Ob ein Backup etwas taugt, merkt man meist im ungünstigsten Moment. Ein Update hat die Website zerschossen, ein Angreifer hat Dateien verändert, jemand hat versehentlich die falsche Seite gelöscht. Dann zählt nur eine Frage: Lässt sich der letzte gute Stand schnell und vollständig zurückholen?
Die 3-2-1-Regel stammt aus der klassischen Datensicherung. Sie ist einfach zu merken und passt auch für Websites:
- 3 Kopien Ihrer Daten, also das Original plus zwei Sicherungen
- 2 unterschiedliche Speicherorte oder Speicherarten
- 1 Kopie außer Haus, getrennt vom Server der Website
Warum eine Sicherung beim Hoster nicht genügt
Die meisten Hoster sichern ihre Server regelmäßig. Das ist gut und sollte auch so bleiben. Diese Sicherungen liegen aber in derselben Hand wie die Website. Wird Ihr Kundenkonto gesperrt, etwa wegen einer Zahlungsunstimmigkeit, haben Sie unter Umständen auf beides keinen Zugriff. Erhält ein Angreifer Administratorrechte auf dem Server, kann er im schlimmsten Fall auch Sicherungen löschen, die dort erreichbar sind. Und manche Hoster bewahren Sicherungen nur wenige Tage auf. Wird eine Schadsoftware erst nach zwei Wochen entdeckt, sind alle verfügbaren Sicherungen bereits befallen.
Was ins Backup gehört
Eine Website besteht aus mehr als Dateien. Für eine vollständige Wiederherstellung brauchen Sie:
- Dateien: das Redaktionssystem, Themes, Erweiterungen und vor allem hochgeladene Bilder und Dokumente
- Datenbank: Seiteninhalte, Einstellungen, Benutzer, bei Shops auch Bestellungen und Kundendaten
- Konfiguration: Servereinstellungen, Weiterleitungen, Cronjobs und eine Notiz zur verwendeten PHP-Version
- DNS-Einträge: eine aktuelle Liste, damit Sie die Domain im Notfall schnell auf einen neuen Server zeigen lassen können
Zugangsdaten gehören nicht in die Sicherung. Sie gehören in einen Passwortspeicher, auf den mehr als eine Person im Unternehmen Zugriff hat.
Die drei Kopien in der Praxis
Kopie eins ist das Original auf dem Server
Das ist die laufende Website. Sie zählt mit, ist aber keine Sicherung.
Kopie zwei liegt beim Hoster
Nutzen Sie die Sicherungsfunktion Ihres Hosters und prüfen Sie, wie oft gesichert wird und wie lange die Sicherungen aufbewahrt werden. Vor größeren Änderungen, etwa Updates, einem Wechsel der PHP-Version oder einem Theme-Wechsel, legen Sie zusätzlich von Hand eine Sicherung an.
Kopie drei liegt extern und unabhängig
Die dritte Kopie liegt an einem Ort, der mit dem Server nichts zu tun hat. Geeignet sind Speicherdienste mit Rechenzentrum in der EU, die Versionen aufbewahren und das Löschen für eine bestimmte Zeit sperren können. Diese Sperre schützt davor, dass ein Angreifer mit Zugang zum Server auch die externen Sicherungen vernichtet. Wichtig: Der Server sollte dorthin schreiben dürfen, aber nicht löschen.
Wie lange aufbewahren?
Eine bewährte Staffelung sieht ungefähr so aus:
| Rhythmus | Aufbewahrung | Wozu |
|---|---|---|
| täglich | zwei Wochen | Fehler durch Updates oder versehentliches Löschen |
| wöchentlich | zwei bis drei Monate | spät entdeckte Probleme |
| monatlich | ein Jahr | Rückgriff auf ältere Stände, etwa bei unbemerktem Befall |
Bei Shops mit vielen Bestellungen sichern Sie die Datenbank zusätzlich häufiger, etwa stündlich. Sonst gehen bei einer Wiederherstellung die Bestellungen der letzten Stunden verloren.
Datenschutz nicht vergessen
Backups enthalten fast immer personenbezogene Daten, etwa Kontaktanfragen, Kundenkonten oder Bestellungen. Daraus ergeben sich drei Pflichten:
- Der externe Speicheranbieter braucht einen Vertrag zur Auftragsverarbeitung.
- Die Sicherungen sollten verschlüsselt sein, bevor sie den Server verlassen.
- Die Aufbewahrungsdauer gehört in Ihr Löschkonzept. Sicherungen ewig aufzuheben, ist auch aus Datenschutzsicht keine gute Idee.
Für die rechtliche Feinabstimmung ist Ihre Datenschutzberatung zuständig.
Der wichtigste Schritt ist der Wiederherstellungstest
Ein Backup ist erst dann eines, wenn Sie es zurückspielen können. Spielen Sie deshalb regelmäßig, etwa zweimal im Jahr, eine Sicherung in eine Testumgebung ein. Prüfen Sie dabei:
- Lässt sich die Website vollständig aufrufen, mit allen Bildern?
- Funktionieren Anmeldung, Formulare und, bei Shops, der Bestellvorgang?
- Wie lange hat die Wiederherstellung gedauert?
- Wusste die beteiligte Person, was zu tun ist, ohne lange zu suchen?
Die letzte Frage wird oft unterschätzt. Im Ernstfall ist vielleicht gerade die Person im Urlaub, die sich auskennt. Eine kurze schriftliche Anleitung, wo die Sicherungen liegen und wie man sie einspielt, kann Stunden sparen.
Typische Fehler bei Website-Backups
Bei der Übernahme bestehender Websites stoßen wir immer wieder auf dieselben Lücken. Sie sind schnell behoben, wenn man sie kennt:
- Nur die Datenbank wird gesichert. Bilder und Dokumente aus der Mediathek fehlen, und nach einer Wiederherstellung zeigt die Website lauter leere Rahmen.
- Die Sicherung liegt im Web-Ordner. Dann ist sie unter Umständen über eine Adresse im Browser abrufbar, samt Kundendaten. Sicherungen gehören immer außerhalb des öffentlich erreichbaren Bereichs.
- Das Sicherungs-Plugin meldet Fehler, die niemand liest. Die Hinweise gehen an eine alte Adresse oder landen im Spam. Monatelang wird nichts gesichert, ohne dass es jemand merkt.
- Es gibt nur die eine, immer überschriebene Sicherung. Wird ein Fehler erst nach einigen Tagen bemerkt, ist auch die Sicherung schon fehlerhaft.
- Niemand weiß, wie das Zurückspielen geht. Die Sicherungen existieren, aber die Anleitung steckt im Kopf einer einzigen Person.
Prüfen Sie Ihre Einrichtung gegen diese Liste. Die meisten Punkte lassen sich in einer Stunde klären.
Eine kurze Checkliste
- Sicherung beim Hoster aktiv, Rhythmus und Aufbewahrung bekannt
- externe, unabhängige Kopie mit Löschsperre eingerichtet
- Dateien, Datenbank, Konfiguration und DNS-Liste enthalten
- Sicherungen verschlüsselt, Auftragsverarbeitungsvertrag vorhanden
- Wiederherstellung zuletzt getestet am: ______
- schriftliche Notfallanleitung für mindestens zwei Personen zugänglich
Wenn Sie das nicht selbst einrichten und pflegen möchten, übernehmen wir das im Rahmen von Hosting, Wartung und Sicherheit, inklusive regelmäßiger Wiederherstellungstests. Bei Onlineshops stimmen wir die Sicherung auf Ihr Bestellaufkommen ab. Mehr dazu unter Onlineshops.