Mein Discord-Server wurde genukt: Checkliste für die Wiederherstellung

Wenn dein Discord-Server gerade genukt wurde, stoppe zuerst die Blutung (sperre den betroffenen Account oder entziehe ihm die Rollen). Finde dann im Audit-Log heraus, wer es war. Baue danach Kanäle und Rollen aus einer Vorlage wieder auf, falls du eine hast, hebe die Sperren in der Sperrliste auf und akzeptiere, dass gelöschte Nachrichten weg sind, denn Discord hat kein Wiederherstellen. Das ist die praktische Reihenfolge, keine Theorie darüber, wie Anti-Nuke-Bots einen Angriff erkennen. Das behandelt unser Anti-Nuke-Guide. Diese Anleitung sagt dir, was du in der ersten Stunde, am ersten Tag und danach tatsächlich tun solltest.

Zuerst: sicherstellen, dass es wirklich gestoppt ist

Bevor du etwas anderes anfasst, stelle sicher, dass der Angreifer nicht mehr handeln kann. Läuft ein Anti-Nuke-Bot, prüfe seinen Log-Kanal; dort sollte stehen, dass der Account automatisch in den Timeout gesetzt, gekickt oder gesperrt wurde. Gibt es keinen Anti-Nuke-Schutz oder kam der Angriff von einem Account, den der Bot ausnimmt (der Account des Server-Owners kann nicht von Anti-Nuke bestraft werden, und jeder Account auf einer Vertrauensliste wird absichtlich übersprungen), dann handle selbst: Entziehe dem Account die Rollen oder kicke ihn. War es ein kompromittierter Team-Account, sag der Person, dass sie sofort ihr Discord-Passwort ändern und ihre autorisierten Apps prüfen soll. Ein Nuke ist sehr oft das Ende eines abgefischten Tokens und kein zufälliger Angriff.

Herausfinden, was passiert ist: das Audit-Log

Servereinstellungen → Audit-Log erfasst jede Kanallöschung, Rollenlöschung, Sperre und jeden Kick mit dem Account, der es getan hat, und dem Zeitstempel. Das ist die Grundwahrheit für „wer“ und „wie viel“. Lies sie, bevor du irgendetwas annimmst, denn ein Nuke durch einen kompromittierten Admin-Account sieht im Moment genauso aus wie ein Nuke durch einen Bot mit zu vielen Berechtigungen. Wenn du einen Sicherheits-Bot betreibst, enthält dessen Log-Kanal meist eine übersichtlichere Zusammenfassung, was genau seine Reaktion ausgelöst hat und wann. Das ist schneller zu lesen, als das native Audit-Log von Discord Eintrag für Eintrag durchzublättern.

Wiederaufbau: was du zurückholen kannst und was nicht

• Kanäle und Kategorien: weg, außer du hast eine Servervorlage. Unter Servereinstellungen → Servervorlage kannst du jederzeit einen Snapshot deiner Kanal- und Rollenstruktur erstellen. Hast du vor dem Angriff einen angelegt, baust du mit ihr das Grundgerüst in unter einer Minute wieder auf. Hast du nie eine erstellt, legst du Kanäle von Hand aus dem Gedächtnis oder aus Screenshots neu an.
• Rollen und Berechtigungen: wie bei Kanälen stellt eine Vorlage die Struktur wieder her, nicht, wer welcher Rolle zugewiesen war. Die Rollen danach von Hand neu zu vergeben ist der langsame Teil.
• Nachrichten: nicht wiederherstellbar. Discord hat keine serverseitige Wiederherstellung für Nachrichteninhalte. Wenn etwas davon für Unterlagen wichtig war und nicht nur für Unterhaltung, also Support-Verlauf, Verkäufe, Bewertungen, prüfe, ob es an einem anderen Ort lag als in den reinen Chat-Nachrichten. Noxyr speichert Rechnungen und Ticket-Transkripte genau deshalb in seiner eigenen Datenbank, damit ein Nuke sie nicht zusammen mit den Kanälen mitreißt.
• Sperren: Hat der Angreifer viele Mitglieder gesperrt, kannst du unter Servereinstellungen → Sperren alle auf einmal entsperren. Das ist mühsam, aber vollständig wiederherstellbar. Eine Sperre zerstört keine Daten, sie verhindert nur den erneuten Beitritt.
• Der Server selbst: Ein Nuke löscht, so schlimm er auch ist, weder den Server noch entfernt er den Owner. Es ist immer ein Wiederherstellungs-Job, nie ein Neuaufbau aus dem Nichts.

Sag deinen Mitgliedern Bescheid, bevor sie es von einem leeren Server erfahren

Ein Server, der plötzlich drei Kanäle und keine Rollen hat, wirkt verlassen oder kompromittiert auf jeden, der nicht zugesehen hat. Schreibe in einen Kanal, der noch existiert (oder den ersten, den du wieder aufbaust), in ein bis zwei Sätzen, was passiert ist, und dass alles gerade wiederhergestellt wird. Schweigen kommt schlechter an als ein ehrliches „Wir wurden genukt, wir beheben es gerade.“

Wenn es stabil läuft: die eigentliche Lücke schließen

Ein Nuke passiert, weil ein Account mehr Berechtigungen hatte, als er brauchte, und entweder kompromittiert wurde oder böswillig handelte. Behebst du nur das akute Chaos und nicht diese Ursache, ist der nächste Vorfall nur einen Schritt entfernt:

1. Prüfe jede Rolle mit Administrator, Kanäle verwalten, Rollen verwalten oder Mitglieder sperren. Entziehe sie jedem, der sie nicht unbedingt braucht. Siehe unseren Guide zur Rolleneinrichtung nach dem Least-Privilege-Prinzip.
2. Prüfe jeden Bot auf dem Server auf dieselben Berechtigungen. Ein Bot mit mehr Zugriff, als seine Funktion braucht, ist eine zweite Angriffsfläche mit demselben Schadensradius wie ein kompromittierter Admin.
3. Aktiviere Anti-Nuke und Anti-Spam, falls sie aus waren, und setze den Log-Kanal, damit der nächste Vorfall (hoffentlich nie) ab der ersten Sekunde eine klare Spur hinterlässt.
4. Erstelle jetzt eine Servervorlage, solange alles ruhig ist, damit der nächste Wiederaufbau eine Minute statt einen Tag dauert.
5. Verlange 2FA für alle mit erhöhten Rollen, unter Servereinstellungen → Sicherheitseinrichtung.

Häufige Fragen

Kann der Discord-Support einen genukten Server wiederherstellen? Discord stellt bei Vorfällen auf Server-Ebene keine gelöschten Kanäle, Rollen oder Nachrichten wieder her. Die Wiederherstellung liegt beim Server-Owner. Wende dich nur an den Discord-Support, wenn der Account des Owners selbst kompromittiert und komplett ausgesperrt wurde. Das ist ein Problem der Account-Sicherheit, getrennt vom Schaden am Server.

Woran erkenne ich, ob es ein kompromittierter Team-Account oder ein böswilliger Bot war? Das Audit-Log nennt bei jeder Aktion den ausführenden Account. Ist es ein Bot-Account, prüfe, welche Berechtigungen dieser Bot tatsächlich brauchte und welche er hatte. Ist es ein menschlicher Account, müssen Passwort und verbundene Apps dieser Person geprüft werden, egal ob sie es absichtlich getan hat.

Sollte ich den Account sperren, der es getan hat? Wenn er eindeutig böswillig ist und kein kompromittierter Freund oder Team-Mitglied, mit dem du reden kannst, dann ja. War es ein gekaperter Account einer Person, die du kennst, reicht meist ein Kick oder Timeout, während sie ihren Account absichert. Eine Sperre für den gehackten Account eines Freundes erschwert es ihm, nach der Behebung wieder hereinzukommen.

Verhindert Anti-Nuke das nächste Mal? Es begrenzt den Schaden. Ein richtig konfigurierter Anti-Nuke-Bot verwandelt „der ganze Server ist weg“ in „ein paar Kanäle und ein Account im Timeout“. Handlungen, die passieren, bevor die Grenze überschritten wird, kann er nicht rückgängig machen. Die Grenzen und Einstellungen stehen im Anti-Nuke-Guide.

Gibt es eine Möglichkeit, gelöschte Nachrichten zurückzuholen? Nein, nicht über Discord. Wenn Nachrichteninhalte einen Vorfall überstehen sollen, müssen sie außerhalb des reinen Chats gesichert werden: in einem angehefteten Regeldokument, in exportierten Unterlagen oder in einem Bot, der seine eigene Kopie der wichtigen Dinge speichert, etwa Transkripte und Rechnungen.

Verhindere den nächsten Vorfall mit einem Sicherheits-Bot, der das Audit-Log ständig überwacht. Den Teil der Server-Verteidigung, der beim Beitritt ansetzt, behandelt das Handbuch zum Raid-Schutz.