403 Forbidden Error

Die Einträge in der .htaccess sehen nach übereifrigem All-in-One-Security-Plugin aus. Es würde mich nicht wundern, wenn du in wp-admin eine weitere .htaccess findest. Die solltest du dann auch umbenennen.

@karfis
scheint gelöst zu sein – wenn möglich wäre es super, wenn du für Mitleser noch kurz beschreibst, wie du das Problem lösen konntest.
Kannst du das Thema dann bitte als gelöst markieren, wenn das Problem damit für dich behoben ist:

Die Option findest du rechts in der Sidebar. Danke.

Es geht darum, dass du nicht auf das Backend zugreifen kannst, weil du einen Error 403 – Forbidden bekommst. Die Meldung taucht auf, wenn es keine index.php (oder index.html) im Verzeichnis gibt und in der Serverkonfiguration eine Auflistung der Dateien verboten ist oder wenn du per .htaccess den Zugriff auf bestimmte Dateien oder Verzeichnisse verbietest. Da sich die .htaccess rekursiv auswirkt, kann eine Regel auch im Web-Stammverzeichnis stehen, aber in erster Linie geht es erst einmal darum, ob in wp-admin eine .htaccess den Zugriff regelt.

Wenn du per SSH auf den Server zugreifen kannst, kannst du mit Linux-Befehlen auch rekursiv arbeiten und z.B. alle .htaccess-Dateien löschen oder umbenennen. Mit Filezilla ist das (wenn ich mich richtig erinnere) nicht möglich.

Serverkonfiguration ist zwar eigentlich hier off topic, aber ein kurzer Exkurs:

Als das World Wide Web in den Anfängen vor allem an Universitäten genutzt wurde, sollte ein schneller Zugriff auf Forschungsberichte ermöglicht werden. Der Apache-Server hat dafür ein Modul mod_autoindex, das dafür sorgt, dass bei Aufruf einer URL mit einem Verzeichnis aber ohne Dateinamen (sowas wie https://example.com/wp-admin) entweder nach einer Index-Datei (index.php, index.html, index.htm, start.html…) gesucht wird oder, wenn keine Index-Datei vorhanden ist, alle Dateien im gewählten Verzeichnis aufgelistet werden.

Was an den Universitäten eine hilfreiche Funktion war, ist für die meisten Webseitenbetreiber eher schlecht, weil gar nicht gewünscht ist, dass ein Angreifer alle möglichen Dateien aufgelistet bekommt (und so vielleicht Rückschlüsse auf die Version eines Plugins erhält, um dann Sicherheitslücken ausnutzen zu können). Deshalb schalten die meisten Webhoster bereits in der Serverkonfiguration eine Auflistung der Dateien mit sowas wie

<Directory /var/www/mysite>
    Options -Indexes
</Directory>

für alle Webseitenbesucher ab. Hast du nun aber ein Verzeichnis /var/www/mysite/test/ angelegt und das Verzeichnis enthält die Dateien eins.html, zwei.html und drei.html, aber keine index.php, darf durch die Serverkonfiguration das Verzeichnis nicht aufgelistet werden und der Server darf auch nicht einfach die nächstbeste HTML-Datei ausgeben. Folge ist, dass der Server zurückgibt, dass der Zugriff verboten ist (403 – Forbidden).

Im Verzeichnis wp-content wirst du eine index.php finden, die als Inhalt folgende Zeilen hat:

<?php
// Silence is golden.

Rufe ich nun im Browser https://example.com/wp-content auf, wird … nichts ausgegeben. Das ist eleganter, als eine Fehlermeldung (die auch wiederum Rückschlüsse ermöglicht) und auf jeden Fall besser, als ein unerwünschtes Datei-Listing, das unfreiwillig den Pfad von Backups oder Cache-Dateien ausspuckt. Schweigen ist Gold, wie es in der index.php so schön heißt.

Nun kann es sein, dass du ein Verzeichnis erstellt hast und im Moment nicht möchtest, dass jemand darauf zugreift. Das Verzeichnis enthält bereits Dateien, auch eine index.php. Damit der Zugriff gesperrt wird, kannst du eine .htaccess-Datei erstellen, die mit

<Directory /var/www/mysite/noch-nicht-gucken>
Deny from all
</Dircetory>

allen den Zugriff verweigert. Auch hier bekommt der Besucher wieder eine Fehlermeldung „403 – Forbidden“.

Bei der von dir geschilderten Fehlermeldung stellt sich nun die Frage, wieso der Zugriff verboten ist. Dass das Verzeichnis wp-admin keine index.php enthält wäre ungewöhnlich, kann aber nicht völlig ausgeschlossen werden – die WordPress-Installation oder ein Update könnte ja mittendrin abgebrochen worden sein. Wahrscheinlicher ist, dass – z.B. von einem All-in-One-Sicherheitsplugin – alle möglichen Verzeichnisse mit einem Zugriffsschutz per .htaccess versehen wurden, den du händisch wieder entfernen musst.