Dein Preis in 2 Minuten

WordPress-FehlerMeldungen von WordPress

Dateityp in WordPress nicht erlaubt: Ursache und sichere Lösungen

WordPress nimmt nur Dateitypen an, die auf einer festen Liste stehen, etwa JPG, PNG, WebP, PDF, Office-Dateien sowie gängige Audio- und Videoformate. SVG, EPS, JSON oder Schriftdateien fehlen darauf. Zusätzlich prüft WordPress den echten Inhalt: Passt er nicht zur Endung, lehnt es die Datei ab. Oft reicht es, die Datei in ein erlaubtes Format umzuwandeln. Sonst erweiterst Du die Liste mit dem Filter upload_mimes. SVG gehört nur mit einem Plugin auf die Seite, das die Dateien bereinigt.

So sieht die Meldung aus

  • Sorry, you are not allowed to upload this file type.
  • Du bist leider nicht berechtigt, diesen Dateityp hochzuladen.
  • logo.svg: Sorry, you are not allowed to upload this file type.
  • Sorry, this file type is not permitted for security reasons.

Woran es liegt.

Endung steht nicht auf der Liste

WordPress führt eine feste Liste erlaubter Endungen mit ihrem MIME-Typ. SVG, EPS, JSON, WOFF oder CAD-Formate stehen nicht darauf und werden abgelehnt, egal welche Rolle hochlädt.

Inhalt passt nicht zur Endung

WordPress liest mit der PHP-Erweiterung fileinfo aus, was wirklich in der Datei steckt. Eine umbenannte Datei oder ein Export mit falscher Kennung fällt dabei durch, obwohl die Endung selbst erlaubt wäre.

Rolle ohne passende Rechte

HTML- und JavaScript-Dateien dürfen nur Rollen hochladen, die ungefiltertes HTML verwenden dürfen. Auf einer Einzelseite sind das Administratoren und Redakteure. Autoren bekommen bei diesen Typen die Meldung.

Einschränkung in Multisite oder durch Plugins

In einer Multisite legt die Netzwerkverwaltung unter Netzwerk-Einstellungen im Feld „Erlaubte Dateitypen“ fest, welche Endungen zugelassen sind. Auch manche Sicherheits-Plugins verkleinern die Liste.

So behebst Du den Fehler.

Leg vor jeder Änderung eine Sicherung von Dateien und Datenbank an. Geh die Schritte der Reihe nach durch und prüf nach jedem, ob die Seite wieder lädt.

  1. Echte Dateiendung prüfen

    Windows und macOS blenden Dateiendungen oft aus. Schalte die Anzeige im Explorer oder Finder ein, damit Du den vollständigen Namen siehst. Heißt eine Datei anders als gedacht oder trägt sie zwei Endungen, speichere sie im passenden Programm sauber neu.

  2. In ein erlaubtes Format umwandeln

    Häufig ist Umwandeln die einfachste und sicherste Lösung. Logos als SVG oder EPS speicherst Du für die Website als PNG oder WebP, Dokumente als PDF. Muss eine Datei als Download im Original bleiben, pack sie in ein ZIP-Archiv. Das lässt WordPress zu.

  3. Dateityp mit upload_mimes freigeben

    Brauchst Du eine Endung dauerhaft, erweitere die Liste mit dem Code-Schnipsel unten. Leg vorher eine Sicherung an und füge den Code über ein Plugin wie Code Snippets oder in die functions.php eines Child-Themes ein. Der MIME-Typ muss genau dem entsprechen, den der Server im Inhalt erkennt, sonst lehnt WordPress die Datei weiter ab.

    functions.php (Child-Theme)
    add_filter( 'upload_mimes', function ( $mimes ) {
    $mimes['eps'] = 'application/postscript';
    return $mimes;
} );

  4. SVG nur bereinigt zulassen

    SVG-Dateien bestehen aus Text und können JavaScript enthalten, das beim Aufruf im Browser läuft. Schalte SVG deshalb nicht einfach per upload_mimes frei. Ein Plugin wie Safe SVG bereinigt jede Datei beim Hochladen und entfernt gefährlichen Code. Erlaube den Upload außerdem nur Administratoren.

  5. Einstellung der Multisite anpassen

    Läuft die Seite in einer Multisite, trägt die Netzwerkverwaltung neue Endungen unter Netzwerk-Einstellungen im Feld „Erlaubte Dateitypen“ ein, getrennt durch Leerzeichen. Einzelne Websites des Netzwerks können das nicht selbst ändern.

  6. ALLOW_UNFILTERED_UPLOADS nur für einen Upload

    Für eine einzelne Datei kannst Du als Administrator die Prüfung kurz abschalten. Ergänze die wp-config.php um die Zeile unten, führe den Upload durch und entferne die Zeile direkt danach. Solange sie aktiv ist, kann jedes Administratorkonto beliebige Dateien hochladen, bei einem gestohlenen Passwort auch Schadcode.

    wp-config.php
    define( 'ALLOW_UNFILTERED_UPLOADS', true );

  7. Sicherheits-Plugin und Server prüfen

    Scheitert der Upload trotz freigegebenem Typ, sieh in den Einstellungen Deines Sicherheits-Plugins nach gesperrten Endungen. Erkennt der Server einen Dateityp falsch, kann der Hoster die PHP-Erweiterung fileinfo prüfen und aktualisieren.

Zuletzt geprüft am 25. September 2026.

So kommt er nicht wieder.

  • Bilder für die Website als JPG, PNG oder WebP speichern, Dokumente als PDF.
  • Neue Dateitypen nur gezielt freigeben und nie alle Prüfungen auf einmal abschalten.
  • ALLOW_UNFILTERED_UPLOADS nie dauerhaft in der wp-config.php stehen lassen.
  • SVG-Uploads auf Administratoren beschränken und nur mit einem bereinigenden Plugin erlauben.

Fragen zu Dateityp nicht erlaubt

Welche Dateitypen erlaubt WordPress standardmäßig?
Unter anderem Bilder wie JPG, PNG, GIF und WebP, Dokumente wie PDF, DOCX, XLSX, PPTX und ODT, Audio wie MP3 und WAV, Video wie MP4 und MOV sowie Archive wie ZIP. Die vollständige Liste liefert die Funktion get_allowed_mime_types.
Warum darf ich keine SVG hochladen?
SVG ist ein Textformat, in dem sich JavaScript verstecken lässt. Eine präparierte Datei kann beim Aufruf Code im Browser ausführen und so Konten angreifen. Deshalb fehlt SVG auf der Liste. Mit einem bereinigenden Plugin wie Safe SVG lässt sich das Format sicher nutzen.
Hilft es, die Dateiendung einfach umzubenennen?
Meist nicht. WordPress vergleicht die Endung mit dem erkannten Inhalt, eine in .pdf umbenannte EPS-Datei fällt deshalb durch. Nur bei Bildern korrigiert WordPress eine falsche Endung teilweise selbst, etwa wenn ein PNG als .jpg ankommt.
Ist ALLOW_UNFILTERED_UPLOADS gefährlich?
Ja, wenn die Zeile stehen bleibt. Sie schaltet die Prüfung für Administratoren komplett ab, dann ließen sich sogar PHP-Dateien hochladen. Nutze sie nur für einen einzelnen Upload und entferne sie danach sofort aus der wp-config.php.

Verwandte Fehler

Alle WordPress-Fehler

Lieber eine Website, die einfach läuft?

Wir bauen Websites, die schnell laden und ohne Update-Stress laufen. Oder wir übernehmen Deine WordPress-Seite samt Pflege. Erst Dein Paket, dann ein Termin per Video.

Kevin Baum im Videocall an seinem Schreibtisch, im Hintergrund eine Holzlattenwand mit farbigem Licht.

Erst Dein Paket, dann der Termin

Im Preisrechner tippst Du an, was Dich bremst. Du siehst sofort Dein Paket mit Preisspanne. Danach wählst Du direkt einen Termin, das Gespräch läuft per Video.

Dein Preis in 2 Minuten