WordPress 403 Forbidden — wer dir hier den Zutritt verweigert.

Wer bekommt den Fehler?

Den Unterschied zwischen „nur ich“ und „alle“ klärst du schnell: Seite über das Mobilnetz statt WLAN öffnen oder jemanden bitten, es zu versuchen. Eine andere IP-Adresse zeigt sofort, ob deine gesperrt ist.

Sicherheits-Plugins.

Wordfence, iThemes/Solid Security, All-In-One Security und ähnliche Plugins sperren IP-Adressen nach mehreren Fehlversuchen beim Login, blockieren Länder oder lösen bei verdächtigen Anfragen eine Regel aus. Das eigene Büro wird dabei gern mal ausgesperrt. Kommst du noch ins Backend, zeigt das Protokoll des Plugins die Sperre und ihren Grund, dort lässt sie sich aufheben und die eigene IP auf eine Erlaubt-Liste setzen. Kommst du nicht mehr rein, benenne den Plugin-Ordner per FTP um — das Plugin ist dann deaktiviert. Wordfence schreibt zusätzlich Regeln in eine eigene Datei, die über .user.ini oder .htaccess geladen wird. Mehr zum Login: Login funktioniert nicht.

Firewall beim Hoster.

Viele Hoster betreiben eine Web-Application-Firewall wie ModSecurity. Sie prüft jede Anfrage auf Muster, die nach Angriff aussehen. Speichert ein Beitrag Code-Beispiele, SQL-Befehle oder bestimmte Zeichenfolgen, schlägt sie zu — der Beitrag lässt sich dann nicht speichern, oft mit einem 403 oder einer ungültigen JSON-Antwort. Nur der Hoster sieht, welche Regel gegriffen hat. Schreib dem Support die genaue Uhrzeit und Adresse. Er kann die Regel für deine Website gezielt abschalten, statt den ganzen Schutz zu deaktivieren.

Cloudflare und andere Schutzdienste.

Steht Cloudflare oder ein ähnlicher Dienst vor der Seite, kann dessen Firewall sperren: Bot-Schutz, Länderregeln, Sicherheitsstufe oder eigene Regeln. Die Sperrseite trägt dann meist das Logo des Dienstes und eine Ray-ID. Im Dashboard unter „Security → Events“ steht, welche Regel gegriffen hat. Häufig trifft es Werkzeuge wie Uptime-Monitore, Zahlungs-Webhooks oder die eigene REST-API. Diese bekommen eine Ausnahme.

.htaccess-Regeln.

Die .htaccess im Hauptverzeichnis und in Unterordnern kann Zugriffe verbieten: Deny from all, Require all denied, Sperren für bestimmte IPs oder Dateitypen. Sicherheits-Plugins und Tutorials schreiben solche Regeln gern, etwa „PHP im Uploads-Ordner verbieten“ — sinnvoll, aber falsch formuliert sperrt es auch Bilder. Test: Die .htaccess im betroffenen Ordner per FTP umbenennen. Verschwindet der 403, liegt es an einer Regel darin. Dann Regel für Regel prüfen. Die Standardfassung für WordPress steht im Ratgeber 404 auf Unterseiten.

Dateirechte und Index-Datei.

Der Webserver braucht Leserechte auf Dateien und Ordner. Üblich sind 755 für Ordner und 644 für Dateien. Nach einem Umzug oder einem Upload mit falschen Einstellungen stehen manchmal 600 oder 700 — dann darf der Server nicht lesen und antwortet mit 403. Wie du die Rechte korrigierst, steht im Ratgeber Fehler 500. Außerdem: Fehlt im Hauptverzeichnis die index.php, weil sie bei einem Hack oder Umzug verloren ging, und ist die Verzeichnisauflistung abgeschaltet, gibt es ebenfalls einen 403. Und hat der Hoster den Account gesperrt, erscheint häufig ebenfalls ein 403 mit Hinweisseite: Website vom Hoster gesperrt.

Wenn du nicht weiterkommst.

Wenn mehrere Schutzschichten übereinanderliegen — Plugin, Hoster-Firewall, Cloudflare — ist der Türsteher oft schwer zu finden. Ich finde die Ursache, behebe sie und erkläre dir, was passiert ist: WordPress-Hilfe, bei einem Totalausfall der Notfall-Support. Damit es gar nicht erst so weit kommt: WordPress-Wartung.

Wer hilft.

Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.