Backups — erst die Wiederherstellung zeigt, ob sie taugen.

Was gesichert wird.

• Datenbank — Inhalte, Benutzer, Bestellungen, Einstellungen.
• Hochgeladene Dateien — Bilder, Dokumente.
• Code — Theme, Erweiterungen, eigene Anpassungen.
• Konfiguration — Zugangsdaten, Serverregeln.

Datenbank und Uploads sind das Wertvollste, weil sie sich nicht wiederbeschaffen lassen. Code lässt sich oft neu installieren — eigene Anpassungen aber nicht.

Wie oft.

Die Frage dahinter: Wie viel Arbeit oder wie viele Bestellungen darf ich im Ernstfall verlieren? Bei täglicher Sicherung bis zu einen Tag.

Wo.

Die wichtigste Regel: nicht nur auf demselben Server. Wenn der Server ausfällt, gehackt wird oder der Hoster das Konto sperrt, ist eine Sicherung dort wertlos.

Üblich ist ein externer Speicher bei einem anderen Anbieter — in der EU, mit Vertrag zur Auftragsverarbeitung, wenn personenbezogene Daten enthalten sind (Datenschutz bei Diensten).

Eine bewährte Regel.

Eine verbreitete Faustregel: drei Kopien der Daten, auf zwei unterschiedlichen Arten von Speicher, eine davon an einem anderen Ort. Für Websites heißt das praktisch: die Live-Website, eine Sicherung beim Hoster, eine Sicherung bei einem externen Anbieter.

Wie lange.

Angriffe werden oft erst Wochen nach dem Einbruch bemerkt. Wenn nur die letzten sieben Tage aufbewahrt werden, sind alle Sicherungen bereits befallen. Eine Aufbewahrung über mehrere Wochen bis Monate — mit abnehmender Dichte, etwa täglich für zwei Wochen, wöchentlich für drei Monate — deckt das ab (Website gehackt).

Gleichzeitig gilt: Sicherungen mit personenbezogenen Daten unterliegen dem Datenschutz. Die Aufbewahrung sollte begrenzt und dokumentiert sein.

Die Sicherung beim Hoster.

Viele Hoster sichern automatisch. Das ist ein guter Anfang. Zu klären ist: Wie oft? Wie lange? Liegt die Sicherung getrennt vom Server? Wie schnell kommt man im Ernstfall heran? Kostet die Wiederherstellung extra?

Und: Was passiert, wenn das Hosting-Konto gesperrt wird — etwa nach einem Angriff oder bei einem Zahlungsproblem? Dann ist auch die Sicherung beim Hoster nicht erreichbar. Deshalb gehört zusätzlich eine eigene Sicherung dazu (Backups in WordPress).

Sicherungen schützen.

• Nicht im öffentlichen Verzeichnis — ein häufiger, gefährlicher Fehler (Datenpanne).
• Verschlüsselt, besonders bei externen Speichern.
• Zugang zum Sicherungsspeicher getrennt und mit Zwei-Faktor.
• Nicht veränderbar für die Website selbst — sonst kann ein Angreifer auch die Sicherungen löschen.

Wiederherstellung testen.

Mindestens einmal im Quartal eine Sicherung in eine Testumgebung zurückspielen. Funktioniert die Website? Sind alle Inhalte da? Wie lange hat es gedauert? Wer weiß, wie es geht?

Dieser Test ist der wichtigste Teil jeder Sicherungsstrategie — und der am häufigsten vergessene. Er verwandelt eine Hoffnung in eine Gewissheit (Testumgebung).

Im Ernstfall.

1. Richtige Sicherung wählen: vor dem Problem, bei Angriffen vor dem Einbruch.
2. Aktuellen Zustand sichern, bevor überschrieben wird.
3. Zurückspielen — Dateien und Datenbank passend zueinander.
4. Bei Angriff: Einfallstor schließen, bevor die Website wieder online geht.
5. Prüfen und Verluste seit der Sicherung nachtragen.

Wenn du nicht weiterkommst.

Wenn du sicher sein willst, dass deine Sicherungen im Ernstfall wirklich funktionieren. Ich sehe mir deine Website an, sage dir, wo die Risiken liegen, und setze um, was nötig ist. Die Übersicht findest du unter Website-Sicherheit; wenn es gerade brennt, hilft der Notfall-Support.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Website-Sicherheit gehört zu meiner täglichen Arbeit — ich härte WordPress, TYPO3, Shopware und eigene PHP-Anwendungen, richte Sicherungen und Überwachung ein und habe zahlreiche kompromittierte Websites bereinigt. Als Dozent erkläre ich regelmäßig, wie Angriffe auf Websites tatsächlich ablaufen.

Ich bin kein zertifizierter Penetrationstester und behaupte das auch nicht. Was ich biete: die Grundlagen, die den Großteil realer Angriffe abwehren, sauber umgesetzt — und eine ehrliche Einschätzung, wann zusätzlich ein spezialisierter Prüfer sinnvoll ist.

Was du bekommst: eine Bestandsaufnahme in verständlicher Sprache, Maßnahmen nach Dringlichkeit und eine Website, die nicht beim ersten automatisierten Angriff fällt.