Website-Backup und Notfallplan: wenn morgen alles weg ist

Kurz gesagt: Ein Website-Backup ist erst dann eines, wenn Sie es nachweislich zurückspielen können. Das BSI empfiehlt die 3-2-1-Regel: drei aktuelle Versionen wichtiger Daten auf zwei verschiedenen Medien, mindestens eine davon an einem weiteren Ort. Für eine Website heißt das: Dateien und Datenbank regelmäßig sichern, eine Kopie außerhalb des Hostings aufbewahren, DNS-Einträge und Zugänge dokumentieren und den Ernstfall einmal im Jahr durchspielen.

Was alles zu einer Website gehört

Viele denken bei Backup nur an „die Website“. Im Notfall fehlen dann Teile, an die niemand gedacht hat:

Bestandteil	Was es ist	Wie sichern
Dateien	Code, Vorlagen, Bilder, Uploads	Vollständige Kopie, regelmäßig
Datenbank	Inhalte, Seiten, Bestellungen, Nutzer	Export, mindestens täglich bei Shops
DNS-Einträge	Wohin Domain und E-Mail zeigen	Liste aller Einträge, bei jeder Änderung
E-Mail	Postfächer und deren Inhalte	Eigene Sicherung oder Anbieter mit Archiv
Zugänge	Registrar, Hosting, CMS, Analyse, Zahlungsanbieter	Passwortmanager mit Notfallzugriff
Verträge und Rechnungen	Wer liefert was, mit welcher Laufzeit	Ablage außerhalb der Website

Die 3-2-1-Regel auf Websites übertragen

Das BSI beschreibt die Regel in seinen Hilfsmitteln zum Notfallmanagement so: Drei aktuelle Versionen wichtiger Dateien sollten auf zwei verschiedenen Medien und an mindestens einem weiteren Ort gespeichert werden. Für eine Website kann das so aussehen:

Original: die laufende Website beim Hoster.
Kopie 1: automatisches Backup beim Hoster, idealerweise auf einem anderen System.
Kopie 2: regelmäßiger Export an einen externen Speicher, der nicht vom Hoster abhängt.

Zwei Begriffe aus demselben BSI-Dokument helfen bei der Planung:

RPO (Recovery Point Objective): Wie viel Datenverlust ist akzeptabel? Bei einer Visitenkarten-Website reicht vielleicht eine wöchentliche Sicherung. Bei einem Shop mit täglichen Bestellungen ist ein Tag Verlust schon zu viel.
RTO (Recovery Time Objective): Wie lange darf die Wiederherstellung dauern? Davon hängt ab, ob ein Export auf einer Festplatte im Büro genügt oder ob die Wiederherstellung automatisiert sein muss.

Das BSI weist zudem darauf hin, dass Backups bei einem Ransomware-Befall nicht mitverschlüsselt werden dürfen und vor dem Einspielen geprüft werden sollten, ob sie selbst schon befallen sind. Für Websites heißt das: mindestens eine Kopie, auf die der Webserver keinen Schreibzugriff hat, und mehrere ältere Versionen, nicht nur die neueste.

Drei Szenarien und was dann zu tun ist

Szenario 1: Der Hoster stellt den Betrieb ein

Ausgangslage: Sie erhalten eine Mitteilung, dass Ihr Hosting-Anbieter den Dienst in vier Wochen einstellt, oder er ist ohne Vorwarnung nicht mehr erreichbar.

Was Sie brauchen:

eine aktuelle Kopie von Dateien und Datenbank außerhalb dieses Hosters
Zugang zum Registrar Ihrer Domain (der oft ein anderer ist als der Hoster)
die Liste Ihrer DNS-Einträge

Ablauf: Neues Hosting einrichten, Backup einspielen, testen, dann die DNS-Einträge umstellen. Ohne externe Kopie bleibt nur die Hoffnung, dass der alte Hoster noch einen Export ermöglicht.

Szenario 2: Die Website wurde gehackt

Ausgangslage: Besucher sehen fremde Inhalte, Google warnt vor der Seite, oder Ihr Hoster sperrt den Zugang wegen Spam-Versand.

Ablauf:

Website offline nehmen oder in den Wartungsmodus setzen.
Alle Passwörter ändern: Hosting, CMS, Datenbank, FTP, E-Mail.
Ein Backup aus der Zeit vor dem Angriff auswählen. Dafür brauchen Sie mehrere ältere Versionen.
System und Erweiterungen auf den neuesten Stand bringen, bevor die Website wieder online geht, sonst ist die Lücke gleich wieder offen.
Prüfen, ob personenbezogene Daten betroffen sind. Dann können Meldepflichten an die Datenschutzbehörde bestehen; klären Sie das zügig mit Ihrer Datenschutzberatung.

Szenario 3: Die Agentur ist weg

Ausgangslage: Ihr Webdesigner hat aufgehört, die Agentur ist insolvent oder antwortet nicht mehr. Domain und Hosting laufen auf deren Namen.

Was Sie brauchen:

Domain auf Ihren Namen oder zumindest eine schriftliche Übertragungsregel
Administratorzugang zu CMS und Hosting
eine eigene Kopie der Website

Ablauf: Prüfen, auf wen Domain und Hosting registriert sind. Mit Registrar und Hoster Kontakt aufnehmen, Nachweise über Ihre Berechtigung bereithalten. Diese Situation lässt sich fast nur vorbeugend lösen.

Der vergessene Notfall: Domain läuft ab

Eine Domain, die nicht verlängert wird, kann nach Ablauf freigegeben und von Dritten registriert werden. Häufigste Ursache: Die Rechnung geht an eine alte E-Mail-Adresse oder eine abgelaufene Kreditkarte.

Automatische Verlängerung aktivieren.
Kontakt-E-Mail beim Registrar aktuell halten, idealerweise eine Funktionsadresse statt einer persönlichen.
Ablaufdatum im Kalender eintragen, mit Erinnerung einen Monat vorher.

Ihr Notfallblatt (eine Seite reicht)

Legen Sie ein Dokument an, das auch jemand anderes als Sie verstehen kann, und bewahren Sie es außerhalb der Website auf:

Registrar: Name, Kundennummer, wer Zugang hat
Hoster: Name, Kundennummer, Support-Kontakt
Backups: wo, wie oft, wer prüft
DNS-Einträge: aktuelle Liste oder Export
Notfallkontakte: technischer Dienstleister, Datenschutzberatung, Ansprechpartner im Unternehmen
Zugänge: Verweis auf den Passwortmanager und wer im Notfall Zugriff erhält

Der Restore-Test

Ein Backup, das nie zurückgespielt wurde, ist eine Annahme. Einmal im Jahr, nach größeren Änderungen auch öfter:

Backup auf eine Testumgebung einspielen.
Prüfen, ob Seiten, Bilder, Formulare und Logins funktionieren.
Zeit messen: Passt sie zu Ihrer RTO?
Lücken notieren und beheben.

Häufige Fragen

Reicht das Backup meines Hosters?

Als eine von mehreren Kopien ja, als einzige nein. Fällt der Hoster aus oder wird das Konto gesperrt, ist auch dieses Backup unerreichbar.

Wie oft sollte ich sichern?

So oft, wie Sie Datenverlust tolerieren können. Ändert sich die Website selten, genügt wöchentlich; bei einem Shop oder Buchungssystem eher täglich oder häufiger.

Muss ich E-Mails separat sichern?

Wenn sie beim selben Anbieter wie die Website liegen, ja. Website-Backups enthalten Postfächer in der Regel nicht.

Wenn Sie wissen möchten, wie gut Ihre Website heute auf einen Ausfall vorbereitet wäre, melden Sie sich über die Anfrageseite; wir gehen Ihr Notfallblatt gemeinsam durch.