WordPress Wartung & Support in Stuttgart

Mein Name ist Mariusz Szatkowski, ich betreue WordPress seit 2006 von Gdynia in Polen aus. Für Unternehmen in Stuttgart und Baden-Württemberg betreue ich WordPress-Websites als einzelner Entwickler, remote und schriftlich. Diese Seite behandelt einen Teil der Wartung, der selten auffällt, bis er gebraucht wird: Backups, die sich wirklich zurückspielen lassen.

#Warum Backups in Baden-Württemberg kein Randthema sind

Die Cybersicherheitsagentur Baden-Württemberg (CSBW) hat nach eigenen Angaben bis zum 29. Oktober 2026 schon 1.182 Fälle erfasst und bearbeitet, im ganzen Jahr 2025 waren es 979. Darunter sind 107 Fälle bei Wirtschaftsunternehmen. Die Agentur nennt selbst ein erhebliches Dunkelfeld, weil Privatunternehmen ihr gegenüber keine Meldepflicht haben. Zu den Fallarten zählt sie ausdrücklich Ransomware: Kriminelle verschlüsseln Systeme oder Daten und verlangen Geld für die Freigabe. Gegen diese Lage hilft keine Firewall allein. Hilfreich ist eine Kopie, die der Angreifer nicht erreicht hat, und die Gewissheit, dass sie sich einspielen lässt.

Die Cyber-Ersthilfe BW der CSBW steht nach Angabe der Agentur auch Wirtschaftsunternehmen mit Sitz in Baden-Württemberg offen. Sie ist unter 0711-137-99999 rund um die Uhr telefonisch erreichbar, E-Mails und das Online-Formular werden an Werktagen in den Geschäftszeiten der Agentur bearbeitet. Die Telefonnummer sollte vor dem Ernstfall in Ihrer Notfallliste stehen, nicht erst danach gesucht werden.

Foto: Harke, CC BY-SA 3.0, Wikimedia Commons.

#Was ein WordPress-Backup enthalten muss

Das WordPress-Handbuch für Entwickler beschreibt zwei Teile: die Datenbank und die Dateien. Beides ist nötig, um eine typische Installation vollständig wiederherzustellen. Wer nur die Dateien herunterlädt, hat keine Beiträge, Seiten, Einstellungen und Kommentare, denn die liegen in MySQL oder MariaDB außerhalb des WordPress-Verzeichnisses.

Das Handbuch empfiehlt außerdem eine Reihenfolge, damit die beiden Teile zusammenpassen: beim Sichern zuerst die Datenbank, danach die Dateien, beim Zurückspielen zuerst die Dateien, danach die Datenbank. Beide Teile sollen zeitnah entstehen und als ein Satz behandelt werden. Zusätzlich gilt: vor jedem Update eine frische Sicherung, nicht erst die vom Vortag.

#Wohin die Kopien gehören

Das Handbuch rät, sich nicht allein auf den Hoster zu verlassen. Die meisten Hoster sichern den ganzen Server, aber bis man eine Kopie angefordert und erhalten hat, vergeht Zeit, und eine schnelle Wiederherstellung sei entscheidend. Es empfiehlt, mindestens drei bis fünf aktuelle Sicherungen vorzuhalten, an verschiedenen Orten: eine auf dem Hosting-Server, eine im Cloud-Speicher, eine auf einem lokalen Rechner. Und es rät, automatische Sicherungen gelegentlich von Hand zu prüfen, damit man weiß, dass der Mechanismus tatsächlich läuft.

Ich setze das so um, dass mindestens eine Kopie außerhalb des Hosting-Kontos liegt. Das hat zwei Gründe. Wird das Konto kompromittiert, nimmt der Angreifer die Kopien sonst gleich mit. Und fällt der Anbieter selbst aus, bleibt ein zweiter Zugriffsweg.

Sobald die Sicherung personenbezogene Daten enthält, was bei WordPress mit Kontaktformularen, Nutzerkonten oder Bestellungen fast immer der Fall ist, kommt die DSGVO ins Spiel. Der externe Speicherdienst verarbeitet dann Daten in Ihrem Auftrag. Nach Art. 28 DSGVO braucht das einen Vertrag oder ein anderes Rechtsinstrument, das unter anderem Gegenstand, Dauer und Art der Verarbeitung festlegt. Art. 32 Absatz 1 Buchstabe a nennt die Verschlüsselung personenbezogener Daten als eine mögliche Schutzmaßnahme. Bei Sicherungen, die die wp-config.php und damit Zugangsdaten enthalten, ist sie auch aus technischer Sicht angebracht.

Den Speicherort wählen Sie. Er kann in Ihrem eigenen Konto liegen oder bei einem Anbieter, mit dem Sie den Vertrag nach Art. 28 schließen. Welche Rechtsordnung und welcher Standort für Ihr Unternehmen passen, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten. Ich setze die technische Seite um.

#Wie oft und wie lange: Aufbewahrung und Löschpflichten

Zur Häufigkeit gibt das Handbuch eine einfache Faustregel: bei kleinen Seiten mit wenigen Beiträgen einmal pro Woche, bei Seiten mit viel Aktivität täglich. Ob ein Onlineshop mit laufenden Bestellungen oder eine Unternehmensseite mit zwei Änderungen im Quartal vorliegt, entscheidet also über den Takt. Das lege ich mit Ihnen schriftlich fest.

Schwieriger ist die Frage, wie lange Kopien liegen bleiben dürfen. Mehrere Vorschriften wirken gegeneinander:

Daraus folgt eine praktische Trennung. Das Website-Backup dient der Wiederherstellung, nicht der Archivierung von Rechnungen. Wo Ihre Buchhaltung Belege in WordPress oder WooCommerce ablegt, spreche ich mit Ihnen ab, wie sie in das Archiv gelangen, das Ihre Steuerberatung vorsieht. Die steuerrechtliche Einordnung bleibt bei Ihrer Steuerberatung.

Für den Umgang mit Backups bei Löschanfragen hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in Stuttgart im März 2026 Best Practices zum Recht auf Löschung zusammengestellt, abgeleitet aus dem Abschlussbericht der koordinierten europäischen Prüfung 2025. Zur technischen Umsetzung nennt die Behörde unter anderem:

• Löschung überprüfen und nachweisen, dass die Daten tatsächlich entfernt wurden.
• Backups strukturell schützen, zum Beispiel indem zu löschende Daten durch Zufallszeichen ersetzt werden.
• Aufbewahrungsfristen dokumentieren, auch im Verzeichnis der Verarbeitungstätigkeiten, und eine Datenlöschmatrix führen, die Datenart, Rechtsgrundlage und Frist verbindet.
• Rechtliche Begründungen und Ausnahmen schriftlich festhalten, zum Beispiel in einem Löschanfragen-Protokoll.

Für die Praxis heißt das bei einer WordPress-Seite: Die Rotation der Sicherungen wird so kurz gewählt, wie die Wiederherstellung es erlaubt, und im Löschkonzept steht, nach welcher Frist eine gelöschte Kundin oder ein gelöschter Nutzer auch aus den Kopien verschwunden ist. Die Frist kennen Sie, wenn Sie die Anfrage beantworten.

#Der Wiederherstellungstest

Art. 32 Absatz 1 DSGVO verlangt unter Buchstabe c die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, und unter Buchstabe d ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen. Ein Backup, das nie zurückgespielt wurde, erfüllt das nicht. Deshalb gehört ein Wiederherstellungstest zur Wartung.

Er läuft in einer Testumgebung, nicht auf der Live-Seite:

1. Ich nehme die aktuelle Sicherung aus dem externen Speicher, nicht die auf dem Hosting-Server.
2. Ich spiele zuerst die Dateien zurück, dann importiere ich die Datenbank, so wie es das WordPress-Handbuch beschreibt.
3. Ich passe die wp-config.php an, wenn sich Datenbankname oder Zugangsdaten unterscheiden.
4. Ich prüfe die Startseite, die Anmeldung, ein Kontaktformular, die Mediathek und bei Shops einen Test-Checkout mit jeder aktiven Zahlart.
5. Ich notiere, was schiefging und wie lange die Wiederherstellung gedauert hat.
6. Das Ergebnis steht im schriftlichen Monatsbericht.

Der Test deckt typische Fehler auf: eine Sicherung ohne Uploads, eine Datenbank, die wegen eines Zeichensatzes nicht importiert wird, ein Archiv, das beschädigt ankommt, ein Zugang zum Speicher, der abgelaufen ist. Bei jedem dieser Fälle erfahren Sie es an einem normalen Werktag und nicht mitten in einem Vorfall.

Kommt es zu einem Vorfall mit personenbezogenen Daten, gilt Art. 33 DSGVO: Die Meldung an die Aufsichtsbehörde erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde. Für Verantwortliche in Baden-Württemberg gibt es dafür beim LfDI ein Online-Formular zur Meldung von Datenpannen. Wie Sie Art. 33 und das Backup zusammen denken, steht in Ihrem Notfallplan: wer entscheidet, wer meldet, wer die Wiederherstellung anstößt.

#So arbeite ich

Ich bin ein einzelner Entwickler. Die Zusammenarbeit läuft remote und schriftlich, ohne Termine und Telefonate. Das Layout und die Gestaltung bringen Sie mit, ich setze sie um. Für die Wartung heißt das:

• Ich prüfe zuerst schriftlich, was an Sicherungen vorhanden ist: wo sie liegen, wie alt sie sind, ob sie Datenbank und Dateien enthalten.
• Updates von WordPress, Plugins und Themes laufen zuerst in einer Testumgebung, erst danach auf der Live-Seite, mit einer frischen Sicherung davor.
• Ein Teil der Kopien liegt außerhalb des Hosting-Kontos.
• Monitoring und Wiederherstellungstest sind Teil des schriftlichen Monatsberichts.
• Nicht verbrauchte Stunden eines Monats gehen nicht in den nächsten über.

Weiteres zum Rahmen steht auf der Seite WordPress-Wartung im Überblick.

#Fragen aus Stuttgart

#Reicht die Sicherung meines Hosters?

Sie ist eine gute erste Schicht, aber nicht die einzige. Das WordPress-Handbuch weist darauf hin, dass die Wiederherstellung aus der Hostersicherung Zeit kostet, weil man sie anfordern muss, und empfiehlt eigene Sicherungen zusätzlich. Wird das Hosting-Konto selbst kompromittiert oder gesperrt, sind auch die Kopien dort betroffen.

#Wie viele Kopien brauche ich?

Das Handbuch nennt mindestens drei bis fünf aktuelle Sicherungen an unterschiedlichen Orten, etwa Server, Cloud-Speicher und lokaler Rechner. Wie viele es bei Ihnen werden, hängt von der Änderungsrate der Seite ab und davon, wie lange Sie Kopien aufbewahren dürfen.

#Muss ich Backups durchsuchen, wenn jemand die Löschung seiner Daten verlangt?

Art. 17 DSGVO verlangt die unverzügliche Löschung. Praktisch lässt sich das bei Sicherungen über eine kurze Rotation lösen, bei der die Kopie mit den Daten nach einer festgelegten Frist verschwindet, und über die dokumentierte Frist im Löschkonzept. Die Best Practices des LfDI BW nennen dafür den strukturellen Schutz der Backups. Die rechtliche Bewertung im Einzelfall treffen Sie mit Ihrer oder Ihrem Datenschutzbeauftragten.

#Was tue ich bei einem Cyberangriff?

Bei Verdacht erreichen Sie die Cyber-Ersthilfe BW der CSBW telefonisch unter 0711-137-99999. Gleichzeitig läuft die Frist nach Art. 33 DSGVO, wenn personenbezogene Daten betroffen sind. Ich stelle die Wiederherstellung aus der externen Kopie sicher und dokumentiere den Ablauf schriftlich.

#Betreuen Sie Seiten außerhalb von Stuttgart?

Ja. Die Wartung läuft remote, daher spielt es keine Rolle, ob die Seite in Stuttgart, Esslingen oder Freiburg gehostet wird.

#Wie beginnt die Zusammenarbeit?

Mit einer schriftlichen Bestandsaufnahme: Hosting, Plugin-Liste, vorhandene Sicherungen und ein Wiederherstellungsversuch in einer Testumgebung. Daraus entstehen eine Befundliste und ein Vorschlag für die laufende Wartung.

#Schreiben Sie mir

Wenn Ihre WordPress-Website in Stuttgart oder der Region liegt und Sie wissen wollen, ob sich ihre Sicherungen wirklich zurückspielen lassen, schreiben Sie mir über die Kontaktseite. Nennen Sie die Adresse der Website, das Hosting, ob es einen Shop gibt und was Sie heute an Backups haben. Die Antwort kommt schriftlich mit Rückfragen und einer ersten Einordnung. Für diese erste schriftliche Einschätzung berechne ich nichts.