Backup-Konzepte für WordPress

Markus Bode

Ein sicheres WordPress beginnt nicht bei Firewalls oder Security-Plugins, sondern bei einer unangenehmen Frage:

Was passiert, wenn morgen alles weg ist?

Ein durchdachtes Backup-Konzept ist Ihre letzte Verteidigungslinie. Gegen Angriffe, Fehlkonfigurationen, kaputte Plugins und menschliche Fehler. Im Folgenden zeige ich Ihnen anhand von UpdraftPlus, wie ein sinnvolles Backup-Konzept aussehen kann, welche Szenarien Sie bedenken sollten und wie sich das mit Provider-Backups und Alternativen kombinieren lässt. Abschließend finden Sie noch die wichtigsten Maßnahmen zur Absicherung Ihrer WordPress-Installation.

Grundprinzip: Wie Sie strategisch über Backups nachdenken sollten

Als Leitlinie hat sich die sogenannte 3‑2‑1-Regel bewährt:

  • 3 Kopien Ihrer Daten
  • auf 2 verschiedenen Systemen/Medien
  • davon 1 Kopie offsite, also an einem anderen Ort/Rechenzentrum

Übertragen auf WordPress bedeutet das typischerweise:

  • Backups beim Hoster (tägliche Snapshots von Webspace und Datenbank)
  • Backups per Plugin (z.B. UpdraftPlus in ein externes Cloud-Ziel)
  • Optionale zusätzliche Backups (z.B. per SSH/CLI auf eigenen Speicher)

So haben Sie eine schnelle Wiederherstellungsmöglichkeiten und unabhängige Sicherungen.

UpdraftPlus im Überblick

Stärken von UpdraftPlus

UpdraftPlus gehört zu den am häufigsten eingesetzten Backup-Plugins und erhält regelmäßig Updates. Das reduziert das Risiko unentdeckter Sicherheitslücken und sorgt für Kompatibilität mit neuen WordPress- und PHP-Versionen.

Sie können festlegen, in welchem Intervall Backups erstellt werden (z.B. täglich, wöchentlich). n der Premium-Version sind auch inkrementelle Backups möglich, die nur Änderungen sichern und somit Serverressourcen schonen.

Bereits in der kostenlosen Version: z.B. Google Drive, Dropbox, Amazon S3, FTP/SFTP.
In der Premium-Version kommen weitere Ziele hinzu (z.B. OneDrive, zusätzliche S3-kompatible Systeme, UpdraftVault).

Sie können auswählen, was zurückgespielt werden soll: Datenbank, Plugins, Themes, Uploads, andere Dateien. Das ist besonders hilfreich, wenn z.B. nur ein Plugin Probleme macht.

Wenn Sie als Ziel z.B. Google Drive oder S3 nutzen, liegen Ihre Backups in einem anderen Rechenzentrum als Ihre Website. Das schützt Sie etwa vor: Totalausfall des Servers oder versehentlichem Löschen des gesamten Webverzeichnisses. Ein lokales Backup innerhalb der Wordpress Installation schützt in diesen Fällen nicht.

Schwächen und Risiken

Gerade für weniger technische Benutzerinnen und Benutzer kann die Vielzahl an Optionen verwirrend sein. Ein falsch gewähltes Intervall oder Ziel kann dazu führen, dass Backups unvollständig sind oder gar nicht erst erstellt werden. Dies trifft vor allem dann zu, wenn die Webseite schon etwas größer ist und die Backups nach und nach den Speicherplatz des Pakets verstopfen.

Große Websites (z.B. Shops) können durch vollständige Backups regelmäßig stark belastet werden. Hier sind inkrementelle Backups (Premium oder alternative Lösungen) oft sinnvoller.

Wenn das Backend nicht mehr erreichbar ist (White Screen, 500-Fehler, gehacktes System), ist die komfortable Wiederherstellung über das Plugin nicht mehr möglich.
Dann müssen Backups manuell per FTP/SSH heruntergeladen und Datenbank-Backups mit geeigneten Tools eingespielt werden.

Jedes umfangreiche Plugin ist potenzielle Angriffsfläche. Auch bei UpdraftPlus kann es, wie bei anderen populären Plugins, in der Vergangenheit Sicherheitslücken gegeben haben. Konsequenz: Das Plugin muss stets aktuell gehalten werden.

Erlangt ein Angreifer Zugriff auf einen Admin-Account, kann er:

  • Backups löschen
  • Backup-Pläne ändern
  • neue (manipulierte) Backups anlegen
  • unter Umständen Zugangsdaten zu Backup-Zielen auslesen oder verändern

In der kostenlosen Version sind Datenbank-Backups standardmäßig nicht verschlüsselt.
Wird der Cloud-Account kompromittiert, hat der Angreifer direkten Zugriff auf sämtliche Datenbankinhalte.

Die 5 wichtigsten Maßnahmen, um WordPress abzusichern

1. Starke Authentifizierung & Zwei-Faktor-Authentifizierung (2FA)

  • Nutzen Sie starke, einzigartige Passwörter (idealerweise mit Passwort-Manager).
  • Benennen Sie den Hauptadmin nicht "admin".
  • Aktivieren Sie 2FA mit einem der etablierten Plugins, wie das von Wordpress selbst bereitgestellte "Two Factor".

2FA macht es für Angreifer deutlich schwieriger, mit gestohlenen Passwörtern ins System zu gelangen.

2. Konsequent aktualisieren & Plugin-Hygiene

Halten Sie WordPress-Core, Plugins und Themes konsequent aktuell. Entfernen Sie nicht benötigte Plugins und Themes vollständig, statt sie nur zu deaktivieren. Achten Sie besonders auf große, verbreitete Plugins (Page Builder, Backup, Formulare):
Hier sind Sicherheitslücken besonders attraktiv für Angreifer.

Ein fester wöchentlicher Wartungs-Termin, in dem Sie Updates und einen kurzen Funktionstest einplanen, ist oft schon die halbe Miete.

Verwenden Sie eine aktuelle, unterstützte PHP-Version. Erzwingen Sie HTTPS (inkl. Weiterleitung). Nutzen Sie, falls möglich, SSH-Zugänge mit Schlüssel-Authentifizierung statt FTP mit Passwort. Beobachten Sie Fehler- und Zugriffs-Logs auf Auffälligkeiten.

3. Rechte & Konfiguration reduzieren

Vergeben Sie nur so viele Administratorenrechte wie unbedingt nötig. Nutzen Sie WordPress-Rollen sinnvoll (Redakteure, Autoren, Shop-Manager statt Allround-Admins).

Deaktivieren Sie das Bearbeiten von PHP-Dateien im Backend in wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Achten Sie auf vernünftige Dateirechte auf dem Server (keine 777, vorzugsweise 755 für Verzeichnisse und 644 für Dateien).

So erschweren Sie es Angreifern, aus kleineren Schwachstellen einen vollständigen Systemkompromiss zu machen.

4. Login-Schutz & Web Application Firewall (WAF)

Deaktivieren oder beschränken Sie xmlrpc.php, falls nicht benötigt (z.B. in der Webserver-Konfiguration). Setzen Sie Rate-Limiting gegen Bruteforce-Angriffe ein, z.B. mit Wordfence. Nach Möglichkeit kann eine WAF auf Hoster-Ebene helfen - oder letztendlich auch Cloudflare.

Diese Maßnahmen reduzieren automatisierte Angriffe erheblich.

5. Offsite Backups

Konfigurieren Sie UpdraftPlus (oder ein anderes Plugin) so, dass Backups nicht lokal sondern auf externen Zielen gespeichert werden.

Wenn der Provider bereits Backups anbietet: Was brauchen Sie zusätzlich?

Viele Hoster, ich auch, bieten solide Backup-Lösungen:

  • tägliche oder sogar häufigere Snapshots von Webspace und Datenbank
  • Wiederherstellung einzelner Tage oder Zeitpunkte
  • separate Datenbank-Restores

Diese Provider-Backups sind oft die schnellste Lösung, wenn alles brennt. Sie haben aber Grenzen:

  • Retention ist oft begrenzt (z.B. nur 7 oder 14 Tage).
  • Sie haben keine oder nur eingeschränkte Möglichkeit, Backups automatisiert offsite zu speichern.
  • Migrationen (Staging, Domainwechsel, andere Hoster) werden damit nur bedingt unterstützt.

Wann reichen Hoster-Backups (fast) aus?

Bei kleineren bis mittleren Websites mit moderater Änderungsfrequenz reichen diese Backups bereits häufig aus. Wenn Sie keinen Shop mit vielen Bestellungen/Transaktionen betreiben und auch keinen Bedarf an häufigen Zwischenständen oder eigenständiger Migrationslogik haben, können Sie auf z.B. zusätzliche Tägliche Backups verzichten: Aber nach der 3-2-1 Regel sollten Sie dennoch ein aktuelleres Backup extern vorhalten.

Eine sehr robuste Kombination in der Praxis ist:

  1. Provider-Backups als erste Linie (für Totalausfälle, schnelle Komplett-Restores).
  2. UpdraftPlus oder Alternative für: zusätzliche Offsite-Backups, häufigere Sicherungen und Migration / Staging.

Gerne nehme ich Ihnen die Arbeit rund um das Thema "Backup" und "Sicherheit" im Rahmen meines Website Management Angebots ab.