08Website-Wissen & Fehlercodes

Fehler 403 – Zugriff verweigert beheben

403 Forbidden auf deiner Website bei Nexthosting? Die häufigsten Ursachen – Dateirechte, .htaccess, fehlende Startseite, Sicherheitsregeln – und wie du sie findest.

Kurz gesagt

Bei einem 403 hat der Server deine Anfrage verstanden, will sie aber nicht ausführen. Die Ursache ist meist eine von vier: falsche Dateirechte, eine Sperre in der .htaccess, eine fehlende Startseite oder eine Sicherheitsregel, die eine harmlose Anfrage für gefährlich hält. Dann hilft der Support, wenn du ihm Uhrzeit und Adresse nennst.

Was 403 bedeutet

Im Unterschied zu 404 (Seite fehlt) ist die Seite da. Der Server verweigert nur den Zugriff. Technisch kommt ein 403 von drei Stellen: von den Dateirechten des Dateisystems, von Regeln (.htaccess, Serverkonfiguration) oder von einer Sicherheitsschicht (WAF) vor deiner Seite.

Suche die Ursache

Wo tritt der 403 auf?

Auf der ganzen WebsiteStartseite, Dateirechte oder .htaccess

Nur bei einer bestimmten Datei oder einem OrdnerDateirechte oder Schutzregel

Beim Speichern, Upload oder FormularSicherheitsregel (WAF)

Nur im WordPress-AdminbereichPlugin, Sicherheitsregel oder IP-Sperre

Nur bei mir, andere kommen reinEigene IP gesperrt oder Browser-Problem

Ursache 1: Keine Startseite

Ruft jemand meinprojekt.de auf, sucht der Server im Hauptverzeichnis nach einer Startdatei: index.php, index.html und ähnliche. Fehlt sie und ist die Anzeige des Ordnerinhalts abgeschaltet, kommt 403.

Prüfe per SFTP oder im Dateimanager, ob im richtigen Ordner eine index.php bzw. index.html liegt (Dateien hochladen per SFTP).
Liegt die Seite in einem Unterordner? Dann ist die Domain auf den falschen Ordner gestellt oder die Dateien sind im falschen Verzeichnis.
Bei einer frisch angelegten Website liegt eine Platzhalterseite. Lade deine Dateien an dieselbe Stelle.

Ursache 2: Dateirechte und Besitzer

Der Webserver muss Dateien lesen dürfen. Üblich sind:

Objekt	Empfehlung
Dateien	`644`
Ordner	`755`
Sensible Dateien (`wp-config.php`)	`600` oder `640`

Setze Rechte nicht blind auf 777. Alles dazu in Dateien- und Ordnerrechte. Auch der Besitzer kann falsch sein, wenn Dateien durch ein Skript oder eine Wiederherstellung mit anderem Benutzer angelegt wurden. Das kann der Support korrigieren.

# Rechte per SSH zurücksetzen (im Website-Verzeichnis)
find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;

Ursache 3: Regeln in der .htaccess

Eine .htaccess kann Zugriffe sperren, zum Beispiel:

Require all denied

oder Deny from all. Prüfe die Datei im betroffenen Ordner und in allen Ordnern darüber, denn .htaccess wirkt auch auf alle Unterordner. Teste mit einer vorübergehend umbenannten Datei (.htaccess-alt). Ein WordPress-Sicherheitsplugin schreibt manchmal selbst Sperren in die Datei. Mehr in .htaccess-Grundlagen.

Ursache 4: IP-Sperre oder Passwortschutz

Passwortschutz auf einem Verzeichnis zeigt eigentlich 401, bei falscher Einrichtung aber auch 403.
Ein Sicherheitsplugin sperrt nach mehreren Fehlversuchen deine IP-Adresse. Warte oder entsperre sie im Plugin; per SFTP lässt sich das Plugin kurz abschalten (Ordner umbenennen).
Länder- oder IP-Sperren in einem Plugin oder in .htaccess schließen manchmal dich selbst aus. Wechsle das Netz (Handy) und probiere es erneut.

Ursache 5: Sicherheitsregel (WAF oder ModSecurity)

Viele Webserver filtern Anfragen mit einem Webanwendungs-Filter (WAF, oft ModSecurity). Er prüft, ob eine Anfrage nach einem Angriff aussieht, zum Beispiel nach SQL-Einschleusung. Selten reagiert er auch auf harmlose Anfragen: ein Beitrag mit bestimmten Wörtern, ein Plugin-Upload, ein Formular mit Sonderzeichen. Das Ergebnis ist ein 403, obwohl Dateirechte und .htaccess in Ordnung sind.

Woran du das erkennst:

Der 403 tritt nur bei bestimmten Aktionen auf (Speichern, Hochladen, Suchen) und reproduzierbar mit einem bestimmten Inhalt.
Die Fehlerseite sieht anders aus als sonst, oder das Fehlerprotokoll nennt eine Regel-Nummer.

Was du tun kannst:

Notiere Datum und genaue Uhrzeit (mit Sekunden, wenn möglich), die vollständige Adresse und was du getan hast (z. B. „Beitrag speichern, Text enthält …“).
Öffne ein Ticket und schicke diese Angaben: Support. Der Support kann in den Protokollen nachsehen, welche Regel ausgelöst hat, und sie für deine Website anpassen.
Als Notlösung kannst du den auslösenden Inhalt ändern (kürzen, Sonderzeichen entfernen).

Wie solche Filter im Alltag zu verstehen sind, steht auch unter Website-Sicherheit.

Ursache 6: Verzeichnislisting, Hotlink-Schutz und mehr

Ordnerinhalt anzeigen: Ist die Anzeige abgeschaltet (Options -Indexes), liefert ein Ordner ohne Startdatei 403. Das ist gewollt und sicher.
Hotlink-Schutz: Verhindert, dass andere deine Bilder einbinden. Falsch eingestellt sperrt er auch dich.
Geschützte Dateien: Dateien wie .env, .git oder Sicherungen sind absichtlich gesperrt.

403 bei Spielern?

Dieser Code gehört zu Websites. Für Gameserver gelten andere Fehlermeldungen. Hilfe dazu: Gameserver-Überblick.

Häufige Fragen

Ist 403 dasselbe wie 401?

Nein. Bei 401 fehlt eine Anmeldung, bei 403 gibt es keinen Zugriff, auch wenn du angemeldet bist.

Der 403 kam plötzlich, ich habe nichts geändert.

Dann hat sich oft etwas im Hintergrund geändert: ein Update, ein Sicherheitsplugin, eine neue Regel. Prüfe zuerst die .htaccess und die Plugins, dann melde dich beim Support.

Kann der Support den 403 immer beheben?

Wenn eine Sicherheitsregel die Ursache ist, kann er sie prüfen und anpassen. Bei Dateirechten und .htaccess geht es meist schneller, wenn du es selbst nach der Anleitung versuchst.