WordPress-Backup: Website richtig sichern und wiederherstellen

Was gehört in ein WordPress-Backup?

In ein WordPress-Backup gehören die Dateien und die Datenbank, denn nur beides zusammen stellt eine WordPress-Website vollständig wieder her. So beschreibt es das WordPress-Handbuch. Die Datenbank ist der Speicher, in dem WordPress die Texte Ihrer Seiten und Beiträge, die Einstellungen und die Benutzer ablegt, je nach Plugins auch Formularanfragen oder Bestellungen. Die Dateien liegen im WordPress-Ordner auf dem Server Ihres Hosters, also der Firma, bei der die Website liegt:

• wp-content: der Ordner mit Ihrem Theme (der Designvorlage), Ihren Plugins (den Erweiterungen) und allen hochgeladenen Bildern und Dokumenten. Laut Handbuch ist das Ihr eigener Inhalt. Anders als WordPress selbst lässt er sich nicht neu herunterladen.
• wp-config.php: die Einstellungsdatei von WordPress im Hauptordner, unter anderem mit den Zugangsdaten zur Datenbank.
• .htaccess: eine Steuerdatei des Servers, etwa für lesbare Adressen und Weiterleitungen, sofern Ihr Server sie nutzt.
• WordPress selbst (wp-admin, wp-includes) ließe sich neu laden. Einfacher ist es, den ganzen WordPress-Ordner mit allen Unterordnern zu sichern, so empfiehlt es auch das Handbuch.

Eine Sicherung nur der Dateien enthält keine Texte, eine Sicherung nur der Datenbank keine Bilder. Beides allein ist ein halbes Backup.

Wie oft sollten Sie WordPress sichern?

Regelmäßig und zusätzlich vor jedem Update, das Sie selbst einspielen: Das WordPress-Handbuch nennt für kleinere Websites mit wenigen Beiträgen eine Sicherung pro Woche, für Websites mit viel Betrieb eine tägliche. Die Frage dahinter lautet: Wie viel Arbeit und wie viele Daten dürfen verloren gehen, wenn Sie den letzten Stand zurückspielen? Speichert Ihr Formular-Plugin Anfragen oder läuft ein Shop mit Bestellungen, kann eine Woche zu lang sein.

Zusätzlich zum festen Rhythmus sichern Sie zu diesen Anlässen:

• vor Updates von WordPress, Theme oder Plugins, die Sie selbst einspielen,
• bevor Sie ein neues Plugin installieren oder größere Änderungen machen (Kapitel 6),
• vor einem Umzug zu einem anderen Hoster, wie es auch das Handbuch nennt,
• direkt vor dem Livegang einer neuen Website, also bevor sie öffentlich startet (Kapitel 10).

Wer automatische Updates für Plugins und Themes einschaltet, sollte laut WordPress-Dokumentation vorher sicherstellen, dass er auf einen früheren Stand zurückkann.

Wo sollten die Sicherungen liegen?

Mindestens eine Kopie gehört an einen Ort außerhalb des Servers, auf dem die Website läuft. Fällt der Server aus, sperrt der Hoster das Paket oder wird die Website gehackt, ist eine Sicherung auf demselben Server womöglich mit betroffen. Das Handbuch rät, Sicherungen an verschiedenen Orten und auf verschiedenen Medien abzulegen, etwa beim Hoster, in einem Online-Speicher und auf dem eigenen Rechner oder einer Festplatte.

• Online-Speicher: ein Speicherplatz bei einem Cloud-Anbieter, an den ein Backup-Plugin die Sicherung automatisch schickt.
• Eigener Rechner oder externe Festplatte: für Sicherungen, die Sie selbst herunterladen, etwa vor einem großen Umbau.
• Sicherung des Hosters: zählt als zweiter Ort nur, wenn sie getrennt von Ihrem Webspace liegt, also dem Speicherplatz Ihrer Website beim Hoster. Fragen Sie nach, wo.

Eine Sicherung enthält alles, was auf der Website steht, auch Benutzerkonten und gespeicherte Anfragen, und mit der wp-config.php die Zugangsdaten zur Datenbank. Schützen Sie den Speicherort deshalb wie die Website selbst, mit eigenem starkem Passwort und Zwei-Faktor-Anmeldung, wenn der Anbieter sie anbietet. Das Handbuch zur Absicherung rät außerdem, Sicherungen zu verschlüsseln. Legen Sie Sicherungen nie in einen öffentlich erreichbaren Ordner der Website. Liegen personenbezogene Daten bei einem fremden Speicher-Anbieter, betrifft das auch Ihren Datenschutz; was zu regeln ist, klären Sie im Zweifel mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten, einer Anwältin oder einem Anwalt, Ihrer Kammer oder Ihrem Verband. Das ist ein Überblick, keine Rechtsberatung.

Wie lange sollten Sie Sicherungen aufbewahren?

Bewahren Sie mehrere Stände auf, nicht nur den letzten: Das WordPress-Handbuch rät zu mindestens drei bis fünf aktuellen Sicherungen, damit Ihnen eine verlässliche bleibt, wenn eine fehlschlägt oder verloren geht. Ältere Stände helfen, wenn ein Fehler oder ein Befall erst nach Wochen auffällt. Sind alle aufbewahrten Sicherungen jünger als der Befall, ist jede davon befallen. Das Handbuch zur Absicherung empfiehlt deshalb datierte Stände, aus denen sich auch nach einem spät entdeckten Befall noch ein sauberer zurückspielen lässt.

Eine einfache Staffel ist zum Beispiel: die letzten täglichen oder wöchentlichen Sicherungen, dazu je Monat ein älterer Stand, jeweils mit Datum beschriftet. Einen Stand, von dem Sie wissen, dass er befallen ist, kennzeichnen Sie deutlich und spielen ihn nie wieder ein. Stände, die Sie nicht mehr brauchen, löschen Sie; auch sie enthalten Daten, die auf der Website längst gelöscht sind.

Welche Wege gibt es, eine WordPress-Website zu sichern?

Es gibt drei Wege: die Sicherung Ihres Hosters, ein Backup-Plugin oder eine Sicherung von Hand per SFTP und phpMyAdmin. Sie lassen sich kombinieren, etwa die Hoster-Sicherung plus ein Plugin, das eine Kopie in einen Online-Speicher schickt.

Sicherung des Hosters. Je nach Tarif sichert der Hoster Webspace und Datenbank selbst. Klären Sie: Wie oft wird gesichert und wie lange aufbewahrt, sind Dateien und Datenbank dabei, wo liegen die Sicherungen, und können Sie selbst zurückspielen? Das Handbuch weist darauf hin, dass es Zeit kostet, eine Kopie aus der Server-Sicherung des Hosters anzufordern, und rät, auch selbst zu sichern. Sichert Ihr Hoster täglich, getrennt von Ihrer Website, und Sie können selbst zurückspielen, reicht das unter Umständen.

Backup-Plugin. Ein Backup-Plugin sichert Dateien und Datenbank nach einem Zeitplan und schickt die Sicherung an einen Speicher außerhalb des Servers. Beispiele sind UpdraftPlus und BackWPup, eine Rangliste ist das nicht. Achten Sie bei der Auswahl darauf,

• ob es Dateien und Datenbank sichert,
• an welche Speicherorte es Sicherungen schicken kann,
• ob es Sie per E-Mail benachrichtigt, wenn eine Sicherung fehlschlägt,
• wie die Wiederherstellung funktioniert, auch wenn WordPress selbst nicht mehr startet,
• welche Funktionen nur die Bezahlfassung hat, denn dann muss die Lizenz laufen.

Von Hand. Ohne Plugin sichern Sie die Datenbank mit phpMyAdmin und die Dateien per SFTP. Das kostet etwas Zeit, und das Handbuch empfiehlt es ab und zu auch dann, wenn automatisch gesichert wird, um zu prüfen, ob die Automatik wirklich läuft.

Wie sichern Sie WordPress von Hand?

Von Hand exportieren Sie zuerst die Datenbank mit phpMyAdmin und laden dann die Dateien per SFTP herunter. Diese Reihenfolge nennt das WordPress-Handbuch. phpMyAdmin ist ein Werkzeug im Kundenbereich des Hosters, mit dem man die Datenbank direkt bearbeitet. SFTP ist die verschlüsselte Dateiübertragung zum Server, die Zugangsdaten dafür stehen ebenfalls im Kundenbereich.

1. Datenbank exportieren: Öffnen Sie phpMyAdmin und wählen Sie links die Datenbank Ihrer Website. Ihren Namen finden Sie in der wp-config.php in der Zeile mit DB_NAME. Klicken Sie auf den Reiter „Exportieren“ (in englischer Oberfläche „Export“), lassen Sie die Methode „Schnell“ und das Format SQL eingestellt und starten Sie den Export. Sie erhalten eine Datei mit der Endung .sql. Andere Reiter wie „Importieren“ oder „Operationen“ lassen Sie beim Sichern unberührt.
2. Dateien herunterladen: Verbinden Sie sich mit einem SFTP-Programm und laden Sie den ganzen WordPress-Ordner mit allen Unterordnern auf Ihren Rechner, mindestens wp-content, wp-config.php und .htaccess. Die .htaccess ist eine versteckte Datei; blenden Sie versteckte Dateien im Programm ein.
3. Zusammen ablegen: Packen Sie Datenbank-Export und Dateien in ein ZIP-Archiv mit dem Datum im Namen und legen Sie eine Kopie an einem zweiten Ort ab.

Bei großen Datenbanken stößt phpMyAdmin laut Handbuch an Grenzen, dann hilft Ihr Hoster weiter. Ist Ihnen dieser Weg zu technisch, nehmen Sie die Sicherung des Hosters oder ein Plugin.

Wie stellen Sie eine Sicherung wieder her und testen das?

Zurückgespielt werden erst die Dateien und dann die Datenbank, so beschreibt es das WordPress-Handbuch, und das sollten Sie einmal ausprobiert haben, bevor Sie es im Ernstfall brauchen. Sichern Sie vor dem Zurückspielen auch den aktuellen, kaputten Stand, damit nichts unwiederbringlich überschrieben wird.

• Mit Hoster oder Plugin: Wählen Sie den Stand nach Datum aus und prüfen Sie, ob die Wiederherstellung Dateien und Datenbank zusammen zurückspielt.
• Von Hand: Laden Sie die Dateien per SFTP hoch. Für die Datenbank brauchen Sie eine Datenbank ohne Tabellen, denn einen Export mit der Methode „Schnell“ können Sie laut WordPress-Handbuch nur dort einspielen. Enthält die Datenbank noch Tabellen, bricht phpMyAdmin mit einer Fehlermeldung ab, und nichts wird ersetzt. Lassen Sie sich deshalb vom Hoster eine neue, leere Datenbank anlegen und tragen Sie deren Name, Benutzer und Passwort in die wp-config.php ein, oder leeren Sie die vorhandene, indem Sie ihre Tabellen löschen. Das Löschen lässt sich nicht rückgängig machen; tun Sie es nur, wenn der aktuelle Stand gesichert ist. Dann wählen Sie in phpMyAdmin diese Datenbank, öffnen den Reiter „Importieren“, wählen die .sql-Datei aus und starten den Import. Vorhandene Tabellen ersetzt ein Import nur, wenn beim Export die Methode „Angepasst“ gewählt und ein DROP-TABLE-Befehl hinzugefügt wurde, der gleichnamige Tabellen vor dem Einspielen entfernt. Haben sich Datenbankname, Benutzer oder Passwort geändert, etwa nach einem Hosterwechsel, passen Sie die Angaben in der wp-config.php an. Sind Sie unsicher, lassen Sie den Hoster die Sicherung zurückspielen.
• Nach einem Hack: Spielen Sie erst zurück, wenn die ersten Schritte aus WordPress gehackt erledigt sind: Hoster informiert und Website vom Netz oder hinter einer Wartungsseite, befallener Stand gesichert, Passwörter geändert, fremde Konten und Anwendungspasswörter entfernt, Salts erneuert. Die Sicherung muss aus der Zeit vor dem Befall stammen. Laden Sie die Dateien nicht einfach über die befallenen, denn Dateien, die der Angreifer neu angelegt hat, blieben sonst liegen: Leeren Sie den WordPress-Ordner vorher und spielen Sie die Sicherung sauber neu ein, oder lassen Sie das den Hoster machen. Danach spielen Sie gleich alle Updates ein, denn die Lücke, durch die der Angreifer kam, ist in der alten Sicherung noch offen. Die zurückgespielte wp-config.php bringt die alten Werte mit: Tragen Sie dort das neue Datenbank-Passwort ein, sonst meldet WordPress „Fehler beim Aufbau einer Datenbankverbindung“, oder lassen Sie das den Hoster machen. Tauschen Sie außerdem die Salts noch einmal und ändern Sie die Passwörter erneut.
• Danach prüfen: Startseite, einige Unterseiten, Bilder, Kontaktformular und Anmeldung. Leeren Sie den Cache, also den Zwischenspeicher für fertige Seiten, falls Ihre Website einen nutzt.

Zur Probe spielen Sie eine Sicherung einmal in eine Testumgebung (Staging) zurück, also eine Kopie der Website, die manche Hoster per Klick anlegen. Gibt es keine, lassen Sie sich vom Hoster zeigen, wie die Wiederherstellung abläuft, und notieren Sie die Schritte in Ihrer Notfall-Liste. Erst eine geprobte Wiederherstellung zeigt, dass die Sicherung vollständig ist.

Art. 32 Abs. 1 DSGVO verlangt dem Risiko angemessene Sicherheitsmaßnahmen. Dazu zählen gegebenenfalls die Fähigkeit, personenbezogene Daten nach einem physischen oder technischen Zwischenfall rasch wieder verfügbar zu machen, und ein Verfahren, die Wirksamkeit der Maßnahmen regelmäßig zu überprüfen. Einen Wartungsvertrag schreibt kein Gesetz vor, aber geschäftliche Websites müssen, soweit technisch möglich und zumutbar, unter Berücksichtigung des Stands der Technik abgesichert sein (§ 19 Abs. 4 TDDDG, Art. 32 DSGVO). Das ist ein Überblick, keine Rechtsberatung; was im Einzelfall gilt, klären Sie im Zweifel mit einer Anwältin oder einem Anwalt, Ihrer Kammer oder Ihrem Verband.

Welche Fehler sollten Sie beim WordPress-Backup vermeiden?

Die Fehler, die uns immer wieder begegnen, haben eines gemeinsam: Sie fallen erst auf, wenn die Sicherung gebraucht wird.

• Nur auf demselben Server: Fällt der Server aus oder wird das Paket gehackt, ist die Sicherung mit weg.
• Nur ein Teil: Gesichert ist nur die Datenbank oder nur die Dateien.
• Nie getestet: Die Sicherung ist unvollständig oder lässt sich nicht einspielen, und das zeigt sich erst im Ernstfall.
• Unbemerkt ausgefallen: Das Plugin sichert seit Wochen nicht mehr, weil der Online-Speicher voll ist oder die Verbindung oder die Lizenz abgelaufen ist. Schauen Sie ab und zu nach, ob die neueste Sicherung wirklich aktuell ist.
• Sicherung öffentlich abgelegt: Eine Sicherungsdatei liegt ungeschützt in einem öffentlich erreichbaren Ordner, etwa als ZIP-Datei im Hauptordner der Website, und jeder, der die Adresse kennt, kann sie herunterladen.
• Befallenen Stand zurückgespielt: Nach einem Hack wird eine Sicherung eingespielt, die selbst schon befallen war.
• Zugänge fehlen: Die Zugangsdaten zum Hoster, zu SFTP oder zum Online-Speicher kennt nur eine Person oder eine frühere Agentur. Sie gehören in die Notfall-Liste aus Kapitel 10.

Sicherungen sind ein Baustein der Absicherung. Die übrigen, von Updates bis zu sicheren Zugängen, stehen im Ratgeber WordPress-Sicherheit. Wer Sicherungen und Updates lieber abgibt, findet beides in unserer WordPress-Wartung. Was eine Wartung kostet und was in einem Angebot dazu stehen sollte, steht im Ratgeber Was kostet eine WordPress-Wartung?