WordPress 403 Forbidden Fehler beheben

Der 403 Forbidden ist kein technischer Defekt, sondern eine Absage: Der Server hat deine Anfrage verstanden — und verweigert bewusst den Zugriff. Irgendetwas auf dem Server hält dich (oder deine Besucher) für unberechtigt. Die gute Nachricht: Die Liste der möglichen Türsteher ist kurz.

Was der 403-Fehler bedeutet

Anders als beim 500-Fehler ist beim 403 nichts kaputt. Eine Regel blockiert den Zugriff: Dateirechte, eine Direktive in der .htaccess, ein Sicherheits-Plugin oder die Firewall des Hosters. Deine Aufgabe ist nicht Reparieren, sondern Herausfinden, welche Regel greift — und ob sie berechtigt ist.

Wichtig zur Eingrenzung: Tritt der Fehler überall auf oder nur auf einer bestimmten Seite? Nur im Admin-Bereich (/wp-admin/) oder auch im Frontend? Nur bei dir oder bei allen Besuchern? Jede Antwort halbiert die Suche.

Schritt für Schritt: 403 Forbidden beheben

1. Sicherheits-Plugin prüfen: Wordfence, NinjaFirewall, iThemes & Co. sperren IP-Adressen nach fehlgeschlagenen Logins — auch deine eigene. Kommst du nicht mehr in den Admin, benenne das Plugin per FTP um: /wp-content/plugins/wordfence → wordfence_aus. Lädt die Seite danach, war es die Firewall-Regel. Plugin reaktivieren und die eigene IP auf die Freigabeliste setzen.
2. .htaccess zurücksetzen: Benenne die .htaccess im WordPress-Hauptverzeichnis per FTP in .htaccess_alt um und rufe die Seite erneut auf. Funktioniert sie jetzt, steckte eine blockierende Regel darin (häufig: Deny from-Direktiven oder fehlerhafte Umschreibregeln aus einem Plugin). Erzeuge unter Einstellungen → Permalinks → Speichern eine frische Datei.
3. Dateirechte korrigieren: Ordner brauchen 755, Dateien 644. Steht ein Ordner auf 000 oder hat der falsche Systemnutzer die Dateien angelegt (passiert nach manuellen Uploads per Root), liefert der Server 403. Per SSH: find . -type d -exec chmod 755 {} ; und find . -type f -exec chmod 644 {} ;
4. Index-Datei vorhanden? Ein 403 auf einem Verzeichnis ohne index.php bedeutet oft nur: Directory-Listing ist deaktiviert (gut so!) und es gibt nichts auszuliefern. Prüfe, ob die WordPress-Dateien wirklich im richtigen Verzeichnis liegen.
5. Hoster-Firewall / ModSecurity: Manche Hoster blockieren Anfragen mit bestimmten Mustern (lange Query-Strings, POST an xmlrpc.php, Länder-Sperren). Tritt der 403 nur bei bestimmten Aktionen auf — etwa beim Speichern im Page Builder — ist fast immer ModSecurity die Ursache. Das kann nur der Support des Hosters prüfen und die Regel gezielt ausnehmen.
6. CDN und Bot-Schutz: Läuft die Seite hinter Cloudflare, prüfe dort unter Security → Events, ob deine Anfragen geblockt werden. Ein zu strenger Bot-Fight-Mode sperrt auch legitime Besucher aus.
7. Nach einem Umzug: Stimmen die Pfade in der Serverkonfiguration noch? Ein DocumentRoot, der auf das alte Verzeichnis zeigt, produziert 403er am laufenden Band.

403 nur im WP-Admin

Sperrt dich der Admin-Bereich aus, während das Frontend läuft, ist die Reihenfolge: erst Sicherheits-Plugin (Schritt 1), dann .htaccess im /wp-admin/-Ordner prüfen — dort hinterlegen manche Setups einen zusätzlichen IP-Schutz, der nach einem Wechsel deiner IP-Adresse (Homeoffice, Mobilfunk) greift. Auch ein veralteter Eintrag aus einem früheren Login-Schutz kommt infrage.

Vorbeugen statt aussperren lassen

• Änderungen an der .htaccess immer mit Sicherungskopie — eine Zeile zu viel sperrt die ganze Website.
• Bei Sicherheits-Plugins die eigene IP-Adresse (oder besser: den eigenen Login-Namen) auf die Freigabeliste setzen, bevor die Sperrregeln scharf geschaltet werden.
• Dateirechte nach jedem manuellen Upload prüfen — besonders, wenn mehrere Personen oder Skripte auf den Server schreiben.

Ein 403, der plötzlich und ohne dein Zutun auftaucht, kann auch ein Zeichen für einen Angriff oder eine Kompromittierung sein — etwa wenn eine fremde .htaccess auf dem Server liegt. Wirf in dem Fall einen Blick in unseren Leitfaden WordPress gehackt — was tun?.

Mit Ammera Care passiert genau diese Detektivarbeit automatisch: Unser Monitoring erkennt Zugriffsfehler auf deiner Website, bevor Besucher sie melden, und der tägliche Sicherheits-Scan schlägt an, wenn sich Dateien ändern, die sich nicht ändern sollten. Die Module im Überblick.