WordPress-Login geht nicht: 403, Passwort, Schleife

Sie wollen nur schnell einen Text ändern, einen Termin eintragen oder ein Update einspielen – und kommen nicht hinein. Die Anmeldeseite lädt neu, zeigt eine Fehlermeldung oder gar nichts. Die Website selbst läuft für Besucher meist weiter, aber Sie haben keinen Zugriff mehr.

Das ist ärgerlich, aber selten dramatisch. In den meisten Fällen lässt sich der Zugang wiederherstellen, ohne dass Inhalte verloren gehen. Wichtig ist, in der richtigen Reihenfolge vorzugehen und nicht als Erstes in der Datenbank herumzuändern.

Schritt 1: Genau hinsehen, was passiert

Die Art des Fehlers verrät schon viel über die Ursache. Notieren Sie, was Sie sehen:

„Fehler: Das Passwort ist nicht korrekt“ oder „Unbekannter Benutzername“ – WordPress läuft und prüft Ihre Anmeldung, die Daten stimmen nur nicht. Weiter bei Schritt 3.
„403 Forbidden“ oder „Zugriff verweigert“ – der Server oder ein Sicherheits-Plugin blockiert Sie, bevor WordPress Ihre Daten prüft. Weiter bei Schritt 4.
Die Login-Seite lädt nach dem Absenden einfach wieder, ohne Meldung – typisches Zeichen für eine Umleitungsschleife oder ein Cookie-Problem. Weiter bei Schritt 2 und 5.
„Zu viele Weiterleitungen“ im Browser – eindeutig eine Umleitungsschleife. Weiter bei Schritt 5.
Die Login-Seite selbst ist nicht erreichbar (404 oder leere Seite) – die Anmeldeadresse wurde verlegt oder die Seite hat einen technischen Fehler. Weiter bei Schritt 4 bzw. im Ratgeber zum kritischen Fehler und weißen Bildschirm.

Fragen Sie sich außerdem: Was hat sich zuletzt geändert? Ein neues Plugin, ein Update, ein Umzug auf https, ein Hosterwechsel? Die Antwort grenzt die Ursache oft schon ein.

Schritt 2: Den Browser ausschließen

Bevor Sie am Server etwas anfassen, schließen Sie die einfachste Ursache aus. WordPress speichert die Anmeldung in Cookies. Sind diese veraltet oder blockiert, scheitert der Login, obwohl alles stimmt.

Öffnen Sie ein privates Fenster (Inkognito-Modus) und versuchen Sie es dort.
Klappt es, löschen Sie im normalen Browser die Cookies und den Cache für Ihre Domain.
Klappt es nicht, testen Sie einen anderen Browser oder ein anderes Gerät, etwa das Smartphone im Mobilfunknetz statt im Büro-WLAN. Funktioniert es dort, ist möglicherweise Ihre Büro-IP-Adresse gesperrt (siehe Schritt 4).

Erscheint die Meldung, dass Cookies blockiert sind, liegt es fast immer am Browser oder an einer Erweiterung, nicht an WordPress.

Schritt 3: Passwort zurücksetzen

Unter dem Anmeldeformular steht der Link „Passwort vergessen?“ (Adresse: wp-login.php?action=lostpassword). Geben Sie Benutzernamen oder E-Mail-Adresse ein, und WordPress schickt einen Link zum Zurücksetzen.

Kommt diese Mail nicht an, hat das meist zwei Gründe:

Im Benutzerkonto ist eine alte E-Mail-Adresse hinterlegt, die niemand mehr liest.
Die Website verschickt generell keine Mails zuverlässig. Das betrifft dann auch Ihr Kontaktformular – wie Sie das prüfen, steht im Ratgeber Kontaktformular sendet nicht.

Schauen Sie auch im Spam-Ordner nach. Gibt es einen zweiten Administrator im Unternehmen, kann dieser Ihr Passwort unter Benutzer → Alle Benutzer neu setzen. Das ist der sauberste Weg.

Nur als Hinweis für den Notfall: Das Passwort lässt sich auch direkt in der Datenbank ändern – über phpMyAdmin beim Hoster, Tabelle wp_users (das Präfix wp_ kann bei Ihnen anders lauten), Spalte user_pass. Das ist ein Eingriff am offenen Herzen. Ohne vorherige Sicherung der Datenbank und ohne Erfahrung mit phpMyAdmin sollten Sie das nicht tun.

Schritt 4: 403-Fehler – das Sicherheits-Plugin deaktivieren

Ein 403-Fehler bedeutet, dass Ihre Anfrage abgewiesen wird, bevor WordPress sie prüft. Die häufigsten Auslöser:

Sperre nach Fehlversuchen. Plugins wie Wordfence, Solid Security oder Limit Login Attempts Reloaded sperren eine IP-Adresse nach mehreren falschen Passwörtern für eine Zeit. Manchmal hilft es schon, zu warten oder über ein anderes Netz zuzugreifen.
Verlegte Login-Adresse. Manche Plugins verstecken wp-login.php und ersetzen sie durch eine eigene Adresse. Wer diese nicht mehr kennt, steht vor einer Fehlerseite.
Regeln in der .htaccess, die den Zugriff auf wp-login.php oder wp-admin auf bestimmte IP-Adressen beschränken – etwa nachdem sich Ihre Internetadresse geändert hat.
Firewall des Hosters, die Ihre Anfrage für einen Angriff hält.

So deaktivieren Sie ein Sicherheits-Plugin, ohne ins Backend zu kommen:

Melden Sie sich per FTP oder im Dateimanager Ihres Hosters an.
Öffnen Sie den Ordner wp-content/plugins.
Benennen Sie den Ordner des Sicherheits-Plugins um, zum Beispiel wordfence in wordfence-aus.
Rufen Sie die Login-Seite erneut auf.

WordPress deaktiviert das Plugin damit automatisch, die Einstellungen bleiben in der Datenbank erhalten. Wissen Sie nicht, welches Plugin es ist, benennen Sie den ganzen Ordner plugins in plugins-alt um – damit sind alle Plugins auf einmal aus. Nach erfolgreicher Anmeldung benennen Sie den Ordner zurück und aktivieren die Plugins einzeln wieder.

Danach prüfen Sie die Plugin-Einstellungen: Sperrliste leeren, eigene IP auf die Ausnahmeliste setzen, die verlegte Login-Adresse notieren. Das Plugin bitte nicht dauerhaft abgeschaltet lassen.

Schritt 5: Umleitungsschleife – Adressen und .htaccess prüfen

Lädt die Login-Seite endlos neu oder meldet der Browser „zu viele Weiterleitungen“, passen meist die in WordPress hinterlegten Adressen nicht zur tatsächlich aufgerufenen. Klassische Auslöser sind die Umstellung auf https oder der Wechsel zwischen Adressen mit und ohne www.

Adressen festschreiben. Öffnen Sie per FTP die Datei wp-config.php im Hauptverzeichnis und fügen Sie oberhalb von /* That's all, stop editing! */ zwei Zeilen ein – mit Ihrer korrekten Adresse:

define( 'WP_HOME', 'https://www.ihre-domain.de' );
define( 'WP_SITEURL', 'https://www.ihre-domain.de' );

Diese Werte überschreiben die Einstellungen aus der Datenbank. Achten Sie genau auf https und www – genau so, wie die Seite im Browser erscheinen soll, ohne Schrägstrich am Ende.

.htaccess erneuern. Benennen Sie die Datei .htaccess im Hauptverzeichnis in .htaccess-alt um. Sie ist versteckt; im FTP-Programm muss dafür die Anzeige versteckter Dateien aktiv sein. Klappt der Login danach, öffnen Sie Einstellungen → Permalinks und klicken ohne Änderung auf Speichern. WordPress legt dann eine neue, saubere .htaccess an. Eigene Regeln aus der alten Datei, etwa Weiterleitungen, übernehmen Sie anschließend gezielt.

Cache-Plugins können ebenfalls Schleifen erzeugen. Hilft nichts davon, deaktivieren Sie das Cache-Plugin wie in Schritt 4, indem Sie seinen Ordner umbenennen.

Wenn es kein Defekt ist, sondern ein Angriff

Stimmt Ihr Passwort plötzlich nicht mehr, obwohl Sie es nicht geändert haben? Ist die Administrator-E-Mail eine fremde Adresse? Tauchen Benutzer auf, die Sie nicht kennen, oder leitet Ihre Seite auf fremde Angebote um? Dann hat sich vermutlich jemand Zugang verschafft.

In diesem Fall gilt: Passwörter von einem sauberen Gerät aus ändern – auch für FTP, Datenbank und Hoster-Zugang –, nichts überschreiben und kein Backup einspielen, bevor die Ursache klar ist. Die vollständige Reihenfolge finden Sie unter Website gehackt und im Ratgeber Erste Hilfe, wenn die Website gehackt wurde.

Umsetzungsplan

Sofort

Fehlerbild notieren: Meldung, 403, Neuladen oder „zu viele Weiterleitungen“.
Privates Browserfenster und anderes Gerät oder Netz testen.
„Passwort vergessen?“ nutzen und den Spam-Ordner prüfen.

Danach

Bei 403: Sicherheits-Plugin per FTP im Ordner wp-content/plugins umbenennen.
Bei Schleifen: WP_HOME und WP_SITEURL in der wp-config.php setzen, .htaccess umbenennen und über Einstellungen → Permalinks neu erzeugen.
Nach dem Login: umbenannte Plugins wieder aktivieren, Sperrliste leeren, eigene IP freigeben.
Bei Anzeichen eines Angriffs: alle Zugänge ändern und nach den Schritten für gehackte Seiten vorgehen.

Vorbeugen

Unter Benutzer → Profil eine aktuelle E-Mail-Adresse hinterlegen, ebenso unter Einstellungen → Allgemein.
Einen zweiten Administrator-Zugang anlegen, der sicher verwahrt wird.
Eine verlegte Login-Adresse im Passwort-Manager notieren.
FTP- und Hoster-Zugangsdaten griffbereit halten – ohne sie lässt sich keiner der Schritte oben umsetzen.
Updates regelmäßig einspielen oder die Website-Pflege abgeben.

Wir holen Sie wieder ins Backend

Fehlen Ihnen die FTP-Zugangsdaten, wissen Sie nicht, welches Plugin Sie aussperrt, oder haben Sie den Verdacht, dass jemand anderes Ihr Konto übernommen hat: Wir übernehmen die Diagnose und stellen den Zugang wieder her.

Wir beheben das für Sie
Schildern Sie kurz, was passiert ist – wir melden uns schnellstmöglich zurück.

Fehler beheben lassen → Notfall-Diagnose für 99 €

Die WordPress-Notfall-Diagnose kostet 99 € – mit Sicherung, Auslesen der Fehlerprotokolle und einem Festpreis-Angebot für die Reparatur; beauftragen Sie diese, wird der Betrag angerechnet. Oder rufen Sie direkt an: 0 33 41 - 35 66 146.

Häufige Fragen

Wie lautet die Login-Adresse von WordPress?

Standardmäßig erreichen Sie die Anmeldung unter ihre-domain.de/wp-login.php oder ihre-domain.de/wp-admin. Viele Sicherheits-Plugins verlegen die Anmeldeseite aber auf eine eigene Adresse. Dann führt wp-login.php zu einer Fehlerseite, und nur die neue Adresse funktioniert. Wer sie nicht mehr kennt, deaktiviert das Plugin per FTP – danach gilt wieder die Standardadresse.

Warum lädt die Login-Seite immer wieder neu, obwohl das Passwort stimmt?

Das ist eine Umleitungsschleife. Meist passen die in WordPress hinterlegte Website-Adresse und die tatsächlich aufgerufene Adresse nicht zusammen, etwa http statt https oder mit und ohne www. Weitere Ursachen sind alte Cookies im Browser, ein Cache-Plugin oder eine fehlerhafte .htaccess-Datei. Die Reihenfolge der Prüfung steht im Artikel.

Was bedeutet ein 403-Fehler beim WordPress-Login?

403 heißt „Zugriff verweigert“. Der Server oder ein Sicherheits-Plugin lässt die Anfrage nicht durch, bevor WordPress überhaupt prüft, ob Ihr Passwort stimmt. Typische Auslöser sind eine gesperrte IP-Adresse nach mehreren Fehlversuchen, Regeln in der .htaccess, eine Firewall beim Hoster oder falsche Dateirechte.

Kann ich das Passwort direkt in der Datenbank ändern?

Ja, über phpMyAdmin in der Tabelle wp_users, Spalte user_pass. Das ist allerdings der letzte Weg, nicht der erste: Ein Fehler in der Datenbank kann die ganze Seite lahmlegen. Sichern Sie die Datenbank vorher und versuchen Sie zuerst die Funktion „Passwort vergessen?“ auf der Login-Seite.

Woran erkenne ich, dass jemand mein Konto übernommen hat?

Warnzeichen sind ein Passwort, das plötzlich nicht mehr stimmt, obwohl Sie es nicht geändert haben, eine geänderte Administrator-E-Mail-Adresse, unbekannte Benutzerkonten mit Administratorrechten oder fremde Inhalte und Weiterleitungen auf der Seite. Dann geht es nicht mehr um ein Login-Problem, sondern um einen Angriff – und es gelten andere Schritte.