also ich brauch dann eine datei (sript.php) wo der header und des readfile drin steht und dann über get z.b. 001 übergeben (script.php?bild=001) dass er des bild 001.jpg (   $GET_['bild']   ) nimmt und des dann in des des readfile reinschreiben ? versteh ich dich da richtig?

Ja.

und wo tu ich dann die datei hin
in den geschützten bereich oder außerhalb?

Außerhalb, sie muß ja erreichbar sein.

Ich habe das vor ein paar Jahren mal für eine eigene phpBB-Lösung mit eng begrenztem Personenkreis gemacht. Der Code ist aber nicht up to date. Z.B. sollte man noch überprüfen, ob der über GET übergebene Bildname überhaupt existiert.

...  
if ( $userdata['session_logged_in'] )  
{  
// Code, wenn ein Benutzer angemeldet ist  
  
$bild = $_GET["b"];  
  
header("Content-Type: image/jpeg");  
header("Content-Disposition: attachment; filename=$bild");  
readfile ("images/".$bild);  
}  
else  
{  
// Code, wenn kein Benutzer angemeldet ist  
header("Content-Type: image/jpeg");  
header("Content-Disposition: attachment; filename=$bild");  
readfile ("images/verboten.jpg");  
}  
?>

Übrigens, mein Hoster berechnet den Traffic für die Bilder dann doppelt, vermutlich weil sie vom script 1x gelesen und 1x gesendet werden. Ich weiß nicht wie andere das halten und meinen Hoster habe ich noch nicht darauf angesprochen, ob das ein Fehler ist, da ich immer weit weg vom Limit bin.