Discord-Server gehackt, was tun? Notfallplan in 10 Schritten

Plötzlich sind Channels weg, Rollen gelöscht, das halbe Team gebannt, und in den übrig gebliebenen Channels steht Werbung für einen Scam. Fast immer steckt dahinter kein Fremder, der Discord geknackt hat, sondern ein Account mit zu vielen Rechten: ein gekapertes Admin-Konto, ein Teammitglied, das auf einen Phishing-Link hereingefallen ist, oder ein Bot, den jemand mit Administrator-Recht eingeladen hat.

Wenn dein Discord-Server gehackt oder genukt wurde, zählt die Reihenfolge. Erst stoppst du den Angreifer, dann sicherst du den betroffenen Account, danach erfasst du den Schaden und baust zurück. Dieser Notfallplan führt dich in zehn Schritten durch, mit Discords eigenen Werkzeugen und mit Lizbot.

Erst stoppen, dann aufräumen

Der häufigste Fehler im Ernstfall: Man fängt sofort an, Channels neu anzulegen, während der Angreifer noch Rechte hat. Alles, was du jetzt baust, kann er in der nächsten Minute wieder löschen. Deshalb gehören die ersten drei Schritte nur dem Stoppen.

Wichtig ist auch: Bans, Kicks und Löschungen über Discord kann nur jemand ausführen, dessen höchste Rolle über der des Ziels steht. Die Server-Inhaberin oder der Inhaber steht immer über allen. Ist der Owner-Account selbst übernommen, kann niemand auf dem Server diesen Account bremsen. Dann hilft nur noch der Discord-Support, dazu mehr in den Häufigen Fragen.

1. Den verantwortlichen Account finden

Öffne die Servereinstellungen und dort das Audit-Log. Discord zeigt dort, wer wann einen Channel gelöscht, eine Rolle geändert oder jemanden gebannt hat. Du kannst nach Nutzer und nach Aktion filtern. Sieh dir die jüngsten Einträge an: Meist taucht ein einziger Account dutzendfach hintereinander auf. Wie du die Einträge liest und filterst, erklärt der Ratgeber zum Discord-Audit-Log.

Achte auch auf Einträge wie „Bot hinzugefügt“, „Webhook erstellt“ oder Rechte-Änderungen an @everyone. Ein Angreifer verschafft sich oft zuerst einen Bot mit Administrator-Recht oder gibt @everyone gefährliche Rechte, damit viele Konten gleichzeitig zerstören können.

Hattest du die Lizbot-Zeitmaschine schon eingeschaltet, hat Lizbot dir diese Arbeit abgenommen: Im Alarm-Channel steht dann eine Meldung wie „@Name hat 12 Channel-Löschungen in 30 Sekunden ausgeführt“, mit der Gegenmaßnahme, die Lizbot schon ergriffen hat.

2. Dem Account die Rechte entziehen

Entziehe dem verantwortlichen Account sofort alle Team-Rollen. Rechtsklick auf das Mitglied, Rollen, und die Haken entfernen. Geht es schneller, kickst oder bannst du den Account. Ein Ban ist bei einem gekaperten Teammitglied nicht böse gemeint, du kannst ihn später mit /mod unban wieder aufheben.

Funktioniert das nicht, steht seine höchste Rolle über deiner. Dann muss jemand weiter oben in der Rollenliste handeln, im Zweifel der Owner. Als zusätzliche Bremse kannst du einer verdächtigen Rolle in den Servereinstellungen unter Rollen das Recht Administrator wegnehmen, sofern sie unter deiner steht.

Mit Lizbot geht es auch per Befehl: /mod quarantine add nimmt einem Mitglied alle Rollen und lässt es nur noch den Quarantäne-Bereich sehen. Mit /mod quarantine remove bekommt es die Rollen zurück, wenn der Fall geklärt ist. Das ist praktisch, wenn du einem Teammitglied den Zugang später unkompliziert zurückgeben willst.

3. Fremde Bots und Webhooks entfernen

Prüfe in den Servereinstellungen unter Integrationen, welche Bots und Webhooks es gibt. Entferne jeden Bot, den niemand aus dem Team bewusst eingeladen hat, und lösche Webhooks, die während des Angriffs entstanden sind. Über Webhooks lassen sich auch ohne Bot weiter Spam-Nachrichten posten.

Die Zeitmaschine kann das ab dem Moment, in dem sie eingeschaltet ist, selbst übernehmen. Mit Bots mit gefährlichen Rechten sofort entfernen kickt Lizbot einen Bot, den ein nicht freigegebener Account mit gefährlichen Rechten hinzufügt, und greift beim Account ein. Mit Gefährliche Rechte aus dem Vorfall sofort entziehen dreht Lizbot Rechte zurück, die im Vorfall dazukamen.

Wie du kompromittierte Webhooks erkennst und das Recht dafür eingrenzt, zeigt der Ratgeber Discord-Webhook missbraucht.

4. Den Server dichtmachen

Solange du aufräumst, sollen keine neuen Accounts nachkommen und niemand in den Channels weiterspammen:

• Lösche in den Servereinstellungen unter Einladungen verdächtige oder alle aktiven Links. Die Zeitmaschine pausiert bei einem Vorfall auf Wunsch alle Einladungen automatisch, Lizbot braucht dafür das Recht „Server verwalten“.
• /channel lockdown start hebt die Verifizierungsstufe vorübergehend auf Hoch, standardmäßig für 15 Minuten, über die Option minuten bis zu 24 Stunden. Auch dafür braucht Lizbot „Server verwalten“, /channel lockdown end beendet den Lockdown vorzeitig.
• /channel lockall sperrt nach einer Bestätigung alle Text-Channels für normale Mitglieder. /channel unlockall hebt das wieder auf.

Wie du gegen Join-Wellen von außen vorgehst, steht ausführlich im Ratgeber zum Raid-Schutz.

5. Den gekaperten Account sichern

Solange der Angreifer im Account des Teammitglieds steckt, kann er wiederkommen, sobald jemand ihm die Rollen zurückgibt. Die betroffene Person sollte deshalb, am besten an einem sauberen Gerät:

• ihr Passwort ändern, falls nötig über „Passwort vergessen“ auf der Login-Seite
• unter den Benutzereinstellungen bei Geräte alle unbekannten Sitzungen abmelden
• die Zwei-Faktor-Authentifizierung einschalten oder neu einrichten
• unter Autorisierte Apps alles entfernen, was sie nicht kennt
• prüfen, wie es passiert ist: ein angeblicher Spieletest, ein QR-Code zum „Verifizieren“, ein heruntergeladenes Programm

Kommt die Person nicht mehr in ihren Account, hilft nur der Discord-Support. Alle Schritte dazu stehen im Ratgeber Discord-Account gehackt. Gib der Person ihre Team-Rollen erst zurück, wenn sie den Account wieder sicher kontrolliert.

6. Den Schaden erfassen

Jetzt, da niemand mehr zerstört, verschaffst du dir einen Überblick. Notiere aus dem Audit-Log, was gelöscht oder geändert wurde: Channels, Rollen, Rechte, Bans, Kicks, Emojis. Discord bewahrt Audit-Log-Einträge nur 45 Tage auf, mach bei einem großen Vorfall deshalb gleich Screenshots.

Lizbot hilft beim Erfassen an zwei Stellen:

• Vorfälle der Zeitmaschine: Im Dashboard unter Moderation im Reiter Zeitmaschine steht jeder Vorfall mit einer Zusammenfassung, etwa „8 Channels gelöscht, 3 Rollen gelöscht, 14 Bans“. Jeder Vorfall enthält eine Momentaufnahme dessen, was der Account gelöscht oder geändert hat.
• Logging: War das Logging aktiv, findest du gelöschte und geänderte Channels und Rollen, Rollen-Änderungen bei Mitgliedern, Bans, Kicks und Massenlöschungen von Nachrichten in deinen Log-Channels. Im Free-Plan bleiben die Protokolle im Dashboard 14 Tage, in Pro 90 Tage, in Studio 365 Tage.

Prüfe außerdem im Dashboard das Audit-Log von Lizbot. Dort steht jede Änderung an Lizbot-Einstellungen, auch wenn der Angreifer etwa die AutoMod abgeschaltet oder einen Log-Channel umgestellt hat.

7. Den Vorfall mit der Zeitmaschine zurückdrehen (Pro)

Die Zeitmaschine ist der schnellste Weg zurück, wenn sie vor dem Angriff eingeschaltet war. Unter dem Alarm in Discord und bei jedem Vorfall im Dashboard findest du Rückgängig machen. Lizbot legt dann genau die gelöschten Channels und Rollen wieder an, mit ihren Rechten und so nah wie möglich an der alten Position, dreht die Rechte-Änderungen zurück und gibt entzogene Rollen zurück. Auf Wunsch löscht Lizbot auch Channels, Rollen und Webhooks, die im Vorfall angelegt wurden.

Bans hebt Lizbot nur auf, wenn du es ausdrücklich willst: in Discord mit Rückgängig machen und entbannen, im Dashboard mit der Option Gebannte Nutzer entbannen. Fehlt bei einem Vorfall ein Detail, füllt Lizbot die Lücke aus dem letzten Backup oder, ab Pro, aus den Struktur-Schnappschüssen, die Lizbot in Pro täglich und in Studio alle 6 Stunden anlegt.

Was auch die Zeitmaschine nicht kann: Nachrichten gelöschter Channels sind bei Discord weg und kommen nur zurück, wenn ein Backup sie gesichert hat. Gekickte Mitglieder müssen selbst neu beitreten. Gelöschte Webhooks bekommen neue Adressen, verbundene Dienste richtest du neu ein. Rollen mit Team-Rechten gibt Lizbot nicht automatisch zurück.

Erkennung, Gegenmaßnahme, Alarm und Einladungs-Pause sind in allen Plänen enthalten. Das genaue Rückgängigmachen gibt es ab Pro.

8. Mit einem Backup wiederherstellen

Ohne Pro oder ohne eingeschaltete Zeitmaschine hilft ein Backup. Öffne im Dashboard Backups, wähle das letzte Backup vor dem Angriff und klicke auf Wiederherstellen. In Discord geht das mit /server backup restore.

Wähle den Modus Nur Fehlendes (in Discord fehlend). Er legt gelöschte Rollen und Channels neu an und lässt alles, was noch steht, unberührt. Vollständig setzt den ganzen Server auf den Stand des Backups zurück und ist für einen kompletten Neuaufbau gedacht, nicht für die Reparatur nach einem Nuke.

Zieh vorher die Lizbot-Rolle in der Rollenliste möglichst weit nach oben. Rollen über Lizbots höchster Rolle kann Lizbot weder anlegen noch ändern. Im Free-Plan kannst du 2 Backups speichern, in Pro 10 und in Studio 50. Ab Pro sichert Lizbot automatisch, in Studio auf Wunsch auch Nachrichten. Alle Details stehen im Ratgeber Discord-Server sichern.

Gibt es gar kein Backup, bleibt der Neuaufbau von Hand. Eine Server-Vorlage kann dir dabei eine fertige Grundstruktur liefern, die du anpasst.

Hast du kein Backup, erklärt der Ratgeber Gelöschten Kanal oder Rolle wiederherstellen, was sich trotzdem noch retten lässt.

9. Bans prüfen und aufheben

Ein Nuke trifft oft gezielt aktive Mitglieder und das Team. Öffne in den Servereinstellungen die Liste der Bans und vergleiche sie mit dem Audit-Log. Alles, was der Angreifer gebannt hat, solltest du aufheben.

Bei vielen Bans nutzt du in Lizbot die Massenaktion: Im Dashboard unter Fälle wählst du als Aktion Entbannen, fügst bis zu 200 Nutzer-IDs ein, eine pro Zeile oder mit Kommas, gibst einen Grund wie „Nuke am 24.10.“ an und bestätigst mit dem Wort „ENTBANNEN“. Nutzer-IDs kopierst du, wenn du in Discord unter den Einstellungen bei Erweitert den Entwicklermodus einschaltest, Schritt für Schritt erklärt im Ratgeber Discord-IDs kopieren.

Umgekehrt funktioniert die Massenaktion mit Bannen für Accounts, die während des Angriffs beigetreten sind und mitgespammt haben. Jeder Eintrag wird als eigener Fall mit Grund gespeichert. Ein Entbannen holt niemanden automatisch zurück, denn ein Bot kann niemanden einladen. Schick den Betroffenen danach einen neuen Einladungslink.

Wie du gebannte Nutzer in der Bannliste findest und entbannst, auch am Handy, zeigt der Ratgeber Discord-Bann aufheben.

10. Mitglieder informieren

Schweigen verunsichert. Poste, sobald der Server wieder steht, eine kurze, sachliche Nachricht in einem Ankündigungs-Channel:

• was passiert ist, ohne Details, die Nachahmer anleiten
• dass der Server wieder sicher ist und was ihr wiederhergestellt habt
• dass niemand auf Links aus der Angriffszeit klicken soll, falls Scam-Nachrichten verschickt wurden
• dass Gebannte entbannt wurden und wie sie zurückkommen

Hat der Angreifer über den gekaperten Account Direktnachrichten mit Scam-Links an Mitglieder verschickt, ist diese Warnung besonders wichtig. Verbleibende Scam-Nachrichten solltest du bei Discord melden.

Lehren aus dem Vorfall

Ein Hack ist ärgerlich, aber er zeigt genau, wo dein Server offen war. Diese Punkte schließen die meisten Lücken:

• Rechte sparsam vergeben: Administrator nur für ein bis zwei Personen. Moderatoren brauchen Bannen, Kicken und Timeout, aber nicht Rollen verwalten oder Server verwalten. Wie eine sichere Struktur aussieht, zeigt der Ratgeber Discord-Rollen einrichten.
• Zwei-Faktor-Pflicht für Moderation: Discord kann verlangen, dass alle mit Moderationsrechten 2FA aktiviert haben. Wie du die Zwei-Faktor-Pflicht für Moderation einschaltest, steht im eigenen Ratgeber.
• Zeitmaschine einschalten: Sie ist standardmäßig aus. Wähle eine Empfindlichkeit (Streng, Normal oder Locker), eine Gegenmaßnahme gegen den Account und einen Alarm-Channel. Schalte Alarm auch beim Server-Owner ein, falls einmal dein eigener Account übernommen wird. Wie der Schutz im Detail arbeitet, zeigt der Ratgeber zum Anti-Nuke-Schutz.
• Regelmäßige Backups: Leg mindestens vor jedem Umbau ein Backup an, ab Pro automatisch.
• Bots prüfen: Gib Bots nur die Rechte, die sie brauchen, und trag Bots, die regelmäßig aufräumen, unter Freigegebene Nutzer-IDs ein, damit die Zeitmaschine sie nicht für Angreifer hält.
• Team schulen: Wer weiß, wie gefälschte Spieletests, QR-Code-Logins und Nitro-Geschenke aussehen, klickt seltener drauf. Tipps für dein Team stehen im Ratgeber zum Moderationsteam.

Checkliste

• verantwortlicher Account gefunden und ohne Rechte
• fremde Bots und Webhooks entfernt
• Einladungen gelöscht oder pausiert, Server bei Bedarf im Lockdown
• gekaperter Account mit neuem Passwort, 2FA und abgemeldeten Geräten
• Schaden aus Audit-Log, Vorfällen und Logging notiert
• Channels und Rollen per Zeitmaschine oder Backup zurück
• ungerechtfertigte Bans aufgehoben
• Mitglieder informiert
• Zeitmaschine eingeschaltet, Backup aktuell

Häufige Fehler

• Sofort neu bauen: Solange der Angreifer Rechte hat, löscht er alles wieder. Erst stoppen, dann aufräumen.
• Rollen zu früh zurückgeben: Bekommt ein Teammitglied seine Rollen zurück, bevor der Account gesichert ist, beginnt der Angriff von vorn.
• Vollständig statt Nur Fehlendes: Der Modus Vollständig löscht vorher Channels und Rollen. Nach einem Nuke reicht fast immer Nur Fehlendes.
• Lizbot-Rolle zu weit unten: Dann kann Lizbot weder eingreifen noch Rollen wiederherstellen. Die Rolle gehört weit nach oben.
• Fremde Bots übersehen: Ein zurückgelassener Bot mit Administrator-Recht macht den Server sofort wieder angreifbar.
• Backup erst nach dem Angriff anlegen: Es sichert dann nur den zerstörten Zustand.