Server gehackt — was jetzt?

Vielleicht bist du hier gelandet, weil gerade etwas komisch ist mit deinem Server: Spieler werden gekickt, die CPU dreht durch, Dateien sind weg, oder dein Hoster hat dir eine Abuse-Mail geschickt. Dann zuerst: durchatmen. Die meisten Vorfälle bei kleinen Gameserver-Setups sind automatisierte Massenangriffe, keine gezielten Attacken. Das macht die nächsten Schritte planbar.

1Server vom Netz nehmen

Erster Schritt, bevor du irgendetwas anderes machst: Verhindere, dass der Angreifer weiter Zugriff hat oder der Server weiter Schaden anrichtet, etwa als Teil eines Botnetzes. Ein Botnetz ist ein Netzwerk gekaperter Server, die ferngesteuert für Angriffe auf andere missbraucht werden. Am einfachsten geht das über die Firewall des Hosters im Kundenportal, nicht auf dem Server selbst — das isoliert den Server vom Netz, ohne ihn anzufassen, der Arbeitsspeicher bleibt dabei erhalten. Genau das ist der Vorteil gegenüber einem Shutdown oder Neustart: Beide löschen den Arbeitsspeicher und mit ihm Spuren, die du später zur Aufklärung brauchst. Nur wenn der Server komplett unerreichbar ist und selbst das Kundenportal nicht weiterhilft, bleibt als letzte Option die Rescue-Console des Hosters — ein Notfall-Zugang außerhalb des eigentlichen Systems. Sei dir dabei bewusst: Der Wechsel in die Rescue-Umgebung läuft faktisch über einen Neustart und löscht damit selbst die flüchtigen Spuren im Arbeitsspeicher.

2Ruhig einschätzen, wie schlimm es ist

Ein paar Kommandos, mit denen du dir — falls du noch regulär reinkommst — einen ersten Überblick verschaffst (über die Rescue-Console siehst du nur die Festplatte, keine laufenden Prozesse oder Verbindungen):

ps aux --sort=-%cpu | head -20   # Welche Prozesse laufen, sortiert nach CPU-Last
ss -tulpn                        # Offene Netzwerkverbindungen und Ports
who                               # Wer ist gerade eingeloggt
last -20                         # Die letzten Logins
crontab -l                       # Geplante Aufgaben des aktuellen Nutzers
tail -50 /var/log/auth.log       # Letzte Anmelde-Ereignisse (Debian/Ubuntu)

Damit findest du meistens schnell, ob z. B. ein unbekannter Prozess viel CPU frisst, eine ungewöhnliche Verbindung offen ist oder sich jemand eingeloggt hat, den du nicht kennst. Häufige Szenarien bei kleinen Gameservern, danach eingeordnet:

• Nur der Gameserver-Prozess betroffen (z. B. eine kompromittierte Minecraft-Welt oder ein bösartiges Plugin): meistens harmlos für das restliche System, Neuinstallation des Spielservers reicht oft.
• Cryptomining oder Botnetz-Prozess im Hintergrund: deutet auf vollen System-Zugriff hin, hier reicht Aufräumen nicht mehr aus.
• Root-Zugriff kompromittiert (z. B. weil Passwort-Login aktiv war), der schlimmste Fall.

Bei den letzten beiden gilt: dem System nicht mehr vertrauen. Ein Angreifer mit vollem Zugriff kann unsichtbare Hintertüren hinterlassen, die du beim bloßen Durchsuchen nicht findest, etwa ein manipuliertes Systemprogramm oder einen versteckten zweiten Nutzer-Account. Deshalb reicht "aufräumen" hier nicht, es muss neu aufgesetzt werden, siehe Schritt 4.

3Alle Zugangsdaten ändern, überall

Nicht nur auf dem betroffenen Server. Wenn du ein Passwort mehrfach verwendet hast (was du nicht solltest, siehe Passwörter & Nutzerverwaltung), ändere es auch überall sonst.

Die gängigsten Zugänge und Dienste, als Checkliste

Extern, unabhängig vom Server — diese sofort ändern:

• Hoster-Kundenkonto: Passwort ändern, falls noch nicht geschehen 2FA aktivieren (siehe Passwörter & Nutzerverwaltung).
• Discord-Bot-Token: Im Discord Developer Portal unter deiner Anwendung → Bot → "Reset Token".
• Cloud-Backup-Zugänge (Backblaze B2, Google Drive API o. ä.): Application-Key bzw. API-Token im jeweiligen Dashboard widerrufen und neu erzeugen.

Auf dem Server selbst (SSH-Keys, Panel-Zugänge und -API-Keys, Datenbank-Passwörter, FTP/SFTP-Konten): Hier nicht mehr am alten System herumändern — das erledigt sich mit dem sauberen Neuaufsetzen aus Schritt 4 von selbst.

4Sauber neu aufsetzen statt "putzen"

Bei vollem Root-Zugriff des Angreifers gibt es keine zuverlässige Methode, ein System wieder als "sauber" zu bezeichnen, ohne jede Datei geprüft zu haben. Das lohnt sich bei einem privaten Gameserver in den seltensten Fällen. Schneller und sicherer: Server beim Hoster neu aufsetzen (frisches Betriebssystem-Image) und von einem Backup vor dem Vorfall wiederherstellen, nicht vom letzten Stand, falls der Angreifer schon länger unbemerkt drin war.

5Hoster informieren, falls nötig

Wenn dein Server für Angriffe auf andere missbraucht wurde (Botnetz, Spam-Versand, DDoS-Teilnahme, also das gemeinsame Lahmlegen einer fremden Website durch massenhaft gleichzeitige Anfragen), bekommst du meist ohnehin eine Abuse-Meldung. Antworte darauf zeitnah und beschreibe kurz, dass der Vorfall erkannt und der Server neu aufgesetzt wurde. Das verhindert in der Regel eine Sperrung des Accounts.

6Verstehen, wie der Angreifer reinkam

Die häufigsten Wege bei kleinen Servern, in dieser Reihenfolge der Wahrscheinlichkeit:

1. Passwort-Login statt SSH-Key, per Brute-Force geknackt (automatisiertes, massenhaftes Durchprobieren von Passwörtern)
2. Veraltete Software mit bekannter Sicherheitslücke (Panel, Plugin, Betriebssystem)
3. Ein unsicheres oder bösartiges Mod/Plugin (vor allem bei Minecraft ein häufiger Weg)
4. Wiederverwendetes Passwort, das bei einem anderen Dienst geleakt wurde

Wenn du den Punkt findest, schließe genau den beim Neuaufsetzen, sonst bist du in ein paar Wochen wieder hier.

Wenn du dir das nicht allein zutraust oder es dir einfach zu viel Stress ist, mitten in der Aufregung alles richtig zu machen: melde dich. Ich helfe beim sauberen Wiederaufbau und richte gleich eine vernünftige Absicherung mit ein, damit es nicht nochmal passiert.