Ganz einfach. In der Webserverkonfiguration ist festgelegt, wie die Default-Indexseite heißt, etwa index.html.
Du musst nun dafür sorgen, dass es keine solche Default-Indexdatei gibt, und nochwas: den automatischen index abstellen. Letzteres geht mit.htaccess.
Ja, dann bekommt der Besucher bei direktem Verweis auf das Verzeichnis einen 403er, aber wenn jemd. weiß wie eine Datei heißt, kann er sie öffnen. DAS kann eben nicht blockiert werden, und ich glaube, das wollte Marvin wissen, richtig oder falsch?
Also Erwins Antwort ist 100% richtig, nicht falsch verstehen, aber der Besucher kann eben noch auf die Dateien zugreifen, sofern er deren Namen kennt.
Gruss
Stefan