut.

Backups auf Serverebene

Ein VPS oder dedizierter Server bietet Ihnen mehr Kontrolle. Sie können geplante Aufgaben verwenden, um Datenbanken zu exportieren, Anwendungsdateien zu archivieren, das Ergebnis zu verschlüsseln und an einen unabhängigen Speicherort zu übertragen. Entwickler und Agenturen bevorzugen diesen Ansatz häufig, weil sich Zeitpläne, Aufbewahrungsfristen, Ausschlüsse und Protokolle für jede Website individuell anpassen lassen.

Mehr Kontrolle bedeutet auch mehr Verantwortung. Das Backup-Skript benötigt Fehlerbehandlung, ausreichend verfügbaren Speicherplatz, passende Berechtigungen, Speicherüberwachung und eine Dokumentation der Wiederherstellung. Ein geplanter Befehl, der drei Wochen lang unbemerkt fehlschlägt, kommt oft genug vor, um ernst genommen zu werden.

Den Backup-Zeitplan am Wiederherstellungsbedarf ausrichten

Beginnen Sie mit zwei Fragen: Wie viele aktuelle Daten kann das Unternehmen verlieren, und wie lange kann die Website nicht verfügbar sein? Das sind Ihr Wiederherstellungspunktziel und Ihr Wiederherstellungszeitziel. Sie müssen die Abkürzungen in einer Besprechung nicht verwenden, sollten die Antworten aber kennen.

Eine Broschüren-Website, die sich zweimal im Monat ändert, ist möglicherweise mit täglichen Backups und einer Aufbewahrung von 14 bis 30 Tagen ausreichend geschützt. Eine inhaltsreiche Agentur-Website profitiert möglicherweise von täglichen vollständigen Backups sowie einer zusätzlichen Kopie vor größeren Updates. Ein WooCommerce-Shop erfordert mehr Aufmerksamkeit: Tägliche Dateisicherungen reichen nicht aus, wenn den ganzen Tag über Bestellungen gespeichert werden.

Erwägen Sie bei einem aktiven Shop Datenbank-Backups im Stundenabstand oder alle paar Stunden, tägliche Dateisystem-Backups und ein Backup vor Updates an WooCommerce, Zahlungs-Plugins, Themes oder dem WordPress-Kern. Bewahren Sie nicht nur eine einzige Backup-Generation auf. Wenn Beschädigungen, Spam oder Malware bereits vor einigen Tagen auf die Website gelangt sind, kann das Backup von gestern dasselbe Problem enthalten.

Aufbewahrung verursacht Kosten. Mehr Wiederherstellungspunkte erfordern mehr Speicherplatz, Übertragungskapazität und Verwaltungsaufwand. Eine sinnvolle Richtlinie bewahrt häufig mehrere aktuelle tägliche Kopien, einige wöchentliche Kopien und wenige monatliche Kopien auf. Die genauen Zahlen hängen von der Website und den Compliance-Anforderungen ab, das Grundprinzip bleibt jedoch gleich: Bewahren Sie genug Verlauf auf, um sich von einem spät entdeckten Problem erholen zu können.

Mindestens eine Kopie außerhalb des Produktionsservers aufbewahren

Betrachten Sie ein Backup, das neben der Website gespeichert ist, nicht als Notfallwiederherstellungsplan. Wenn die Serverfestplatte ausfällt, ein Konto gelöscht wird, Ransomware einen eingebundenen Speicher erreicht oder ein Bereinigungsbefehl mit allzu großem Selbstvertrauen ausgeführt wird, können die Produktionsdaten und das Backup gemeinsam verschwinden.

Verwenden Sie einen separaten Backup-Speicher mit unabhängigen Zugangsdaten und vorzugsweise in einer anderen Fehlerdomäne. Das kann Objektspeicher, ein Backup-Server oder ein anderer Anbieter sein. Verschlüsseln Sie Archive vor der Übertragung, wenn sie Kundendatensätze, Kontodaten oder private Uploads enthalten. Bewahren Sie Verschlüsselungsschlüssel und Speicherzugangsdaten getrennt vom Web-Root und Repository auf.

Das bekannte 3-2-1-Prinzip ist weiterhin nützlich: Bewahren Sie drei Kopien wichtiger Daten auf zwei Speichertypen auf, wobei eine Kopie extern gespeichert wird. Daraus muss kein Ritual werden. Es ist einfach eine Möglichkeit, zu verhindern, dass ein einzelner Vorfall zum vollständigen Verlust führt.

Nicht benötigte Dateien von Backups ausschließen

Große Caches, temporäre Dateien, Debug-Protokolle, Bereitstellungsartefakte und generierte Bild-Caches können Backups verlangsamen und verteuern, ohne die Wiederherstellung zu verbessern. Diese Dateien auszuschließen ist in der Regel sinnvoll, sofern sie sich sicher neu erstellen lassen.

Seien Sie bei Uploads vorsichtig. Das Verzeichnis `wp-content/uploads` enthält häufig Produktbilder, Dokumente, Nutzereinreichungen und Dateien aus der Mediathek. Es sollte normalerweise im Backup enthalten sein. Benutzerdefinierte Anwendungsverzeichnisse, nicht standardmäßige Speicherorte von Plugins und Dateien außerhalb des WordPress-Root-Verzeichnisses müssen ebenfalls überprüft werden. Möglicherweise hat ein Entwickler wichtige Ressourcen an einem überraschenden Ort abgelegt. Leider ist der Server nicht hellseherisch.

Bevor Sie die Ausschlüsse endgültig festlegen, vergleichen Sie den Archivinhalt mit dem, was die Anwendung nach einer sauberen Wiederherstellung benötigt. Ein kleineres Backup ist nur dann gut, wenn sich damit das Unternehmen wiederherstellen lässt.

Backup-Fehler sichtbar machen

Automatisierung ohne Berichterstattung ist nur teilweise automatisiert. Richten Sie Warnmeldungen für fehlgeschlagene Aufträge, unvollständige Übertragungen, unzureichenden Speicherplatz, ungewöhnlich kleine Archive und Backups ein, deren Alter die Richtlinien überschreitet. Für eine kleine Umgebung ist E-Mail in Ordnung, doch für Teams, die mehrere Kunden-Websites betreuen, ist ein überwachter Benachrichtigungskanal besser.

Überprüfen Sie die Protokolle nach der Einrichtung und nach wesentlichen Änderungen an PHP, WordPress, Datenbankversionen, Speicherzugangsdaten oder Dateisystemberechtigungen. Ein erfolgreiches Backup sollte einen eindeutigen Zeitstempel, einen erwarteten Größenbereich, eine Bestätigung des Ziels und das Ergebnis der Aufbewahrung aufweisen.

Überwachen Sie außerdem den verfügbaren Speicherplatz auf dem Quellserver. Manche Tools erstellen das vollständige Archiv lokal, bevor sie es hochladen. Bei einem Server, dessen Festplatte nahezu voll ist, kann die Sicherung fehlschlagen und gleichzeitig Leistungsprobleme verursachen. Das ist keine besonders schöne Situation für die Festplatte, aber vermeidbar.

Wiederherstellungen vor einem Notfall testen

Bei einem Wiederherstellungstest werden Backup-Versprechen zu einer betrieblichen Tatsache. Stellen Sie mindestens vierteljährlich eine aktuelle Kopie in einer Staging-Umgebung oder an einem separaten temporären Speicherort wieder her. Vergewissern Sie sich, dass WordPress startet, die Verbindung zur Datenbank hergestellt wird, Medien geladen werden, sich Benutzer anmelden können und wichtige Geschäftsfunktionen funktionieren.

Testen Sie bei einem Online-Shop Produktseiten, das Warenkorbverhalten, Checkout-Einstellungen, Bestelldatensätze, die Konfiguration transaktionaler E-Mails und Abhängigkeiten von Zahlungs-Plugins. Legen Sie eine wiederhergestellte Kopie nicht an einem Ort ab, an dem sie echte Kunden-E-Mails versenden oder Live-Zahlungen annehmen kann. Deaktivieren Sie zuerst ausgehende E-Mails und Zahlungsvorgänge in der Testumgebung.

Dokumentieren Sie die Wiederherstellungsabfolge während der Durchführung. Notieren Sie, wo das Backup gespeichert ist, welche Datenbank importiert werden muss, wo Konfigurationswerte geändert werden und wie DNS oder Anwendungs-URLs gehandhabt werden. Bei einem tatsächlichen Ausfall spart ein kurzes und aktuelles Betriebshandbuch mehr Zeit als das Gedächtnis irgendeiner Person.

Den Backup-Prozess selbst schützen

Verwenden Sie dedizierte Speicherzugangsdaten mit nur den Berechtigungen, die zum Schreiben und Lesen von Backup-Daten erforderlich sind. Aktivieren Sie die Multi-Faktor-Authentifizierung für das Speicherkonto und das Hosting-Control-Panel. Halten Sie WordPress, Plugins, Serverpakete und Backup-Tools auf dem neuesten Stand, da eine kompromittierte Website auch auf zugängliche Backup-Zugangsdaten abzielen kann.

Wenn Ihre Backups verschlüsselt sind, testen Sie die Entschlüsselung bei Wiederherstellungsübungen. Ein verschlüsseltes Archiv ohne den richtigen Schlüssel ist vollkommen sicher und vollkommen nutzlos. Bewahren Sie Wiederherstellungsanweisungen an einem geschützten Ort auf, der verfügbar bleibt, wenn der Produktionsserver ausfällt.

Automatisierte Backups sollten Ihren Arbeitsaufwand verringern und Risiken nicht hinter einem grünen Statussymbol verbergen. Legen Sie den Zeitplan fest, bewahren Sie Kopien extern auf, überwachen Sie die Aufträge und üben Sie die Wiederherstellung, solange der Betrieb wieder ruhig läuft. Dann können Sie Änderungen an WordPress mit deutlich ruhigerer Hand vornehmen.

Andres Saar, Kundendienstingenieur