Website-Backup: Strategien und Tools im Überblick

Ein Website-Backup ist eine vollständige, wiederherstellbare Kopie von Dateien, Datenbank und Konfiguration Ihrer Website, die getrennt vom laufenden System aufbewahrt wird. Als Faustregel gilt die 3-2-1-Regel: drei Kopien, zwei Speicherorte, eine davon außerhalb des Hosting-Kontos. Ob eine Sicherung etwas taugt, zeigt sich allerdings erst bei der Wiederherstellung, deshalb gehört ein Restore-Test fest zur Strategie. Die übergeordneten Schutzmaßnahmen finden Sie im Ratgeber Hosting-Sicherheit.

Was ein vollständiges Backup enthält

Viele Sicherungen scheitern nicht an der Technik, sondern daran, dass ein Teil fehlt. Eine Website besteht aus mehr als dem Ordner auf dem Webspace.

Bestandteil	Beispiele	Warum er wichtig ist
Dateien	CMS-Kern, Themes, Plugins, Uploads, Bilder, eigene Skripte	Ohne Uploads fehlen nach dem Restore Bilder und Dokumente
Datenbank	Inhalte, Benutzer, Bestellungen, Einstellungen	Bei CMS und Shops steckt hier der eigentliche Inhalt
Konfiguration	.htaccess, wp-config.php, Umgebungsvariablen, Cronjobs	Ohne sie läuft die Kopie nicht oder nur fehlerhaft
DNS-Zone	A-, CNAME-, MX- und TXT-Einträge	Wird bei einem Anbieterwechsel oder Fehler sonst mühsam rekonstruiert
E-Mail	Postfächer, Weiterleitungen, Filter	Liegen oft beim Hoster und sind nicht Teil des Website-Backups
Zugänge und Notizen	Liste der Dienste, Lizenzschlüssel, Ansprechpartner	Beschleunigt den Wiederaufbau im Notfall

Ein häufiger Fehler: Das Plugin sichert die Datenbank, aber nicht den Upload-Ordner, oder die Hoster-Sicherung enthält die Postfächer nicht. Prüfen Sie deshalb einmal genau, was Ihr Backup tatsächlich umfasst.

Die 3-2-1-Regel für Websites

Die 3-2-1-Regel stammt aus der klassischen IT und lässt sich gut auf Websites übertragen:

1. Drei Kopien: das Live-System plus zwei Sicherungen.
2. Zwei verschiedene Speicherarten oder Orte: etwa die Backup-Infrastruktur des Hosters und ein separater Objektspeicher oder ein lokales Laufwerk.
3. Eine Kopie außerhalb: mindestens eine Sicherung liegt nicht beim Hoster und ist nicht mit denselben Zugangsdaten erreichbar.

In erweiterten Varianten kommt eine Kopie hinzu, die nicht nachträglich verändert oder gelöscht werden kann. Solche unveränderlichen Sicherungen schützen besonders gegen Angreifer, die mit erbeuteten Zugangsdaten auch Backups löschen würden. Für kleine Websites reicht es meist, wenn die externe Kopie über ein eigenes Konto mit Zwei-Faktor-Anmeldung abgesichert ist.

Wie oft sichern?

Die richtige Frequenz hängt davon ab, wie viel Datenverlust Sie verkraften können. Fachleute sprechen vom Recovery Point Objective: Wie alt darf die letzte Sicherung im schlimmsten Fall sein?

Website-Typ	Änderungen	Sinnvolle Frequenz
Visitenkarte, statische Seite	selten	nach jeder Änderung, zusätzlich wöchentlich
Blog, Unternehmensseite mit CMS	mehrmals pro Woche	täglich
Forum, Mitgliederbereich	laufend durch Nutzer	täglich, Datenbank häufiger
Onlineshop	laufend durch Bestellungen	Datenbank mehrmals täglich, Dateien täglich

Ergänzend sollten Sie vor jedem größeren Eingriff manuell sichern: vor Updates des CMS, vor dem Wechsel der PHP-Version und vor einem Umzug.

Die Werkzeuge im Überblick

Backup des Hosters

Die meisten Webhoster sichern Webspace und Datenbanken automatisch und halten die Stände eine gewisse Zeit vor. Im Kundenmenü lassen sich einzelne Dateien oder ganze Stände zurückspielen. Klären Sie vor Vertragsabschluss:

• wie oft gesichert wird und wie lange Stände aufbewahrt werden,
• ob Datenbanken, Postfächer und Konfiguration enthalten sind,
• ob die Wiederherstellung selbst möglich oder kostenpflichtig ist,
• ob die Sicherung räumlich getrennt vom eigentlichen Server liegt.

CMS-Plugins und Erweiterungen

Für WordPress, Joomla und andere Systeme gibt es Erweiterungen, die Dateien und Datenbank sichern und an externe Ziele wie Cloud-Speicher oder einen SFTP-Server übertragen. Vorteil: einfache Bedienung ohne Serverkenntnisse. Nachteil: Das Plugin läuft innerhalb der Website. Ist die Seite gehackt oder defekt, kann auch die Sicherung betroffen sein, und große Websites stoßen bei PHP-Laufzeit oder Speicherlimits an Grenzen. Speziell für WordPress lohnt ein Blick in den Ratgeber WordPress-Hosting.

Skripte und Kommandozeile

Mit SSH-Zugang lassen sich Backups per Skript und Cronjob automatisieren. Typische Bausteine sind ein Datenbank-Dump mit mysqldump oder pg_dump, die Übertragung der Dateien mit rsync und deduplizierende Backup-Programme wie restic oder BorgBackup, die verschlüsselt auf entfernte Speicher sichern. Das ist flexibel und unabhängig vom CMS, erfordert aber Pflege und Überwachung: Ein Skript, das seit Monaten still fehlschlägt, schützt nicht.

Externe Backup-Dienste

Spezialisierte Dienste verbinden sich per SFTP oder über eine Schnittstelle mit Ihrer Website und sichern von außen. Das ist bequem und trennt die Kopie vom Hosting, bedeutet aber einen weiteren Dienstleister mit Zugriff auf Ihre Daten. Prüfen Sie Standort und Vertrag zur Auftragsverarbeitung.

Statische Websites und Git

Wird eine Website aus einem Git-Repository gebaut, ist der Quellcode bereits versioniert. Das Repository selbst gehört trotzdem gesichert, und Inhalte außerhalb davon, etwa Formulardaten bei einem externen Dienst, ebenfalls.

Speicherort für die externe Kopie

Option	Stärken	Zu beachten
Objektspeicher (S3-kompatibel)	günstig pro Gigabyte, automatisierbar, Versionierung möglich	Zugangsschlüssel sicher verwahren, Standort prüfen
Zweiter Hoster oder Server per SFTP	unabhängig vom ersten Anbieter	eigene Pflege, Speicherplatz überwachen
Cloud-Speicher für Endkunden	einfach einzurichten	oft nicht für große Datenmengen gedacht, AV-Vertrag prüfen
Lokales Laufwerk oder NAS	volle Kontrolle	nur sinnvoll, wenn regelmäßig und automatisch befüllt

Verschlüsseln Sie Sicherungen mit personenbezogenen Daten, bevor sie das Hosting verlassen, und bewahren Sie den Schlüssel getrennt auf. Ohne Schlüssel ist die beste Sicherung wertlos.

Der Restore-Test

Ein Backup, das nie eingespielt wurde, ist eine Annahme. Planen Sie mindestens einmal pro Quartal einen Test:

1. Sicherung in eine getrennte Umgebung einspielen, etwa eine Staging-Subdomain mit Passwortschutz.
2. Datenbankzugang und Pfade in der Konfiguration anpassen.
3. Startseite, Unterseiten, Bilder, Login und Formulare prüfen.
4. Bei Shops eine Testbestellung durchlaufen lassen, ohne echte Zahlung.
5. Dauer des Restores notieren. So wissen Sie, wie lange ein Ausfall im Ernstfall mindestens dauert.

Dieselbe Routine ist übrigens die Grundlage jedes Anbieterwechsels. Wer seine Website schon einmal aus dem Backup wiederhergestellt hat, hat beim Hosting-Umzug die halbe Arbeit erledigt.

Typische Fehler

• Nur eine Kopie beim Hoster: fällt mit dem Konto oder dem Rechenzentrum aus.
• Backup auf demselben Webspace: belegt Speicherplatz, ist öffentlich erreichbar, wenn falsch abgelegt, und geht bei einem Angriff mit verloren.
• Keine Überwachung: Fehlermeldungen von Backup-Jobs landen ungelesen im Postfach.
• Zu kurze Aufbewahrung: Wenn ein Hack erst nach drei Wochen auffällt, sind sieben Tage Historie zu wenig.
• Zugangsdaten nur im Kopf: Wer die Website im Notfall wiederherstellt, braucht Zugriff auf Backup-Speicher, Hoster und Domainverwaltung.

Checkliste Website-Backup

• Umfang geprüft: Dateien, Datenbank, Konfiguration, DNS-Zone, Postfächer
• Automatisches Hoster-Backup aktiv, Frequenz und Aufbewahrung bekannt
• Zusätzliche Kopie außerhalb des Hostings mit eigenem, abgesichertem Zugang
• Sicherungen mit personenbezogenen Daten verschlüsselt, AV-Vertrag vorhanden
• Gestaffelte Aufbewahrung über mehrere Wochen
• Manuelle Sicherung vor Updates und Umzügen
• Benachrichtigung bei fehlgeschlagenen Backup-Jobs
• Restore-Test mindestens vierteljährlich, Ergebnis dokumentiert