diff --git a/.htaccess b/.htaccess
index 42445c1..1bcc8df 100644
--- a/.htaccess
+++ b/.htaccess
@@ -3,6 +3,11 @@ AuthType Basic
 AuthName "Dev-Server intelectra"
 AuthUserFile /etc/apache2/htpasswd_dev_intelectra
 Require valid-user
+# 13.09.2026: Webhook-Endpunkt der Zahlungsanbieter muss ohne Basic-Auth erreichbar sein
+# (PayPal stellt sonst nicht zu). Der Endpunkt prueft die Signatur selbst.
+<Files "payment_webhook.php">
+    Require all granted
+</Files>
 # === ENDE Auth-Block ===