Kurz gesagt: Ein WordPress-Backup besteht immer aus zwei Teilen: der Datenbank (Beiträge, Seiten, Einstellungen, Benutzer) und den Dateien, vor allem dem Ordner wp-content und der Datei wp-config.php. Am einfachsten sicherst du beides automatisch mit einem Backup-Plugin wie UpdraftPlus oder BackWPup und legst die Sicherung außerhalb deines Webspace ab. Entscheidend ist nicht nur das Sichern, sondern dass du die Wiederherstellung einmal ausprobiert hast.
Was zu einem vollständigen Backup gehört
WordPress speichert Inhalte und Dateien an zwei verschiedenen Orten. Fehlt einer davon, ist die Sicherung im Ernstfall wertlos.
| Bestandteil | Was drinsteckt | Sichern? |
|---|---|---|
| Datenbank (MySQL/MariaDB) | Beiträge, Seiten, Kommentare, Menüs, Einstellungen, Benutzer, Plugin-Daten | immer |
wp-content/uploads | Bilder, PDFs und alle anderen Medien | immer |
wp-content/themes und plugins | Themes und Plugins, auch eigene Anpassungen | ja, vor allem bei Eigenentwicklungen |
wp-config.php | Datenbank-Zugang, Sicherheitsschlüssel, Konfiguration | immer |
.htaccess | Permalinks, Weiterleitungen, Serverregeln | ja |
WordPress-Kern (wp-admin, wp-includes) | unveränderte Standarddateien | optional, jederzeit neu ladbar |
Vier Wege zum Backup
1. Backup beim Hoster
Viele Webhoster sichern Webspace und Datenbanken täglich und bieten eine Wiederherstellung per Klick im Kundenmenü. Prüf, wie weit die Sicherungen zurückreichen, ob du einzelne Dateien zurückholen kannst und ob die Wiederherstellung Geld kostet. Verlass dich nicht allein darauf: Liegt das Backup auf derselben Infrastruktur wie deine Website, hilft es dir bei einem Ausfall des Hosters oder einem gesperrten Konto nicht.
2. Backup mit einem Plugin (empfohlen für Einsteiger)
- Installiere ein etabliertes Backup-Plugin, zum Beispiel UpdraftPlus oder BackWPup, über Plugins → Neues Plugin hinzufügen.
- Lege einen Zeitplan fest: Datenbank täglich, Dateien wöchentlich ist für die meisten Blogs ein guter Start. Aktive Shops oder Seiten mit vielen Kommentaren sichern die Datenbank häufiger.
- Wähle ein externes Speicherziel, etwa einen Cloud-Speicher, einen SFTP-Server oder S3-kompatiblen Speicher. Lass die Sicherungen nicht nur im Ordner
wp-contentliegen. - Stell ein, wie viele Sicherungen aufbewahrt werden, zum Beispiel die letzten 14 Datenbank- und 4 Datei-Backups.
- Starte einmal manuell ein Backup und kontrolliere, ob die Dateien am Ziel ankommen und sich öffnen lassen.
3. Manuelles Backup per FTP und phpMyAdmin
Ohne Plugin geht es in zwei Schritten. Dateien: Verbinde dich per SFTP (zum Beispiel mit FileZilla oder WinSCP) und lade den kompletten WordPress-Ordner herunter, mindestens wp-content, wp-config.php und .htaccess. Datenbank: Öffne phpMyAdmin im Kundenmenü deines Hosters, wähle die WordPress-Datenbank, klicke auf „Exportieren“ und speichere die SQL-Datei. Welche Datenbank die richtige ist, steht in der wp-config.php in der Zeile DB_NAME.
4. Backup mit WP-CLI (für Fortgeschrittene)
Hast du SSH-Zugang, ist WP-CLI der schnellste und zuverlässigste Weg. Die Befehle laufen im WordPress-Hauptverzeichnis:
# Datenbank in eine Datei mit Datum exportieren
wp db export ~/backups/db-$(date +%F).sql
# Dateien packen (ohne Cache-Ordner)
tar --exclude='wp-content/cache' -czf ~/backups/files-$(date +%F).tar.gz wp-content wp-config.php .htaccess
# Prüfen, ob der Export vollständig ist (letzte Zeile muss "Dump completed" enthalten)
tail -n 1 ~/backups/db-$(date +%F).sqlPer Cronjob automatisiert, zum Beispiel täglich um 3 Uhr, und anschließend mit rsync oder rclone auf einen anderen Server kopiert, hast du eine robuste Sicherung ohne Plugin-Last auf der Website.
Die 3-2-1-Regel: Wo deine Backups hingehören
Bewährt hat sich die 3-2-1-Regel: 3 Kopien deiner Daten, auf 2 unterschiedlichen Speichermedien, davon 1 an einem anderen Ort. Für eine WordPress-Seite heißt das zum Beispiel: die Live-Seite, die tägliche Hoster-Sicherung und eine Plugin- oder WP-CLI-Sicherung in einem Cloud-Speicher bei einem anderen Anbieter. Mindestens eine Kopie sollte für einen Angreifer, der deine Website übernimmt, nicht löschbar sein. Das erreichst du mit getrennten Zugangsdaten oder einem Speicher mit Versionierung.
Backup wiederherstellen
- Mit Plugin: Installiere WordPress und das Backup-Plugin neu, verbinde das Speicherziel und starte die Wiederherstellung aus der Liste der Sicherungen.
- Manuell: Lade die gesicherten Dateien per SFTP hoch, importiere die SQL-Datei in phpMyAdmin in eine leere Datenbank und passe in der
wp-config.phpdie Datenbank-Zugangsdaten an, falls sie sich geändert haben. - Mit WP-CLI:
wp db import db-2026-09-27.sqlspielt die Datenbank zurück,tar -xzf files-2026-09-27.tar.gzentpackt die Dateien.
Stellst du auf einer neuen Domain wieder her, musst du zusätzlich die Adresse anpassen. Wie das geht, erklärt unsere Antwort WordPress-URL ändern.
Wichtig: Ein Backup, das du nie zurückgespielt hast, ist nur eine Hoffnung. Teste die Wiederherstellung mindestens einmal, am besten auf einer Testumgebung oder Subdomain, und wiederhole den Test nach größeren Änderungen.
Backup-Plan zum Übernehmen
Wie oft und wie lange du sicherst, hängt davon ab, wie viele Daten du im schlimmsten Fall verlieren darfst. Diese Werte haben sich als Ausgangspunkt bewährt:
| Website-Typ | Datenbank | Dateien | Aufbewahrung | Speicherorte |
|---|---|---|---|---|
| Visitenkarte, kaum Änderungen | wöchentlich und vor jeder Änderung | monatlich | 3 Monate | Hoster + 1 extern |
| Blog, Magazin | täglich | wöchentlich | 30 Tage | Hoster + 1 extern |
| Forum, Community, viele Kommentare | mehrmals täglich | täglich (Uploads) | 30 Tage + Monatsstände | Hoster + 2 extern, eines davon nicht löschbar |
| Onlineshop | stündlich oder fortlaufend | täglich | 30 Tage + Monatsstände (ersetzt keine steuerliche Archivierung) | Hoster + 2 extern, eines davon nicht löschbar |
Schreib dir außerdem auf, wo die Sicherungen liegen, wer Zugriff hat und wie die Wiederherstellung funktioniert. Im Ernstfall hast du keine Zeit, das erst herauszufinden.
Wiederherstellung testen: so geht es in 15 Minuten
- Lege beim Hoster eine Subdomain wie
test.deine-domain.deund eine leere Datenbank an, am besten mit Passwortschutz für die Subdomain. - Spiele Dateien und Datenbank aus deinem letzten Backup dort ein, wie oben beschrieben.
- Passe in der
wp-config.phpdie Datenbank-Zugangsdaten an und ersetze die Adresse (siehe unten). - Prüfe Startseite, einen Beitrag mit Bildern, das Login und ein Formular. Stimmt alles, ist dein Backup brauchbar. Danach die Testinstallation wieder löschen.
Mit WP-CLI ersetzt du die Adresse in der Testkopie in einem Schritt, auch in serialisierten Daten:
wp db import db-2026-09-27.sql
wp search-replace 'https://www.deine-domain.de' 'https://test.deine-domain.de' --all-tables --dry-run
wp search-replace 'https://www.deine-domain.de' 'https://test.deine-domain.de' --all-tables
wp option update blog_public 0 # Testkopie nicht indexieren lassenTypische Fehler beim Backup
- Nur die Dateien gesichert: Ohne Datenbank fehlen sämtliche Inhalte.
- Backups öffentlich abrufbar: Liegen ZIP- oder SQL-Dateien ungeschützt im Webspace, kann sie jeder herunterladen, inklusive Passwort-Hashes und E-Mail-Adressen. Speichere sie außerhalb des Web-Verzeichnisses oder extern.
- Speicherplatz voll: Unbegrenzt aufbewahrte Sicherungen füllen den Webspace, bis die Website selbst nicht mehr funktioniert.
- Kein Backup vor Updates: Sichere vor jedem größeren Update von WordPress, Theme oder Plugins. Wie Updates sicher ablaufen, liest du unter WordPress-Update durchführen.
- Backup nach einem Hack: Wer erst sichert, wenn die Seite schon kompromittiert ist, sichert die Schadsoftware mit. Du brauchst Sicherungen, die weit genug zurückreichen.
Backups sind ein Baustein deiner Absicherung. Die weiteren findest du in unserer Antwort WordPress sicherer machen und im Bereich Sicherheit, Datenschutz & Backup.
Frage dazu? Probleme mit einem Backup-Plugin oder bei der Wiederherstellung? Frag im Forum „Performance & Sicherheit“: Zum WPDE-Forum
Häufige Fragen
Wie oft sollte ich WordPress sichern?
So oft, wie du Datenverlust verkraften kannst. Für einen Blog mit einem Beitrag pro Woche reicht eine tägliche Datenbank- und eine wöchentliche Dateisicherung. Shops und Foren sichern die Datenbank mehrmals täglich.
Reicht das Backup meines Hosters?
Als zusätzliche Sicherung ist es sehr nützlich, als einzige Sicherung nicht. Du brauchst mindestens eine Kopie außerhalb der Infrastruktur deines Hosters.
Muss ich den WordPress-Kern mitsichern?
Nein, wp-admin und wp-includes kannst du jederzeit frisch von wordpress.org laden. Wichtig sind Datenbank, wp-content, wp-config.php und .htaccess.
Sind Backups datenschutzrelevant?
Ja. Backups enthalten personenbezogene Daten wie E-Mail-Adressen und IP-Adressen aus Kommentaren. Speichere sie geschützt, lösche alte Sicherungen nach einer festen Frist und nenne externe Speicheranbieter in deiner Datenschutzerklärung.