Wie oft eine Firmenwebsite ein Backup braucht, hängt vor allem davon ab, wie häufig sich Inhalte, Anfragen oder Bestellungen auf ihr ändern. Eine Website mit Shop, Blog oder Terminbuchung gehört täglich gesichert, eine selten aktualisierte Website reicht wöchentlich. Wichtiger als die reine Häufigkeit ist aber, dass ein Backup nachweislich wiederherstellbar ist. Ein Backup, das noch nie zurückgespielt wurde, ist im Ernstfall nur eine Vermutung.
Wie oft ein Backup wirklich nötig ist
Für die Frequenz zählt nicht das Alter der Website, sondern wie viel bei einem Ausfall verloren ginge. Ein Online-Shop oder ein Buchungssystem für Termine verändert sich mehrmals täglich durch neue Bestellungen und Anfragen, ein Datenverlust von 24 Stunden bedeutet dort echten Umsatzausfall. Eine klassische Handwerker-Website mit Leistungsseiten, Referenzen und einem Kontaktformular ändert sich dagegen oft wochenlang gar nicht, außer wenn jemand einen neuen Blogbeitrag oder ein neues Projektfoto einstellt.
Als Faustregel hat sich in der Praxis durchgesetzt:
- Täglich: Shop, Terminbuchung, Kundenportal, alles mit laufenden Transaktionen.
- Wöchentlich: Website mit gelegentlichen Text- oder Bildänderungen, aber ohne Bestell- oder Buchungsfunktion.
- Vor jeder größeren Änderung zusätzlich: Relaunch, Design-Update oder Wechsel des Hosting-Anbieters, unabhängig vom sonstigen Rhythmus.
Warum ein Backup ohne Restore-Test nichts wert ist
Ein Backup, das automatisch im Hintergrund läuft, wirkt beruhigend, sagt aber nichts darüber aus, ob es im Ernstfall auch funktioniert. Beschädigte Datenbank-Dumps, abgelaufene Zugangsdaten zum Speicherort oder ein Backup, das nur Dateien ohne die zugehörige Datenbank sichert, fallen typischerweise erst auf, wenn eine Wiederherstellung tatsächlich nötig wird und misslingt. Ein Restore-Test, bei dem das Backup einmal probeweise auf eine Testumgebung zurückgespielt wird, gehört deshalb mindestens einmal jährlich zur Wartung dazu, bei häufig geänderten Websites öfter.
Mit einem sauberen, geprüften Backup lässt sich eine Website nach einem Hack meist innerhalb weniger Stunden wieder online bringen. Ohne verlässliches Backup zieht sich die Bereinigung durch eine Agentur oder einen Sicherheitsdienst dagegen oft über mehrere Tage, je nachdem, wie tief sich Schadcode bereits eingenistet hat.
Was ein vollständiges Backup überhaupt umfassen muss
Ein häufiger Fehler zeigt sich erst im Ernstfall: Viele Betriebe sichern nur die sichtbaren Dateien der Website, etwa Bilder und Design-Dateien, aber nicht die Datenbank, in der bei WordPress und vergleichbaren Systemen die eigentlichen Texte, Kontaktformular-Einstellungen und Nutzerkonten liegen. Ein Restore ohne die passende Datenbank bringt dann zwar das Design zurück, aber keine Inhalte. Ein vollständiges Backup braucht deshalb immer beide Bestandteile zusammen und in aufeinander abgestimmten Zeitpunkten, sonst passen Dateistand und Datenbankstand beim Zurückspielen nicht zusammen.
Ein zweiter Punkt wird oft übersehen: Wo liegt die Kopie eigentlich? Ein Backup, das auf demselben Server wie die Website selbst gespeichert wird, hilft bei einem gehackten Kontaktformular, aber nicht bei einem kompletten Serverausfall oder einem Angriff, der den gesamten Speicherplatz des Hosting-Kontos betrifft. Mindestens eine Kopie sollte deshalb an einem physisch getrennten Ort liegen, etwa in einem separaten Cloud-Speicher oder beim Hosting-Anbieter in einem anderen Rechenzentrum.
Was die DSGVO zum Thema Backup wirklich verlangt
Ein Gesetz, das ausdrücklich “Website-Backup” heißt, existiert nicht. Art. 32 Abs. 1 lit. c DSGVO verlangt aber von jedem, der personenbezogene Daten verarbeitet, also auch von jedem Betrieb mit einem Kontaktformular, die Fähigkeit, die Verfügbarkeit dieser Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. In der Fachliteratur wird das einhellig als Backup- und Recovery-Pflicht gelesen, wobei die reine Existenz eines Backups nicht ausreicht: Es muss nachweisbar wiederherstellbar sein.
Bekannt gewordene Bußgelder, die isoliert mit einem fehlenden Backup begründet wurden, gibt es bislang nicht. Backup-Mängel tauchen in Bußgeldverfahren bisher nur als Teil des größeren Vorwurfs unzureichender technischer und organisatorischer Maßnahmen auf, meist im Zusammenhang mit einem Ransomware-Vorfall. Größere Unternehmen, die unter die seit Dezember 2025 anwendbare NIS-2-Regulierung fallen, müssen zusätzlich ein dokumentiertes Notfallmanagement mit regelmäßig getesteten Backups nachweisen. Für die meisten Handwerks- und Gewerbebetriebe bleibt die Kernaussage aber einfacher: Ein funktionierendes Backup ist Teil der Absicherung, die die DSGVO ohnehin verlangt, unabhängig davon, ob es je zu einem Bußgeldverfahren kommt.
Was Hosting-Anbieter im Grundpreis wirklich bieten
Fast jeder deutsche Hosting-Anbieter wirbt mit automatischen Backups, die Details unterscheiden sich aber deutlich, gerade bei der Frage, ob ein Anspruch auf Wiederherstellung besteht oder das Backup nur eine freiwillige Zusatzleistung ist.
| Anbieter | Häufigkeit | Aufbewahrung | Status |
|---|---|---|---|
| IONOS | täglich | 14 Tage | im Hosting-Grundpreis enthalten |
| Strato (BackupControl) | täglich | 14 Tage | im Grundpreis, Wiederherstellung per Klick im Kundenlogin |
| Domainfactory | täglich | 7 Tage (Standard-Webhosting), 30 Tage (Managed WordPress) | kostenlos enthalten, aber ohne Garantie |
| All-Inkl | Dateien ca. alle 14 Tage, Datenbanken täglich (mehrere Stände) | je nach Datentyp gestaffelt | ausdrücklich freiwillige Leistung ohne Anspruch auf Verfügbarkeit |
Der letzte Punkt ist der wichtigste: Mehrere Anbieter weisen ihr Backup vertraglich als Kulanzleistung aus, nicht als geschuldete Leistung. Wer sich allein darauf verlässt, trägt im Streitfall das Risiko, dass ein Restore verweigert oder verzögert wird. Für Websites mit echtem Geschäftsrisiko bei Datenverlust lohnt sich deshalb ein zusätzliches, eigenes Backup, unabhängig vom Hosting-Vertrag.
Wann sich ein eigenes Backup-Tool lohnt
Für WordPress-Websites haben sich dedizierte Backup-Plugins und -Dienste etabliert, die unabhängig vom Hosting-Anbieter laufen und die Kopie meist bei einem externen Cloud-Speicher ablegen:
- UpdraftPlus: kostenlose Basisversion vorhanden, Premium-Version mit Cloud-Anbindung und Mehrfach-Lizenzen ab rund 70 US-Dollar im ersten Jahr.
- Jetpack (Security-Bundle): automatisches Backup mit 10 GB Speicher ab rund 9 Euro monatlich im ersten Jahr, danach regulärer Preis.
- BlogVault: Einzel-Website-Plan mit täglichem Backup und 30 Tagen Aufbewahrung ab rund 99 US-Dollar jährlich, Business-Plan mit zwei Backups täglich und 90 Tagen Aufbewahrung ab rund 299 US-Dollar jährlich.
Diese Werkzeuge lösen vor allem ein Problem, das bei klassischem WordPress-Hosting entsteht: eine Datenbank, ein Plugin-Ökosystem und ein öffentlich erreichbares Admin-Login, die zusammen viele Angriffsflächen und damit viele Ausfallpunkte schaffen. Bei statisch gebauten Websites ohne eigene Datenbank und ohne öffentliches Login reduziert sich das Problem von vornherein auf die Versionierung von Code und Inhalten, was sich einfacher und günstiger absichern lässt als ein komplettes CMS-Backup.
Die 3-2-1-Regel als Faustformel
Wer sich nicht in Details verlieren will, kommt mit einer einfachen Regel weit: drei Kopien der Daten, auf zwei unterschiedlichen Speicherarten, davon eine räumlich getrennt vom Original. Die US-Cybersicherheitsbehörde CISA nennt diese 3-2-1-Regel ausdrücklich in ihrer Anleitung für kleine Unternehmen, als praktisches Minimum, nicht als höchsten Standard. Für eine Firmenwebsite heißt das konkret: das Hosting-Backup als eine Kopie, ein zusätzliches Backup-Tool oder ein manueller Export als zweite Kopie auf anderem Speicher, und mindestens eine dieser Kopien an einem Ort, der nicht vom selben Vorfall betroffen sein kann wie der Hosting-Server selbst.
Der nächste Schritt
Ein Backup lässt sich nicht rückwirkend organisieren, wenn eine Website bereits gehackt oder eine Datenbank bereits beschädigt ist. Wer nicht selbst regelmäßig prüfen will, ob das eigene Hosting-Backup wirklich existiert und funktioniert, sollte diese Aufgabe bewusst in eine laufende Betreuung geben, statt sich auf eine Kulanzleistung im Kleingedruckten zu verlassen. Mr.Site betreut mehrere hundert Unternehmens-Websites laufend mit, Backup und Restore-Test eingeschlossen. Details zu diesem Modell zeigt die Seite Website-Betreuung. Welche weiteren Wartungsaufgaben neben dem Backup regelmäßig anfallen, beschreibt der Artikel Risiken einer ungepflegten Website; wie sich die DSGVO-Frage beim Hosting-Standort insgesamt darstellt, zeigt Muss die Website in Deutschland gehostet werden?.