Discord Scam erkennen: Phishing-Links stoppen, Mitglieder schützen

Fast jeder größere Server erlebt es irgendwann: Ein Mitglied postet plötzlich „Gratis Nitro für alle“ mit einem Link, oder jemand bekommt eine DM von einem angeblichen Moderator, der dringend das Passwort braucht. Meist steckt hinter so einem Discord Scam ein gekaperter Account, der jetzt selbst weiter streut. Wer darauf hereinfällt, verliert oft seinen Account, Spielinventare oder echtes Geld.

Du kannst nicht jede Masche verhindern, aber du kannst es Betrügern sehr schwer machen. In diesem Ratgeber lernst du die häufigsten Maschen kennen, siehst, woran du gefälschte Links erkennst, und richtest den Schutz in Discord und in Lizbot ein. Am Ende steht, wie du deine Mitglieder aufklärst, denn die beste Technik hilft wenig, wenn jemand den Link aus einer DM trotzdem öffnet.

Die häufigsten Maschen

Fake-Nitro und Geschenke

Der Klassiker: „Discord verschenkt 3 Monate Nitro“ oder „Ich hab ein Steam-Geschenk übrig, willst du?“. Der Link führt auf eine nachgebaute Login-Seite. Wer dort Name und Passwort eingibt, gibt beides direkt an die Betrüger weiter. Echte Nitro-Geschenke erscheinen in Discord als eigene Geschenk-Karte im Chat, nicht als Link auf eine fremde Seite.

Gewinnspiele und Krypto-Köder

„Du hast gewonnen, verbinde nur kurz deine Wallet“ oder „Neues Spiel im Test, lad die Beta herunter“. Hinter dem Download steckt oft Schadsoftware, die gespeicherte Logins aus dem Browser und das Discord-Token ausliest. Damit braucht der Angreifer nicht einmal dein Passwort.

QR-Code-Login

Besonders fies: Jemand schickt dir einen QR-Code, angeblich für eine Verifizierung oder ein Gewinnspiel. In Wahrheit ist es der Login-Code von Discord. Wer ihn mit der Discord-App scannt, meldet den Betrüger an seinem eigenen Account an. Faustregel: Einen QR-Code scannst du in der Discord-App nur, wenn du dich gerade selbst an deinem eigenen Computer anmelden willst.

Falsche Discord-Mitarbeiter und Fake-Mods

„Hier ist das Discord-Team. Dein Account wurde aus Versehen gemeldet und wird gesperrt. Schreib dem Moderator XY, der klärt das.“ Diese Masche setzt auf Druck und Zeitnot. Der angebliche Moderator verlangt dann Login-Daten, einen QR-Scan oder eine Zahlung. Wichtig zu wissen: Discord-Mitarbeiter schreiben dir nicht per Freundschaftsanfrage oder normaler DM, und kein echter Moderator braucht je dein Passwort. Offizielle Nachrichten von Discord sind im Client deutlich als Systemnachricht gekennzeichnet.

Eine Variante richtet sich gegen dein Team: Jemand gibt sich als Mitarbeiter eines Bot-Anbieters oder einer Partner-Community aus und bittet einen Admin, „kurz einen Bot zu autorisieren“. Dahinter steckt eine Anwendung, die Rechte auf deinem Server haben will.

Zu zwei weiteren Maschen gibt es eigene Ratgeber, zu gehackten Konten, die Bilder in alle Channels spammen, und zu missbrauchten Webhooks, über die Scam-Links ganz ohne Mitgliedskonto in den Server gelangen.

Wie gefälschte Links aussehen

Die meisten Phishing-Links sehen auf den ersten Blick echt aus. Achte auf diese Muster:

• Vertauschte Buchstaben: dlscord.com statt discord.com, steamcommunlty.com statt steamcommunity.com. Ein kleines l statt i, rn statt m oder eine Null statt o fallen beim schnellen Lesen kaum auf.
• Echter Name als Subdomain: discord.com.beispiel.ru gehört nicht Discord, sondern beispiel.ru. Entscheidend ist immer der Teil direkt vor der Endung ganz rechts.
• Marke plus Köderwort: discord-nitro-gift.xyz oder steam-free-promo.com haben mit den echten Anbietern nichts zu tun.
• Verkürzte und maskierte Links: Ein Kurzlink verrät nicht, wohin er führt. In Discord kann der angezeigte Text eines Links außerdem anders lauten als das Ziel. Discord warnt vor dem Öffnen solcher Links, diese Warnung lohnt sich zu lesen.
• Fremde Einladungen: Eine Einladung auf einen unbekannten Server mit „Verifizierung“ oder „Gewinnspiel“ führt oft zu einem Server, auf dem dann der eigentliche Betrug läuft.

Die echten Adressen sind übrigens kurz: discord.com, discord.gg für Einladungen und discord.gift für Geschenke. Alles, was nur ähnlich aussieht, ist verdächtig.

Entscheidungshilfe: welcher Schutz für welchen Server

1. Discord-Einstellungen prüfen

Bevor du einen Bot einrichtest, lohnt sich ein Blick in Discords eigene Optionen:

• Verifizierungsstufe in den Servereinstellungen auf mindestens Mittel stellen. Ganz frische Wegwerf-Accounts können dann nicht sofort schreiben.
• Zwei-Faktor-Pflicht für Moderation einschalten. Ein gestohlenes Passwort allein reicht dann nicht, um einen Team-Account für Scams zu missbrauchen. Wie du das einschaltest, erklärt der Ratgeber 2FA-Pflicht für Moderation.
• Discords AutoMod im Bereich AutoMod der Servereinstellungen: Die Regel gegen verdächtigen Spam und eigene Stichwortregeln blockieren Nachrichten, bevor sie erscheinen.
• DMs von Servermitgliedern: Jedes Mitglied kann über das Server-Menü in den Privatsphäre-Einstellungen festlegen, ob Mitglieder dieses Servers ihm Direktnachrichten schicken dürfen. Für große Server ist es sinnvoll, das in den Regeln zu empfehlen, denn viele Scams laufen gezielt per DM an Mitglieder, die man über die Mitgliederliste findet.

Mehr zur Grundabsicherung findest du im Ratgeber Discord Raid-Schutz einrichten.

2. Phishing-Schutz in Lizbot einschalten

Im Dashboard öffnest du AutoMod und dort den Reiter Phishing. Schalte den Abschnitt Phishing und Scam-Links auf Aktiv und lass Öffentliche Scam-Listen nutzen eingeschaltet. Lizbot gleicht dann jeden Link mit öffentlichen Listen von Zehntausenden bekannten Betrugsdomains ab und lädt diese Listen alle sechs Stunden neu, ohne dass du etwas tun musst.

Zusätzlich erkennt Lizbot nachgemachte Adressen von Discord und Steam, also genau die Muster aus dem Abschnitt oben: vertippte Namen wie dlscord.com, die echte Adresse als Subdomain und Marken mit Köderwörtern wie nitro, gift oder free. Die Erkennung ist bewusst zurückhaltend eingestellt, damit echte Seiten aus dem Discord-Umfeld nicht als Fehlalarm enden.

Unter Eigene gesperrte Domains trägst du Adressen ein, die in deiner Community aufgetaucht sind, aber noch auf keiner Liste stehen. Als Aktion sind Löschen und Timeout voreingestellt. Das ist sinnvoll, denn wer Scam-Links postet, hat meist einen gekaperten Account, und der Timeout stoppt die Verbreitung, bis das Mitglied seinen Account zurück hat. Der Phishing-Schutz ist im Free-Plan enthalten.

3. Links und Einladungen gezielt filtern

Im Reiter Regeln findest du die Abschnitte Invite-Links und Links. Bei Invite-Links kannst du Eigene Server-Invites erlauben, fremde Einladungen werden dann entfernt. Für Links wählst du einen Modus:

• Blacklist: nur gelistete Domains blockieren: Alles ist erlaubt außer den Domains, die du einträgst. Gut für Server, in denen viel geteilt wird.
• Whitelist: nur gelistete Domains erlauben: Nur deine Liste geht durch, etwa eure Webseite und die Plattformen, die ihr wirklich nutzt. Das ist der stärkste Schutz für Communitys mit jungen Mitgliedern.
• Alle Links blockieren: Für Channels, in denen Links nichts verloren haben.

Mit Ausgenommene Channels und Ausgenommene Rollen lässt du zum Beispiel einen Medien-Channel oder Stammmitglieder offen. Wie du die Aktionen und Ausnahmen klug kombinierst, steht im Ratgeber Discord AutoMod einrichten.

4. Scam-Phrasen im Wortfilter aktivieren

Nicht jeder Scam enthält einen Link. Manche Nachrichten wollen nur, dass das Opfer per DM antwortet. Im Reiter Wortfilter gibt es deshalb unter Wortpakete das Paket Scam-Phrasen mit typischen Maschen wie gratis Nitro, Steam-Geschenke oder „aus Versehen gemeldet“. Internationale Scam-Phrasen werden unabhängig von den gewählten Sprachen immer geprüft. Wähle für das Paket den Schweregrad und eine eigene Aktion, etwa Löschen und verwarnen.

5. KI-Scam-Schutz einrichten (Pro)

Feste Listen und Wortfilter übersehen neue Maschen. Dafür gibt es den KI-Scam-Schutz im Reiter Scam-Schutz. Ein Vorfilter im Bot sucht zuerst nach Auffälligkeiten wie unbekannten Links, Kurzlinks, maskierten Links, fremden Einladungen, Gratis-Nitro-Ködern oder Krypto-Versprechen. Nur diese verdächtigen Nachrichten gehen an die KI, Namen und Erwähnungen werden vorher durch Platzhalter ersetzt, Bilder werden nie mitgeschickt.

So richtest du ihn ein:

1. Lege im Reiter Übersicht einen AutoMod-Log-Channel fest. Dort erscheinen die Erkennungen mit den Buttons Richtig erkannt und Fehlalarm.
2. Schalte KI-Scam-Schutz aktiv ein. Damit beginnt eine Lernphase von 7 Tagen, in der Lizbot nur beobachtet und ins Log schreibt, was es tun würde.
3. Wähle die Aktion nach der Lernphase: Nur melden, Löschen, Löschen und verwarnen oder Löschen und Timeout.
4. Stelle die Empfindlichkeit ein. Normal ist für die meisten Server richtig, Streng fängt auch unsichere Fälle.
5. Trage unter Erlaubte Domains eure eigene Webseite ein. Große bekannte Seiten sind schon erlaubt.
6. Drückt dein Team in der Lernphase konsequent die Feedback-Buttons. Domains aus Fehlalarmen gelten danach als unbedenklich.

Team-Rollen, der Owner und vertrauenswürdige Mitglieder sind nie betroffen. Im Pro-Plan sind bis zu 500 KI-Prüfungen am Tag enthalten, im Studio-Plan bis zu 3000. Ist das Kontingent erreicht, markiert der Schutz verdächtige Nachrichten nur noch, ohne automatische Aktion. Im Studio-Plan gibt es zusätzlich die allgemeine KI-Prüfung im Reiter KI, die neben Beleidigungen auch die Kategorie Betrug und Phishing abdeckt.

6. Mitglieder aufklären

Die meisten Scams laufen per DM, und dort sieht kein Bot mit. Deshalb gehört Aufklärung fest dazu.

Willkommens-DM: Im Modul Willkommen schreibst du im Reiter Direktnachricht jedem neuen Mitglied eine kurze Warnung. Das ist im Free-Plan enthalten. Ein Beispiel:

Willkommen auf {guild.name}! Kurz zur Sicherheit: Unser Team fragt dich nie nach Passwort, Codes oder einem QR-Scan. Bekommst du eine DM mit Gratis-Nitro oder einer „Meldung“ gegen deinen Account, ist das Betrug. Melde es bitte im Support-Channel.

Wie du Nachricht und Embed gestaltest, steht im Ratgeber Discord Willkommensnachricht.

Sticky-Nachricht: Im Modul Interaktion im Reiter Sticky-Nachrichten legst du eine Nachricht an, die immer unten im Channel bleibt. Für den Hauptchat eignet sich ein kurzer Hinweis wie „Kein Team-Mitglied schreibt dich zuerst per DM an“. Stelle bei Neu posten nach einen nicht zu kleinen Wert ein, etwa 15 Nachrichten, sonst wirkt sie aufdringlich. Mehr dazu steht im Ratgeber Sticky-Nachrichten einrichten.

Regeln und Meldewege: Nimm einen Satz zu Scams in eure Server-Regeln auf und sag, wie man meldet. Mitglieder melden verdächtige Nachrichten im Server per /report oder per Rechtsklick auf die Nachricht, Apps, Nachricht melden. Das funktioniert nur, wenn du unter Moderation im Reiter Meldungen einen Report-Channel festgelegt hast. Scam-DMs melden Betroffene zusätzlich direkt bei Discord.

Wenn ein Account gekapert wurde

Postet ein Stammmitglied plötzlich Scam-Links, ist sein Account fast immer übernommen. Gib ihm einen Timeout oder nimm ihm mit /mod quarantine add vorübergehend die Rollen, statt ihn zu bannen. Für die Quarantäne brauchst du eine Quarantäne-Rolle, die du unter Moderation im Reiter Quarantäne festlegst. Bitte ihn über einen anderen Weg, sein Passwort zu ändern, die Zwei-Faktor-Authentifizierung einzuschalten und in den Benutzereinstellungen unter Geräte alle unbekannten Sitzungen abzumelden. Den ganzen Ablauf für Mods beschreibt der Ratgeber Mitglied gehackt und spammt Links. Betrifft es einen Account aus deinem Team, prüfe sofort dessen Rechte. Wie du dein Team dafür aufstellst, liest du unter Discord-Moderationsteam.

Checkliste

• Verifizierungsstufe mindestens Mittel, 2FA-Pflicht für Moderation an
• Phishing-Schutz mit öffentlichen Scam-Listen aktiv
• fremde Invite-Links gefiltert, Link-Modus bewusst gewählt
• Wortpaket Scam-Phrasen eingeschaltet
• KI-Scam-Schutz mit Log-Channel und Lernphase eingerichtet (Pro)
• Willkommens-DM und Sticky-Nachricht warnen vor typischen Maschen
• Report-Channel festgelegt, Team prüft Meldungen zeitnah

Häufige Fehler

• Gekaperte Accounts sofort bannen: Ein gekaperter Account gehört meist einem echten Mitglied. Ein Timeout stoppt den Spam, ohne dass du jemanden verlierst.
• Whitelist ohne eure eigenen Seiten: Dann blockiert der Filter auch eure Webseite oder euren Stream-Kanal. Trag alles ein, was ihr regelmäßig teilt.
• Kein Log-Channel für den KI-Scam-Schutz: Ohne ihn sieht dein Team keine Erkennungen und kann kein Feedback geben.
• Lernphase vorzeitig beenden: Sieben Tage Beobachtung mit Feedback machen die Erkennung für deinen Server deutlich genauer.
• Nur auf Technik setzen: DMs kann kein Server-Bot lesen. Ohne Aufklärung bleibt die größte Lücke offen.