Website-Backup: So sichern Sie Website, Datenbank und E-Mails richtig

Ein gutes Website-Backup umfasst Dateien, Datenbank, E-Mails und DNS-Einträge, läuft automatisch mindestens täglich, bewahrt mehrere Versionen auf und hat mindestens eine Kopie ausserhalb Ihres Hosting-Kontos. Und es ist nur so gut wie die letzte erfolgreiche Wiederherstellung: Testen Sie diese regelmässig. Die Backups Ihres Hosting-Anbieters sind eine gute Basis, ersetzen aber keine eigene Strategie. Hier erfahren Sie Schritt für Schritt, wie Sie diese aufbauen.

Die 3-2-1-Regel einfach erklärt

Das Bundesamt für Cybersicherheit (BACS) empfiehlt die 3-2-1-Methode als Grundlage für zuverlässige Datensicherung. Für eine Website bedeutet das:

• 3 Kopien: das Original auf dem Webserver und zwei Sicherungen.
• 2 verschiedene Speichermedien oder Systeme: zum Beispiel das Backup-System des Hosting-Anbieters und ein eigenes Speichermedium.
• 1 Kopie an einem anderen Ort: ausserhalb des Hosting-Kontos, etwa auf einem NAS im Büro, einer externen Festplatte oder einem separaten Cloud-Speicher.

Manche Fachleute erweitern die Regel auf 3-2-1-1-0: eine zusätzliche Kopie offline oder unveränderbar und null Fehler bei der Prüfung der Wiederherstellung. Für kleine Firmen und Vereine ist das ein gutes Ziel, aber schon die einfache 3-2-1-Regel schützt vor den häufigsten Ausfällen.

Was gehört in ein Website-Backup?

Viele sichern nur die Dateien und vergessen die Datenbank – oder umgekehrt. Ohne beides lässt sich eine dynamische Website nicht wiederherstellen.

Tipp: SSL-Zertifikate müssen Sie in der Regel nicht sichern: Kostenlose Zertifikate werden nach einer Wiederherstellung automatisch neu ausgestellt. Bei gekauften Zertifikaten bewahren Sie den privaten Schlüssel und das Zertifikat sicher auf.

Wie oft sichern und wie lange aufbewahren?

Die Häufigkeit richtet sich danach, wie viele Daten Sie im schlimmsten Fall verlieren dürfen. Die Aufbewahrungsdauer danach, wie spät Sie ein Problem bemerken. Schadcode auf einer Website bleibt oft wochenlang unentdeckt – dann nützen Ihnen nur Backups von vor dem Angriff.

Ein Backup ist kein Archiv: Wenn Sie Geschäftsunterlagen wie Rechnungen aufbewahren müssen (das Obligationenrecht sieht für Geschäftsbücher und Buchungsbelege in der Regel zehn Jahre vor), gehören diese in eine eigene Archivlösung. Personendaten in Backups unterliegen zudem dem Datenschutzgesetz. Dies ist eine allgemeine Information und keine Rechtsberatung.

Die Kopie ausserhalb: Offsite und offline

Liegen alle Sicherungen beim selben Anbieter, sind sie bei einem gesperrten Konto, einer Kündigung oder einem kompromittierten Zugang ebenfalls weg. So schaffen Sie eine unabhängige Kopie:

1. Laden Sie regelmässig ein vollständiges Backup aus dem Control Panel herunter, zum Beispiel einmal pro Monat und vor grösseren Änderungen.
2. Speichern Sie es auf einem NAS, einer externen Festplatte oder bei einem separaten Cloud-Speicher – nicht beim Hosting-Anbieter der Website.
3. Verschlüsseln Sie die Datei, denn sie enthält Passwörter, Kundendaten und E-Mails.
4. Trennen Sie externe Datenträger nach dem Backup vom Computer, wie es das BACS empfiehlt. So kann Ransomware die Kopie nicht mitverschlüsseln.
5. Verwenden Sie für den Cloud-Speicher eigene Zugangsdaten mit Zwei-Faktor-Authentifizierung.

Den Download müssen Sie nicht von Hand erledigen: In cPanel können Sie beim vollständigen Backup als Ziel auch einen entfernten Server per FTP oder SCP angeben. Wer einen eigenen Server oder ein NAS mit SSH betreibt, kann die Kopie so regelmässig dorthin schicken lassen. Prüfen Sie anschliessend, ob die Dateien tatsächlich ankommen und vollständig sind – ein Backup-Job, der seit Monaten stillschweigend fehlschlägt, fällt sonst erst im Ernstfall auf.

Backups in cPanel und JetBackup

Bei Hosting mit cPanel gibt es meist zwei Wege. Die cPanel-Funktion «Sicherung» (Backup) erzeugt ein vollständiges Konto-Backup als Archiv zum Herunterladen, dazu Teil-Backups für Home-Verzeichnis, einzelne Datenbanken sowie E-Mail-Weiterleitungen und Filter. Ein vollständiges Konto-Backup lässt sich in cPanel nicht selbst einspielen; dafür braucht es den Anbieter. Teil-Backups können Sie dagegen selbst wiederherstellen.

Viele Anbieter setzen zusätzlich JetBackup ein. Dort sehen Sie die automatischen Sicherungen nach Datum und stellen gezielt einzelne Dateien, Datenbanken, Postfächer, DNS-Zonen oder Cronjobs wieder her, ohne das ganze Konto zurückzusetzen. Welche Bereiche und wie viele Tage verfügbar sind, legt der Anbieter fest – prüfen Sie das in Ihrem Konto.

WordPress: Plugin oder Server-Backup?

Für WordPress gibt es zahlreiche Backup-Plugins, die Dateien und Datenbank sichern und die Archive automatisch in einen Cloud-Speicher hochladen. Das ist bequem, hat aber Grenzen, denn das Plugin läuft innerhalb der Website, die es schützen soll.

Die beste Lösung ist eine Kombination: Das Server-Backup des Anbieters deckt die tägliche Sicherung ab, ein Plugin oder ein regelmässiger manueller Download legt eine Kopie ausserhalb des Hostings ab. Vor jedem Update von WordPress, Theme oder Plugins erstellen Sie zusätzlich ein manuelles Backup.

Ransomware und gehackte Websites

Ransomware verschlüsselt Daten und verlangt Lösegeld; bei Websites sind eingeschleuster Schadcode und gelöschte Inhalte häufiger. In beiden Fällen gilt:

• Mindestens eine Kopie muss für Angreifer unerreichbar sein: offline oder mit getrennten Zugangsdaten.
• Bewahren Sie ältere Stände auf, weil der Zeitpunkt des Angriffs oft nicht klar ist.
• Stellen Sie nach einem Angriff nicht einfach nur wieder her: Schliessen Sie zuerst die Lücke (Updates, Passwörter ändern), sonst ist die Website bald wieder infiziert.
• Melden Sie Vorfälle dem BACS; dort finden Sie auch Hinweise zum Vorgehen.

Wiederherstellung testen

Das BACS rät, das Einspielen von Backups zu üben, bevor Sie im Ernstfall darauf angewiesen sind. So gehen Sie vor:

1. Wählen Sie ein Backup aus und spielen Sie es in eine Testumgebung ein, zum Beispiel eine Subdomain wie test.ihre-firma.ch.
2. Prüfen Sie Startseite, Unterseiten, Bilder, Formulare, Login und – bei Shops – den Bestellprozess.
3. Kontrollieren Sie, ob die Datenbank zu den Dateien passt (gleicher Stand).
4. Messen Sie, wie lange die Wiederherstellung dauert, und notieren Sie die Schritte.
5. Löschen Sie die Testumgebung danach oder schützen Sie sie mit einem Passwort.

Tipp: Ein halbjährlicher Test ist ein guter Rhythmus für kleine Websites. Nach jedem Wechsel von Anbieter, Backup-Tool oder Plugin testen Sie zusätzlich.

Checkliste für Ihr Website-Backup

• Dateien, Datenbank, E-Mails und DNS-Zone sind abgedeckt.
• Automatisch mindestens täglich, dazu manuell vor Updates.
• Mehrere Versionen über Wochen und Monate.
• Mindestens eine verschlüsselte Kopie ausserhalb des Hosting-Kontos, eine davon offline.
• Wiederherstellung getestet und dokumentiert.

Bei HostOn sind in Webhosting und WordPress Hosting tägliche JetBackup-Sicherungen von Dateien, Datenbanken und E-Mails enthalten, die Sie in cPanel selbst und ohne Gebühr zurückholen. Die Kopie ausserhalb des Hostings bleibt trotzdem Ihre Aufgabe – laden Sie dafür regelmässig ein Backup herunter.