n8n-Backup: Workflows, Credentials und der Encryption Key

Ein n8n-Backup ist erst dann vollständig, wenn es Workflows, Credentials und den passenden Encryption Key gemeinsam sichert. Fehlt der Schlüssel oder weicht er vom Original ab, kann n8n gespeicherte Zugangsdaten nicht mehr entschlüsseln, und jede hinterlegte Verbindung zu E-Mail-Postfach, CRM oder API muss von Hand neu eingerichtet werden. Workflows selbst lassen sich über die Weboberfläche oder per CLI als JSON exportieren und importieren, Credentials benötigen dafür zusätzlich den ursprünglichen Encryption Key oder einen bewusst entschlüsselten Export. Für Unternehmen, die n8n selbst hosten und für ihre Automatisierungen die Verantwortung tragen, ist der Encryption Key deshalb der wichtigste einzelne Baustein einer funktionierenden Backup-Strategie. Stand: Juli 2026.

Was macht der Encryption Key in n8n eigentlich?

Der Encryption Key verschlüsselt alle in n8n gespeicherten Credentials, bevor sie in der Datenbank abgelegt werden, ohne den passenden Schlüssel bleiben diese Daten dauerhaft unlesbar. Beim ersten Start erzeugt n8n automatisch einen zufälligen Schlüssel und speichert ihn im Ordner ~/.n8n. Wer stattdessen einen eigenen Schlüssel nutzen möchte, muss die Umgebungsvariable N8N_ENCRYPTION_KEY setzen, bevor die Einstellungsdatei angelegt wird, ein nachträglicher Wechsel wird nicht automatisch übernommen. Läuft n8n im Queue-Modus mit mehreren Workern, muss laut Dokumentation derselbe Encryption Key für jeden einzelnen Worker gesetzt sein (n8n-Dokumentation zum Encryption Key).

Was passiert, wenn der Encryption Key verloren geht?

Geht der Encryption Key verloren oder weicht er von dem ab, mit dem die Credentials ursprünglich verschlüsselt wurden, meldet n8n, dass die Credentials nicht entschlüsselt werden konnten, weil vermutlich ein anderer Encryption Key verwendet wurde. Die Workflow-Logik selbst bleibt als JSON-Struktur erhalten, aber jede hinterlegte Zugangsdaten wie API-Keys, OAuth-Token oder SMTP-Zugänge wird unbrauchbar und muss manuell neu verbunden werden. Bei wenigen Workflows ist das ärgerlich, bei gewachsenen Automatisierungen mit vielen Verbindungen zu Buchhaltung, CRM oder Warenwirtschaft bedeutet es faktisch einen Neustart der gesamten Zugangsdatenverwaltung. Der Encryption Key gehört deshalb in jede Backup-Routine, getrennt von, aber genauso zuverlässig wie die Datenbanksicherung selbst.

Wie sichern Sie Workflows und Credentials richtig?

n8n bietet für Backups sowohl Wege über die Oberfläche als auch über die Server-CLI, für regelmäßige Sicherungen ist die CLI der zuverlässigere Weg. In der Weboberfläche lässt sich ein Workflow über das Drei-Punkte-Menü als JSON-Datei herunterladen oder aus einer Datei beziehungsweise URL importieren.

• Workflows exportieren: n8n export:workflow mit den Optionen --backup und --output sichert alle Workflows einzeln und lesbar formatiert in einem Zielordner.
• Credentials exportieren: n8n export:credentials --all sichert die verschlüsselten Zugangsdaten, mit der Zusatzoption --decrypted lassen sie sich auch im Klartext exportieren, etwa um sie gezielt auf eine Instanz mit einem anderen Encryption Key zu übertragen.
• Import: n8n import:workflow und n8n import:credentials spielen die JSON-Dateien wieder ein, enthaltene IDs überschreiben dabei bestehende Workflows oder Credentials mit derselben ID.

Details zu allen Befehlen stehen in der n8n-Dokumentation zu Export und Import sowie zur Kommandozeile (Export und Import in n8n, n8n-CLI-Befehle).

Worauf sollten Sie beim Wechsel des Encryption Keys oder beim Teilen von Exporten achten?

Ein Wechsel des Encryption Keys ist kein Routinevorgang, sondern ein Eingriff, der ohne vorbereitetes Backup zu dauerhaftem Datenverlust führen kann. n8n unterscheidet zwischen dem Instance Encryption Key, der als Masterschlüssel nie wechselt, und einem darunterliegenden Data Encryption Key, der tatsächlich die Credentials verschlüsselt und über eine eigene Rotationsfunktion erneuert werden kann. Diese Rotation ist laut Dokumentation ausdrücklich nicht umkehrbar, wird die zugehörige Funktion wieder deaktiviert, sind alle seither verschlüsselten Daten dauerhaft unzugänglich, ein vollständiges Datenbank-Backup vorab ist die einzige Absicherung (n8n-Dokumentation zur Schlüsselrotation). Beim Teilen exportierter Workflow-JSONs ist zudem Vorsicht geboten, die Dateien enthalten Credential-Namen und IDs, und aus cURL importierte HTTP-Request-Nodes können sogar Authentifizierungs-Header im Klartext enthalten. Diese Angaben sollten vor jeder Weitergabe entfernt werden.

Wer eine eigene n8n-Instanz betreibt und beim Aufsetzen von Backup-Routinen oder dem Umzug zwischen Servern Unterstützung sucht, findet dazu Begleitung im n8n-Angebot von NordFlux.

Häufige Fragen zu n8n-Backup und Encryption Key

Reicht ein Datenbank-Backup allein aus, um n8n vollständig zu sichern?

Nein, ein reines Datenbank-Backup sichert zwar Workflows und verschlüsselte Credentials, aber ohne den zugehörigen Encryption Key bleiben diese Credentials beim Wiederherstellen unlesbar. Der Schlüssel liegt standardmäßig in einer separaten Einstellungsdatei im Ordner ~/.n8n und muss deshalb bewusst mitgesichert werden, idealerweise getrennt vom Datenbank-Backup an einem zugriffsgeschützten Ort.

Kann ich Workflows ohne die zugehörigen Credentials exportieren?

Ja, der Export eines Workflows über die Oberfläche oder per n8n export:workflow enthält nur die Workflow-Struktur mit Verweisen auf Credential-Namen und IDs, nicht die Zugangsdaten selbst. Um die Credentials mitzunehmen, ist ein separater Export mit n8n export:credentials nötig, und am Ziel muss entweder derselbe Encryption Key vorliegen oder die Credentials werden vorher mit der Option --decrypted im Klartext exportiert.

Wie migriere ich Credentials auf eine n8n-Instanz mit einem anderen Encryption Key?

Der zuverlässigste Weg ist der entschlüsselte Export mit n8n export:credentials --all --decrypted auf der Quellinstanz, gefolgt vom regulären Import auf der Zielinstanz, die die Daten automatisch mit ihrem eigenen Encryption Key neu verschlüsselt. Da die Datei dabei kurzzeitig im Klartext vorliegt, sollte sie sofort nach dem Import sicher gelöscht werden.

Was mache ich, wenn der Encryption Key tatsächlich verloren gegangen ist?

Ohne den ursprünglichen Schlüssel oder ein Backup der Einstellungsdatei lassen sich bereits verschlüsselte Credentials nicht mehr retten, jede betroffene Verbindung muss in den jeweiligen Workflows manuell neu authentifiziert werden. Die Workflow-Logik selbst geht dabei nicht verloren, der Aufwand beschränkt sich auf das erneute Hinterlegen der Zugangsdaten, was bei umfangreichen Automatisierungen dennoch mehrere Stunden Arbeit bedeuten kann.