Dein Preis in 2 Minuten

WordPress-Fehler403

WordPress 403 Forbidden: warum der Zugriff verweigert wird und was hilft

Der Fehler 403 bedeutet: Der Server hat die Anfrage verstanden, verweigert aber den Zugriff. Bei WordPress stecken meist falsche Dateirechte, eine Sperrregel in der .htaccess, ein Sicherheits-Plugin oder die Firewall des Hosters wie ModSecurity dahinter. Trifft der Fehler nur Dich, ist oft Deine IP-Adresse gesperrt. Kommt er nur bei einer Aktion wie Speichern oder Hochladen, blockiert meist eine Firewall-Regel. Zeigt WordPress selbst „Du bist leider nicht berechtigt …“, fehlt Deinem Konto eine Berechtigung.

So sieht die Meldung aus

  • 403 Forbidden
  • You don't have permission to access this resource.
  • Additionally, a 403 Forbidden error was encountered while trying to use an ErrorDocument to handle the request.
  • Sorry, you have been blocked
  • Sorry, you are not allowed to access this page.
  • Du bist leider nicht berechtigt, auf diese Seite zuzugreifen.

Woran es liegt.

Sicherheits-Plugin sperrt Deine IP

Wordfence, Solid Security und ähnliche Plugins sperren IP-Adressen nach mehreren Fehlversuchen beim Login, nach verdächtigen Aufrufen oder für ganze Länder. Trifft die Sperre Dich selbst, siehst Du 403 oder eine eigene Sperrseite des Plugins.

Sperrregel in der .htaccess

Zeilen wie „Require all denied“, „Deny from all“ oder eine Liste erlaubter IP-Adressen sperren Ordner oder die ganze Seite. Solche Regeln schreiben oft Sicherheits- und Cache-Plugins hinein. Sie bleiben stehen, wenn Du das Plugin per FTP entfernst.

Falsche Dateirechte oder Eigentümer

Nach einem Umzug oder Upload gehören Dateien manchmal dem falschen Benutzer oder haben zu strenge Rechte. Kann der Webserver index.php oder einen Ordner nicht lesen, antwortet er mit 403. Standard sind Ordner mit 755 und Dateien mit 644.

Firewall oder ModSecurity beim Hoster

Die Web Application Firewall des Hosters prüft jede Anfrage auf Angriffsmuster. Enthält ein Beitrag Code, ein Formular bestimmte Zeichen oder ein Upload einen verdächtigen Namen, schlägt eine Regel an. Dann erscheint 403 nur bei genau dieser Aktion.

Fehlende index.php

Fehlt im Hauptordner die index.php, etwa nach einem abgebrochenen Upload, hat der Server keine Startdatei. Ist das Auflisten von Ordnern abgeschaltet, wie es bei Hostern üblich ist, antwortet er mit 403 statt mit Deiner Startseite.

Fehlende Berechtigung in WordPress

Zeigt WordPress selbst „Sorry, you are not allowed to access this page.“ oder die deutsche Fassung, hat Dein Benutzerkonto nicht die nötige Rolle. Das passiert nach geänderten Rollen, bei entfernten Plugin-Seiten oder wenn ein Plugin Rechte umbaut.

So behebst Du den Fehler.

Leg vor jeder Änderung eine Sicherung von Dateien und Datenbank an. Geh die Schritte der Reihe nach durch und prüf nach jedem, ob die Seite wieder lädt.

  1. Eingrenzen, wen und was es trifft

    Öffne die Seite über das Mobilnetz oder ein anderes WLAN. Klappt es dort, ist Deine IP-Adresse gesperrt. Prüfe außerdem, ob der Fehler überall auftritt, nur in wp-admin oder nur beim Speichern und Hochladen. Die Antwort entscheidet, bei welchem der folgenden Schritte Du anfängst.

  2. Sicherheits-Plugin vorübergehend umbenennen

    Sichere vorab Dateien und Datenbank. Benenne dann per FTP den Ordner des Sicherheits-Plugins unter wp-content/plugins um, zum Beispiel wordfence in wordfence_aus. Verschwindet der 403, hebst Du die Sperre im Plugin auf oder gibst Deine IP frei. Danach bekommt der Ordner wieder seinen alten Namen.

  3. .htaccess auf Sperrregeln prüfen

    Lade die .htaccess aus dem Hauptordner herunter und suche nach Require, Deny, Order oder langen IP-Listen. Prüfe auch die .htaccess-Dateien in wp-admin und wp-content. Zum Test benennst Du die Datei im Hauptordner um. Lädt die Seite dann, erzeugst Du über Einstellungen → Permalinks mit „Änderungen speichern“ eine saubere neue.

    .htaccess
    # Solche Zeilen sperren den Zugriff:
Require all denied
Deny from all
Require ip 203.0.113.10

  4. Dateirechte zurücksetzen

    Im FTP-Programm änderst Du Rechte über einen Rechtsklick, bei vielen Dateien geht es per SSH schneller. Führe die Befehle im WordPress-Hauptordner aus. Gehören die Dateien einem falschen Benutzer, kann nur der Hoster oder jemand mit Root-Zugang den Eigentümer korrigieren.

    Terminal (SSH)
    find . -type d -exec chmod 755 {} +
find . -type f -exec chmod 644 {} +

  5. Startdatei prüfen

    Liegt im Hauptordner keine index.php, lade sie aus einem frischen WordPress-Paket von wordpress.org neu hoch. Nur wenn WordPress in einem Unterordner liegt, ist diese Datei angepasst. Ist sie vorhanden, legst Du mit einer Zeile in der .htaccess fest, welche Datei der Server zuerst lädt.

    .htaccess
    DirectoryIndex index.php index.html

  6. Benutzerrolle prüfen

    Meldet WordPress, Du seist nicht berechtigt, sieh unter Benutzer → Alle Benutzer nach, welche Rolle Dein Konto hat. Ist sie falsch und kann kein anderer Admin sie ändern, hilft WP-CLI. Ersetze im Befehl den Platzhalter durch Deinen Benutzernamen.

    Terminal (WP-CLI)
    wp user list --role=administrator
wp user set-role benutzername administrator

  7. CDN-Firewall ansehen

    Steht „Sorry, you have been blocked“ mit einer Ray ID da, sperrt Cloudflare. Suche die Ray ID in den Sicherheitsereignissen Deines Cloudflare-Kontos. Dort steht, welche Regel gegriffen hat. Passe diese Regel an oder nimm Deine IP davon aus.

  8. Firewall des Hosters prüfen lassen

    Kommt der 403 nur bei einer bestimmten Aktion, etwa beim Speichern eines Beitrags mit Code, hat vermutlich ModSecurity angeschlagen. Nenne dem Support Uhrzeit und Adresse. Er findet im Log die Regel-ID und kann genau diese Regel für Deine Seite abschalten. In manchen Panels schaltest Du ModSecurity pro Domain selbst, dann nur zum Test aus und gleich wieder ein.

Zuletzt geprüft am 25. September 2026.

So kommt er nicht wieder.

  • Die eigene feste IP-Adresse im Sicherheits-Plugin als erlaubte Adresse eintragen.
  • Nach einem Umzug Dateirechte und Eigentümer prüfen, bevor die Seite live geht.
  • Die .htaccess vor jeder Änderung durch ein Plugin sichern und nicht zwei Sicherheits-Plugins gleichzeitig einsetzen.
  • Einen Passwort-Manager nutzen, damit Tippfehler beim Login keine Sperre auslösen.

Fragen zu 403 Forbidden

Was bedeutet 403 Forbidden bei WordPress?
Der Server hat Deine Anfrage erhalten, lässt Dich aber nicht zu. Anders als bei 404 ist die Seite vorhanden. Meist sperren Dateirechte, eine .htaccess-Regel, ein Sicherheits-Plugin oder die Firewall des Hosters den Zugriff.
Warum bekomme ich 403 nur im Admin-Bereich?
Oft hat ein Sicherheits-Plugin Deine IP nach Fehlversuchen gesperrt. Oder eine .htaccess in wp-admin erlaubt nur bestimmte IP-Adressen. Ändert sich Deine IP, etwa nach einem Router-Neustart, sperrt Dich so eine Liste plötzlich aus.
Warum kommt 403 beim Speichern eines Beitrags?
Dann erkennt meist die Firewall des Hosters im Inhalt ein vermeintliches Angriffsmuster, zum Beispiel eingefügten Code oder bestimmte Zeichenfolgen. Der Hoster kann die auslösende Regel für Deine Seite gezielt lockern.
Ist mein WordPress gehackt, wenn 403 erscheint?
Meist nicht. Ein 403 ist in der Regel eine Sperre, keine Folge eines Angriffs. Tauchen aber unbekannte Dateien, fremde Admins oder seltsame Regeln in der .htaccess auf, solltest Du die Seite auf einen Befall prüfen.

Verwandte Fehler

Alle WordPress-Fehler

Lieber eine Website, die einfach läuft?

Wir bauen Websites, die schnell laden und ohne Update-Stress laufen. Oder wir übernehmen Deine WordPress-Seite samt Pflege. Erst Dein Paket, dann ein Termin per Video.

Kevin Baum im Videocall an seinem Schreibtisch, im Hintergrund eine Holzlattenwand mit farbigem Licht.

Erst Dein Paket, dann der Termin

Im Preisrechner tippst Du an, was Dich bremst. Du siehst sofort Dein Paket mit Preisspanne. Danach wählst Du direkt einen Termin, das Gespräch läuft per Video.

Dein Preis in 2 Minuten