Dein Minecraft Server läuft auf Hetzner oder Netcup. Alles läuft – bis jemand einen DDoS-Angriff startet. Plötzlich können sich keine Spieler mehr verbinden.
Das Problem: Viele VPS-Anbieter filtern DDoS-Angriffe auf Netzwerkebene. Angriffe, die das Minecraft-Protokoll selbst ausnutzen (Java Edition: TCP-Port 25565), erkennt ein solcher Filter nicht zwingend.
In diesem Guide zeige ich dir, wie du deinen Server mit einem vorgeschalteten Proxy-Dienst wie TCPShield oder NeoProtect GameShield abschirmst – ohne den Hoster zu wechseln.
Noch keinen VPS? Mit unserem Minecraft Server Rechner findest du den passenden.
Was ist ein DDoS-Angriff?
DDoS steht für Distributed Denial of Service – auf Deutsch: verteilte Dienstverweigerung. Bei einem DDoS-Angriff wird dein Server mit so vielen Anfragen überflutet, dass er legitime Spieler nicht mehr bedienen kann.
Das Prinzip ist einfach: Stell dir vor, 10.000 Leute rufen gleichzeitig bei einer Pizzeria an. Die Telefonleitung ist blockiert, Anrufer mit einer Bestellung kommen nicht durch. Genau das passiert bei einem DDoS-Angriff – nur mit Datenpaketen statt Anrufen.
Warum "Distributed"? Der Angriff kommt nicht von einem einzelnen Computer, sondern von vielen gleichzeitig. Solche Botnetze bestehen aus ferngesteuerten, infizierten Systemen, darunter PCs, Smartphones und IoT-Geräte wie Webcams oder Router (laut BSI, Stand: 08.11.2026). Das macht es schwer, den Angriff zu blockieren – du kannst nicht einfach eine IP sperren.
Typische Auswirkungen:
- Server reagiert nicht mehr oder sehr langsam
- Spieler werden gekickt oder können nicht joinen
- Im schlimmsten Fall: Server crasht komplett
- Bei schwachem Schutz: Dein gesamter VPS ist offline
Wichtig: DDoS-Angriffe können als Computersabotage nach § 303b StGB strafbar sein (Stand: 08.11.2026).
Was der Netzwerkfilter des Hosters abdeckt
Hetzner nennt einen DDoS-Schutz für alle Kunden gegen Angriffe wie SYN-Floods, DNS-/NTP-Reflection und UDP-Floods (laut Hetzner-Website, Stand: 08.11.2026). Netcup nennt einen Filter bis einschließlich Layer 4 (laut netcup-Website, Stand: 08.11.2026). Contabo nennt einen automatisch aktiven Schutz, ohne Zusicherung gegen jeden Angriff (laut Contabo-Website, Stand: 08.11.2026).
Für Minecraft ist vor allem ein Port wichtig: Java Edition nutzt standardmäßig TCP-Port 25565 (laut PaperMC-Doku, Stand: 08.11.2026). Bedrock Edition läuft über UDP.
Typische Angriffe auf Minecraft-Server
UDP Flood: Massenhaft UDP-Pakete überlasten die Netzwerkanbindung. Der Server wird unerreichbar.
Nullping / Packet Crasher: Speziell für Minecraft entwickelte Exploits, die den Server zum Absturz bringen.
Query Flood: Tausende Server-Status-Anfragen pro Sekunde. Überlastet die CPU.
Fake Handshake: Simulierte Spieler-Verbindungen, die nie abgeschlossen werden. Füllt die Connection-Slots.
Angriffe auf das Minecraft-Protokoll sehen für einen Netzwerkfilter oft wie normale Verbindungen aus. Was dein Hoster filtert, steht in dessen Dokumentation.
Das ist keine Kritik an den Hostern. Für öffentlich gelistete Server kann ein zusätzlicher, auf Minecraft ausgerichteter Proxy-Dienst sinnvoll sein. Wenn du Hetzner nutzt, findest du Details unter Mehr zu Hetzner.
Brauche ich überhaupt DDoS-Schutz?
Nicht jeder Server braucht extra Schutz. Eine grobe Einordnung nach Sichtbarkeit des Servers:
| Szenario | Spieler | Einschätzung | Empfehlung |
|---|---|---|---|
| Privater Server für Freunde | 5-10 | Niedrig | Wahrscheinlich nicht nötig. Die IP ist nicht öffentlich. |
| Whitelist-Server, nicht gelistet | 10-30 | Niedrig | Solange die IP nicht bekannt ist, geringes Risiko. |
| Öffentlicher Server, auf Serverlisten | 20+ | Mittel bis Hoch | DDoS-Schutz empfohlen. Du bist ein sichtbares Ziel. |
| Großes Netzwerk, YouTube/Twitch Präsenz | 100+ | Hoch | Zusätzlicher Schutz empfohlen. Als bekanntes Netzwerk bist du ein sichtbares Ziel. |
| Server mit Wettbewerb/Drama | Beliebig | Hoch | Konkurrierende Server oder Ex-Spieler können Angreifer sein. |
Lösung 1: TCPShield
TCPShield ist ein Proxy-Dienst, der sich auf DDoS-Abwehr für Minecraft-Server spezialisiert (laut TCPShield-Doku, Stand: 08.11.2026). Er funktioniert als Reverse Proxy: Spieler verbinden sich mit TCPShield, TCPShield filtert und leitet an deinen Server weiter.
So funktioniert es
Spieler → TCPShield (Filter) → Dein VPS
- Spieler verbindet sich mit play.deinedomain.de
- DNS zeigt auf TCPShield (CNAME Record)
- TCPShield empfängt den Traffic
- Bösartige Pakete werden gefiltert
- Legitimer Traffic wird an deine Server-IP weitergeleitet
- Deine Server-IP steht nicht im DNS – verborgen bleibt sie nur, wenn sie nirgends sonst bekannt ist und die Firewall nur TCPShield durchlässt (Schritt 6 unten)
Die DNS-Einrichtung beschreibt TCPShield in der Doku (laut TCPShield-Doku, Stand: 08.11.2026).
Tarife
Tarife und Leistungsumfang stehen auf der Anbieterseite (TCPShield-Tarife, Stand: 08.11.2026).
Vorteile
- In Betrieb seit 2015 (laut TCPShield-Website, Stand: 08.11.2026)
- Einrichtung über DNS-Eintrag und Plugin bzw. Proxy Protocol, ohne Hosterwechsel
Nachteile
- Zusätzlicher Netzwerkweg: Liegt dein Server weit von den Edge-Proxys entfernt, kann der Ping steigen (laut TCPShield-Doku, Stand: 08.11.2026)
- Plugin oder Proxy Protocol nötig, damit die Spieler-IPs ankommen
- Bedrock (UDP) läuft über einen Geyser-Tunnel mit eigener IP, nur in einem höheren Tarif (laut TCPShield-Doku, Abschnitt Geyser, Stand: 08.11.2026)
TCPShield einrichten: Schritt für Schritt
Die Panel-Schritte folgen der TCPShield-Doku (laut TCPShield-Doku, Stand: 08.11.2026).
1. Account erstellen
Gehe zu tcpshield.com und registriere dich.
2. Network erstellen
Create a Network
Name: z.B. "Mein MC Server"
3. Backend Set anlegen
Backend Sets → Add Set
| Feld | Wert |
|---|---|
| IP Address | Deine VPS-IP (z.B. 203.0.113.10) |
| Port | 25565 |
Nutzt du BungeeCord oder Velocity, gehört der Proxy ins Backend Set, nicht die einzelnen Spigot-/Paper-Server.
4. Domain hinzufügen
Domains → Add Domain und das Backend Set auswählen.
Beispiel: play.deinedomain.de
5. DNS konfigurieren
Bei deinem DNS-Provider:
| Typ | Name | Wert |
|---|---|---|
| CNAME | play | Der geschützte CNAME aus dem TCPShield-Panel |
Für die Hauptdomain ohne Subdomain setzt du einen SRV-Eintrag (laut TCPShield-Doku, Stand: 08.11.2026). Liegt deine Domain bei Cloudflare, stellst du den Eintrag auf „DNS only“, denn der Cloudflare-Proxy verarbeitet nur HTTP/HTTPS (laut Cloudflare-Doku, Stand: 08.11.2026).
6. Firewall konfigurieren (WICHTIG!)
Damit nur TCPShield auf deinen Minecraft-Port zugreifen kann. Bei ufw gilt die erste passende Regel (laut ufw-Manpage, Stand: 08.11.2026); deshalb gibt es keine eigene deny-Regel vor den Freigaben, sondern eine Standard-Sperre:
# SSH zuerst freigeben, sonst sperrst du dich aus
sudo ufw allow OpenSSH
# Alles andere eingehend standardmäßig sperren
sudo ufw default deny incoming
# Je CIDR aus der TCPShield-Liste eine Regel (Liste: https://tcpshield.com/v4)
sudo ufw allow proto tcp from <CIDR> to any port 25565
sudo ufw enable
sudo ufw status numbered
Die aktuelle Adressliste veröffentlicht TCPShield unter tcpshield.com/v4 (Stand: 08.11.2026). Rufe sie regelmäßig neu ab, statt sie abzutippen, und lösche eine vorhandene allgemeine Freigabe für Port 25565.
Ohne diesen Schritt kann ein Angreifer, der deine Server-IP kennt, TCPShield umgehen!
Achtung bei Docker: Läuft der Gameserver in Docker (z. B. über Pterodactyl Wings), umgehen veröffentlichte Ports die ufw-Regeln. Die Freigabe muss dann über Dockers Firewall-Ketten oder die Firewall des Hosters laufen (laut Docker-Doku, Stand: 08.11.2026).
7. Verbindung prüfen
Verbinde dich über play.deinedomain.de. Ein direkter Login über die Server-IP muss scheitern, das blockiert das Plugin bzw. Proxy Protocol absichtlich (laut TCPShield-Doku, Stand: 08.11.2026).
Plugin oder Proxy Protocol
TCPShield braucht bei jeder Einrichtung das TCPShield-Plugin oder alternativ Proxy Protocol v2, damit die echten Spieler-IPs ankommen (laut TCPShield-Doku, Stand: 08.11.2026):
- Lade das Plugin auf der Domains-Seite im TCPShield-Panel herunter
- Installiere es nur auf dem Frontend: auf BungeeCord/Velocity oder, ohne Proxy, auf Spigot/Paper – nie auf beiden
- Spigot/Paper ohne Proxy brauchen zusätzlich ProtocolLib
- Plugin und Proxy Protocol nicht kombinieren
Den Quellcode des Plugins findest du auf GitHub (TCPShield RealIP, Stand: 08.11.2026).
Lösung 2: NeoProtect GameShield
Die NeoProtect GmbH mit Sitz in Deggendorf (laut NeoProtect-Impressum, Stand: 08.11.2026) bietet mit GameShield einen protokollbezogenen Schutz für Minecraft-Server, der über DNS eingebunden wird (laut NeoProtect-Website, Stand: 08.11.2026).
Funktionen
Laut NeoProtect-Doku (Stand: 08.11.2026):
- Anti-Bot-Prüfungen im Panel konfigurierbar
- Angriffsbenachrichtigung per E-Mail, Webhook und Panel
- Auswertung von Traffic, Spielerzahlen und Angriffen
Tarife
Tarife stehen auf der Anbieterseite (NeoProtect, Stand: 08.11.2026).
Wann NeoProtect GameShield passt
- Du brauchst Angriffsmeldungen per Webhook
Auch hier hängt die Latenz von der Route zwischen Spielern, Edge und deinem Server ab (laut NeoProtect-Doku, Stand: 08.11.2026).
Weitere Alternativen
Cloudflare Spectrum
Cloudflare Spectrum leitet TCP-/UDP-Anwendungen über das Cloudflare-Netz. Für eine Minecraft-Anwendung ist es ab dem Pro-Tarif als kostenpflichtige Erweiterung verfügbar, beliebige Ports und UDP nur im Enterprise-Tarif (laut Cloudflare-Doku, Stand: 08.11.2026).
- Für wen: Wer die Domain schon bei Cloudflare mit Pro-Tarif betreibt
OVHcloud Game DDoS Protection
OVHcloud integriert seinen Game-DDoS-Schutz in die Game-Dedicated-Server, die VPS-Angebote haben ihn nicht. Für Minecraft nennt OVHcloud Bedrock (RakNet) und das Query-Protokoll der Java Edition (laut OVHcloud-Website, Stand: 08.11.2026).
- Voraussetzung: Wechsel auf einen OVHcloud-Game-Server
Bonus: Server-IP schützen
DDoS-Schutz bringt nichts, wenn der Angreifer deine Server-IP kennt. So schützt du sie:
Niemals die Server-IP teilen: Nutze immer die geschützte Domain (play.deinedomain.de).
Alte DNS-Einträge: Sie bleiben in öffentlichen DNS-Historien auffindbar. War die IP je öffentlich, schließe zuerst das Leck (z. B. fehlende Firewall-Regel) und lass dir dann eine neue IP geben (laut NeoProtect-Doku, Stand: 08.11.2026). Bei Hetzner Cloud lässt sich die Primary IP eines ausgeschalteten Servers ersetzen, ohne ihn zu löschen (laut Hetzner-Doku, Stand: 08.11.2026).
Keine Services auf derselben IP: Kein Webserver, kein Pterodactyl Panel auf der Gameserver-IP. Nutze separate IPs oder Server.
Server-Liste Eintrag prüfen: Manche Serverlisten zeigen die IP. Nutze nur solche, die die Domain anzeigen.
Spieler-Reports checken: Verärgerte Spieler teilen manchmal die IP in Discord. Behalte das im Auge.
Achtung: Wenn die IP einmal bekannt ist, hilft oft nur eine neue IP.
Welcher Schutz passt zu deinem Server?
Einordnung nach technischer Lage, ohne Rangfolge (Stand: 08.11.2026, Quellen in den Abschnitten oben):
| Lage | Option | Hinweis |
|---|---|---|
| Java-Server, Einrichtung mit Plugin oder Proxy Protocol | TCPShield | Tarife auf tcpshield.com/plans |
| Anti-Bot-Prüfungen und Angriffsmeldungen per Webhook gewünscht | NeoProtect GameShield | Tarife auf neoprotect.net |
| Bedrock (UDP) | TCPShield in einem höheren Tarif mit eigener IP, Cloudflare Spectrum im Enterprise-Tarif oder OVHcloud-Game-Server | Tarife beim jeweiligen Anbieter |
| Domain schon bei Cloudflare mit Pro-Tarif | Cloudflare Spectrum für eine Minecraft-Anwendung | kostenpflichtige Erweiterung |
Häufig gestellte Fragen
Brauche ich DDoS-Schutz für einen privaten Freundes-Server?
Funktioniert TCPShield mit Bedrock Edition?
Erhöht DDoS-Schutz meinen Ping?
Kann ich TCPShield mit Pterodactyl nutzen?
Wo finde ich die Tarife der Schutzdienste?
Hilft DDoS-Schutz gegen Hacker?
Weiterführende Minecraft Guides
Server geschützt, aber noch keinen VPS?
Vergleiche VPS-Anbieter und finde den passenden für deinen Minecraft Server.
VPS vergleichen
