Backup ist nicht gleich Wiederherstellung: so prüfen Sie, ob Ihre Sicherung funktioniert

Fragt man Betriebe, ob ihre Website gesichert ist, lautet die Antwort fast immer: „Ja, das macht der Hoster.“ Fragt man weiter, ob die Sicherung schon einmal zurückgespielt wurde, wird es still. Dabei ist genau das die Frage, auf die es ankommt. Eine Sicherung ist kein Selbstzweck. Sie ist nur so viel wert wie die Website, die man aus ihr wieder herstellen kann.

Warum Sicherungen im Ernstfall scheitern

Die Sicherung läuft jede Nacht, das Protokoll meldet „erfolgreich“, und trotzdem steht man im Ernstfall mit leeren Händen da. Die häufigsten Gründe:

• Es fehlt die Hälfte. Gesichert wurden nur die Dateien, nicht die Datenbank, oder umgekehrt. Bei WordPress stehen Texte, Seiten und Einstellungen in der Datenbank, Bilder, Theme und Plugins in den Dateien. Ohne beides gibt es keine Website.
• Die Sicherung liegt am falschen Ort. Sie liegt auf demselben Server wie die Website. Fällt der Server aus oder wird er gelöscht, sind Website und Sicherung zugleich weg.
• Sie ist zu kurz aufbewahrt. Ein Einbruch wird oft erst nach Wochen bemerkt. Wenn nur die letzten sieben Tage aufbewahrt werden, sind alle Sicherungen schon befallen.
• Sie ist beschädigt oder unvollständig. Ein Datenbank-Export bricht wegen eines Zeitlimits ab, eine Datei ist zu groß, ein Ordner war gesperrt. Das Protokoll merkt davon nichts.
• Niemand weiß, wie es geht. Die Sicherung gibt es, aber die Zugangsdaten zum Speicher, das Passwort zur Verschlüsselung oder die Anleitung fehlen, oder die einzige Person, die es konnte, ist im Urlaub.
• Sie wurde mitverschlüsselt oder mitgelöscht. Wer Zugriff auf die Website hat, hat oft auch Zugriff auf die Sicherungen am selben Ort.

Keiner dieser Fehler fällt auf, solange alles läuft. Alle fallen auf, sobald man die Sicherung braucht.

Was eine vollständige Sicherung einer WordPress-Website enthält

• Die Datenbank mit allen Tabellen (Seiten, Beiträge, Einstellungen, Benutzer, Formulareinträge, bei Shops die Bestellungen).
• Den Ordner wp-content mit Uploads (Bilder, PDFs), Themes und Plugins.
• Die Datei wp-config.php mit den Zugangsdaten zur Datenbank und den Sicherheitsschlüsseln.
• Sonderdateien wie .htaccess mit Weiterleitungen.
• Daneben, aber nicht weniger wichtig: die E-Mail-Postfächer, wenn sie beim selben Anbieter liegen, und die DNS-Einträge der Domain. Beides ist bei einem Totalausfall mühsam neu aufzubauen.

Die Faustregel 3-2-1

Eine verbreitete Faustregel für Sicherungen lautet 3-2-1:

• 3 Kopien Ihrer Daten (das Original und zwei Sicherungen),
• auf 2 verschiedenen Arten von Speicher oder bei zwei Anbietern,
• 1 davon an einem anderen Ort, getrennt vom Server.

Für eine kleine Firmenwebsite heißt das praktisch: eine tägliche Sicherung beim Hoster und eine zweite, die außer Haus liegt, bei einem anderen Anbieter oder in einem anderen Rechenzentrum, und auf die die Website selbst keinen Schreibzugriff hat. Aufbewahrung mindestens 30 Tage, besser zusätzlich eine monatliche Sicherung über mehrere Monate.

Probe-Wiederherstellung in fünf Schritten

Der einzige echte Beweis, dass eine Sicherung funktioniert, ist das Zurückspielen. Das geht, ohne Ihre echte Website zu gefährden: Sie spielen die Sicherung in eine getrennte Testumgebung ein. Planen Sie beim ersten Mal ein bis zwei Stunden ein.

1. Testumgebung vorbereiten. Eine leere Subdomain oder ein Testbereich bei Ihrem Hoster (z. B. test.ihre-firma.at), mit eigener, leerer Datenbank. Wichtig: nicht dieselbe Datenbank wie die echte Website verwenden. Die Testumgebung sollte für Suchmaschinen gesperrt oder mit Passwort geschützt sein.
2. Sicherung holen, und zwar von dort, wo sie im Ernstfall herkäme. Also aus dem Speicher außer Haus, nicht vom Server der Website. Nur so prüfen Sie auch, ob Sie an die Sicherung herankommen.
3. Einspielen. Dateien entpacken, Datenbank importieren, in der wp-config.php die Zugangsdaten der Testdatenbank eintragen. Weil die Website unter einer anderen Adresse läuft, müssen die Adressen in der Datenbank angepasst werden; dafür gibt es Werkzeuge wie WP-CLI („search-replace“) oder Migrations-Plugins. Viele Hosting-Oberflächen (etwa Plesk mit dem WP Toolkit) können eine Website auch auf Knopfdruck klonen; das ersetzt aber nicht den Test mit der Sicherung von außer Haus.
4. Prüfen. Startseite und die wichtigsten Unterseiten öffnen und mit der echten Website vergleichen. Sind alle Bilder da? Funktioniert die Anmeldung in WordPress? Sind die letzten Änderungen enthalten (der neueste Beitrag, die letzte Bestellung)? Stimmt das Datum der Sicherung?
5. Aufschreiben und aufräumen. Datum, welche Sicherung, was funktioniert hat, was nicht, wie lange es gedauert hat. Danach die Testumgebung wieder löschen; sie enthält echte Daten, auch personenbezogene.

Wenn das klappt, wissen Sie zwei Dinge: Die Sicherung ist vollständig, und Sie wissen, wie die Wiederherstellung geht. Wenn es nicht klappt, haben Sie den Fehler gefunden, bevor er Sie etwas kostet.

Wie oft?

Einmal reicht nicht, weil sich Websites, Plugins und Sicherungsverfahren ändern. Bewährt hat sich: nach jeder größeren Änderung (neues Theme, Umzug, neuer Hoster) und sonst regelmäßig, idealerweise jeden Monat. Wer das von Hand macht, schafft es meist zwei- bis viermal im Jahr. Das ist deutlich besser als nie.

Diese Fragen sollten Sie Ihrem Hoster stellen

Viele Hosting-Pakete werben mit „tägliches Backup“. Was dahinter steckt, ist sehr unterschiedlich. Fragen Sie nach:

1. Was genau wird gesichert: Dateien, Datenbank, E-Mails?
2. Wo liegen die Sicherungen: auf demselben Server, im selben Rechenzentrum, oder getrennt?
3. Wie lange werden sie aufbewahrt?
4. Kann ich selbst zurückspielen, und auch nur einzelne Teile (eine Datenbank, ein Postfach)?
5. Was kostet eine Wiederherstellung durch den Anbieter, und wie schnell geht sie?
6. Wird das Zurückspielen geprüft, und kann ich das Ergebnis sehen?
7. Was steht in den Geschäftsbedingungen? Manche Anbieter schließen eine Pflicht zur Datensicherung ausdrücklich aus und verweisen auf den Kunden.

Eine ehrliche Antwort auf diese Fragen ist mehr wert als ein großzügiges Speicherkontingent.

Was Sie heute noch tun können

• Prüfen, ob es eine Sicherung gibt, die nicht auf dem Server der Website liegt. Wenn nicht: eine anlegen, zur Not von Hand als Download auf Ihren Rechner.
• Die Zugangsdaten für Hosting, Domain und Sicherungsspeicher an einem sicheren Ort ablegen, an den auch eine zweite Person im Betrieb kommt.
• Einen Termin für die erste Probe-Wiederherstellung in den Kalender eintragen.

Genau diese Prüfung haben wir zum Kern unserer Betreuung gemacht: Bei Betreut sichern wir Ihre Website jede Nacht an einem zweiten Standort und spielen die Sicherung jeden Monat in eine abgeschottete Testumgebung ein. Ob alles wieder so aussieht wie vorher, steht in Ihrem Monatsbericht. Mehr zu den übrigen Aufgaben rund um WordPress lesen Sie im Ratgeber WordPress-Wartung: was wirklich dazugehört.