Discord Server vor Raids schützen: 7 Einstellungen, die wirklich helfen

Ein Raid läuft fast immer gleich ab. Zwischen zwei und fünf Uhr nachts treten fünfzig bis dreihundert frisch erstellte Konten bei, schreiben in jeden Kanal dieselbe Nachricht, pingen @everyone und verschwinden wieder. Wenn du morgens aufwachst, ist dein Server voll mit Werbung für eine Krypto Seite und die Hälfte deiner Mitglieder hat die Benachrichtigungen stummgeschaltet.

Das Ärgerliche daran: Der Großteil dieser Angriffe ist billig automatisiert und scheitert an sehr einfachen Hürden. Wer einen Server betreibt, der öffentlich auffindbar ist, sollte die folgenden sieben Punkte durchgehen. Die ersten vier sind Discord Bordmittel und kosten nichts außer ein paar Minuten.

1. Die Verifizierungsstufe hochsetzen

Das ist die wirksamste einzelne Einstellung, und sie wird ständig übersehen.

Unter Servereinstellungen, Moderation, Verifizierungsstufe legst du fest, was ein Konto mitbringen muss, um in deinem Server schreiben zu dürfen. Die Stufen bedeuten:

Stufe	Voraussetzung
Niedrig	Bestätigte E-Mail Adresse
Mittel	Konto ist seit mindestens 5 Minuten bei Discord registriert
Hoch	Mitglied ist seit mindestens 10 Minuten auf deinem Server
Höchste	Bestätigte Telefonnummer

Mittel ist das Minimum für jeden öffentlichen Server. Hoch ist der Punkt, an dem die meisten automatisierten Raids aufhören zu funktionieren, weil der Angreifer seine Konten zehn Minuten parken müsste, bevor sie irgendetwas tun können. Das rechnet sich für ihn nicht.

Höchste klingt verlockend, sperrt aber auch viele echte Nutzer aus, die ihrer Discord App keine Telefonnummer geben wollen. Nimm die Stufe nur, wenn du gerade aktiv angegriffen wirst.

2. Discords eigenen AutoMod anschalten

Discord hat seit einer Weile eine eingebaute Moderation, die viele Serverbetreiber nie geöffnet haben. Unter Servereinstellungen, AutoMod kannst du mit zwei Klicks Filter gegen Spam Links, Massen Erwähnungen und häufig missbrauchte Wörter aktivieren.

Das ersetzt keinen richtigen Filter, aber es ist kostenlos und sofort da.

3. Aufräumen, wer eigentlich Rechte hat

Der unangenehmste Fall ist kein Raid von außen, sondern ein Konto von innen, das übernommen wurde. Jemand aus deinem Team fällt auf einen Phishing Link herein, der Angreifer hat plötzlich Administratorrechte, und in vier Minuten sind alle Kanäle gelöscht.

Geh deine Rollenliste einmal durch und stell dir bei jeder Rolle mit Administrator die Frage, ob die Person sie wirklich braucht. In den allermeisten Fällen reichen die konkreten Rechte:

• Ein Supporter braucht Nachrichten verwalten und Mitglieder timeouten, nicht Administrator.
• Ein Eventmanager braucht Kanäle verwalten in einer Kategorie, nicht serverweit.
• Ein Bot braucht selten alles, auch wenn seine Einladung alles vorschlägt.

Zusätzlich solltest du für jedes Teammitglied die Zwei Faktor Authentifizierung verlangen. Unter Servereinstellungen, Sicherheitsvorkehrungen gibt es dafür einen Schalter, der Moderationsaktionen ohne 2FA blockiert.

4. Einladungen begrenzen

Ein Raid braucht einen Einladungslink. Wenn dein Link seit zwei Jahren unverändert in einer Serverliste steht, ist er irgendwann in einer Sammlung gelandet, die reihum abgearbeitet wird.

Erstelle für öffentliche Listen Einladungen mit Ablaufdatum und begrenzter Nutzungszahl, statt einen unbegrenzten Link zu streuen. Unter Servereinstellungen, Einladungen siehst du alle aktiven Links und kannst alte widerrufen.

5. Ein Kontoalter erzwingen

Hier hören Discords Bordmittel auf. Die Verifizierungsstufe Mittel verlangt fünf Minuten Kontoalter, was für ernsthafte Angreifer kein Hindernis ist. Wer seine Konten eine Woche vorher anlegt, kommt trotzdem durch.

Ein Bot kann das Beitrittsdatum des Discord Kontos prüfen und Konten unterhalb einer Grenze automatisch entfernen. Sieben Tage sind ein guter Standardwert: das fängt fast alle Wegwerfkonten, hält aber kaum echte Neulinge auf.

Wichtig dabei: Nimm Kick statt Bann. Ein gekicktes Konto darf wiederkommen, sobald es alt genug ist. Ein Bann trifft irgendwann jemanden, der sich gerade erst bei Discord angemeldet hat, weil ein Freund ihn eingeladen hat.

Bei AlphaCloud macht das das Modul Account Alter, das du im Webpanel mit zwei Feldern einrichtest.

6. Eine Verifizierung vor den Server setzen

Das Prinzip: Neue Mitglieder sehen genau einen Kanal. Erst wenn sie dort etwas tun, bekommen sie eine Rolle, die den Rest öffnet.

Der Aufwand für dich ist einmalig:

1. Nimm der Rolle @everyone die Sichtbarkeit für alle Kanäle außer dem Verifizierungskanal.
2. Leg eine Rolle an, die alles andere sehen darf.
3. Lass einen Bot diese Rolle auf Knopfdruck vergeben.

Ein einfacher Knopf hält schon reine Nachrichten Bots ab. Wenn dein Server gezielt angegriffen wird, ist eine kleine Rechenaufgabe die bessere Wahl, weil sie sich nicht blind anklicken lässt.

Der Nebeneffekt ist angenehm: Du siehst in der Mitgliederliste sofort, wer die Verifizierung durchlaufen hat und wer nicht.

7. Eine automatische Notbremse

Die ersten sechs Punkte verhindern den Großteil. Für den Rest brauchst du etwas, das schneller reagiert als du.

Der Gedanke dahinter ist einfach: Nicht eine einzelne Aktion ist verdächtig, sondern ihre Geschwindigkeit. Ein gelöschter Kanal ist Alltag. Zehn gelöschte Kanäle in zwanzig Sekunden von einem Konto, das gestern Administrator geworden ist, sind ein Angriff.

Ein Anti Nuke System zählt solche Aktionen, gewichtet sie und greift ein, wenn ein Schwellwert überschritten wird. Sinnvoll ist dabei:

• Quarantäne statt Bann bei Menschen. Der Angriff stoppt sofort, aber du kannst die Rollen zurückgeben, wenn es ein Fehlalarm war.
• Ein Log Kanal, damit du morgens siehst, was passiert ist.
• Eine Whitelist für deine Leitung und für Bots, die legitim viel tun.

AlphaCloud nennt das Modul Anti Nuke. Es kann zusätzlich gelöschte Kanäle und Rollen wiederherstellen, allerdings mit einer wichtigen Einschränkung, die dir jedes ehrliche System sagen sollte: Der Nachrichtenverlauf kommt nicht zurück. Wiederhergestellte Kanäle sind leer. Das ist Schadensbegrenzung, kein Backup.

Was du in der Reihenfolge tun solltest

Wenn du heute nur zwanzig Minuten hast:

1. Verifizierungsstufe auf Hoch (2 Minuten)
2. Rollen mit Administrator durchgehen (10 Minuten)
3. Alte Einladungslinks widerrufen (3 Minuten)
4. Discord AutoMod anschalten (5 Minuten)

Damit ist der Großteil erledigt. Die Punkte 5 bis 7 lohnen sich, sobald dein Server über ein paar hundert Mitglieder wächst oder wenn du schon einmal getroffen wurdest.

Und ein letzter Rat, der nichts mit Einstellungen zu tun hat: Mach ein Backup deiner Serverstruktur. Rollen, Kategorien, Kanäle. Wenn es doch einmal passiert, ist der Unterschied zwischen einer halben Stunde und einem ganzen Wochenende genau diese eine Datei.