Wegen nicht autorisierter Anfrage blockiert (401): Seiten hinter einem Login

Zuletzt aktualisiert: 2026-10-30

Kurz gesagt

Dieser Status bedeutet: Der Server hat dem Googlebot mit 401 Unauthorized geantwortet und Zugangsdaten verlangt, die er nicht hat. Ist die Seite privat, ist das richtig und sie bleibt aus Google. Soll sie öffentlich sein, entferne die Authentifizierungspflicht oder, wenn sie bleiben muss, lass verifizierte Googlebot-Anfragen durch.

Genaue Bezeichnung in der Search Console: Blocked due to unauthorized request (401)

Was er bedeutet

Laut der Google-Hilfe zur Seitenindexierung wurde die Seite für den Googlebot durch eine Anfrage nach Autorisierung blockiert (eine 401-Antwort). Wenn du willst, dass der Googlebot die Seite indexiert, entferne entweder die Autorisierungspflicht für sie oder erlaube dem Googlebot den Zugriff, indem du seine Identität verifizierst. Google schlägt vor, die Seite in einem Inkognito-Fenster zu prüfen, um zu sehen, was ein abgemeldeter Besucher bekommt.

Google nutzt die Inhalte von URLs, die 4xx-Codes liefern, nicht und indexiert sie nicht; Seiten, die indexiert waren und anfangen 401 zu liefern, werden mit der Zeit entfernt. Google sagt außerdem, du sollst 401 oder 403 nicht nutzen, um das Crawling zu begrenzen, weil diese Codes keinen Einfluss auf die Crawling-Rate haben.

Ist das ein Problem?

Nicht bei privaten Bereichen wie Kontoseiten, Admin-Ansichten, Intranets oder Staging-Websites hinter HTTP-Authentifizierung; sie aus Google herauszuhalten ist der Zweck. Ein Problem ist es, wenn öffentliche Seiten 401 liefern, etwa wenn der Passwortschutz aus dem Staging nach dem Launch aktiv bleibt oder ein ganzer Bereich versehentlich hinter einem Login landet.

Häufige Ursachen

Private Seiten, öffentlich verlinkt

Konto-, Admin- oder Mitglieder-URLs, die Google über Links entdeckt hat. Erwartbar.

Staging-Schutz noch aktiv

HTTP-Basic-Authentifizierung oder ein Hosting-Passwort, das nach dem Livegang der Website noch aktiv ist.

Bereichsweite Auth-Regeln

Eine Server- oder CDN-Regel, die für ein Pfadmuster ein Login verlangt, das auch öffentliche Seiten abdeckt.

Seiten hinter einer authentifizierten API

Seiten, die abgemeldeten Anfragen 401 liefern, statt eine öffentliche Version zu zeigen.

So behebst du ihn

  1. Prüfe, was ein abgemeldeter Besucher bekommt. Öffne die URL in einem Inkognito-Fenster, wie Google vorschlägt. Wenn du dich anmelden musst, muss der Googlebot das auch.
  2. Entferne die Authentifizierung von öffentlichen Seiten. Schalte den Passwortschutz für die Live-Website ab oder verenge die Auth-Regel, sodass sie nur private Pfade abdeckt.
  3. Lass verifizierten Googlebot nur durch, wenn du musst. Wenn Inhalte für Menschen gesperrt bleiben, für Google aber sichtbar sein sollen, verifiziere den Googlebot per Reverse-DNS oder über Googles veröffentlichte IP-Bereiche, bevor du ihn hereinlässt, und lies vorher Googles Spam-Richtlinie zu Cloaking und Paywalls.
  4. Halte private Seiten privat. Für URLs, die nie in Google sein sollen, ist ein 401 in Ordnung. Entferne Links darauf von öffentlichen Seiten und aus deiner Sitemap, damit sie nicht mehr auftauchen.
  5. Teste, beantrage die Indexierung und validiere. Führe „Live-URL testen“ für Seiten aus, die du freigegeben hast, beantrage die Indexierung für die wichtigsten und klicke „Fehlerbehebung validieren“ für die Gruppe.

Mit GSC Magic prüfen

gsc_inspect_urls_batch zeigt den Abrufstatus, den Google für jede URL gespeichert hat, sodass dein Assistent jede mit 401 blockierte URL auflisten und private von öffentlichen Pfaden nach Verzeichnis trennen kann. report_index_health markiert jedes 401 in deiner Sitemap, die nur öffentliche Seiten enthalten sollte.

gsc_inspect_urls_batchreport_index_healthgsc_inspect_url

Prompts zum Kopieren

Prüfe diese URLs und liste jede auf, die wegen einer nicht autorisierten Anfrage (401) blockiert ist, gruppiert nach Verzeichnis.

Führe eine Indexprüfung meiner Sitemap aus und sag mir, ob eine aufgeführte URL für Google 401 oder 403 liefert.

Wir haben gerade den Login von diesen Seiten entfernt. Prüfe sie und sag mir, welche Google noch als durch 401 blockiert meldet.

Leitfäden im Blog

Blocked due to access forbidden (403)

Dieser Status bedeutet: Dein Server hat dem Googlebot mit 403 Forbidden geantwortet. Google weist darauf hin, dass der Googlebot nie Zugangsdaten sendet, ein 403 an ihn also meist fälschlich zurückgegeben wird. Soll die Seite in Google sein, finde die Firewall-, CDN- oder Serverregel, die blockiert, und lass verifizierten Googlebot durch.

 Blocked due to other 4xx issue

Dieser Status bedeutet: Der Googlebot hat einen 4xx-Client-Fehler erhalten, der keine eigene Zeile hat, anders als 401, 403 oder 404. Google nennt keine weiteren Details, der erste Schritt ist also, den genauen Code zu finden, den dein Server geliefert hat. Behebe dann, wie dein Server die Anfrage für Seiten behandelt, die öffentlich sein sollen.

 Excluded by 'noindex' tag

Dieser Status bedeutet: Google hat die Seite gecrawlt, eine noindex-Anweisung in einem Meta-Robots-Tag oder X-Robots-Tag-HTTP-Header gefunden und sie deshalb nicht indexiert. Wenn du die Seite nicht in Google willst, funktioniert das. Wenn doch, entferne noindex an der Quelle, bestätige es mit „Live-URL testen“ und beantrage die Indexierung.

Häufige Fragen

Ist ein 401 ein guter Weg, Seiten aus Google herauszuhalten?

Für private Inhalte ja. Googles Hinweise zum Entfernen nennen Passwortschutz als eine Möglichkeit, eine Seite dauerhaft aus den Suchergebnissen zu halten.

Kann ich dem Googlebot einen Benutzernamen und ein Passwort geben?

Nein. Der Googlebot meldet sich nicht an. Googles Empfehlung ist, die Autorisierungspflicht zu entfernen oder verifizierte Googlebot-Anfragen zuzulassen.

Worin unterscheiden sich hier 401 und 403?

Ein 401 verlangt Zugangsdaten. Laut Google bedeutet ein 403, dass Zugangsdaten vorlagen, der Zugriff aber verweigert wurde; da der Googlebot nie Zugangsdaten sendet, wird ein 403 an den Googlebot meist fälschlich zurückgegeben.

Quellen