Freitagnachmittag, ein Kunde ruft an: Der Onlineshop zeigt nur noch eine weiße Seite mit kryptischem Text, die Startseite ist verschwunden, im Backend geht nichts mehr. Ein kompromittiertes Plugin, ein fehlgeschlagenes Update oder schlicht ein Server-Crash beim Hoster – die Ursache ist in diesem Moment zweitrangig. Die eine Frage, die jetzt über Stunden oder Tage Ausfall entscheidet, lautet: Wann wurde diese Seite zuletzt gesichert, und lässt sich das Backup wirklich zurückspielen?
Für viele kleine Agenturen ist die ehrliche Antwort unbequem. Ein Backup existiert meist irgendwie – aber ob es aktuell ist, wo es liegt und ob es je getestet wurde, weiß im Ernstfall niemand genau. Dieser Beitrag zeigt dir, warum Website-Backups für Kunden mehr sind als eine Pflichtübung, wie eine belastbare Backup-Strategie nach anerkannten Regeln aussieht und wie du daraus ein wiederkehrendes Standbein machst, statt sie als unbezahlten Feuerwehreinsatz zu betreiben.
Warum Website-Backups für Kunden zur Chefsache werden
Die Zahlen zeichnen ein Bild, das viele aus dem eigenen Alltag kennen. In der KMU-Backup-Studie 2025 von DATA REVERSE, für die 285 kleine und mittlere Unternehmen befragt wurden, gaben zwar 77 Prozent an, mindestens wöchentlich zu sichern, 24 Prozent sogar täglich. Der kritische Befund steckt aber woanders: 72 Prozent der Befragten prüfen die Funktionsfähigkeit ihrer Backups selten oder nie. Nur 28 Prozent testen regelmäßig, also mindestens einmal pro Quartal.
Das ist die eigentliche Falle. Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung. Beschädigte Archive, unvollständige Datenbank-Dumps, ein Sicherungslauf, der seit Wochen stillschweigend abbricht – all das fällt erst auf, wenn man das Backup wirklich braucht. Und dann ist es zu spät. Dazu kommt die gestiegene Bedrohungslage: Bei einem Ransomware-Angriff werden nicht nur die Live-Daten verschlüsselt, sondern gezielt auch erreichbare Sicherungen. Ein Backup, das auf demselben Server oder im selben Netz liegt wie das Original, ist dann mit betroffen.
Für kleine Agenturen ist dieser Punkt doppelt relevant. Betreust du die Website eines Kunden, hostest sie oder verwaltest das Backend, bist du im Ernstfall der erste Ansprechpartner – unabhängig davon, wer den Fehler verursacht hat. Wie sehr in solchen Vorfällen zusätzlich die Uhr tickt, wenn dabei personenbezogene Daten betroffen sind, zeigt unser 72-Stunden-Notfallplan bei Datenpannen.
Die 3-2-1-Regel – und warum das BSI sie erweitert
Die gute Nachricht: Es gibt eine seit Jahrzehnten bewährte Faustregel, die auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt. Die 3-2-1-Regel verlangt, mindestens drei Kopien der Daten zu halten, sie auf mindestens zwei verschiedenen Medientypen zu speichern und mindestens eine Kopie an einem externen Standort aufzubewahren. Das schützt zuverlässig gegen Hardware-Ausfälle, Bedienfehler und lokale Katastrophen wie einen Brand.
Gegen moderne Bedrohungen wie Ransomware reicht das klassische 3-2-1 aber nicht mehr, und deshalb hat die Sicherheitsgemeinschaft es zur 3-2-1-1-0-Regel erweitert. Die zusätzliche „1" steht für eine unveränderliche (immutable) oder physisch getrennte Kopie, die ein Angreifer selbst mit vollem Systemzugriff nicht überschreiben kann. Die „0" steht für null Fehler bei den Wiederherstellungstests – also den systematischen Nachweis, dass sich das Backup tatsächlich zurückspielen lässt. Genau der Test, den laut Studie fast drei Viertel der Unternehmen auslassen.
Das BSI wird in seinem IT-Grundschutz-Baustein CON.3 zum Datensicherungskonzept an dieser Stelle deutlich: Regelmäßige Tests der Wiederherstellung sind dort keine Empfehlung, sondern eine Anforderung. Für Kunden, die selbst unter die NIS2-Richtlinie fallen oder als Zulieferer entsprechende Nachweise erbringen müssen, wird das handfest relevant – Backup-Management ist ausdrücklich Teil der geforderten Maßnahmen, wie wir im Beitrag zu NIS2 und der Lieferkette beschreiben.
Der teure Trugschluss: „Der Hoster sichert das doch"
Ein Satz, der in Kundengesprächen immer wieder fällt und der schon manche Agentur in die Bredouille gebracht hat: „Backups brauchen wir nicht extra, das macht doch der Hoster." Das ist gefährlich unpräzise. Viele Hosting-Pakete enthalten zwar automatische Sicherungen – aber oft nur für wenige Tage rückwirkend, teils ausschließlich für die technische Notfallwiederherstellung des Anbieters und nicht als abrufbares Kunden-Backup, und fast immer im selben Rechenzentrum. Fällt der Account durch eine Kündigung, einen Zahlungsverzug oder eine Kompromittierung weg, ist diese Sicherung mitunter genauso verloren.
Auch die 3-2-1-Regel spricht hier eine klare Sprache: Eine einzelne Kopie beim selben Anbieter erfüllt weder die Anforderung an zwei Medientypen noch an einen wirklich externen Standort. Verlässt du dich allein auf den Hoster, hast du also im Zweifel gar keine Strategie, sondern nur ein Bauchgefühl. Die Studienlage passt ins Bild: 59 Prozent der befragten KMU setzen auf hybride Lösungen aus Cloud und lokaler Sicherung, 29 Prozent rein auf Cloud und 12 Prozent ausschließlich auf lokale Systeme. Entscheidend ist nicht die Technik-Mode, sondern dass am Ende drei Kopien an unterschiedlichen Orten liegen – und dass du weißt, wo.
Was eine belastbare Backup-Strategie im Agentur-Alltag konkret heißt
Übersetzt in den Projektalltag ergeben sich daraus ein paar handfeste Entscheidungen, die du pro Kundenseite einmal sauber treffen solltest.
Frequenz an den Kunden anpassen
Nicht jede Seite braucht dieselbe Taktung. Eine Visitenkarten-Website, die sich einmal im Quartal ändert, ist mit einem wöchentlichen Backup gut bedient. Ein Onlineshop mit täglichen Bestellungen dagegen verliert bei einem tagesalten Backup echte Umsätze und Kundendaten – hier gehört ein tägliches, besser mehrfach tägliches Backup zum Standard. Die Leitfrage ist immer: Wie viele Stunden an Änderungen darf der Kunde im schlimmsten Fall verlieren? Diese Antwort bestimmt die Frequenz, nicht umgekehrt.
Datenbank und Dateien vollständig sichern
Gerade bei WordPress und ähnlichen Systemen besteht eine Seite aus zwei Teilen: den Dateien (Themes, Plugins, hochgeladene Medien) und der Datenbank (Inhalte, Einstellungen, Bestellungen). Nur beide zusammen ergeben eine wiederherstellbare Seite. Ein häufiger Fehler ist, nur die Dateien zu sichern und die Datenbank zu vergessen – oder umgekehrt. Prüfe, dass dein Backup wirklich alles umfasst.
Räumlich trennen
Das Backup gehört an einen anderen Ort als die Live-Seite – idealerweise bei einem anderen Anbieter und in einem anderen Netz. Liegt die einzige Sicherung im selben Hosting-Paket, ist sie bei einem kompromittierten Server oder einer Kündigung genauso weg wie das Original. Ein EU-gehosteter Speicherort hält dabei nebenbei auch die datenschutzrechtliche Seite sauber.
Wiederherstellung testen
Der wichtigste und meistvergessene Schritt: Spiele mindestens einmal pro Quartal ein Backup testweise in eine Staging-Umgebung zurück und schau, ob die Seite läuft. Erst dieser Test macht aus einer Datei ein verlässliches Sicherheitsnetz. Halte fest, wann du zuletzt erfolgreich wiederhergestellt hast – dieser Nachweis ist im Ernstfall Gold wert.
Vom Feuerwehreinsatz zum wiederkehrenden Umsatz
Der entscheidende Perspektivwechsel für kleine Agenturen: Backups sind keine kostenlose Nebenleistung, die man im Krisenfall unbezahlt erbringt, sondern ein eigenständiges, planbares Standbein. Genau wie die klassische WordPress-Wartung eignet sich Backup-Management hervorragend für einen monatlichen Wartungsvertrag – mit dem angenehmen Nebeneffekt, dass es dir wiederkehrenden, vorhersehbaren Umsatz bringt statt unbezahlter Wochenend-Einsätze.
Der Verkaufsansatz ist einfach, weil das Bedürfnis echt ist. Du bietest kein abstraktes „Backup", sondern eine Wiederanlaufgarantie: eine definierte Sicherungsfrequenz, einen externen und unveränderlichen Speicherort, einen dokumentierten Quartals-Restore-Test und eine zugesagte Reaktionszeit im Ernstfall. Das lässt sich klar bepreisen und klar kommunizieren. Und es verschiebt das Gespräch mit dem Kunden vom Preis auf den Wert: Was kostet ein Tag Shop-Ausfall, und was kostet die Sicherheit, ihn zu vermeiden?
Dieser Anspruch – Verlässlichkeit belegen statt versprechen – zieht sich durch gute Agenturarbeit. Es ist derselbe Grundgedanke, dem wir bei Ragnova folgen, wenn ein System nachvollziehbar belegen soll, was es tut, statt es nur zu behaupten. Ein getestetes Backup ist am Ende genau das: der Beweis, dass du dein Versprechen halten kannst, wenn es darauf ankommt. Und dieser Beweis unterscheidet die Agentur, die eine Seite gebaut hat, von der Agentur, die für sie geradesteht.
Dieser Beitrag ersetzt keine individuelle Beratung zu Sicherheits- oder Compliance-Pflichten. Bei konkreten Anforderungen etwa aus NIS2 oder branchenspezifischen Vorgaben lohnt der Blick einer Fachperson.
- Laut KMU-Backup-Studie 2025 prüfen 72 % der Unternehmen ihre Backups selten oder nie – ein ungetestetes Backup ist im Ernstfall oft wertlos.
- Das BSI empfiehlt die 3-2-1-Regel: drei Kopien, zwei Medientypen, eine extern; gegen Ransomware erweitert zu 3-2-1-1-0 mit unveränderlicher Kopie und getestetem Restore.
- Eine wiederherstellbare Website braucht immer Dateien und Datenbank zusammen sowie einen räumlich getrennten, idealerweise EU-gehosteten Speicherort.
- Der wichtigste Schritt ist der Quartals-Restore-Test in einer Staging-Umgebung – das BSI führt ihn im Baustein CON.3 als Anforderung, nicht als Empfehlung.
- Backup-Management eignet sich als planbares Wartungsvertrag-Standbein mit wiederkehrendem Umsatz statt unbezahlter Notfalleinsätze.