HTTP-Statuscode 401 Unauthorized: Ursachen und Lösungen

Was bedeutet der Statuscode 401?

Der Server kennt die angefragte Seite, gibt sie aber erst nach erfolgreicher Anmeldung frei. Zusammen mit dem Statuscode sendet er den Header WWW-Authenticate, der angibt, wie die Anmeldung erfolgen soll. Bei einem klassischen Verzeichnisschutz öffnet der Browser daraufhin das bekannte Anmeldefenster.

401 oder 403 - wo liegt der Unterschied?

• 401 Unauthorized: Sie sind nicht angemeldet oder die Zugangsdaten sind falsch. Mit gültiger Anmeldung erhalten Sie Zugriff.
• 403 Forbidden: Der Server weiß, wer Sie sind, verweigert den Zugriff aber grundsätzlich - etwa wegen fehlender Rechte, gesperrter IP-Adressen oder einer Firewall-Regel.

Typische Ursachen

• Ein Verzeichnisschutz (.htaccess + .htpasswd) schützt den Bereich, und die Zugangsdaten fehlen oder sind falsch.
• Die Zugangsdaten wurden geändert, der Browser sendet aber noch die alten.
• Der Pfad zur .htpasswd in der .htaccess stimmt nicht, etwa nach einem Umzug der Webseite.
• Bei Anwendungen und Schnittstellen (APIs): abgelaufene Sitzung, fehlender oder ungültiger API-Schlüssel oder Token.

Lösung für Besucher

• Prüfen Sie Benutzername und Kennwort - auf Groß- und Kleinschreibung achten.
• Browser merken sich Zugangsdaten eines Verzeichnisschutzes bis zum Schließen. Schließen Sie alle Browserfenster oder testen Sie in einem privaten Fenster.
• Melden Sie sich bei Web-Anwendungen einmal ab und wieder an.
• Bleibt der Fehler, wenden Sie sich an den Betreiber der Webseite.

Lösung für Webseitenbetreiber

Einen Verzeichnisschutz richten Sie am einfachsten im Control Panel ein: In KeyHelp und Plesk finden Sie dafür die Funktion Verzeichnisschutz. Dort legen Sie geschützte Ordner und Benutzer an, ohne Dateien selbst zu bearbeiten.

Alternativ erstellen Sie den Schutz manuell. Die .htaccess im zu schützenden Ordner:

AuthType Basic
AuthName "Geschützter Bereich"
AuthUserFile /absoluter/pfad/zur/.htpasswd
Require valid-user

Die .htpasswd erzeugen Sie per SSH mit sicherer Verschlüsselung (bcrypt):

htpasswd -c -B /absoluter/pfad/zur/.htpasswd benutzername

Sie werden anschließend zweimal nach dem Kennwort gefragt. Wichtig: Die Option -c legt die Datei neu an und überschreibt eine vorhandene. Weitere Benutzer fügen Sie deshalb ohne -c hinzu:

htpasswd -B /absoluter/pfad/zur/.htpasswd weiterer-benutzer

Tipps für einen sicheren Verzeichnisschutz

• Legen Sie die .htpasswd möglichst außerhalb des öffentlich erreichbaren Webverzeichnisses ab.
• Nutzen Sie den Verzeichnisschutz nur über HTTPS - bei der Anmeldung werden Zugangsdaten übertragen.
• Verwenden Sie für jeden Nutzer eigene Zugangsdaten und entfernen Sie nicht mehr benötigte Einträge.
• Ein Verzeichnisschutz eignet sich gut als zusätzlicher Schutz für Test- und Staging-Umgebungen oder Admin-Bereiche.

Verwandte Statuscodes

• 404 Not Found - die Seite existiert nicht (mehr)
• 301 Moved Permanently - die Seite ist dauerhaft umgezogen

Fehlgeschlagene Anmeldungen finden Sie in den Protokollen Ihrer Webseite: Wie lese ich meine Logfiles aus?