# Sicherheit für Minecraft-Server: Checkliste für 2026 Die meisten Einbrüche auf Minecraft-Servern beginnen mit etwas Einfachem, etwa einem offenen Backend-Port, einem veralteten Plugin oder einem Admin, der ein Passwort mehrfach verwendet. Diese Checkliste geht die üblichen Schwachstellen in der Reihenfolge durch, in der wir sie prüfen würden. Aktualisiert: 2026-11-06 ## Kurz gesagt - Mach die Backend-Server nur für den Proxy-Server erreichbar und richte die IP-Weiterleitung ein. - Halte Paper, Velocity und Plugins aktuell und lade Plugins nur von ihren offiziellen Seiten herunter. - Gib dem Serverteam nur die Rechte, die es braucht, und schütze seine Accounts. - Schalte RCON und Query aus, wenn du sie nicht nutzt, und bewahre Backups außerhalb des Servers auf. - DDoS stoppt dein Hoster; Bots, VPNs und Ban-Umgehung stoppt der Schutz auf dem Proxy-Server. ## Proxy-Server und Backends absichern In einem Netzwerk sollte jeder Spieler über den Proxy-Server hereinkommen. Ist der Port eines Backend-Servers aus dem Internet erreichbar, kann sich jeder direkt damit verbinden, alles überspringen, was der Proxy prüft, und sich, wenn das Backend einfaches BungeeCord-Forwarding ohne BungeeGuard nutzt, unter jedem beliebigen Namen einloggen, auch unter dem eines Admins. - Binde die Backend-Server an 127.0.0.1 oder ein privates Netz oder schließ ihre Ports in der Firewall, damit nur der Proxy-Server sie erreicht. - Nutze auf Velocity mit Backends ab 1.13 das moderne Player-Info-Forwarding und trag dasselbe Forwarding-Secret in die Konfiguration jedes Paper-Backends ein. Für Backends von 1.8 bis 1.12 nimm den Forwarding-Modus bungeeguard mit dem Plugin BungeeGuard. - Schalte auf BungeeCord `ip_forward` ein und installiere BungeeGuard, damit ein Backend nur Verbindungen annimmt, die deinen Token mitbringen. - Lass den Online-Modus auf dem Proxy-Server an, außer du betreibst einen Cracked-Server mit einem Auth-Plugin. ## Server und Plugins aktuell halten Neue Builds von Paper und Velocity beheben regelmäßig Exploits, auch solche, die den Server mit einem einzigen Paket abstürzen lassen. Aktualisiere die Serversoftware und den Proxy und entferne Plugins, die du nicht mehr nutzt: Jedes Plugin ist Code, der mit vollem Zugriff läuft. Lade Plugins nur von ihren eigenen Seiten herunter: Hangar, Modrinth, SpigotMC oder der GitHub-Seite des Autors. Geleakte Kopien von Bezahl-Plugins sind einer der häufigsten Wege, auf denen eine Backdoor auf einen Server gelangt. ## Rechte und OP Gib auf einem öffentlichen Server niemandem OP. Nutze ein Rechte-Plugin wie LuckPerms und gib jeder Rolle nur, was sie braucht. Sei vorsichtig mit Wildcard-Rechten wie `*` oder `essentials.*`. Sie enthalten oft Befehle, die Konsolenbefehle ausführen, Items vergeben oder Rechte ändern. Wer einen Moderator-Account übernimmt, hat damit fast dieselbe Macht wie die Konsole. Entzieh einer Person die Rechte noch am Tag, an dem sie das Team verlässt. ## Accounts des Serverteams schützen Auf einem Server im Online-Modus ist ein Team-Account ein Microsoft-Konto. Achte also darauf, dass dein Serverteam dort ein starkes Passwort und die zweistufige Überprüfung nutzt. Auf einem Cracked-Server schützt den Account nur das Passwort des Auth-Plugins. Passwörter des Serverteams sollten lang sein und nirgends sonst verwendet werden, und der Zwei-Faktor-Login sollte aktiv sein, wenn dein Auth-Plugin ihn unterstützt. Mehr dazu unter [Brute-Force-Angriffe auf Passwörter](https://kordonlabs.com/de/guides/minecraft-password-brute-force). Schau ab und zu nach, von wo sich die Team-Accounts einloggen. Ein Login aus einem neuen Land oder von einem neuen Anbieter ist eine Nachfrage wert. ## Schließ, was du nicht nutzt - RCON gibt vollen Konsolenzugriff über das Netzwerk. Lass `enable-rcon=false` stehen, außer du brauchst es. Wenn doch, nimm ein langes Passwort und erlaube in der Firewall nur deine eigene Adresse. - Schalte `enable-query` aus, wenn du es nicht brauchst. - Die Ports des Panels, der Datenbank und von SSH sollten nur für die Adressen offen sein, die sie brauchen. ## Backups Bewahre Backups der Welten und Plugin-Daten außerhalb des Server-Rechners auf und prüf ab und zu, ob du sie wiederherstellen kannst. Ein Backup auf derselben Festplatte hilft nicht, wenn der Rechner ausfällt oder jemand das Hosting-Konto übernimmt. ## DDoS, Bots und VPNs Ein DDoS-Angriff überflutet das Netzwerk, bevor überhaupt etwas bei Minecraft ankommt, deshalb kann kein Plugin ihn stoppen; das muss dein Hoster oder ein Dienst für Netzwerkschutz übernehmen. Siehe [was ein Plugin gegen DDoS kann und was nicht](https://kordonlabs.com/de/guides/minecraft-ddos-protection). Bot-Angriffe, VPN-Nutzer und Ban-Umgehung kommen als echte Logins an und werden auf dem Proxy-Server gestoppt: durch Adressprüfungen wie Kordon und, bei Bots von sauberen Adressen, durch ein Prüf-Plugin wie Sonar. Siehe [VPNs blockieren](https://kordonlabs.com/de/guides/block-vpn-minecraft-server) und [Anti-Bot-Plugins im Vergleich](https://kordonlabs.com/de/guides/best-minecraft-antibot-plugins). ## Checkliste 1. Backends nur vom Proxy-Server aus erreichbar, IP-Weiterleitung mit Secret oder BungeeGuard. 2. Server, Proxy und Plugins aktualisiert, ungenutzte Plugins entfernt, nichts aus geleakten Quellen. 3. Kein OP auf einem öffentlichen Server, Rollen nur mit den Rechten, die sie brauchen. 4. Team-Accounts mit starken, einzigartigen Passwörtern und zweistufiger Überprüfung. 5. RCON und Query aus oder auf deine Adresse beschränkt. 6. Backups außerhalb des Rechners, Wiederherstellung getestet. 7. DDoS-Schutz vom Hoster, Schutz vor Bots und VPNs auf dem Proxy-Server. ## Probier es auf deinem Server aus Starte im Beobachtungsmodus: Kordon zeigt, wen es abweisen würde, und du aktivierst den Schutz, wenn du bereit bist. [Konto erstellen](https://panel.kordonlabs.com/register) ## Weitere Anleitungen - [DDoS-Schutz für Minecraft: was ein Plugin kann und was nicht](https://kordonlabs.com/de/guides/minecraft-ddos-protection): Was ein DDoS-Angriff auf einen Minecraft-Server ist, warum kein Plugin eine Überflutung des Netzwerks stoppt, woher echter DDoS-Schutz kommt und was Bot-Angriffe anders macht. - [VPNs und Proxys auf einem Minecraft-Server blockieren](https://kordonlabs.com/de/guides/block-vpn-minecraft-server): Warum Spieler über VPNs und Proxys joinen, welche Wege es gibt, sie zu blockieren, und wie du das Kordon AntiVPN-Plugin auf BungeeCord oder Velocity Schritt für Schritt einrichtest. - [Passwort-Brute-Force auf einem Cracked-Minecraft-Server: so schützt du Accounts](https://kordonlabs.com/de/guides/minecraft-password-brute-force): Wie Angreifer auf Servern mit AuthMe oder nLogin Passwörter von Spielern erraten, welche Einstellungen im Login-Plugin das stoppen und wie das Blockieren von VPNs und Proxys hilft.