Ich vermisse das "Require valid-user" Wenn das fehlt kommt kein 500er sondern keine Passwortabfrage. GG
Warte … Testen … Das stimmt! Bleibt AllowOverride oder die falsche Adresse der .htuser als Möglichkeit (wirft beides 500er). Und natürlich der Blick ins error.log.