WordPress Backup erstellen: 5 Schritte und der Test, den fast niemand macht

1. Einführung: WordPress Backup erstellen und dann prüfen

Ein Backup, das noch niemand zurückgespielt hat, ist ein Ersatzreifen, den noch niemand aus dem Kofferraum geholt hat. Er liegt da. Er wiegt etwas. Ob er Luft hält, weiß niemand. Genau so sehen die meisten WordPress Backups aus: eingerichtet, automatisch, nie geprüft. Und der Tag, an dem es darauf ankommt, ist immer der schlechteste für Überraschungen.

Auf einen Blick

• Ein vollständiges Backup besteht immer aus zwei Teilen: der WordPress Datenbank und den Dateien (WordPress.org).
• Das regelmäßige Testen der Wiederherstellung ist eine Basis-Anforderung und keine Empfehlung (BSI, IT-Grundschutz, Baustein CON.3 Datensicherungskonzept).
• UpdraftPlus ist mit 3 Millionen aktiven Installationen das verbreitetste Backup Plugin, gefolgt von Duplicator mit 1 Million und WPvivid mit 900.000 (WordPress.org Plugin-Verzeichnis).
• Von 14 geprüften Hosting-Tarifseiten werben 13 mit automatischen Backups, aber nur 3 nennen ein konkretes Aufbewahrungsfenster (Kreativschock-Stichprobe, Juli 2026).

Ein WordPress Backup ist eine vollständige Kopie beider Bestandteile Ihrer Website: der Datenbank mit allen Texten, Kommentaren und Einstellungen und der Dateien mit Themes, Plugins und Medien. Erst beide zusammen lassen sich wiederherstellen. Ein Backup gilt deshalb erst dann als Sicherung, wenn die Wiederherstellung einmal erfolgreich getestet wurde.

Dieser Beitrag zeigt Ihnen in fünf Schritten, wie Sie ein WordPress Backup erstellen, das diesen Test besteht. Sie erfahren, was gesichert werden muss, welche Wege es gibt und wo die typischen Lücken liegen. Wenn Sie die Pflege lieber abgeben möchten, übernehmen wir das im Rahmen unserer WordPress-Wartung mit. Und weil die häufigste Ursache für eine Wiederherstellung ein schiefgelaufenes Update ist, lohnt vorher ein Blick darauf, wie Sie WordPress Updates richtig machen.

2. Warum Sie regelmäßig WordPress Backups erstellen sollten

In einer WordPress Website steckt Arbeit von Monaten. Texte, Produktbilder, Kundenbewertungen, gewachsene Rankings. Diese Arbeit kann in Minuten verschwinden, und die Auslöser sind erschreckend banal.

• Update-Konflikt: Ein Plugin verträgt sich nach der Aktualisierung nicht mehr mit dem Theme, die Seite zeigt nur noch einen Fehler.
• Angriff: Eine bekannte Lücke wird ausgenutzt, Schadcode landet in Dateien und Datenbank.
• Eigener Fehler: Eine Seite gelöscht, ein Menü zerschossen, eine Datei im falschen Ordner überschrieben.
• Technik beim Hoster: Server-Ausfall, fehlerhafte Migration, Datenbank beschädigt.

Ein aktuelles Backup verwandelt jeden dieser Fälle von einer Katastrophe in eine Aufgabe von zwanzig Minuten. Sie können die Website wiederherstellen und verlieren höchstens die Änderungen seit dem letzten Backup. Ohne Sicherung wird daraus ein Neuaufbau. Wer schon einmal eine gehackte WordPress Website bereinigen musste, kennt den Unterschied zwischen „wir spielen das Backup von heute Nacht ein“ und „wir fangen von vorne an“.

WordPress selbst formuliert das nüchtern. Die offizielle Dokumentation sagt wörtlich: „Site backups are essential because problems inevitably occur and you need to be in a position to take action when disaster strikes.“ Übersetzt heißt das, dass Sicherungen unverzichtbar sind, weil Probleme zwangsläufig auftreten und Sie in dem Moment handlungsfähig sein müssen.

3. Was ein vollständiges WordPress Backup umfasst

Hier scheitern die meisten Sicherungen, lange bevor es zum Ernstfall kommt. Eine WordPress Installation besteht aus zwei getrennten Welten, und nur eine davon liegt in Dateien.

Die WordPress Datenbank enthält alle Inhalte: Beiträge, Seiten, Kommentare, Benutzer, Einstellungen. Die Dateien enthalten die Hülle: Themes, Plugins, Uploads, dazu die Konfigurationsdatei. Die Datenbank ist der Text Ihres Buches, die Dateien sind Einband, Bilder und Regal. Wer nur eines von beiden einpackt, zieht mit einem halben Buch um.

Die WordPress Dokumentation ist an diesem Punkt sehr deutlich. Sie schreibt: „There are two parts to backing up your WordPress site: Database and Files. You need both to be able to fully restore a typical WordPress site.“ Auf Deutsch bedeutet das, dass ein WordPress Backup aus zwei Teilen besteht und Sie beide benötigen, um eine WordPress Website vollständig wiederherzustellen.

Ein vollständiges Backup umfasst deshalb immer beides. Wird nur die Datenbank gesichert, steht nach dem Einspielen ein Text ohne Design da. Wird nur die Datei-Ebene gesichert, kommt ein Design ohne Inhalte zurück.

Ein halbes Backup ist im Ernstfall genauso wertlos wie gar keines, weil sich die fehlende Hälfte nachträglich nicht rekonstruieren lässt.

4. Voraussetzungen: Was Sie vorher klären sollten

Bevor Sie das erste Backup erstellen, brauchen Sie vier Dinge. Sie zu sammeln dauert zehn Minuten und spart im Notfall Stunden.

1. Admin-Zugang zu WordPress: nötig für jedes Backup Plugin und für die Wiederherstellung.
2. Zugangsdaten für FTP oder SFTP: nötig, wenn Sie manuell sichern oder wenn das Backend nicht mehr erreichbar ist.
3. Zugriff auf phpMyAdmin: die Oberfläche, über die Sie die Datenbank exportieren und einspielen.
4. Ein Speicherort außerhalb des Servers: Google Drive, ein anderer Cloud-Speicher oder eine externe Festplatte.

Diese Zugangsdaten gehören nicht ausschließlich in den Passwort-Manager auf dem Rechner, der beim Ausfall vielleicht selbst mitbetroffen ist. Notieren Sie deshalb an einem zweiten Ort, wo das Backup gespeichert wird und wer im Zweifel darauf zugreifen kann. Genau diese Dokumentation fehlt in der Praxis am häufigsten. Sie kostet fünf Minuten.

5. WordPress Backup erstellen: 5 Schritte mit Plugin

Der bequemste Weg führt über ein Backup Plugin. In wenigen Schritten steht damit eine automatische Sicherung, die Datenbank und Dateien zusammen wegschreibt. Wir nutzen im Folgenden UpdraftPlus als Beispiel, weil es am weitesten verbreitet ist; mit WPvivid oder BackWPup läuft es sehr ähnlich.

5.1 Speicherort außerhalb des Servers festlegen

Beginnen Sie hier, nicht beim Plugin. Ein Backup auf demselben Server wie die Website ist ein Zweitschlüssel, der im Schloss steckt, denn fällt der Server aus, ist die Sicherung im selben Moment mit weg. Verbinden Sie deshalb Google Drive, Dropbox oder einen anderen externen Speicher.

5.2 Backup Plugin installieren und verbinden

Unter „Plugins“ und „Installieren“ suchen Sie das Plugin, aktivieren es und öffnen die Einstellungen. Dort hinterlegen Sie den Speicherort aus Schritt eins und bestätigen den Zugriff. Wichtig: nur ein Backup Plugin pro Installation. Zwei parallel laufende WordPress Plugins stören sich gegenseitig und erzeugen unvollständige Archive, die dann nur zur Hälfte gesichert sind.

5.3 Zeitplan für Datenbank und Dateien setzen

Datenbank und Dateien werden getrennt geplant, und das ist sinnvoll, weil sich Inhalte täglich ändern, Themes und Plugins dagegen nur selten. Für eine normale Firmenseite passt: Datenbank täglich, Dateien wöchentlich. Bei einem Shop mit Bestellungen sichern Sie die Datenbank mehrmals täglich. Stellen Sie zusätzlich ein, wie viele Versionen aufbewahrt werden, und wählen Sie hier bewusst großzügig, weil die Zahl der Versionen später Ihr einziger Spielraum ist.

5.4 Erstes vollständiges Backup erstellen und kontrollieren

Ein Klick auf „Jetzt sichern“ erzeugt das erste Archiv. Damit ist in wenigen Klicks ein vollständiges Backup erstellt. Danach kommt der Teil, den viele überspringen: Öffnen Sie den Speicherort und sehen Sie sich an, was dort liegt. Ein vollständiges WordPress Backup besteht aus mehreren Dateien für Datenbank, Themes, Plugins und Uploads. Fehlt eine davon oder ist eine Datei auffällig klein, war das Backup nicht erfolgreich und der Auftrag muss wiederholt werden.

5.5 Die Wiederherstellung einmal testen

Dieser Schritt macht aus einer Kopie eine Sicherung. Legen Sie eine Testumgebung an, spielen Sie das Backup dort ein und klicken Sie sich durch: Startseite, ein Unterseiten-Menü, das Kontaktformular, ein Bild. Messen Sie mit, wie lange es gedauert hat. Diese Zahl ist Ihre echte Ausfallzeit.

Das BSI führt diesen Test als Basis-Anforderung, nicht als guten Vorsatz. Im Baustein CON.3 Datensicherungskonzept ist der Wortlaut eindeutig. Dort steht: „Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.“ Dieselbe Quelle benennt fehlende Wiederherstellungstests ausdrücklich als eigene Gefährdung.

Einmal im Quartal reicht für eine normale Website völlig aus.

6. WordPress Backup manuell erstellen, ganz ohne Plugin

Ein manuelles Backup bedeutet: Sie holen Dateien und Datenbank selbst vom Server. Das dauert länger, funktioniert aber auch dann noch, wenn das Backend gar nicht mehr reagiert, und genau deshalb sollten Sie diesen Weg einmal gegangen sein. Einmal reicht.

1. Dateien manuell sichern: Mit einem FTP-Programm verbinden Sie sich zum Server, öffnen den Ordner der WordPress Installation und laden ihn komplett auf die Festplatte.
2. Datenbank exportieren: In phpMyAdmin wählen Sie die Datenbank aus, gehen auf „Exportieren“ und speichern die SQL-Datei am selben Ort.
3. Beides zusammen ablegen: Ein Ordner mit Datum im Namen, zusätzlich in die Cloud kopiert.

Das Backup wiederherstellen läuft umgekehrt: erst die Dateien hochladen, dann die Datenbank einspielen. So lässt sich eine Website manuell komplett zurückholen, auch wenn kein Plugin mehr läuft. Ein manuelles Backup erstellen lohnt sich als Zusatz vor einem größeren Eingriff, etwa einem Theme-Wechsel. Als einzige Strategie ist es ungeeignet, weil es voraussetzt, dass jemand daran denkt.

7. Plugin, Hoster oder Managed WordPress Hosting

Drei Wege, ein Ziel. Sie unterscheiden sich weniger im Ergebnis als im Aufwand und in der Kontrolle.

Weg	Aufwand	Kontrolle über Speicherort	Passt für
Backup Plugin	Einmal einrichten, dann automatisiert	Hoch, Sie wählen den Speicher	Firmenseiten, Blogs, kleine Shops
Backup beim Hoster	Keiner, läuft mit	Gering, Fenster und Ort gibt der Anbieter vor	Zusätzliches Netz, nicht als einzige Sicherung
Managed WordPress Hosting	Keiner, inklusive Wiederherstellung	Mittel, oft Staging und Rückspielung per Klick	Wer die Verantwortung abgeben will

Bei den Plugins ist die Auswahl groß, die Verbreitung aber sehr ungleich. Laut Plugin-Verzeichnis von WordPress.org kommt UpdraftPlus auf 3 Millionen aktive Installationen und 4,8 von 5 Sternen aus über 8.500 Bewertungen. Duplicator liegt bei 1 Million, WPvivid bei 900.000, BackWPup bei 500.000. Für den Standardfall genügt die kostenlose Version; erweiterte Funktionen wie inkrementelle Sicherungen sind kostenpflichtig.

Reicht das Backup vom Hoster allein? Als einzige Sicherung nicht. Es liegt in der Infrastruktur des Anbieters, Sie bestimmen weder den Zeitplan noch die Aufbewahrung, und in vielen Tarifen führt die Rückspielung über den Support. Ein eigenes automatisches Backup daneben kostet nichts und gehört Ihnen. Welche Rolle der Anbieter dabei spielt, zeigt auch unsere Checkliste zum Website sichern.

Zwei unabhängige Sicherungen kosten in der Praxis fast nichts und verdoppeln die Chance, dass im Notfall wirklich eine von beiden funktioniert.

8. Unsere Position: das Aufbewahrungsfenster ist der blinde Fleck

Die meisten Anleitungen behandeln die Frequenz als entscheidende Größe: täglich sichern, besser stündlich. Unsere Position ist eine andere. Entscheidend ist, wie weit die Sicherungen zurückreichen und ob Sie sie selbst einspielen können.

Frequenz ist billig, Aufbewahrungstiefe ist die eigentliche Investition.

Dafür haben wir im Juli die öffentlich erreichbaren Tarif- und Produktseiten von 14 deutschen Hosting-Anbietern geprüft, jeweils auf drei Kriterien: Werden automatische Backups genannt, wird eine Frequenz genannt, wird ein Aufbewahrungszeitraum genannt. Das Ergebnis fiel deutlicher aus als erwartet: 13 der 14 Seiten werben mit automatischen Backups, aber nur 3 nennen ein konkretes Aufbewahrungsfenster. Diese drei liegen bei 7, 10 und maximal 14 Tagen.

Ein Fenster von sieben Tagen ist eine Überwachungskamera, die nach einer Woche überschreibt. Wer den Schaden später bemerkt, findet nur noch Aufnahmen vom Schaden selbst. Genau das passiert bei Schadcode, der still im Hintergrund arbeitet, und bei Inhalten, die schon vor Wochen verschwunden sind, ohne dass es jemandem aufgefallen wäre. Dann ist jede Sicherung im Fenster längst infiziert.

Deshalb ergänzen wir in unseren Projekten zwei Dinge: eine monatliche Langzeit-Version, die mehrere Monate liegen bleibt, und eine kurze Notiz, wo die Sicherung liegt und wie sie zurückkommt. Das BSI nennt fehlende Dokumentation ausdrücklich als Grund, warum eine Wiederherstellung sich erheblich verzögert. Zwei Sätze in einem Dokument lösen dieses Problem.

9. Häufige Fehler beim WordPress Backup vermeiden

Fünf Muster sehen wir in unseren Projekten immer wieder. Jedes einzelne macht die Sicherung im Ernstfall wertlos.

• Nur auf dem eigenen Server: Ohne externen Speicherort ist das Backup Teil des Problems.
• Nur die Datenbank gesichert: Die häufigste unvollständige Sicherung überhaupt.
• Nie getestet: Ein Archiv, das niemand geöffnet hat, ist eine Vermutung.
• Zu wenige Versionen: Drei Tage Aufbewahrung helfen nicht gegen Probleme, die drei Wochen alt sind.
• Keine Benachrichtigung: Wenn ein Auftrag scheitert und niemand es erfährt, läuft die Website monatelang ungesichert.

Backups sind die Basis, nicht die ganze Absicherung. Wer zusätzlich die Angriffsfläche verkleinert, braucht die Wiederherstellung seltener. Welche Werkzeuge dabei wirklich helfen, haben wir in unserem Vergleich der Security Plugins im Test zusammengestellt.

10. Fazit: Erst der Test macht aus der Kopie eine Sicherung

Ein WordPress Backup zu erstellen ist keine große Sache. Speicherort außerhalb des Servers, ein Plugin, ein Zeitplan für Datenbank und Dateien, eine Kontrolle des ersten Archivs. Der fünfte Schritt ist aber der, der über alles andere entscheidet, und er besteht darin, die Sicherung einmal zurückzuspielen und die dafür benötigte Zeit zu notieren.

Danach sieht ein Freitagabend anders aus. Ein Update läuft schief, die Startseite bricht weg, und Sie öffnen ruhig den Speicherort, weil Sie wissen, dass die Version von heute Nacht dort liegt und wie lange das Einspielen dauert. Zwanzig Minuten später ist die Website zurück, ohne Anruf, ohne Notfall, ohne verlorene Rankings. Falls die Sichtbarkeit nach einem Ausfall trotzdem gelitten hat, hilft eine SEO-Analyse Ihrer Website beim Aufholen.

11. Anhang: Ihre Checkliste zum WordPress Backup

• Externer Speicherort verbunden, nicht auf demselben Server
• Genau ein Backup Plugin aktiv, Zugriff auf den Speicher bestätigt
• Datenbank täglich, Dateien wöchentlich im Zeitplan
• Mindestens eine Langzeit-Version, die mehrere Monate bleibt
• Erstes Archiv geöffnet und auf Vollständigkeit geprüft
• Wiederherstellung einmal getestet, Dauer notiert
• Fehler-Benachrichtigung aktiv, Zugangsdaten dokumentiert
• Vor jedem Update eine zusätzliche Sicherung

Kontakt aufnehmen

Sie möchten automatische Backups eingerichtet haben oder einmal geprüft wissen, ob Ihre Sicherung im Ernstfall trägt? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden:

Disclaimer: Alle genannten Zeitangaben, Empfehlungen und Bewertungen sind Erfahrungswerte aus der Agentur-Praxis oder beruhen auf den verlinkten Quellen zum Zeitpunkt der Veröffentlichung. Sie können je nach Anbieter, Tarif und Projektumfang abweichen. Die Kreativschock-Stichprobe ist eine kleine, nicht repräsentative Erhebung öffentlich erreichbarer Anbieterseiten. Rechtsverbindliche Aussagen ersetzen keine Fachberatung.