WordPress-Backup-Strategie: 3-2-1-Regel, Plugins und DSGVO

Die meisten deutschen Unternehmen glauben, sie hätten ein WordPress-Backup, bis sie es eines Tages tatsächlich wiederherstellen müssen. Dann stellen sie fest, dass das Backup sechs Wochen alt ist, die Datenbank fehlt, es in einer Region liegt, die gegen die DSGVO verstößt, oder im schlimmsten Fall komplett weg ist, weil es auf demselben Hosting-Konto lag, das gerade kompromittiert wurde.

Eine echte WordPress-Backup-Strategie für ein deutsches Unternehmen bedeutet 2026 nicht „Ich habe UpdraftPlus installiert“. Es ist ein dokumentierter Plan: was gesichert wird, wo es gespeichert wird, wie oft, wer Wiederherstellungen testet und wie das Ganze datenschutzrechtlich vertretbar bleibt.

Dieser Ratgeber zeigt, wie eine echte Backup-Strategie für KMU, Mittelstandsunternehmen und Onlineshops mit WordPress aussieht: die 3-2-1-Regel, Plugin-Empfehlungen, Speicheroptionen in der EU und die Disziplin regelmäßiger Restore-Tests, die „Wir haben Backups“ von „Wir können tatsächlich wiederherstellen“ unterscheidet.

Was ist die 3-2-1-Backup-Regel, und warum ist sie für deutsche Unternehmen wichtig?

Die 3-2-1-Regel ist der Branchenstandard für Datensicherung:

• 3 Kopien Ihrer Daten (eine im Produktivbetrieb + zwei Backups)
• 2 verschiedene Speichermedien oder Dienste (damit ein Ausfall nicht beide trifft)
• 1 externe Kopie (geschützt vor Feuer, Diebstahl und Ransomware am Hauptstandort)

Für eine deutsche WordPress-Website bedeutet das 2026:

• Kopie 1: die Live-Website bei Ihrem deutschen Hoster (Hetzner / Mittwald / Raidboxes / IONOS)
• Kopie 2: nächtliches Backup an einen zweiten Speicherort (Hetzner Storage Box, separates Hetzner-Volume oder das integrierte Backup Ihres Hosters)
• Kopie 3: wöchentliches Backup bei einem komplett anderen Anbieter (AWS S3 Frankfurt, Google Cloud Storage EU oder Wasabi EU)

Ergänzen Sie Verschlüsselung im Ruhezustand und bei der Übertragung sowie einen Plan für Restore-Tests, und Sie haben eine vertretbare Strategie.

Die deutschen Datenschutzbehörden berufen sich bei Bußgeldern nach Sicherheitsvorfällen zunehmend auf Art. 32 DSGVO (Sicherheit der Verarbeitung). „Wir hatten kein brauchbares Backup“ gehört zu den schlechtesten Feststellungen, die man im Protokoll stehen haben kann.

Was muss bei einer WordPress-Website gesichert werden?

Vier verschiedene Bestandteile, von denen einzelne oft übersehen werden:

Die Datenbank

Der wichtigste Teil und derjenige, der in unvollständigen Backups am häufigsten fehlt. Sie enthält alle Inhalte (Beiträge, Seiten, Produkte), Benutzerkonten, Einstellungen, Bestellungen, Kundendaten und Kommentare. Ohne Datenbank ist WordPress praktisch nichts.

Das Verzeichnis /wp-content/

Enthält Themes, Plugins, hochgeladene Medien (Bilder, PDFs, Videos) und Kundendateien (wenn Sie digitale Produkte verkaufen). Ohne dieses Verzeichnis verweist Ihre Datenbank auf Bilder, die nicht mehr existieren.

wp-config.php und Dateien im Stammverzeichnis

Enthalten Datenbank-Zugangsdaten, Sicherheitsschlüssel und individuelle Konfiguration. Sie werden oft vergessen, weil sie im WordPress-Stammverzeichnis liegen und nicht in /wp-content/.

Webserver-Konfiguration (bei eigenem Hosting)

.htaccess, Nginx-Konfiguration, PHP-Einstellungen, SSL-Zertifikate. Bei Managed Hosting (Mittwald, Raidboxes) wird das für Sie verwaltet. Bei einem Hetzner-VPS oder eigenem Hosting müssen Sie diese Dateien separat sichern.

Ein „Backup“, das nur die Datenbank enthält, ist ein halbes Backup. Ein Backup, das nur /wp-content/ enthält, ebenfalls. Sie brauchen beides und zusätzlich die Dateien im Stammverzeichnis.

Welche WordPress-Backup-Plugins sind 2026 die besten für deutsche Unternehmen?

Der realistische Vergleich.

Plugin	Preis (pro Jahr)	EU-Speicher ab Werk	Inkrementell	Verschlüsselung
UpdraftPlus Premium	70–195 $ (ca. 65–180 €)	Optional (EU-Bucket anbinden)	Ja (Premium)	Ja (mit Schlüssel)
BlogVault	89–359 $ (ca. 85–330 €)	Ja (eigener verwalteter Speicher)	Ja	Ja
Solid Backups (BackupBuddy)	99–199 $ (ca. 95–190 €)	Optional	Ja	Ja
WPVivid Premium	59–199 $ (ca. 55–185 €)	Optional	Ja	Ja
All-in-One WP Migration	Kostenlos + Erweiterungen	Optional	Eingeschränkt	Eingeschränkt
BackWPup	Kostenlos + Pro 69 €	Optional	Ja (Pro)	Ja (Pro)
Duplicator Pro	99–799 $ (ca. 95–755 €)	Optional	Ja	Ja

Den meisten deutschen Kunden empfehlen wir eines von zwei Modellen:

• UpdraftPlus Premium mit Hetzner Storage Box (S3-kompatibel) und AWS S3 Frankfurt als zweite Kopie: volle Kontrolle, Daten in der EU, gut vertretbar aus DSGVO-Sicht.
• BlogVault: verwalteter Dienst, einfacher einzurichten, automatische inkrementelle Backups. Der Standardspeicher liegt allerdings in den USA. Klären Sie die Verfügbarkeit von EU-Speicher, bevor Sie sich festlegen.

Für Websites unter 5 GB ist die kostenlose Version von UpdraftPlus mit einer günstigen Hetzner Storage Box ein starker Einstieg zu nahezu null Kosten.

Welcher Backup-Speicher eignet sich am besten für die DSGVO?

Fünf solide Optionen, sortiert nach Einfachheit für ein deutsches Unternehmen:

Hetzner Storage Box

S3-kompatibel, 1 TB ab etwa 4 € pro Monat, gehostet in Falkenstein oder Nürnberg. Die sauberste Lösung aus DSGVO-Sicht.

Strato / IONOS HiDrive / TeamDrive

In Deutschland gehosteter Cloud-Speicher mit DSGVO-tauglichen AVVs. Etwas weniger S3-nah als Hetzner, dafür mit deutschem Support.

AWS S3 in eu-central-1 (Frankfurt)

Es gelten die Standardpreise von S3 (ca. 0,023 $ pro GB und Monat). Hervorragende Zuverlässigkeit und Langlebigkeit, unterzeichneter DPA mit AWS. Von vielen deutschen Großkunden genutzt.

Wasabi EU-Speicher (Frankfurt)

S3-kompatibel zum Pauschalpreis (ca. 6,99 $ pro TB und Monat) ohne Gebühren für ausgehenden Datenverkehr. Kostengünstig für größere Backups, gehostet in der EU.

Backblaze B2 (EU-Region)

Backblaze bietet eine günstige EU-Region mit S3-kompatibler API. Weit verbreitet bei deutschen Agenturen.

Meiden Sie: AWS S3 in us-east-1, Google Cloud Storage in us-central1, private Dropbox-Konten (Hosting in den USA, kein Enterprise-DPA) und privates Google Drive. Technisch funktioniert das, datenschutzrechtlich ist es aber schwer zu verteidigen, wenn jemand nachfragt.

Wie oft sollte eine WordPress-Website gesichert werden?

Das hängt davon ab, wie dynamisch die Website ist. Drei Stufen:

Website mit wenig Änderungen (Unternehmenswebsite)

Inhalte werden 1–2 Mal pro Monat aktualisiert, die Datenbank ändert sich kaum.

• Datenbank: täglich
• Dateien: wöchentlich
• Externe Kopie: wöchentlich

Website mit mittleren Änderungen (aktiver Blog, Lead-Gewinnung, kleiner WooCommerce-Shop)

Tägliche Inhalte, regelmäßige Kundenaktivität.

• Datenbank: alle 6 Stunden (bei WooCommerce nach jeder Transaktion)
• Dateien: täglich
• Externe Kopie: täglich

Website mit vielen Änderungen (aktiver Onlineshop, Mitgliederbereich, Kursplattform)

Kunden kaufen ständig ein und erzeugen laufend Daten.

• Datenbank: stündlich oder kontinuierlich per Binärlog
• Dateien: täglich (oder nach jedem Upload)
• Externe Kopie: mindestens täglich

Richten Sie bei WooCommerce-Websites mit vielen Änderungen die Übertragung des MySQL-Binärlogs an einen zweiten Datenbankserver ein. Viele deutsche Kunden betreiben das auf einem Hetzner-VPS für 5–15 € pro Monat als Cold Standby.

Wie lange sollten Backups aufbewahrt werden?

Eine praxistaugliche Aufbewahrungsrichtlinie für deutsche Unternehmen:

• Tägliche Backups: 14 Tage (1–2 Wochen Rücksprungmöglichkeiten)
• Wöchentliche Backups: 8 Wochen (2 Monate älterer Stand)
• Monatliche Backups: 12 Monate (ein Jahr mit monatlichen Ständen)
• Jährliches Backup: 5 Jahre (regulatorischer und forensischer Wert)

Insgesamt sind das jederzeit etwa 60–80 Backup-Kopien. Für die meisten WordPress-Websites unter 10 GB sind das deutlich weniger als 1 TB Speicher, was problemlos in ein Budget von 5–10 € pro Monat passt.

Für Onlineshops, die unter die GoBD fallen, gilt für Finanztransaktionen eine 10-jährige Aufbewahrungspflicht, die eventuell separat geregelt werden muss.

Wie verschlüsseln Sie WordPress-Backups DSGVO-konform?

Drei Verschlüsselungsebenen sind wichtig:

Verschlüsselung im Ruhezustand

Ihr Speicheranbieter sollte Dateien auf dem Datenträger verschlüsseln. Hetzner Storage Box, AWS S3, Wasabi und Backblaze B2 tun das standardmäßig.

Verschlüsselung bei der Übertragung

Backups werden per HTTPS / TLS von Ihrem WordPress-Server zum Speicherziel übertragen. Die meisten Plugins tun das automatisch. Prüfen Sie es in den Plugin-Einstellungen.

Clientseitige Verschlüsselung

Verschlüsseln Sie sensible Backups (Onlineshops mit Kundendaten, Mitgliederbereiche mit personenbezogenen Daten) VOR dem Hochladen mit einer Passphrase, die Sie selbst kontrollieren. UpdraftPlus Premium, Solid Backups und WPVivid bieten das an. Bewahren Sie die Passphrase getrennt von den Backups auf, denn ohne sie haben Sie keinen Zugriff mehr auf Ihre eigenen Backups.

Verschlüsseln Sie besonders schützenswerte Daten mit einer Passphrase, die Ihr Hoster nicht kennt. Das ist der Unterschied zwischen „Backup kompromittiert“ und „Datenpanne“.

Wie stellen Sie ein WordPress-Backup tatsächlich wieder her?

Der Ablauf in vier vereinfachten Schritten:

1. Eine saubere WordPress-Installation bereitstellen (neues Verzeichnis, frische Datenbank).
2. Die Datenbank aus der Backup-Datei (.sql oder .gz) wiederherstellen.
3. Das Verzeichnis /wp-content/ wiederherstellen (Themes, Plugins, Uploads).
4. Die wp-config.php bei Bedarf mit den neuen Datenbank-Zugangsdaten aktualisieren.

Die meisten Backup-Plugins automatisieren die Schritte 2–4 per Ein-Klick-Wiederherstellung. Sie sollten den manuellen Ablauf trotzdem kennen: Wenn die Automatisierung versagt (und das kommt vor), müssen Sie es um 2 Uhr nachts von Hand erledigen.

Zusätzlicher Schritt: Testen Sie die Wiederherstellung jedes Quartal. Das häufigste Fehlermuster, das wir sehen: „Wir hatten Backups, aber niemand hatte in 18 Monaten eine Wiederherstellung getestet, und als wir es versuchten, war die Datenbank unvollständig.“ Ein Backup, das Sie nie wiederhergestellt haben, ist eine Hoffnung, kein Backup.

Welche Backup-Fehler machen deutsche Unternehmen am häufigsten?

Fünf Muster dominieren bei unseren Prüfungen:

Backups auf demselben Server wie die Website

Fällt der Server aus oder wird er kompromittiert, sind beide Kopien weg. Bewahren Sie immer mindestens eine Kopie extern auf.

Keine Datenbank im Backup

Manche Setups sichern nur das Dateisystem. Ohne Datenbank haben Sie eine defekte WordPress-Installation. Prüfen Sie, ob die Datenbank in jeder Backup-Art enthalten ist.

Ungetestete Wiederherstellungen

Die Backups existieren, wurden aber nie getestet. Wenn Sie sie tatsächlich brauchen, stellen Sie fest, dass sie beschädigt, unvollständig oder in einem Format sind, das der neue Server nicht lesen kann. Führen Sie vierteljährliche Restore-Tests in einer Staging-Umgebung durch.

Keine Verwaltung der Verschlüsselungsschlüssel

Die Backups sind verschlüsselt, aber die einzige Person mit der Passphrase hat das Unternehmen verlassen. Die Backups sind nicht mehr wiederherstellbar. Dokumentieren Sie die Schlüssel in Ihrem Passwortmanager, mit Zugriff für mindestens zwei Personen.

Speicher außerhalb der EU

Die Backups landen in S3 us-east-1, weil das die Standardoption war. Sechs Monate später fragt eine Datenschutzbehörde, wo die personenbezogenen Daten liegen, und Ihre Antwort ist schwer zu verteidigen. Wählen Sie vom ersten Tag an Speicher in der EU.

Wie fügt sich das Backup in einen Wartungsvertrag ein?

Backups sind eine von fünf Säulen eines echten WordPress-Wartungsvertrags:

1. Backups (dieser Ratgeber)
2. Sicherheitsupdates (WordPress-Core, Themes, Plugins)
3. Performance-Monitoring (Core Web Vitals, Uptime)
4. Tests von Updates (Staging-Umgebung vor der Produktivumgebung)
5. Wiederherstellungsübungen (vierteljährlich)

Für die meisten WordPress-Websites deutscher KMU kostet ein Wartungsvertrag, der all das bündelt, 79–199 € pro Monat in der Standard-Stufe und 199–499 € pro Monat in der Pro-Stufe. Details dazu finden Sie in unserem Ratgeber zu den Kosten der WordPress-Wartung.

Ein Backup-Plugin ist ein Werkzeug. Ein Wartungsvertrag ist die Disziplin, es richtig einzusetzen.

Wann lohnt sich ein individuell entwickeltes Backup-System?

Fast nie. Die Standard-Plugins decken 95 % des Bedarfs ab. Eine Eigenentwicklung ist sinnvoll, wenn:

• Sie eine WordPress-Multisite in Enterprise-Größe mit individuellen Aufbewahrungsregeln pro Mandant betreiben
• Sie regulatorische Anforderungen haben (Finanzen, Gesundheitswesen), die kein Plugin vollständig erfüllt
• Sie Backups in einen umfassenden Notfallplan mit RPO/RTO-Zielen unter 24 Stunden einbinden
• Sie besondere Anforderungen an die Übertragung von Binärlogs haben (Datenbankreplikation in Echtzeit über das hinaus, was Plugins bieten)

Individuelle Backup-Systeme mit mysqldump, rsync und S3-CLI samt CI/CD-Steuerung kosten typischerweise 4.000–15.000 €. Alle anderen sollten in der Regel UpdraftPlus oder BlogVault konfigurieren.

Mehr zur Entscheidung zwischen Eigenentwicklung und Kauf lesen Sie in unserem Ratgeber zur individuellen WordPress-Plugin-Entwicklung.

Häufige Fragen zur WordPress-Backup-Strategie

Bereit für eine echte Backup-Strategie?

Eine echte WordPress-Backup-Strategie ist eine der günstigsten Versicherungen, die ein deutsches Unternehmen abschließen kann, aber nur, wenn sie mit EU-Speicher, Verschlüsselung und getesteten Wiederherstellungen richtig eingerichtet ist.

Wenn Sie in einem 30-minütigen Gespräch die passende Backup-Architektur für Ihre WordPress-Website klären möchten, buchen Sie einen Termin oder senden Sie uns die Details über unsere Kontaktseite.

Sie brauchen professionelle Unterstützung? Gem Programmers bietet Webdesign und Webentwicklung für Unternehmen in Deutschland, Österreich und der Schweiz. Fordern Sie ein kostenloses, unverbindliches Angebot an und erhalten Sie einen klaren Plan mit Umfang, Zeitplan und Preis.