Cartoon-Figur mit Brille und blauem Hemd neben leuchtendem Schloss an Serverraum-Tür, digitale Backup-Dateien gesichert.

Um zu verhindern, dass WordPress-Backupdateien öffentlich zugänglich sind, müssen Backups entweder außerhalb des öffentlichen Webverzeichnisses gespeichert oder der Zugriff auf Backup-Ordner über Serverkonfigurationen wie .htaccess gezielt gesperrt werden. Wer Backups im public_-Verzeichnis ablegt, ohne den Zugriff zu sperren, riskiert, dass Angreifer sensible Daten direkt über den Browser abrufen können. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um die sichere Aufbewahrung von WordPress-Backups.

Wo werden WordPress-Backupdateien standardmäßig gespeichert?

WordPress selbst erstellt keine automatischen Backups. Backup-Plugins speichern ihre Dateien standardmäßig häufig innerhalb des öffentlichen Webverzeichnisses, oft unter wp-content/uploads oder in einem eigenen Unterordner wie wp-content/backups. Diese Speicherorte sind über den Browser erreichbar, sofern kein Zugriffsschutz eingerichtet wurde.

Das Problem liegt in der Natur des Webservers: Alles, was sich im public_-Ordner oder einem gleichwertigen Stammverzeichnis befindet, ist grundsätzlich öffentlich erreichbar. Backup-Archive, die Datenbankdumps, Konfigurationsdateien und sämtliche Mediendaten enthalten, können so von jedem abgerufen werden, der die genaue URL kennt oder per Verzeichnisauflistung darauf stößt. Viele Backup-Plugins erlauben es, den Speicherort manuell zu ändern oder Dateien direkt in externe Dienste wie Google Drive oder Amazon S3 zu übertragen, was die sicherere Wahl darstellt.

Warum sind öffentlich zugängliche Backupdateien ein Sicherheitsrisiko?

Öffentlich zugängliche Backupdateien stellen eines der gravierendsten Sicherheitsrisiken für eine WordPress-Installation dar, weil sie Angreifern in komprimierter Form alles liefern, was sie für einen vollständigen Angriff benötigen: Datenbankzugangsdaten, geheime Schlüssel aus der wp-config.php, Benutzerdaten und die gesamte Verzeichnisstruktur der Website.

Ein Angreifer muss dafür keine Sicherheitslücke ausnutzen. Es genügt, gängige Backup-Dateinamen zu erraten, etwa backup.zip, site-backup.tar.gz oder datumsbezogene Bezeichnungen, die viele Plugins automatisch vergeben. Automatisierte Scanner durchsuchen das Web gezielt nach solchen Mustern. Wer die Datenbankzugangsdaten kennt, kann sich direkt Zugang zur Datenbank verschaffen, Administratorkonten anlegen oder Schadcode einschleusen. Im schlimmsten Fall führt ein einziges zugängliches Backup zu einem vollständigen Kontrollverlust über die gesamte Website. Der Zusammenhang zwischen unsicheren Backups und Hackerangriffen ist daher direkt, nicht hypothetisch.

Wie kann man den Zugriff auf Backup-Verzeichnisse per .htaccess sperren?

Auf Apache-Webservern lässt sich der Zugriff auf Backup-Verzeichnisse durch eine .htaccess-Datei im jeweiligen Ordner vollständig sperren. Dazu wird eine Textdatei mit dem Namen .htaccess in das Backup-Verzeichnis hochgeladen, die alle Anfragen abblockt.

Der Inhalt dieser Datei ist denkbar einfach:

  • Für Apache 2.4 und neuer: Require all denied
  • Für ältere Apache-Versionen: Order deny,allow gefolgt von Deny from all

Zusätzlich empfiehlt es sich, in der globalen .htaccess-Datei im Stammverzeichnis der WordPress-Installation den direkten Zugriff auf komprimierte Archivdateien zu unterbinden. Folgende Regel blockiert den Download von ZIP- und TAR-Dateien aus dem öffentlichen Verzeichnis:

<FilesMatch ".(zip|tar.gz|sql|bak)$"> Require all denied </FilesMatch>

Auf Nginx-Servern erfolgt die Sperrung über Anpassungen in der Serverkonfiguration, was in der Regel den Zugriff auf die Konfigurationsdatei des Hosting-Anbieters erfordert. Viele WordPress-Hosting-Anbieter stellen hierfür eigene Oberflächen oder Sicherheitsmodule bereit. Wer sich unsicher ist, sollte den Hosting-Support kontaktieren oder einen WordPress-Fachmann hinzuziehen.

Welche WordPress-Backup-Plugins speichern Dateien sicher außerhalb des öffentlichen Verzeichnisses?

Mehrere etablierte Backup-Plugins für WordPress bieten die Möglichkeit, Backups direkt in externe Speicherdienste zu übertragen, sodass die Dateien nie dauerhaft im öffentlichen Webverzeichnis verbleiben. Die bekanntesten und zuverlässigsten Optionen sind UpdraftPlus, BackWPup und Duplicator Pro.

UpdraftPlus

UpdraftPlus ist das meistgenutzte Backup-Plugin für WordPress und unterstützt zahlreiche externe Speicherziele, darunter Google Drive, Dropbox, Amazon S3, Microsoft OneDrive und FTP-Server. Die Dateien werden nach dem Backup automatisch übertragen und können anschließend vom Server gelöscht werden. Die kostenlose Version deckt grundlegende Anforderungen ab, während die Premium-Variante erweiterte Zeitplanung und verschlüsselte Übertragung bietet.

BackWPup

BackWPup ermöglicht ebenfalls die direkte Übertragung in externe Dienste und erlaubt es, Backups in einem Verzeichnis außerhalb des öffentlichen Webpfades zu speichern. Das Plugin ist besonders für technisch versiertere Nutzer geeignet, die genaue Kontrolle über den Backup-Umfang benötigen.

Entscheidend bei der Plugin-Wahl ist nicht nur die Funktionsliste, sondern auch die Aktualität der Entwicklung und die Kompatibilität mit der aktuellen WordPress-Version. Ein veraltetes Backup-Plugin kann selbst zur Sicherheitslücke werden. Im Rahmen eines WordPress-Wartungspakets wird die Aktualität aller Plugins regelmäßig geprüft und sichergestellt.

Sollten Backupdateien auf dem eigenen Server gespeichert bleiben?

Backupdateien sollten grundsätzlich nicht dauerhaft auf demselben Server gespeichert bleiben, auf dem die WordPress-Installation läuft. Ein Backup auf demselben Server schützt nicht vor den häufigsten Szenarien, in denen ein Backup tatsächlich gebraucht wird: Serverausfall, Hackerangriff oder versehentliches Löschen durch den Hosting-Anbieter.

Wird ein Server kompromittiert, sind alle darauf liegenden Daten betroffen, einschließlich der Backups. Angreifer löschen Backups gezielt, um die Wiederherstellung zu erschweren. Die empfohlene Strategie folgt der sogenannten 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine an einem externen Standort. Für WordPress bedeutet das in der Praxis: ein lokales Backup auf dem Server für schnellen Zugriff, kombiniert mit einer automatischen Übertragung in einen externen Cloud-Speicher. Wer Wert auf Datenschutz legt, sollte darauf achten, dass der gewählte Cloud-Speicher DSGVO-konform ist und Daten auf europäischen Servern speichert.

Was tun, wenn Backupdateien bereits öffentlich zugänglich waren?

Wenn Backupdateien bereits öffentlich zugänglich waren, sind sofortige Maßnahmen erforderlich: Zunächst müssen die Dateien aus dem öffentlichen Verzeichnis entfernt oder der Zugriff gesperrt werden. Anschließend müssen alle Zugangsdaten, die im Backup enthalten waren, als kompromittiert betrachtet und umgehend geändert werden.

Das betrifft konkret folgende Schritte:

  1. Datenbankpasswort ändern und die neue Verbindungszeichenfolge in der wp-config.php aktualisieren
  2. Alle WordPress-Sicherheitsschlüssel (Secret Keys) erneuern, da diese ebenfalls in der wp-config.php stehen und im Backup enthalten sind
  3. Alle Administrator-Passwörter zurücksetzen, da Benutzerdaten in der Datenbank gespeichert sind
  4. FTP- und Hosting-Zugangsdaten ändern, sofern diese in Konfigurationsdateien im Backup vorhanden waren
  5. Serverprotokolle prüfen, um festzustellen, ob und wann die Backup-URL aufgerufen wurde und von welchen IP-Adressen
  6. Die gesamte WordPress-Installation auf Schadcode prüfen, da nicht ausgeschlossen werden kann, dass die Daten bereits genutzt wurden

Wenn der Verdacht besteht, dass die Zugangsdaten bereits missbraucht wurden, oder wenn die Serverprotokolle auf verdächtige Zugriffe hinweisen, sollte die Installation professionell auf Malware und Backdoors untersucht werden. Eine Malware-Bereinigung durch Fachleute ist in solchen Fällen die sicherste Option, um versteckte Schadcodes zuverlässig zu entfernen.

So hilft WP-Profi bei der Absicherung Ihrer WordPress-Backups

Wir bei WP-Profi übernehmen die vollständige Absicherung Ihrer WordPress-Umgebung, damit Backups kein Sicherheitsrisiko darstellen. Unsere Leistungen in diesem Bereich umfassen:

  • Einrichtung sicherer Backup-Prozesse mit automatischer Übertragung in externe Speicherziele außerhalb des öffentlichen Verzeichnisses
  • Konfiguration von Zugangssperren über .htaccess und Serverkonfiguration, sodass keine Backup-Dateien öffentlich erreichbar sind
  • Tägliche Backups als fester Bestandteil unserer Wartungspakete, kombiniert mit Firewall-Schutz, wöchentlichen Updates und kontinuierlichem Malware-Monitoring
  • Professionelle Malware- und Hack-Bereinigung für den Fall, dass Backupdaten bereits kompromittiert wurden, inklusive vollständiger Wiederherstellung innerhalb von 24 Stunden
  • DSGVO-konforme Datenspeicherung ausschließlich auf Servern in Deutschland

Ob Sie Ihre bestehende WordPress-Installation absichern oder nach einem Sicherheitsvorfall schnell wieder handlungsfähig sein möchten: Sprechen Sie uns an. Wir analysieren Ihre aktuelle Situation und empfehlen die passenden Maßnahmen, damit Ihre Website langfristig geschützt bleibt.

Ähnliche Artikel

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.

Profi-Check für deine Website

Prüfe dein WordPress mit unserem kostenlosen Webseiten-Check und erhalte ausführliche Ergebnisse und Handlungsempfehlungen zur Performance, Sicherheit, Barrierefreiheit und SEO.
Kostenlosen Profi-Check starten