HTTP-Statuscode 403 Forbidden: Ursachen und Lösungen

Was bedeutet der Statuscode 403?

Die angefragte Seite oder Datei existiert, der Server gibt sie aber bewusst nicht heraus. Das ist oft gewollt - etwa bei geschützten Verzeichnissen -, kann aber auch durch falsche Einstellungen entstehen.

Typische Ursachen

• Falsche Dateirechte: Der Webserver darf die Datei oder den Ordner nicht lesen (Dateirechte mit chmod).
• Keine Startdatei: Sie rufen einen Ordner auf, in dem keine index.php oder index.html liegt, und die Verzeichnisanzeige ist aus Sicherheitsgründen deaktiviert.
• Regeln in der .htaccess: Einträge wie Require all denied oder IP-Sperren blockieren den Zugriff.
• Schutzmechanismen: Die ModSecurity Web Application Firewall hat eine Anfrage als verdächtig eingestuft, oder Ihre IP-Adresse wurde nach mehreren fehlgeschlagenen Anmeldungen gesperrt (IP-Sperre).
• Sicherheits-Plugins Ihres CMS sperren bestimmte Bereiche, Länder oder Adressen.
• Hotlink-Schutz: Bilder dürfen nur auf Ihrer eigenen Webseite eingebunden werden.

Lösung für Besucher

• Prüfen Sie die Adresse - rufen Sie gegebenenfalls die Startseite auf statt eines Ordners.
• Laden Sie die Seite neu und leeren Sie den Browser-Cache.
• Tritt der Fehler nur in Ihrem Netzwerk auf, kann Ihre IP-Adresse gesperrt sein. Versuchen Sie es testweise über ein anderes Netz, etwa das Mobilfunknetz.
• Bleibt der Fehler, wenden Sie sich an den Betreiber der Webseite.

Lösung für Webseitenbetreiber

1. Fehlerprotokoll prüfen: Das Error-Log nennt meist den Grund - etwa „permission denied“, „client denied by server configuration“ oder eine ModSecurity-Regel (Logfiles auslesen).
2. Dateirechte kontrollieren: Üblich sind 644 für Dateien und 755 für Ordner.

find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;

3. .htaccess prüfen: Benennen Sie die Datei testweise um (z. B. in .htaccess_test). Verschwindet der Fehler, liegt die Ursache in einer ihrer Regeln.
4. Startdatei prüfen: Liegt im aufgerufenen Ordner eine index.php oder index.html?
5. Sicherheits-Plugins prüfen: Deaktivieren Sie sie testweise, um eine Sperre durch das Plugin auszuschließen.
6. Firewall-Sperre: Enthält das Error-Log eine ModSecurity-Meldung zu einer legitimen Aktion, schicken Sie uns die Log-Zeile - wir prüfen die Regel und richten bei Bedarf eine Ausnahme ein.

Gewollter Schutz

Ein 403 ist oft genau richtig: Konfigurationsdateien, Backups oder interne Ordner sollen nicht öffentlich abrufbar sein. So sperren Sie einen Ordner vollständig:

Require all denied

Möchten Sie Angriffe bereits abwehren, bevor sie Ihre Webseite erreichen? ShieldCache prüft jede Anfrage mit einer Web Application Firewall nach OWASP und blockt verdächtige Zugriffe gezielt.

Verwandte Statuscodes

• 401 Unauthorized - Anmeldung erforderlich
• 404 Not Found - Seite nicht gefunden
• Alle Statuscodes im Überblick