Automatisierte WordPress-Backups auf Synology NAS: Die ultimative Docker-Anleitung

Dein Hoster (z. B. IONOS) bietet zwar automatische Backups an – aber willst du dich im Ernstfall wirklich blind darauf verlassen? Egal ob du schon schlechte Erfahrungen gemacht hast oder dein Sicherheitsnetz lieber selbst in der Hand hältst: In dieser Schritt-für-Schritt-Anleitung zeige ich dir, wie du mit UpdraftPlus, Docker, Rclone und SFTP ein lückenloses 3-Stufen-Backup-System auf deiner eigenen Synology NAS aufbaust.

Aus Schaden wird man klug: Warum ich mich nicht mehr auf Hoster-Backups verlasse

Ein funktionierendes Backup ist die Lebensversicherung deines Blogs. Wenn nach einem Plugin-Update plötzlich gar nichts mehr geht oder die Datenbank zickt, zählt jede Minute. Auch ich habe mich einige Zeit bei meinem Hoster IONOS in trügerischer Sicherheit gewogen – schließlich wirbt der Anbieter mit automatischen 14-Tage-Backups im Managed-Tarif.

Ein kleines Geständnis direkt vorweg: Ich bin kein gelernter Entwickler, Coder oder Linux-Guru. Aber als mein Hoster mich im Stich ließ, brauchte ich eine absolut verlässliche Lösung. Das Setup, das ich dir in diesem Artikel präsentiere, ist das Ergebnis von intensivem Ausprobieren, praktischem Testen und der gezielten Unterstützung von KI-Tools. Und genau das ist das Geniale daran: Du musst kein Programmier-Genie sein, um dir eine solche Profi-Infrastruktur aufzubauen.

In der Praxis sah die Realität bei mir leider völlig anders aus:

• Das 20-Backup-Rätsel: Als ich im August ins Hosting-Portal schaute, staunte ich nicht schlecht: Mir wurden zwar stolze 20 Backup-Stände angezeigt – allerdings stammten alle aus dem Zeitraum vom 4. bis 28. Juli. Eine aktuelle Sicherung? Fehlanzeige.
• Die Support-Schneckenpost: Auf mein Ticket reagierte der Level-2-Support erst nach knapp zwei Wochen mit einer einfachen Eingangsbestätigung. – Gelöst wurde das Problem dann nach einer weiteren Woche! Für eine kritische Web-Infrastruktur ist das absolut unzumutbar.
• Das Erreichbarkeits-Problem: Zu allem Übel war die WordPress-Instanz in dieser Phase unregelmäßig offline. Und genau hier liegt die Falle: Wenn das Backend oder Portal deines Hosters streikt, kommst du auch an keine internen Wiederherstellungs-Funktionen mehr heran.

Meine Erkenntnis: Verlasse dich niemals nur auf ein einziges System. Nach der klassischen 3-2-1-Backup-Regel gehört mindestens eine vollständige Sicherungskopie auf ein externes, unabhängiges Speichermedium – in meinem Fall die eigene Synology NAS im Heimnetz.

Die Evolution der Lösungsansätze: Vom Plugin zum Synology-Pull

Um die ideale WordPress-Backup-Strategie zu finden, habe ich verschiedene Ansätze getestet:

Versuch 1: Rein lokale Backup-Plugins (BackWPup / UpdraftPlus)

Mein erster Impuls war die Installation bekannter WordPress-Backup-Plugins wie BackWPup und UpdraftPlus (jeweils in den Free-Versionen). Diese erzeugen Sicherungsdateien direkt im Dateisystem des Webspaces.

Das Problem: Lokale Backups verbrauchen den ohnehin knappen Webspace. Noch gravierender: Fällt der Webserver aus oder ist das Hosting gestört, kommst du auch an keine Backup-Dateien mehr ran. Ein echtes Backup erfordert zwingend eine physikalische Trennung (3-2-1-Backup-Regel).

Versuch 2: FTP-Push an Proxmox SFTPGo in der DMZ

Da unverschlüsseltes Standard-FTP über das öffentliche Internet ein erhebliches Sicherheitsrisiko darstellt, musste eine verschlüsselte Lösung her. Hier gilt es technisch genau zu unterscheiden:

• SFTP (SSH File Transfer Protocol): Das echte, SSH-basierte Protokoll lassen sich viele Plugin-Entwickler (wie UpdraftPlus oder BackWPup) als kostenpflichtiges Pro-Feature vergolden.
• FTPS / FTP over SSL: Die per TLS/SSL verschlüsselte Varianten von FTP ist in vielen Gratis-Plugins (u. a. bei BackWPup) bereits kostenlos enthalten.

Mein Ansatz war daher eine DMZ-Zwischenstation: Eine Proxmox-VM mit SFTPGo in der Demilitarized Zone sollte die verschlüsselten FTPS-Uploads von BackWPup entgegennehmen.

Ergebnis: Die Verbindung zwischen BackWPup und SFTPGo konnte ich zwar herstellen, der eigentliche Datentransfer schlug jedoch fehl. Zudem erhöhte der Zwischenschritt die Komplexität unnötig.

Versuch 3 (Final): Der direkte Pull-Mechanismus mit Rclone und Synology Aufgabenplaner

Die beste Methode kehrt den Weg um: UpdraftPlus erstellt die Sicherung lokal auf dem Webspace. Die Synology NAS verbindet sich anschließend aktiv über Rclone per verschlüsseltem SFTP / FTPS und holt („Pull“) die Dateien ab.

• Keine Portfreigaben: Du musst keine Firewall-Regeln oder Portweiterleitungen auf deinem Router einrichten.
• Höchste Sicherheit: Die Verbindung erfolgt verschlüsselt von innen nach außen.
• Strukturierte Dateien: UpdraftPlus teilt die Sicherung in übersichtliche Pakete auf (-db.gz, -plugins.zip, -uploads.zip).

Wichtiger Hinweis zur Kompatibilität: Für die Ausführung des Docker-Containers wird der Synology Container Manager benötigt. Dieser steht nicht für alle NAS-Modelle zur Verfügung (vorrangig auf DiskStations mit Intel- oder AMD-Prozessor). Ob deine DiskStation den Container Manager unterstützt, kannst du direkt in der offiziellen Paket-Übersicht von Synology prüfen.

Hinweis: Die mit Sternchen (*) gekennzeichneten Links sind sogenannte Affiliate-Links. Wenn du auf so einen Link klickst und über diesen einkaufst, bekomme ich von dem betreffenden Online-Shop eine Provision. Für dich verändert sich der Preis nicht. Danke dir! 🫶

Das 3-Stufen-Backup-Konzept erklärt

Mit dieser Architektur entsteht eine dreistufige, hochredundante Sicherungskette:

1. Stufe 1 (Webspace): UpdraftPlus erzeugt täglich (z. B. um 06:00 Uhr) die lokalen Sicherungsdateien.
2. Stufe 2 (Synology NAS): Ein Rclone-Container zieht täglich (z. B. um 09:00 Uhr) die Backups per SFTP ab. Ein Shell-Skript bereinigt Sicherungen automatisch nach 90 Tagen.
3. Stufe 3 (Offsite-Backup): Synology Hyper Backup sichert das Zielverzeichnis verschlüsselt auf einen externen Backup-Server oder Cloud-Speicher.

Schritt-für-Schritt-Anleitung: WordPress Backup mit Docker & Rclone

Schritt 1: Ordnerstruktur auf der Synology anlegen

Begebe dich in die File Station deiner Synology NAS und erstelle die folgenden Verzeichnisse.

Damit das Setup sauber strukturiert ist und auch nach Updates stabil läuft, unterteilen wir die Pfade in zwei funktionale Bereiche:

1. Persistente Docker-Verzeichnisse (Container-Konfiguration)

Diese Ordner sichern die Einstellungen, Logfiles und Skripte deines Containers. Sie werden direkt in den Docker-Container gemappt (gebunden). Der Vorteil: Wenn du den Container später aktualisierst, neu aufsetzt oder löschst, bleiben deine Verbindungsdaten und Skripte vollständig erhalten.

• /volume1/docker/rclone/config – Speichert die rclone.conf (deine verschlüsselten SFTP-Zugangsdaten).
• /volume1/docker/rclone/scripts – Beinhaltet das Backup-Skript (rclone-backup.sh) sowie die Multi-Blog-Konfiguration (blogs.conf).
• /volume1/docker/rclone/logs – Enthält das Protokoll (backup.log) für erfolgreiche Durchläufe oder Fehlermeldungen.

2. Zielverzeichnis (Backup-Speicherort)

Dieser Pfad dient als eigentlicher Zielordner auf deiner Synology NAS, in den Rclone die gesicherten WordPress-Dateien vom Webspace hineinkopiert.

• /volume1/wordpress/backup – Zielpfad für deine WordPress-Sicherungen.

💡 Tipp: Achte darauf, dass die Pfade exakt so angelegt werden (inklusive Klein- und Großschreibung), da Docker-Volume-Mappings auf Linux-Systemen wie dem Synology DSM zwischen Groß- und Kleinschreibung unterscheiden.

Schritt 2: Docker Compose einrichten

Erstelle im Container Manager ein neues Projekt mit folgender docker-compose.yaml:

YAML

services:
  rclone:
    image: rclone/rclone:latest
    container_name: rclone
    restart: unless-stopped
    environment:
      - TZ=Europe/Berlin
    volumes:
      - /volume1/docker/rclone/config:/config/rclone
      - /volume1/docker/rclone/scripts:/config/scripts
      - /volume1/docker/rclone/logs:/logs
      - /volume1/wordpress/backup:/backup
    entrypoint: ["/bin/sh"]
    command: ["-c", "sleep infinity"]

⚠️ Wichtiger Sicherheitshinweis zur Docker-Tag-Wahl:

Ich empfehle üblicherweise kein latest-Tag bei essentiellen Applikationen! Setze stattdessen auf eine feste Versionsnummer (hier – Stand August 2026 – die Version 1.75.0). So verhinderst du, dass ungetestete automatische Updates dein System unbemerkt lahmlegen oder Inkompatibilitäten erzeugen.
Die Versionsänderungen kannst Du hier einsehen: Rclone Release Notes

Schritt 3: SFTP-Verbindung konfigurieren & Passwort verschlüsseln

Öffne den Container im Synology Container Manager, wechsle in den Reiter Aktion ➔ Terminal öffnen und starte eine neue Sitzung mit /bin/sh. Alternativ verbindest du dich per SSH auf deine Synology und öffnest die Konsole direkt über folgenden Befehl:

docker exec -it rclone /bin/sh

Starte nun den interaktiven Einrichtungsprozess von Rclone:

rclone config

1. Gib n ein, um ein neues Remote anzulegen, und wähle einen Namen (z. B. ionos).
2. Suche in der Liste nach dem Protokoll-Typ SFTP (meist die Option für SSH/SFTP NetDrive).
3. Trage deinen Host-Server (z. B. access-xxxxxxxxxx.webspace-host.com),
4. deinen SFTP-Benutzernamen,
5. ein temporäres Passwort (warum temporär? Siehe Sicherheitstipp!)
6. und den Port 22 ein.

Passwort sicher verschlüsseln (Obfuscate)

Sicherheitstipp: Gib bei der ersten Konfiguration im Assistenten erst einmal nur ein temporäres Dummypasswort ein. So verhinderst du, dass dein echtes Webspace-Passwort im Klartext verarbeitet wird.

Nachdem das Remote angelegt ist, generierst du dir innerhalb der Container-Konsole den verschlüsselten Hash für dein echtes Passwort:

rclone obfuscate "DeinEchtesPasswort"

Rclone gibt dir daraufhin eine lange, verschlüsselte Zeichenkette zurück. Öffne anschließend die Konfigurationsdatei unter /volume1/docker/rclone/config/rclone.conf mit einem Texteditor und trage diese Zeichenkette beim Parameter pass = ein.

Verbindung testen

Prüfe zum Schluss in der Container-Konsole, ob der Zugriffs-Pull funktioniert:

# Zeigt die Verzeichnisse auf dem Server an
rclone lsd ionos:

# Zeigt den Inhalt deines Updraft-Ordners an
rclone ls ionos:updraft

Schritt 4: Vorbereitung für einen oder mehrere Blogs

Damit das spätere Skript weiß, welche Pfade es kopieren soll, gibt es zwei Wege – je nachdem, ob du einen oder mehrere Blogs auf deiner Synology sichern möchtest:

• Variante A (Standard – Multi-Blog): Über eine externe Konfigurationsdatei (blogs.conf). Das ist ideal, wenn du flexibel bleiben oder später weitere Websites ergänzen willst.
• Variante B (Minimal – Einzelner Blog): Du verzichtest auf die blogs.conf und trägst den Pfad direkt fest im Skript ein (siehe Schritt 5).

Für Variante A: blogs.conf anlegen

Erstelle unter /volume1/docker/rclone/scripts/blogs.conf folgende Datei:

# FORMAT: NAME|URSPRUNGS-PFAD|ZIELPFAD
MEINBLOG|ionos:updraft|/backup/ionos/meinblog
# ZWEITERBLOG|ionos:updraft_blog2|/backup/ionos/blog2

Schritt 5: Das Backup- & Retention-Skript (rclone-backup.sh)

Erstelle unter /volume1/docker/rclone/scripts/rclone-backup.sh das Skript und vergebe die Ausführungsrechte (chmod +x):

Wähle im Skript den passenden Kopfbereich für deine Einrichtung:

#!/bin/sh

LOG="/logs/backup.log"

# Aufbewahrung in Tagen
RETENTION_DAYS=90

# 0 = Testmodus (Dry-Run), 1 = Scharfes Löschen
DELETE_OLD=1

# ==============================================================================
# OPTION 1: Wenn du Variante A (blogs.conf für mehrere Blogs) nutzt:
# ==============================================================================
BLOGS="/config/scripts/blogs.conf"

while IFS='|' read NAME REMOTE TARGET
do
    case "$NAME" in
        ""|\#*) continue ;;
    esac
# ==============================================================================
# OPTION 2: Wenn du NUR EINEN Blog hast (ohne blogs.conf):
# Lösche die Zeilen von OPTION 1 und nutze stattdessen diese 3 Zeilen:
# NAME="MEINBLOG"
# REMOTE="DeinRemotePfad"
# TARGET="/backup/meinblog"
# ==============================================================================

    echo "$(date '+%Y-%m-%d %H:%M:%S') START $NAME" >> "$LOG"

    # Copy-Vorgang (--min-age 30m schützt vor unvollständigen Uploads)
    rclone copy "$REMOTE" "$TARGET" \
        --min-age 30m \
        --log-file="$LOG" \
        --log-level INFO

    if [ $? -ne 0 ]; then
        echo "$(date '+%Y-%m-%d %H:%M:%S') ERROR beim Kopieren: $NAME" >> "$LOG"
        continue
    fi

    echo "$(date '+%Y-%m-%d %H:%M:%S') Kopieren OK: $NAME" >> "$LOG"

    # Stichtag für automatische Löschung berechnen
    CUTOFF=$(date -d "$RETENTION_DAYS days ago" '+%Y-%m-%d')

    # Backup-Dateien durchsuchen (backup_YYYY-MM-DD-...)
    find "$TARGET" -type f -name 'backup_*' |
    while IFS= read -r FILE
    do
        BASE=$(basename "$FILE")
        DATE=$(printf '%s' "$BASE" | cut -c8-17)

        case "$DATE" in
            ????-??-??) ;;
            *) continue ;;
        esac

        # Prüfen ob älter als Stichtag
        if [ "$DATE" \< "$CUTOFF" ]; then
            PREFIX=$(printf '%s' "$BASE" | sed 's/^\(.*_[^_]*\)-.*/\1/')

            if [ "$DELETE_OLD" -eq 1 ]; then
                echo "$(date '+%Y-%m-%d %H:%M:%S') Lösche altes Backup-Set: $PREFIX" >> "$LOG"
                rm -f "$TARGET/$PREFIX"-*
            else
                echo "$(date '+%Y-%m-%d %H:%M:%S') DRY-RUN (Würde löschen): $PREFIX" >> "$LOG"
            fi
        fi
    done

    echo "$(date '+%Y-%m-%d %H:%M:%S') END $NAME" >> "$LOG"

# Lösche diese letzte Zeile ("done <...") ebenfalls, falls du OPTION 2 (Einzelner Blog) nutzt!
done < "$BLOGS"

exit 0

Die wichtigsten Skript-Funktionen im Detail

Falls du das Skript anpassen möchtest, helfen dir diese Kernfunktionen beim Verständnis:

• --min-age 30m (Schutz vor unvollständigen Uploads):
  Dieser Parameter weist Rclone an, nur Dateien zu kopieren, die bereits seit mindestens 30 Minuten unverändert auf dem Server liegen. Das verhindert zuverlässig, dass die Synology eine Backup-Datei herunterlädt, während UpdraftPlus sie auf dem Webspace gerade erst schreibt.
• RETENTION_DAYS=90 (Automatische Löschung):
  Legt fest, wie viele Tage deine Sicherungen auf der Synology aufbewahrt werden. Alle Backup-Sets, deren Erstellungsdatum im Dateinamen älter als dieser Stichtag ist, werden automatisch aufgeräumt.
• DELETE_OLD=0 vs. 1 (Dry-Run Testmodus):
  Bevor du das Skript scharf schaltest, kannst du DELETE_OLD=0 setzen. Das Skript simuliert die Löschung altes Backups dann nur im Logfile (LOG="/logs/backup.log"), ohne tatsächlich Dateien zu löschen. So kannst du stressfrei prüfen, ob die Datumsberechnung korrekt arbeitet.
• sed 's/^\(.*_[^_]*\)-.*/\1/' (Backup-Set Erkennung):
  UpdraftPlus teilt ein einziges Backup in mehrere Dateien auf (z. B. -plugins.zip, -db.gz, -uploads.zip). Das Skript erkennt diesen gemeinsamen Präfix und stellt sicher, dass immer das gesamte Backup-Set als Einheit gelöscht wird und keine Dateileichen übrig bleiben.

Schritt 6: Skript testen & Automatisierung im Synology DSM einrichten

Bevor du die Automatisierung scharf schaltest, solltest du das Skript unbedingt manuell testen. So stellst du sicher, dass die Verzeichnisse stimmen, die Verbindungen greifen und das Skript ohne Fehler durchläuft.

1. Der manuelle Testlauf

Führe das Skript erst einmal direkt in der SSH-Konsole deiner Synology (oder über den Container Manager) aus:

docker exec rclone sh /config/scripts/rclone-backup.sh

Prüfe anschließend die Log-Datei auf deiner Synology unter /volume1/docker/rclone/logs/backup.log. Hier sollte ein erfolgreicher Durchlauf protokolliert sein:

• Prüfe, ob die Dateien ordnungsgemäß im Zielordner /volume1/wordpress/backup/ gelandet sind.
• Tipp: Wenn du DELETE_OLD=0 im Skript gesetzt hast, zeigt dir das Logfile zusätzlich im Dry-Run-Modus an, welche alten Dateien es löschen würde.

2. Automatisierung in Synology DSM anlegen

Sobald der Testlauf erfolgreich war (und du DELETE_OLD=1 für das echte Löschen gesetzt hast), richtest du den Zeitplan ein:

1. Öffne das Synology DSM und gehe zu Systemsteuerung ➔ Aufgabenplanung.
2. Klicke auf Erstellen ➔ Geplante Aufgabe ➔ Benutzerdefiniertes Skript.
3. Reiter Allgemein:
   • Vorgang: WordPress Backup Pull
   • Benutzer: root
4. Reiter Zeitplan:
   • Stelle die Ausführung auf Täglich ein.
   • Wähle eine Uhrzeit mit ausreichend Puffer zu UpdraftPlus (z. B. 09:00 Uhr, wenn UpdraftPlus um 06:00 Uhr sichert).
5. Reiter Aufgabeneinstellungen:
   • Trage im Feld Benutzerdefiniertes Skript folgenden Befehl ein: docker exec rclone sh /config/scripts/rclone-backup.sh
6. Speichere die Aufgabe ab.

3. Abschließender Test über die DSM-Oberfläche

Mache den finalen Praxistest: Wähle die neu erstellte Aufgabe in der Liste aus und klicke oben auf Ausführen. Prüfe danach erneut die backup.log, ob der Task auch über den DSM-Prozess fehlerfrei angestoßen wurde.

Wie stelle ich ein Backup im Notfall wieder her?

Die eigentliche Wiederherstellung über das UpdraftPlus-Dashboard in WordPress ist extrem einfach. Da deine Synology die Daten jedoch nur passiv per Pull abgeholt hat, musst du die benötigten Backup-Dateien zuerst wieder zurück auf deinen Webspace übertragen.

Dafür hast du zwei komfortable Möglichkeiten:

Weg 1: Direkt über das WordPress-Backend (für kleinere Webseiten)

1. Lade das gewünschte Backup-Set (die .zip– und .tar.gz-Dateien eines bestimmten Datums) von deiner Synology auf deinen PC herunter.
2. Gehe in deinem WordPress-Backend zu Einstellungen ➔ UpdraftPlus-Backups.
3. Scrolle zum Bereich Bestehende Sicherungen und klicke auf den Link „Sicherungsdateien hochladen“.
4. Wähle die heruntergeladenen Dateien von deinem PC aus. Sobald der Upload fertig ist, erscheint der Stand in der Liste und du kannst mit einem Klick auf „Wiederherstellen“ den Prozess starten.

Weg 2: Per FTP / FileZilla (Empfohlen bei großen Webseiten)

Wenn deine Seite viele Bilder enthält und die Backup-Dateien mehrere Hundert Megabyte groß sind, bricht der Upload im Browser oft ab. Nutze hierfür FTP:

1. Verbinde dich mit einem FTP-Programm (z. B. FileZilla) mit deinem Webspace.
2. Navigiere in das UpdraftPlus-Sicherungsverzeichnis auf deinem Server. Standardmäßig ist das:
   /dein-wordpress-ordner/wp-content/updraft/
3. Übertrage die Backup-Dateien von deiner Synology (oder deinem PC) direkt in diesen Ordner.
4. Gehe im WordPress-Backend zu UpdraftPlus ➔ Bestehende Sicherungen und klicke auf den Link „Sicherungsdateien neu scannen“.
5. UpdraftPlus erkennt die hochgeladenen Pakete sofort und du kannst die Wiederherstellung per Klick starten.

Häufig gestellte Fragen (FAQ)

Warum sollte ich keine Router-Portfreigaben für Backups nutzen?

Jede Portfreigabe nach außen stellt ein potenziertes Sicherheitsrisiko dar. Durch das Pull-Prinzip baut die Synology die Verbindung aktiv nach außen auf. Es müssen keine eingehenden Ports im Router geöffnet werden.

Reicht das kostenlose UpdraftPlus Plugin aus?

Ja! Die kostenlose Version von UpdraftPlus reicht völlig aus, da sie Backups lokal auf dem Webspace speichern kann. Das Herunterladen übernimmt der Rclone-Docker-Container auf deiner Synology per SFTP.

Fazit & Hardware-Empfehlungen

Mit dieser Docker-basierten Lösung auf deiner Synology NAS hast du die volle Kontrolle über deine WordPress-Sicherungen. Du bist unabhängig von unzuverlässigen Hoster-Backups geschützt und vermeidest Sicherheitsrisiken im Heimnetzwerk.

Hast du Fragen zur Einrichtung oder nutzt du ein anderes Backup-Setup? Schreib es mir gerne in die Kommentare!