Website-Backups 2026: Die Strategie gegen Datenverlust
Sie befinden sich: Home > News Archiv > Webmaster > Website-Backups 2026...
Ein Hack, ein fehlgeschlagenes Update, ein Serverausfall, und die Seite ist weg. Wer dann kein getestetes Backup hat, verliert alles. Welche Strategie 2026 schützt, welche Tools taugen und warum Hoster-Backups allein nicht reichen.
Ein einziges fehlgeschlagenes Update, ein gehacktes Plugin oder eine defekte Festplatte, und Jahre an Arbeit sind verschwunden. Für jede Website ist das keine Frage des Ob, sondern des Wann. Die einzige Versicherung dagegen ist ein Backup, das im Ernstfall auch wirklich funktioniert.
Genau da liegt der Haken. Viele Betreiber haben zwar irgendeine Sicherung, aber kaum jemand hat je geprüft, ob sich daraus die Seite zurückholen lässt. Dieser Beitrag zeigt, welche Strategie 2026 schützt, welche Werkzeuge taugen und warum der wichtigste Schritt nicht das Sichern ist, sondern das Testen.
Was alles schiefgehen kann
Datenverlust hat selten nur eine Ursache. Am häufigsten trifft es Websites nicht durch spektakuläre Hacker, sondern durch verwundbare Erweiterungen. Der Sicherheitsdienst Patchstack zählte für 2025 über 11.000 neue Schwachstellen im WordPress-Umfeld, rund 91 Prozent davon in Plugins. Im Schnitt vergingen nur fünf Stunden von der Veröffentlichung einer Lücke bis zur ersten massenhaften Ausnutzung.
Dazu kommen weitere Gefahren, die in der Praxis regelmäßig Seiten zerstören:
- Hacks und Schadsoftware, die Dateien manipulieren oder die Seite lahmlegen.
- Ransomware, die Daten verschlüsselt. Laut dem Branchenverband Bitkom war 2025 rund ein Drittel der deutschen Unternehmen davon betroffen, 2022 war es erst gut ein Zehntel.
- Fehlgeschlagene Updates und Plugin-Konflikte, die nur noch einen weißen Bildschirm zeigen.
- Menschliche Fehler, etwa ein versehentlich gelöschter Ordner oder eine geleerte Datenbank.
- Server- und Hardware-Ausfälle ohne Vorwarnung.
- Ein Hoster, der insolvent geht oder den Account sperrt.
Wer jetzt denkt, dafür sei ja der Hoster zuständig, sollte genauer hinsehen.
Der Irrtum vom Hoster-Backup
Sich allein auf die Sicherung des Anbieters zu verlassen, ist einer der teuersten Trugschlüsse. In den Geschäftsbedingungen vieler Hoster steht sinngemäß, Backups würden nur als Gefälligkeit angeboten und seien nicht garantiert. Im Schadensfall gibt es also keinen Anspruch.
Dazu kommen praktische Probleme. Die Sicherungen liegen oft auf demselben Server oder im selben Rechenzentrum. Bei Brand, Ransomware oder einer Account-Sperrung sind Original und Kopie gleichzeitig weg. Manche Anbieter verlangen für das Zurückspielen sogar extra Geld. Die Aufteilung ist klar: Der Hoster sichert seine Technik, für die Inhalte sind Sie selbst verantwortlich.
Ein Hoster-Backup ist ein nettes Sicherheitsnetz, aber niemals die ganze Absicherung. Die braucht eine eigene Methode, und die hat einen Namen.
Die 3-2-1-Regel, und was 2026 dazukommt
Der weltweite Standard für Backups ist seit Jahren die 3-2-1-Regel. Sie ist leicht zu merken und lässt sich auf jede Website anwenden. Auch das Bundesamt für Sicherheit in der Informationstechnik empfiehlt sie.
| Ziffer | Bedeutung | Beispiel für eine Website |
|---|---|---|
| 3 | Drei Kopien der Daten | Live-Seite plus zwei Sicherungen |
| 2 | Auf zwei verschiedenen Speicherorten | Server-Speicher und Cloud |
| 1 | Mindestens eine Kopie außer Haus | Externer Cloud-Speicher, getrennt vom Server |
Wegen Ransomware reicht das vielen nicht mehr. Die erweiterte Variante 3-2-1-1-0 ergänzt zwei Punkte: eine Kopie, die offline oder unveränderlich ist, und null Fehler beim Wiederherstellungstest. Unveränderlich heißt, dass die Sicherung für eine festgelegte Frist weder geändert noch gelöscht werden kann, selbst nicht mit gestohlenen Zugangsdaten. Das ist der wirksamste Schutz gegen Erpressersoftware, die gezielt auch Backups angreift.
Wie viele Kopien Sie auch anlegen, sie nützen nur, wenn das Richtige darin steckt.
Was ins Backup gehört
Eine Website besteht aus zwei untrennbaren Hälften, und beide müssen zusammen gesichert werden. Fehlt eine, ist die Wiederherstellung wertlos.
- Die Dateien: das System selbst, dazu Themes, Plugins und der Ordner mit allen hochgeladenen Bildern und Medien.
- Die Datenbank: Beiträge, Seiten, Nutzer, Einstellungen und bei Shops die Bestellungen und Kundendaten. Ohne sie ist die Seite leer.
- Oft vergessen: E-Mail-Postfächer auf dem Server und, bei eigenem Server, die Konfigurationsdateien.
Wichtig ist, dass Dateien und Datenbank zum selben Zeitpunkt gesichert werden. Stammt das Datei-Backup von gestern und die Datenbank von heute, passt beim Zurückspielen nichts mehr zusammen. Bei einem Shop führt das schnell ins Chaos.
Wie diese Sicherung technisch abläuft, hängt von der gewählten Art ab.
Voll, inkrementell oder differenziell
Bei der Sicherungsart geht es um eine Abwägung zwischen Speicherplatz, Geschwindigkeit und Aufwand beim Zurückspielen.
| Art | Was gesichert wird | Speicherbedarf | Wiederherstellung |
|---|---|---|---|
| Vollbackup | Jedes Mal alle Daten | Hoch | Am schnellsten, nur ein Satz nötig |
| Inkrementell | Nur Änderungen seit der letzten Sicherung | Am geringsten | Langsamer, die ganze Kette wird gebraucht |
| Differenziell | Alle Änderungen seit dem letzten Vollbackup | Mittel | Schnell, Vollbackup plus letzte Sicherung |
Für die meisten Seiten bewährt sich eine Mischung: ein wöchentliches Vollbackup als Basis, dazu täglich inkrementelle Sicherungen. Vor riskanten Aktionen wie einem großen Update gehört zusätzlich eine Sicherung auf Abruf dazu. Wie oft Sie insgesamt sichern sollten, beantworten zwei Kennzahlen.
Wie oft sichern? RPO und RTO
Hinter den beiden Kürzeln stecken zwei einfache Fragen. Der RPO, das Recovery Point Objective, fragt: Wie viele Daten dürfen wir maximal verlieren? Ein RPO von einer Stunde bedeutet stündliche Backups. Der RTO, das Recovery Time Objective, fragt: Wie lange darf die Seite höchstens ausfallen? Daraus ergibt sich die passende Sicherungshäufigkeit.
| Art der Seite | Sinnvoller RPO | Empfehlung |
|---|---|---|
| Statische Visitenkarten-Seite | Eine Woche | Wöchentliches Backup |
| Blog mit täglichen Beiträgen | 24 Stunden | Tägliches Backup |
| Aktiver Online-Shop | 5 bis 15 Minuten | Echtzeit- oder stündliche Sicherung |
Zwei Dinge gehören noch dazu. Erstens die Aufbewahrung: Heben Sie mehrere Generationen auf, etwa eine Reihe täglicher, wöchentlicher und monatlicher Stände. Mindestens 30 Tage sind sinnvoll, denn Schadsoftware bleibt manchmal wochenlang unbemerkt im System. Zweitens der Datenschutz: Backups mit Kundendaten müssen verschlüsselt werden, und der Speicherort sollte in der EU liegen. Das verlangt die Datenschutz-Grundverordnung, auch wenn die Details zur Löschung in Backups juristisch umstritten sind und dieser Text keine Rechtsberatung ersetzt.
Mit dieser Grundlage lässt sich das passende Werkzeug auswählen.
Die richtigen Werkzeuge
Auf WordPress übernimmt ein Plugin die Arbeit. Welches passt, hängt davon ab, ob Sie einen einfachen Blog oder einen Shop mit ständigen Bestellungen betreiben.
| Tool | Am besten für | Stärke | Haken |
|---|---|---|---|
| UpdraftPlus | die meisten Seiten | Über drei Millionen Installationen, einfacher Restore, viele Cloud-Ziele | Echtzeit nur als Bezahlversion |
| BlogVault | Shops und Agenturen | Sicherung läuft extern, inkrementell, mit Teststellung | Nur kostenpflichtig |
| Jetpack VaultPress | dynamische Seiten und Shops | Echtzeit-Backup, sehr einfach | Preis steigt bei Verlängerung |
| Duplicator | Umzüge und Migration | Bester für den Serverwechsel | Backup-Fokus erst in der Pro-Version |
| WPvivid | knappes Budget | Sehr großzügige Gratis-Version | Weniger verbreitet |
| BackWPup | Entwickler und Multisite | Gratis-Option auch für Netzwerke | Zurückspielen weniger komfortabel |
Als Speicherziel eignet sich ein externer Objektspeicher. Günstig und zuverlässig sind Backblaze B2 oder Wasabi, beide mit Rechenzentren in Europa und mit der Möglichkeit, Sicherungen unveränderlich abzulegen. Amazon S3 ist mächtiger, aber teurer. Ein verbreiteter Fehler: Google Drive und Dropbox sind Synchronisierungsdienste, kein Backup. Löscht oder verschlüsselt Schadsoftware die lokalen Dateien, wandert das einfach mit in die Cloud.
Doch das beste Werkzeug nützt nichts, wenn ein Schritt übersprungen wird, den fast niemand macht.
Der Test, den fast niemand macht
Es gibt einen treffenden Spruch unter Administratoren: Der Zustand eines Backups ist unbekannt, bis man versucht, es zurückzuspielen. Ein grüner Haken im Dashboard sagt nur, dass die Sicherung erstellt wurde, nicht, dass sie sich wiederherstellen lässt. Erst der Test bringt Gewissheit, und genau den überspringen die meisten.
So gehen Sie vor: Spielen Sie die Sicherung auf einer Teststellung oder lokal ein, niemals zum Probieren auf der Live-Seite. Prüfen Sie, ob Datenbank, Bilder und Einstellungen vollständig sind, klicken Sie sich durch die Seite, und stoppen Sie die Zeit. So sehen Sie auch, ob Ihr Ziel für die Ausfallzeit realistisch ist. Das Bundesamt für Sicherheit in der Informationstechnik rät, das regelmäßig zu tun, mindestens einmal pro Quartal.
Dass ein Restore scheitert, liegt fast immer an denselben Gründen:
- Die Sicherung war unvollständig, meist fehlt die Datenbank.
- Nach dem Zurückspielen stimmen die Dateirechte nicht.
- Auf dem Zielserver ist zu wenig Speicher frei.
- Die PHP- oder Datenbankversion passt nicht mehr zusammen.
- Eine inkrementelle Kette ist unterbrochen und damit unbrauchbar.
Bleibt die Frage, wie man das alles in eine feste Routine bringt.
So setzen Sie es auf
Für eine normale WordPress-Seite genügt ein überschaubarer Plan:
- Ein Backup-Plugin installieren, etwa UpdraftPlus.
- Tägliche Sicherung von Dateien und Datenbank einrichten.
- Als Ziel einen externen Cloud-Speicher wählen, nicht denselben Server.
- Vor jedem Update zusätzlich eine Sicherung auf Abruf anlegen.
- Verschlüsselung und eine Benachrichtigung bei Fehlschlägen aktivieren.
- Einmal im Quartal einen Restore auf einer Teststellung üben.
Ein Online-Shop braucht mehr, weil jede verlorene Stunde echte Bestellungen kostet. Hier gehören Echtzeit-Backups mit einem Tool wie BlogVault oder Jetpack dazu, eine unveränderliche Kopie als Schutz vor Ransomware, eine längere Aufbewahrung von mehreren Monaten und ein monatlicher Test, vor großen Aktionen zusätzlich.
Zum schnellen Abhaken die wichtigsten Punkte:
- Drei Kopien, zwei Speicherorte, eine außer Haus.
- Dateien und Datenbank werden gemeinsam gesichert.
- Mindestens eine Kopie ist offline oder unveränderlich.
- Die Backups sind verschlüsselt und laufen automatisch.
- Eine Benachrichtigung meldet jeden Fehlschlag.
- Der Restore wurde getestet und dokumentiert.
Die Fehler, die am meisten Daten kosten, sind dabei immer dieselben: die Sicherung auf demselben Server, eine vergessene Datenbank, keine Kopie außer Haus und ein Backup, das nie ausprobiert wurde. Wer diese vier vermeidet, hat schon das Wichtigste geschafft.
Wie sichern Sie Ihre Seite?
Haben Sie für Ihre Website ein automatisches, externes Backup, und wann haben Sie zuletzt einen Restore getestet? Schreiben Sie in die Kommentare, welches Tool Sie nutzen und ob Sie schon einmal eine Seite aus einer Sicherung zurückholen mussten. Wenn Sie an einer Stelle unsicher sind, fragen Sie ruhig konkret nach, oft hilft die Antwort gleich mehreren Lesern weiter.
backups hoster backup taugen fehlgeschlagenes serverausfall
Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.
Neusten News in der Kategorie "Webmaster"
| • Cookie-Banner 2026: Was jetzt wirklich Pflicht ist Cookie-Banner verschwinden 2026 doch nicht. Welche Regeln gelten, welc... |
| • Core Web Vitals 2026: Was beim Ranking wirklich zählt Mehr als vier von zehn Websites fallen bei Googles Core Web Vitals dur... |
| • NIS2 in Deutschland: Wer betroffen ist und was gilt Seit Dezember 2025 gilt in Deutschland das NIS2-Gesetz, und zwar ohne ... |
| • Passkeys statt Passwörter: Ratgeber für Webmaster Passwörter gelten als das schwächste Glied der Sicherheit. Passkeys so... |
| • CVE-2026-54420: LiteSpeed-cPanel-Lücke wird ausgenutzt Eine kritische Lücke im LiteSpeed-Plugin für cPanel wird bereits aktiv... |
| • Neuer KI-Bericht in der Google Search Console erklärt Seit Juni 2026 zeigt die Google Search Console endlich, wie oft Ihre S... |
| • llms.txt: Hype oder Pflicht für SEO und Webmaster? Kaum eine Datei wurde 2025 so gehypt wie llms.txt. Doch eine Analyse v... |
| • FAQ Rich Snippets sind weg: Schema jetzt entfernen? Jahrelang war FAQ-Schema ein einfacher Trick für mehr Platz in der Goo... |
| • Gmail lehnt Mails ab: SPF, DKIM und DMARC einrichten Seit Ende 2025 prallen Mails ohne saubere Authentifizierung an Gmail u... |
| • HTTP/2 Bomb: Webserver-Lücke trifft Apache und nginx Ein einzelner Heim-PC mit normaler Leitung genügt, um einen Webserver ... |
Kommentar schreiben
Teilen Sie uns Ihre Meinung mit. Ihr Kommentar wird nach Pruefung veroeffentlicht.