Dein Preis in 2 Minuten

WordPress-Fehler429

WordPress 429 Too Many Requests: Rate Limit finden und lösen

Der Fehler 429 heißt: Von einer Adresse kamen in kurzer Zeit mehr Anfragen, als ein Server, ein CDN oder ein Sicherheits-Plugin zulässt. Die Anfragen werden dann eine Weile abgelehnt. Bei WordPress lösen das oft Bots, Angriffe auf den Login, viele offene Dashboard-Tabs mit der Heartbeat-API oder ein Plugin mit vielen Hintergrundaufrufen aus. Finde zuerst heraus, wer die Sperre setzt. Dann passt Du genau dort die Grenze an oder stellst die Quelle der vielen Anfragen ab.

So sieht die Meldung aus

  • 429 Too Many Requests
  • Too Many Requests
  • HTTP ERROR 429
  • Error 1015
  • You are being rate limited

Woran es liegt.

Rate Limiting beim Hoster

Viele Hoster begrenzen, wie oft eine IP-Adresse pro Minute anfragen darf, besonders bei wp-login.php, xmlrpc.php und admin-ajax.php. Arbeiten mehrere Personen aus einem Büro mit derselben IP im Dashboard, ist die Grenze schnell erreicht.

CDN-Regeln wie bei Cloudflare

Cloudflare und andere CDNs bieten Regeln zur Ratenbegrenzung. Greift eine davon, zeigt Cloudflare den Fehler 1015 mit „You are being rate limited“. Zu streng eingestellte Regeln treffen dann auch echte Besucher oder Dich selbst.

Sicherheits-Plugin bremst

Plugins wie Wordfence oder Limit Login Attempts Reloaded zählen Aufrufe und Anmeldeversuche. Wer zu schnell viele Seiten lädt oder sich mehrfach vertippt, wird für eine Zeit ausgesperrt. Je nach Plugin kommt dann 429, 503 oder eine eigene Sperrseite.

Heartbeat und Hintergrundaufrufe

Die Heartbeat-API schickt aus jedem offenen Dashboard-Tab in festen Abständen Anfragen an admin-ajax.php. Dazu kommen Plugins, die per AJAX oder REST-API nachladen. Mehrere offene Tabs und mehrere Personen im Team vervielfachen die Zahl.

Bots und Crawler

SEO-Werkzeuge, KI-Crawler und Angreifer rufen viele Seiten in kurzer Zeit ab. Gilt beim Server eine gemeinsame Grenze für alle statt einer pro IP, trifft der 429 plötzlich auch normale Besucher.

Externe Dienste bremsen Deine Seite

Auch WordPress selbst kann einen 429 bekommen, wenn ein Plugin eine fremde Schnittstelle zu oft abfragt, etwa für Bewertungen, Social-Media-Feeds oder Übersetzungen. Dann steht der Fehler im Plugin oder im Debug-Protokoll, nicht im Browser.

So behebst Du den Fehler.

Leg vor jeder Änderung eine Sicherung von Dateien und Datenbank an. Geh die Schritte der Reihe nach durch und prüf nach jedem, ob die Seite wieder lädt.

  1. Herausfinden, wer den 429 schickt

    Öffne in Chrome mit F12 oder Rechtsklick → Untersuchen die Entwicklertools, wechsle zum Tab Network und lade die Seite neu. Klick auf die Anfrage mit Status 429. In den Response Headers verrät der Eintrag „server“, ob Cloudflare, nginx oder Apache antwortet. Ein Header „retry-after“ nennt die Wartezeit.

  2. Kurz warten und anders testen

    Die meisten Sperren laufen nach einer Weile von selbst ab. Rufe die Seite in der Zeit nicht ständig neu auf, jeder Versuch kann die Sperre verlängern. Prüfe über das Mobilnetz, ob nur Deine IP-Adresse betroffen ist oder alle Besucher.

  3. Sicherheits-Plugin prüfen

    Schau im Protokoll Deines Sicherheits-Plugins nach gesperrten IP-Adressen und trag Deine feste IP als vertrauenswürdig ein. Kommst Du nicht mehr ins Dashboard, sichere zuerst Dateien sowie Datenbank und gib dem Plugin-Ordner per FTP vorübergehend einen anderen Namen. Stell die Grenzen danach maßvoll ein, statt den Schutz ganz abzuschalten.

  4. Cloudflare-Regeln anpassen

    Zeigt die Seite den Fehler 1015, suche in Deinem Cloudflare-Konto unter den Sicherheitsereignissen nach Deiner IP. Dort steht die Regel, die gegriffen hat. Nimm Deine feste Büro-IP davon aus oder erhöhe die Grenze für Bereiche wie wp-admin. wp-login.php bleibt dabei geschützt.

  5. Heartbeat drosseln

    Schließe unnötige Dashboard-Tabs. Dauerhaft hilft ein kleines Must-Use-Plugin, das Heartbeat seltener anfragen lässt. Fehlt der Ordner wp-content/mu-plugins, legst Du ihn an. Den Code speicherst Du dort als heartbeat.php. Schalte Heartbeat nicht ganz ab, denn Autospeichern und die Sperre gegen gleichzeitiges Bearbeiten hängen daran.

    wp-content/mu-plugins/heartbeat.php
    <?php
// Heartbeat nur noch alle 60 Sekunden
add_filter( 'heartbeat_settings', function ( $settings ) {
    $settings['interval'] = 60;
    return $settings;
} );

  6. Zugriffsprotokoll nach Vielfragern durchsuchen

    Lade das Access-Log aus dem Hosting-Panel herunter oder öffne es per SSH. Der Befehl unten zählt die Anfragen je IP-Adresse. Stehen oben fremde Adressen mit sehr vielen Aufrufen, sperrst Du sie über die Firewall des Hosters oder des CDN. Suchmaschinen wie den Googlebot solltest Du dabei nicht aussperren.

    Terminal (SSH)
    awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20

  7. Plugins mit vielen Hintergrundaufrufen finden

    Filtere im Network-Tab nach admin-ajax.php und wp-json. Kommen im Sekundentakt neue Anfragen, ohne dass Du etwas tust, verursacht meist ein Plugin die Flut. Schalte Verdächtige einzeln ab. Steht ein 429 im Debug-Protokoll, fragt ein Plugin eine fremde Schnittstelle zu oft ab und braucht längere Abstände oder einen Cache.

  8. Grenze beim Hoster klären

    Frag den Support, welche Grenze für Deine Seite gilt und welche Adressen sie zählt. Arbeitet Dein Team von einer festen IP-Adresse aus, lässt sie sich bei vielen Hostern freischalten. Reicht die Grenze schon für normale Besucher nicht, passt das Paket nicht mehr zur Seite.

Zuletzt geprüft am 25. September 2026.

So kommt er nicht wieder.

  • Die eigene feste IP-Adresse in Sicherheits-Plugin, CDN und beim Hoster als vertrauenswürdig hinterlegen.
  • Im Dashboard nur die Tabs offen halten, die gerade gebraucht werden.
  • Strenge Grenzen auf wp-login.php und xmlrpc.php konzentrieren, statt die ganze Seite knapp zu begrenzen.
  • Plugins, die externe Dienste abfragen, mit Cache und sinnvollen Abständen betreiben.

Fragen zu 429 Too Many Requests

Was bedeutet 429 Too Many Requests?
Ein Server hat von Deiner IP-Adresse in kurzer Zeit zu viele Anfragen bekommen und bremst sie für eine Weile aus. Der Fehler ist eine Schutzmaßnahme gegen Überlastung und Angriffe, kein Defekt von WordPress.
Wie lange dauert eine 429-Sperre?
Das legt der jeweilige Dienst fest. Manche Sperren enden nach Minuten, bei Sicherheits-Plugins nach Login-Fehlern auch erst nach Stunden. Steht in der Antwort ein Header „retry-after“, nennt er die Wartezeit.
Schadet ein 429 der Sichtbarkeit bei Google?
Bekommt der Googlebot häufig 429, ruft er die Seite langsamer ab. Neue Inhalte landen dann später im Index. Prüfe deshalb, dass Deine Grenzen Suchmaschinen nicht treffen.
Warum sehe ich 429 im Block-Editor?
Der Editor lädt und speichert über die REST-API und schickt dabei viele Anfragen. Zusammen mit Heartbeat und mehreren Tabs reißt er strenge Grenzen beim Hoster. Oft scheitert dann auch das Speichern mit einer Meldung zur ungültigen JSON-Antwort.

Verwandte Fehler

Alle WordPress-Fehler

Lieber eine Website, die einfach läuft?

Wir bauen Websites, die schnell laden und ohne Update-Stress laufen. Oder wir übernehmen Deine WordPress-Seite samt Pflege. Erst Dein Paket, dann ein Termin per Video.

Kevin Baum im Videocall an seinem Schreibtisch, im Hintergrund eine Holzlattenwand mit farbigem Licht.

Erst Dein Paket, dann der Termin

Im Preisrechner tippst Du an, was Dich bremst. Du siehst sofort Dein Paket mit Preisspanne. Danach wählst Du direkt einen Termin, das Gespräch läuft per Video.

Dein Preis in 2 Minuten