Glossar Fehler 403
Der Fehler 403 (Forbidden, „verboten“) ist ein HTTP-Statuscode, mit dem der Server sagt: Die Anfrage ist verstanden, ausgeführt wird sie nicht. Anders als beim Fehler 401 fordert er den Client nicht auf, sich anzumelden, der Zugriff ist verweigert. Google behandelt ihn wie jeden anderen 4xx: Die URL wird nicht indexiert, eine schon indexierte wird entfernt, und zum Bremsen des Crawlings taugt ein 403 nicht.
Fehler 403 (Forbidden): Der Server versteht die Anfrage und lehnt sie ab. Was er bedeutet, wie er entsteht und was Google mit einer 403-URL macht.
Der 403 gehört zur Klasse 4xx, den Client-Fehlern. Definiert ist er heute in RFC 9110 vom Juni 2022, dem Standard für die Semantik von HTTP. Danach darf der Server in der Antwort erklären, warum er die Anfrage ablehnt, und der Grund muss nichts mit Zugangsdaten zu tun haben. Will der Server nicht verraten, dass die Ressource existiert, erlaubt ihm die RFC, statt 403 einen 404 zu senden.
Ein Server liefert 403, wenn eine Regel ihn daran hindert, die Seite an den Anfragenden auszuliefern. Aus Sicht des Website-Betreibers können zum Beispiel diese Regeln dahinterstecken:
Für Google ist ein 403 ein 4xx-Fehler wie die anderen. Googles Doku zu Statuscodes (Stand 4. Februar 2026) sagt, dass alle 4xx außer 429 gleich behandelt werden: Google nutzt den Inhalt dieser URLs nicht, indexiert sie nicht und entfernt bereits indexierte. Die Crawl-Häufigkeit für diese URLs sinkt nach und nach.
Dieselbe Doku warnt, dass 401 und 403 nicht taugen, um Googlebot zu bremsen: 4xx-Codes außer 429 wirken sich nicht auf die Crawl-Rate aus. Gary Illyes hat das am 17. Februar 2023 im Blog von Google Search Central wiederholt und empfohlen, 500, 503 oder 429 zu senden, wenn Googlebot zu schnell crawlt.
Ein eigener Fall ist die robots.txt. Liefert sie 403, behandelt Google sie, als gäbe es keine gültige robots.txt, und geht davon aus, dass es keine Crawl-Beschränkungen gibt.
Ein 403 kann gewollt oder versehentlich sein.
Richtig ist er für Bereiche, die nicht öffentlich sein sollen, etwa ein Admin-Bereich, für Ordner, deren Inhalt nicht aufgelistet werden soll, und für bestimmte Bots, die der Betreiber abweisen will. Willst du nicht, dass KI-Crawler deine Website lesen, kannst du sie am Server mit 403 abweisen, solange die Regel Googlebot nicht trifft. Eine andere Möglichkeit ist, für den Zugriff Geld zu verlangen, bekannt als Pay per Crawl.
Versehentlich ist er, wenn die Regel jemanden trifft, den sie nicht treffen sollte. Am heikelsten für SEO ist Googlebot: Eine Firewall oder ein Bot-Schutz behandelt ihn wie einen beliebigen Bot, oder eine Ländersperre schließt ihn aus. Google schreibt in seiner Doku zu standortabhängigen Seiten, dass die Standard-IP-Adressen von Googlebot in den USA zu liegen scheinen, auch wenn er zusätzlich von IP-Adressen in anderen Ländern crawlt. Eine Website, die nur Besuche aus Deutschland zulässt, kann sich so selbst vom Crawling aussperren.
Ein Shop schaltet in seinem CDN eine Sperre für alle Länder außer Deutschland ein, um Angriffe abzuwehren. Kunden in Deutschland merken nichts, aber Googlebot kommt mit einer IP-Adresse aus den USA und bekommt einen 403. Die Produktseiten werden nicht mehr indexiert, und die schon indexierten fallen nach und nach heraus.
Ein Blog liefert für /wp-admin/ jedem Besucher ohne Sitzung einen 403. Das ist so gewollt: Der Ordner gehört nicht in Google, und der 403 betrifft den Rest der Website nicht.
Search Console zeigt 403-Fehler im Bericht zur Seitenindexierung unter einem eigenen Grund, in der englischen Oberfläche „Blocked due to access forbidden (403)“. Mit der URL-Prüfung in der Google Search Console testest du live, was Googlebot auf einer bestimmten URL bekommt.
Außerhalb der Search Console zeigen die Logs von Server und CDN, wer einen 403 bekommen hat. Ob es der echte Googlebot war und nicht jemand, der sich als Googlebot ausgibt, prüfst du laut Google so: Reverse-DNS-Abfrage der IP-Adresse, prüfen, ob der Name auf googlebot.com, google.com oder googleusercontent.com endet, und mit einer Forward-DNS-Abfrage bestätigen, dass der Name auf dieselbe IP-Adresse zeigt. Google veröffentlicht außerdem seine IP-Bereiche.
Richtig eingesetzt schützt ein 403, was nicht öffentlich sein soll, und sagt dem Client klar, dass er keinen Zugriff hat, ohne ihn auf eine andere Seite umzuleiten. Der Nachteil für SEO: Google unterscheidet nicht zwischen einem gewollten und einem versehentlichen 403, in beiden Fällen verschwindet die URL aus dem Index. Als Bremse für das Crawling taugt er auch nicht, weil er die Crawl-Rate nicht ändert.
| Code | Was der Server sagt | Was Google macht |
|---|---|---|
| 401 Unauthorized | Für den Zugriff musst du dich anmelden | Indexiert die URL nicht, entfernt sie aus dem Index |
| 403 Forbidden | Die Anfrage ist verstanden und abgelehnt | Indexiert die URL nicht, entfernt sie aus dem Index |
| 404 Not Found | Unter dieser Adresse gibt es nichts | Indexiert die URL nicht, entfernt sie aus dem Index |
| 410 Gone | Die Ressource gibt es nicht mehr | Indexiert die URL nicht, entfernt sie aus dem Index |
Quelle: RFC 9110 (Juni 2022); Google, „How HTTP status codes affect Google's crawlers“, Stand 4. Februar 2026 (abgerufen am 11.11.2026).
Den vollständigen Vergleich von 401 und 403 findest du im Eintrag zum Fehler 401.
Die Quellen definieren den 403 nicht gleich: Die Search-Console-Hilfe sagt, ein 403 bedeute, dass der Client Zugangsdaten gesendet und keinen Zugriff bekommen hat, ein 403 an Googlebot, der nie Zugangsdaten sendet, sei deshalb ein Fehler des Servers, während RFC 9110 sagt, eine Anfrage könne auch aus Gründen verboten sein, die mit Zugangsdaten nichts zu tun haben.
Google sagt auch nicht, wie lange es dauert, bis eine URL mit 403 aus dem Index verschwindet. Die Doku spricht davon, dass die URL entfernt wird und das Crawling „nach und nach“ abnimmt, eine Frist nennt sie nicht.
Dieser Eintrag wurde im November 2026 mit KI-Unterstützung geschrieben. Die Fakten stammen aus RFC 9110, aus Googles Doku zu Statuscodes, robots.txt und zur Prüfung von Googlebot, aus der Search-Console-Hilfe und von MDN. Er wurde vor der Veröffentlichung geprüft und enthält keine Kundendaten.
Eine technische Prüfung sieht sich das und alles Weitere in einem Durchgang an.
Audit anfragenJa, wenn Googlebot ihn bekommt. Google indexiert URLs mit 403 nicht und entfernt die, die schon im Index sind. Betrifft der 403 nur private Bereiche, geht nichts verloren.
Der Code sagt nichts über die Dauer, er bleibt, solange die Regel besteht, die ihn auslöst. Solange Google einen 403 bekommt, bleibt die URL aus dem Index und wird immer seltener gecrawlt. Ist die Regel weg, kannst du in der Search Console die Indexierung neu beantragen.
Ja, ein 403 ist ein korrekter Weg, einen bestimmten Bot abzuweisen. Wichtig ist, dass die Regel Googlebot nicht trifft, sonst verschwindet die Website auch aus der Google-Suche.
Der Server hat entschieden, dir keinen Zugriff zu geben, und das entscheidet, wer die Website betreibt. Kann die Sperre an deinem Netz liegen, etwa an einem VPN oder einer IP-Adresse aus einem anderen Land, versuch es ohne. Sonst kann es nur der Betreiber beheben.
Ein 401 fordert den Client auf, sich anzumelden, und der Server muss sagen, wie. Ein 403 lehnt die Anfrage ab, auch wenn sich der Client anmeldet oder wenn die Anmeldung keine Rolle spielt. Für Google halten beide die URL aus dem Index.