WordPress 403 Forbidden – Ursachen und Lösungen
Ein 403-Forbidden-Fehler bei WordPress bedeutet, dass der Webserver die Anfrage verstanden hat, den Zugriff auf die angeforderte Seite oder Datei jedoch verweigert.
Statt der Webseite erscheint beispielsweise eine Meldung wie:
403 Forbidden
Access Denied
You don’t have permission to access this resource
Der Fehler kann die komplette WordPress-Webseite betreffen, aber auch nur einzelne Bereiche wie den Adminbereich, bestimmte Unterseiten oder Dateien.
Die Ursache liegt häufig nicht direkt bei WordPress selbst. Fehlerhafte Zugriffsregeln, falsche Dateiberechtigungen, Sicherheitsplugins oder Einstellungen des Webservers können dazu führen, dass eigentlich erlaubte Zugriffe blockiert werden.
Was bedeutet der Fehler 403 Forbidden?
Der HTTP-Statuscode 403 signalisiert, dass der Server den Zugriff auf eine Ressource verweigert.
Das unterscheidet den Fehler beispielsweise von einem 404-Fehler, bei dem die angeforderte Ressource nicht gefunden wird. Bei einem 403-Fehler ist die Ressource grundsätzlich vorhanden – der Zugriff darauf wird jedoch nicht erlaubt.
Bei WordPress können solche Zugriffsbeschränkungen an unterschiedlichen Stellen entstehen.
Häufige Ursachen für einen 403-Fehler bei WordPress
1. Fehlerhafte oder zu restriktive .htaccess-Datei
Auf Apache-Webservern kann die .htaccess-Datei Regeln enthalten, die den Zugriff auf bestimmte Verzeichnisse, Dateien oder IP-Adressen steuern.
Eine falsche Regel kann deshalb dazu führen, dass der Server mit einem 403-Fehler antwortet.
Mögliche Auslöser sind beispielsweise:
- manuell eingefügte Regeln
- Sicherheitsplugins
- Weiterleitungsregeln
- Änderungen nach einer Migration
- fehlerhafte Serverkonfigurationen
WordPress selbst verwendet die .htaccess unter anderem für die Permalink-Struktur.
Wenn der Fehler nach einer Änderung an der .htaccess aufgetreten ist, sollte diese deshalb als eine der ersten möglichen Ursachen geprüft werden.
Mehr dazu findest du in unserem Beitrag «WordPress-Fehler durch fehlerhafte .htaccess-Datei – Ursachen und Lösungen».
2. Falsche Datei- oder Verzeichnisberechtigungen
Auf dem Server besitzt jede Datei und jedes Verzeichnis bestimmte Zugriffsrechte.
Diese legen unter anderem fest, wer eine Datei lesen, verändern oder ausführen darf.
Sind die Berechtigungen zu restriktiv gesetzt, kann der Webserver möglicherweise nicht mehr auf benötigte WordPress-Dateien zugreifen. Ein 403-Fehler kann die Folge sein.
Umgekehrt sollten Berechtigungen nicht einfach möglichst grosszügig gesetzt werden. Zu weitreichende Rechte können ein Sicherheitsrisiko darstellen.
Die korrekten Berechtigungen hängen zudem von der jeweiligen Hosting- und Serverkonfiguration ab.
3. Sicherheitsplugin blockiert den Zugriff
WordPress-Sicherheitsplugins können Zugriffe anhand verschiedener Kriterien sperren.
Dazu gehören beispielsweise:
- zu viele Login-Versuche
- auffällige Zugriffe
- bestimmte IP-Adressen
- verdächtige URLs
- automatisierte Anfragen
- Zugriffe aus bestimmten Regionen
Dabei kann auch ein legitimer Benutzer versehentlich blockiert werden.
Tritt der 403-Fehler nur bei einem bestimmten Benutzer, Gerät oder Internetanschluss auf, ist eine IP-Sperre deshalb eine mögliche Ursache.
4. Firewall oder Web Application Firewall blockiert die Anfrage
Neben WordPress-Plugins können auch serverseitige Sicherheitslösungen Anfragen blockieren.
Viele Hosting-Umgebungen verwenden beispielsweise Firewalls oder sogenannte Web Application Firewalls (WAF), die verdächtige Zugriffe automatisch erkennen sollen.
Auch Dienste, die zwischen Besucher und Webserver geschaltet sind, können entsprechende Sicherheitsregeln anwenden.
Ein Hinweis darauf kann sein, dass der Fehler plötzlich auftritt, obwohl an WordPress selbst nichts verändert wurde.
5. Serverkonfiguration verweigert den Zugriff
Ein 403 Forbidden kann direkt durch die Konfiguration des Webservers verursacht werden.
Dabei können beispielsweise bestimmte:
- Verzeichnisse
- Dateien
- IP-Adressen
- Dateitypen
- Zugriffsarten
explizit gesperrt sein.
Besonders nach Änderungen am Hosting, einer Servermigration oder Anpassungen an Sicherheitsrichtlinien lohnt sich deshalb ein Blick auf die Serverkonfiguration und die entsprechenden Logdateien.
6. Zugriff nur auf bestimmte WordPress-Bereiche gesperrt
Nicht immer betrifft ein 403-Fehler die komplette Webseite.
Möglicherweise funktioniert das Frontend weiterhin, während beispielsweise:
/wp-admin/
nicht mehr erreichbar ist.
In diesem Fall kommen insbesondere Sicherheitsplugins, IP-Sperren oder spezielle Schutzregeln für den WordPress-Login als Ursache infrage.
Passend dazu erklären wir in einem separaten Beitrag, was du tun kannst, wenn der WordPress Login durch Plugin-Konflikte oder ein Sicherheitsplugin gesperrt wird.
WordPress 403 Forbidden beheben: So lässt sich die Ursache eingrenzen
Ein 403-Fehler sollte systematisch untersucht werden.
Prüfen, welche Bereiche betroffen sind
Zuerst sollte geklärt werden:
- Ist die gesamte Webseite nicht erreichbar?
- Funktioniert nur der WordPress-Adminbereich nicht?
- Sind einzelne Unterseiten betroffen?
- Betrifft der Fehler nur bestimmte Dateien?
- Tritt der Fehler bei allen Benutzern auf?
Diese Informationen helfen bereits dabei, mögliche Ursachen einzugrenzen.
Anderes Netzwerk oder Gerät testen
Ist nur die eigene IP-Adresse blockiert, kann die Webseite über einen anderen Internetanschluss möglicherweise weiterhin erreichbar sein.
Ein Test über ein anderes Gerät oder Mobilfunknetz kann deshalb hilfreich sein.
Sicherheitsplugins überprüfen
Falls Zugriff auf WordPress oder die Serverdateien möglich ist, sollten aktive Sicherheitsplugins und deren Sperrlisten kontrolliert werden.
Besonders interessant ist diese Prüfung, wenn der Fehler unmittelbar nach einer Konfigurationsänderung oder mehreren fehlgeschlagenen Login-Versuchen aufgetreten ist.
.htaccess kontrollieren
Bei Apache-Systemen sollte geprüft werden, ob die .htaccess fehlerhafte oder unerwartete Zugriffsregeln enthält.
Vor Änderungen sollte unbedingt eine Sicherung der vorhandenen Datei erstellt werden.
Einfach Regeln zu löschen, ohne deren Zweck zu kennen, ist nicht empfehlenswert.
Dateiberechtigungen prüfen
Auch die Rechte der WordPress-Verzeichnisse und Dateien sollten kontrolliert werden.
Dabei sollte jedoch nicht einfach pauschal die Berechtigung 777 vergeben werden. Solche sehr weitreichenden Rechte können erhebliche Sicherheitsprobleme verursachen.
Welche Einstellungen korrekt sind, hängt von der Serverumgebung ab.
Server- und Fehlerprotokolle analysieren
Wenn die offensichtlichen Ursachen ausgeschlossen wurden, liefern die Serverlogs häufig wichtige Hinweise.
Dort kann beispielsweise ersichtlich sein, ob:
- eine Zugriffsregel greift
- eine IP-Adresse blockiert wurde
- eine Firewall die Anfrage abweist
- der Webserver den Zugriff auf eine Datei verweigert
Gerade bei komplexeren 403-Fehlern ist die Analyse der Logdateien oft der schnellste Weg zur tatsächlichen Ursache.
Ist ein 403-Fehler ein Zeichen für einen Hackerangriff?
Nicht zwingend.
Ein 403 Forbidden ist zunächst eine Zugriffsverweigerung und kein Beweis dafür, dass eine WordPress-Webseite gehackt wurde.
Sicherheitsmechanismen können allerdings auf verdächtige Aktivitäten reagieren und daraufhin Zugriffe sperren. Ebenso können Veränderungen an Dateien oder Konfigurationen im Zusammenhang mit einem Angriff zu ungewöhnlichen Zugriffsbeschränkungen führen.
Treten gleichzeitig weitere Auffälligkeiten auf – etwa unbekannte Benutzer, fremde Inhalte oder unerklärliche Änderungen an Dateien – sollte die WordPress-Installation umfassender geprüft werden.
WordPress 403 Forbidden professionell beheben lassen
Ein 403-Fehler kann von einer einzelnen falschen Regel bis zu einem Problem mit der gesamten Server- oder Sicherheitskonfiguration reichen.
Wichtig ist deshalb, nicht wahllos Einstellungen zu verändern, sondern zuerst festzustellen, welche Komponente den Zugriff tatsächlich verweigert.
Wenn deine WordPress-Webseite einen 403 Forbidden anzeigt und du die Ursache nicht findest, unterstützen wir dich bei der Analyse und Fehlerbehebung.
WordPress Reparatur durch plan f:
