401 Unauthorized bedeutet, dass der Anfrage gültige Anmeldedaten für die Zielressource fehlen. Trotz des Namens geht es um Authentifizierung („Wer sind Sie?“), nicht um Autorisierung. Der Server muss einen WWW-Authenticate-Header mit mindestens einer Challenge senden, etwa Basic realm="Staging" oder Bearer, die dem Client mitteilt, wie er sich authentifizieren kann.
Enthielt die Anfrage bereits Anmeldedaten, bedeutet die 401-Antwort, dass sie abgelehnt wurden: ein falsches Passwort oder ein abgelaufenes Token. Browser zeigen bei Basic- und Digest-Challenges einen Anmeldedialog an. APIs liefern 401 bei fehlenden oder ungültigen Tokens, damit der Client ein neues Token beschaffen und es erneut versuchen kann.
Verwenden Sie 403 Forbidden, wenn der Nutzer bekannt ist, aber keine Berechtigung hat, und 407, wenn nicht der Ursprungsserver, sondern ein Proxy eine Authentifizierung verlangt.
Beispielantwort
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO und Weiterleitungsprüfung
Seiten hinter einer Authentifizierung können nicht indexiert werden: Crawler melden sich nicht an, und URLs, die 401 liefern, werden wie andere 4xx-Fehler behandelt. Genau das ist bei Staging-Websites, Admin-Bereichen und privaten Inhalten erwünscht, und HTTP-Authentifizierung hält eine Staging-Website weit zuverlässiger aus den Suchergebnissen heraus als robots.txt. Achten Sie darauf, dass die Produktivseite nicht versehentlich das Staging-Passwort behält, und antworten Sie Crawlern auf öffentlichen Seiten nie mit 401.
Um eine geschützte URL mit TrueURL zu prüfen, können Sie unter „Benutzerdefinierte Anfrage-Header“ einen Authorization-Header hinzufügen. Verwenden Sie dafür Test-Zugangsdaten.
Häufige Ursachen und Einsatzzwecke
- HTTP-Basic-Authentifizierung schützt eine Staging- oder Admin-Website.
- Ein API-Token fehlt, ist abgelaufen oder wurde widerrufen.
- Eine Sitzung ist abgelaufen, und die API antwortet mit 401, statt auf eine Login-Seite weiterzuleiten.
- Anmeldedaten gingen bei einer Weiterleitung verloren: Viele Clients verwerfen den
Authorization-Header, wenn eine Weiterleitung auf einen anderen Host führt.