Minecraft-Server vor DDoS schützen: der komplette Leitfaden

So funktioniert ein Angriff

Bei Minecraft gibt es zwei Arten von Angriffen, und ein guter Schutz muss beide abwehren:

• Überlastungs-Angriffe (Floods): Riesige Mengen Datenpakete verstopfen die Leitung zu deinem Server. Gegen diese Menge hilft nichts, was auf deinem Server selbst läuft.
• Bot-Angriffe: Gefälschte Spieler joinen massenhaft, spammen oder testen Passwörter. Die Leitung ist frei, aber dein Server ist mit Fake-Spielern beschäftigt.

Beide haben gemeinsam: Der Angreifer braucht ein Ziel. Das ist die IP-Adresse, unter der dein Server erreichbar ist.

Deine Möglichkeiten im Überblick

1. Der DDoS-Schutz deines Hosters

Viele Hoster haben einen Grundschutz eingebaut. Der fängt große Floods oft ab, kennt aber meistens nicht das Minecraft-Protokoll und erkennt deshalb keine Bots. Manche Hoster sperren bei einem großen Angriff deine IP vorübergehend komplett, um ihr eigenes Netz zu schützen. Dann bist du offline, obwohl der Angriff „abgewehrt“ wurde.

2. Ein spezialisierter Minecraft-Schutz

Dienste wie BlackProtect, TCPShield oder andere sitzen als Zwischenstation vor deinem Server: Spieler verbinden sich mit dem Dienst, der filtert und gibt nur echte Verbindungen weiter. Vorteil: Deine echte IP bleibt verborgen, und der Filter versteht, wie eine echte Minecraft-Verbindung aussieht. Für die meisten Server ist das die beste Lösung.

3. Eigene Firewall und Plugins

Eine Firewall und Anti-Bot-Plugins helfen gegen kleine Bot-Wellen. Gegen einen echten Flood helfen sie nicht, weil die Leitung schon verstopft ist, bevor deine Firewall überhaupt etwas sieht. Als Ergänzung sind sie trotzdem sinnvoll, vor allem die Firewall, die nur noch den Schutzdienst durchlässt.

Worauf du bei einem Schutz achten solltest

• Standort: Je näher die Filter-Server an deinen Spielern stehen, desto weniger Ping kommt dazu. Für Spieler aus Deutschland, Österreich und der Schweiz ist ein Standort in Deutschland ideal.
• Java und Bedrock: Spielen bei dir auch Leute auf dem Handy oder der Konsole (über Geyser), muss der Schutz auch Bedrock-Verbindungen weiterleiten.
• Echte Spieler-IP: Hinter einem Schutz sieht dein Server sonst nur noch die IP des Schutzdienstes. Bans und Logs funktionieren dann nicht mehr richtig. Achte auf PROXY protocol, damit die echte IP jedes Spielers ankommt.
• Kein Plugin nötig: Am besten funktioniert der Schutz ohne Plugin auf deinem Server, nur über einen DNS-Eintrag.
• Support, der antwortet: Wenn du angegriffen wirst, willst du nicht drei Tage auf ein Ticket warten.
• Datenschutz: Über den Schutz laufen die IP-Adressen deiner Spieler. Ein Anbieter in der EU mit Auftragsverarbeitungsvertrag (AVV) macht es dir rechtlich einfacher.

So läuft die Einrichtung mit BlackProtect

Damit du siehst, wie wenig Aufwand das ist, hier der komplette Ablauf. Du brauchst eine eigene Domain (z. B. play.deinserver.de) und die IP und den Port deines Servers.

1. Kostenloses Konto anlegen

   Jedes neue Konto bekommt 30 Tage alle Funktionen, ohne Kreditkarte.

2. Domain eintragen

   Zum Beispiel play.deinserver.de. Du bekommst ein persönliches Ziel für den DNS-Eintrag.

3. DNS-Eintrag setzen

   Bei deinem Domain-Anbieter setzt du einen CNAME-Eintrag auf dieses Ziel. Liegt deine Domain bei Cloudflare, erledigen wir das auf Wunsch mit einem Klick für dich.

4. Server angeben

   IP und Port deines eigentlichen Servers, z. B. 203.0.113.10:25565. Während du das nachschaust, wird der DNS-Eintrag schon weltweit sichtbar.

5. Fertig, mit Beweis

   Wir pingen deinen Server über den Schutz an und zeigen dir Version, Spielerzahl und MOTD so, wie sie in der Serverliste erscheinen.