Dein Minecraft-Konto ist ein Microsoft-Konto. Dieselbe E-Mail-Adresse und dasselbe Passwort, mit denen du das Spiel startest, öffnen auch dein Postfach, deine gespeicherten Dateien und alles andere, was an diesem Login hängt. Gestohlene Minecraft-Konten werden massenhaft weiterverkauft, deshalb nehmen Angreifer Spieler jeden Alters mit Maschen rund um Server, Ränge und Discord-Communitys ins Visier. Die meisten dieser Angriffe erkennst du leicht, sobald du weißt, wie sie aussehen.
Wisse, was ein Server verlangen darf und was nicht
Ein Minecraft-Server braucht nie deine Microsoft-E-Mail oder dein Passwort. Wenn du einem Premium-Server beitrittst, weist das Spiel deine Identität beim Sitzungsdienst von Mojang nach, und der Server bekommt nur ein Ja oder Nein zurück. Dein Passwort bleibt zwischen dir und Microsoft.
Daraus ergibt sich eine einfache Regel: Wer nach deinem Microsoft-Login fragt, will dein Konto übernehmen, auch wenn er sich als Serverteam, Moderator, Mojang-Mitarbeiter oder Freund ausgibt. Ein echtes Team braucht ihn nicht, um dir einen Rang zu geben, einen Bann aufzuheben, Items wiederherzustellen oder zu prüfen, ob du das Spiel besitzt.
Dasselbe gilt für Bestätigungscodes. Wenn dich jemand bittet, einen Code vorzulesen, den Microsoft dir gerade per E-Mail oder aufs Handy geschickt hat, ist er meist gerade dabei, dein Passwort zurückzusetzen oder sich als du anzumelden. Gib diese Codes niemals weiter.
Fake-Links für Gratis-Ränge und Gewinnspiele
Die häufigste Falle verspricht etwas Wertvolles umsonst: einen Top-Rang auf einem beliebten Server, Ingame-Währung, einen Umhang oder einen Geschenkcode. Du bekommst einen Link zum Abholen, und die Seite fordert dich auf, dich „mit Microsoft anzumelden“ oder „dein Minecraft-Konto zu verifizieren“.
Anzeichen dafür, dass ein Link auf eine Phishing-Seite führt:
- Die Seite will deine Microsoft-E-Mail und dein Passwort, damit du eine Belohnung auf einem Spieleserver abholen kannst. Server vergeben Ränge im Spiel oder über ihren eigenen Shop, nicht über deinen Microsoft-Login.
- Die Adresse in deinem Browser ist nicht die echte Anmelde-Domain von Microsoft, auch wenn die Seite genauso aussieht. Kopien sind schnell gebaut, und manche zeigen sogar ein gefälschtes Browserfenster innerhalb der Seite.
- Es gibt eine knappe Frist, etwa „nur noch 10 Minuten“ oder „nur für die ersten 50 Spieler“.
- Das Angebot kam von einem Fremden oder von einem Freund, der plötzlich Links schickt, die er sonst nie schicken würde. Sein Konto könnte bereits gehackt sein.
Wenn du ein Angebot eines Servers prüfen willst, öffne selbst die Website oder den Ankündigungskanal des Servers, statt den zugeschickten Link zu nutzen.
Mods, Clients und Launcher aus inoffiziellen Quellen
Ein Mod oder Client läuft auf deinem Rechner mit denselben Rechten wie jedes andere Programm. Schädliche Varianten können das Sitzungstoken aus deinem Launcher auslesen, mit dem jemand dein Konto nutzen kann, ohne dein Passwort zu kennen, oder gespeicherte Browser-Passwörter und Discord-Logins stehlen.
- Lade Mods nur von bekannten Mod-Plattformen oder von der offiziellen Seite des Autors herunter. Meide Re-Uploads auf Filehostern und in Videobeschreibungen.
- Sei vorsichtig bei „gecrackten“ Versionen kostenpflichtiger Clients, „kostenlosen“ Kosmetik-Mods und allem, was Hacks für einen Server verspricht. Das ist ein beliebter Weg, um Account-Stealer zu verbreiten.
- Verlangt ein Server einen eigenen Launcher oder Client, stell sicher, dass der Download von der offiziellen Seite des Servers stammt und dass andere Spieler ihn ebenfalls nutzen.
- Führ keine Dateien aus, die dir ein Fremder auf Discord schickt, egal ob er sie Mod, Texturenpaket, „Map-Download“ oder ein Spiel nennt, das du testen sollst.
Ressourcen- und Datenpakete sind grundsätzlich sicher, weil sie Texturen und Spieldaten enthalten, keinen ausführbaren Code. Das Risiko steckt in allem, was du als Programm ausführen musst, etwa .exe- oder .jar-Dateien, und in Archiven, die solche Dateien enthalten.
Discord-Betrug rund um Minecraft-Server
Die meisten Minecraft-Communitys sind auf Discord zu Hause, deshalb beginnen dort auch viele Betrugsmaschen. Typische Muster:
- Gefälschte Team-Bewerbungen oder „Verifizierung“. Ein Bot oder Nutzer fordert dich auf, dich durch eine Microsoft-Anmeldung oder das Scannen eines QR-Codes zu verifizieren. Scannst du einen Login-QR-Code mit dem Handy, meldest du den Betrüger womöglich als dich an.
- „Ich habe dich aus Versehen gemeldet“. Jemand behauptet, dein Konto sei versehentlich gemeldet worden, und schickt dich zu einem „Support-Mitarbeiter“, der nach deinen Login-Daten fragt.
- Teste mal mein Spiel oder meinen Mod. Ein freundlicher Fremder oder das gehackte Konto eines Freundes bittet dich, eine Datei auszuprobieren. Sie enthält Malware.
- Handel über Mittelsmänner. Beim Kauf von Items oder Konten kassiert ein falscher Mittelsmann Geld oder Daten und verschwindet.
Beschränke Direktnachrichten auf Freunde, wenn du großen Servern beitrittst, und bestätige ungewöhnliche Bitten von Freunden über einen anderen Kanal, bevor du darauf eingehst.
Aktiviere die zweistufige Überprüfung
Die zweistufige Überprüfung für dein Microsoft-Konto ist der stärkste einzelne Schutz, den du hinzufügen kannst. Ist sie aktiv, reicht ein gestohlenes Passwort allein nicht zum Anmelden, weil Microsoft zusätzlich einen Code aus einer Authentifizierungs-App, per SMS oder per E-Mail an eine andere Adresse verlangt.
- Melde dich auf der offiziellen Kontoseite von Microsoft bei deinem Microsoft-Konto an.
- Öffne den Bereich Sicherheit und wähle die erweiterten Sicherheitsoptionen.
- Schalte die zweistufige Überprüfung ein und folge den Schritten, um eine Authentifizierungs-App oder eine Telefonnummer hinzuzufügen.
- Bewahre den Wiederherstellungscode, den Microsoft dir anzeigt, sicher und offline auf.
Prüfe bei der Gelegenheit, ob die Wiederherstellungs-E-Mail und die Telefonnummer aktuell sind und dir gehören. Darüber hilft dir Microsoft später, wieder an dein Konto zu kommen.
Nutze auf Cracked-Servern ein eigenes Passwort
Non-Premium-Server verlangen, dass du per /register ein Passwort festlegst, das der Server selbst speichert. Wie gut es geschützt ist, kannst du nicht wissen, und kleine Server werden regelmäßig gehackt, verkauft oder abgeschaltet. Geleakte Passwortlisten von Spieleservern werden dann bei Microsoft-Konten und E-Mail-Anbietern ausprobiert.
- Verwende niemals dein Microsoft-Passwort oder dein E-Mail-Passwort auf einem Server.
- Nimm für jeden Server ein anderes Passwort, damit ein Leak auf einem Server nicht die anderen öffnet.
- Mit einem Passwort-Manager ist das einfach, aber selbst eine zu Hause aufbewahrte Liste auf Papier ist besser, als überall dasselbe Passwort zu nutzen.
Der Filter für Premium-Server auf der Startseite zeigt Server, auf denen du überhaupt kein zusätzliches Passwort brauchst. Jeder Eintrag zeigt außerdem ein Premium- oder Non-Premium-Abzeichen, du weißt also vorher, welche Art Server dich erwartet.
Prüfe einen Server, bevor du beitrittst
Die meisten Server werden von Leuten betrieben, die einfach Spieler haben wollen. Trotzdem helfen ein paar Minuten Recherche, um die anderen zu meiden. Lies die Spielerbewertungen im Eintrag des Servers und schau dir die Live-Spielerzahl und die Votes an. Sei misstrauisch bei Servern, die ohne klaren Grund verlangen, dass du einen eigenen Launcher installierst, oder deren Team dich in private Nachrichten drängt. Wenn du Fragen dazu hast, wie die Liste selbst funktioniert, erklären die FAQ die Grundlagen.
Wenn dein Konto gestohlen wurde
Handle schnell. Je früher du anfängst, desto größer die Chance, dein Konto zurückzubekommen, bevor der Dieb alle Wiederherstellungsdaten ändert.
- Versuch, dich bei deinem Microsoft-Konto anzumelden. Funktioniert das Passwort noch, ändere es sofort, melde auf der Sicherheitsseite alle anderen Sitzungen ab und aktiviere die zweistufige Überprüfung.
- Kommst du nicht mehr rein, nutze das Formular zur Kontowiederherstellung von Microsoft über die offizielle Anmeldeseite. Füll es auf einem Gerät und in einem Netzwerk aus, die du schon früher benutzt hast, und gib so viele Details wie möglich an, etwa alte Passwörter, das Kaufdatum von Minecraft und Betreffzeilen von E-Mails, die du von dem Konto aus verschickt hast.
- Ändere das Passwort der E-Mail-Adresse, die mit dem Konto verknüpft ist, und jedes anderen Kontos, bei dem du dasselbe Passwort verwendet hast.
- Scanne deinen Rechner auf Malware, besonders wenn du vor Kurzem einen Mod, Client oder eine Datei aus einer inoffiziellen Quelle ausgeführt hast. Sonst holt sich der Dieb das Konto womöglich erneut.
- Informiere das Team der Server, auf denen du Ränge oder Items hast, und warne deine Freunde auf Discord, falls der Angreifer ihnen von deinem Profil aus schreibt.
Wird das Wiederherstellungsformular abgelehnt, kannst du es mit mehr Details erneut einreichen. Vorsicht bei Leuten, die anbieten, dein Konto gegen Bezahlung zurückzuholen. Das ist die nächste gängige Masche.
Eine kurze Checkliste
- Niemand Seriöses braucht dein Microsoft-Passwort oder deine Bestätigungscodes.
- Die zweistufige Überprüfung ist aktiv, und die Wiederherstellungsdaten sind aktuell.
- Jedes Serverpasswort ist einzigartig und unterscheidet sich von deinen Microsoft- und E-Mail-Passwörtern.
- Mods und Clients stammen nur aus offiziellen Quellen.
- Links, die Gratis-Ränge oder -Items versprechen, werden ignoriert.