Minecraft-DDoS-Schutz und Nullping-Schutz

Große Minecraft-Projekte sind ein bevorzugtes Ziel für Angreifer: von klassischen DDoS-Angriffen mit hohem Volumen bis zu Packet-Crash-Exploits wie dem Nullping-Angriff, der ein ganzes BungeeCord-Netzwerk lahmlegen soll. Der DDoS-Schutz von KernelHost ist für genau diese Muster ausgelegt und filtert sie in Echtzeit, bevor sie den Minecraft-Prozess erreichen.

Warum Minecraft-Server so häufig angegriffen werden

Minecraft und Minecraft Bedrock stellen bis heute die größte Gameserver-Population überhaupt. Wo viele Server stehen, entsteht auch der größte Anreiz für Angriffe: Konkurrierende Netzwerke, gebannte Spieler oder schlicht Langeweile führen dazu, dass ein wachsendes Projekt früher oder später beschossen wird.

Dabei geht es längst nicht mehr nur um Bandbreite. Neben volumetrischen Angriffen haben sich Methoden etabliert, die gezielt die Protokolllogik von Minecraft ausnutzen: Nullping-Angriffe, QuietException-Angriffe und diverse (Fake-)Handshake-Floods. Sie kommen mit vergleichsweise wenig Datenvolumen aus und bringen einen ungeschützten Server trotzdem zum Absturz. Was ein DDoS-Angriff technisch ist, erklärt der Beitrag Was ist ein DDoS-Angriff?.

Was ist ein Nullping-Angriff?

Der Nullping-Angriff ist eine speziell auf Minecraft zugeschnittene Angriffsform. Statt die Leitung zu fluten, missbraucht er den Verbindungsaufbau: Der Angreifer sendet massenhaft manipulierte Status- und Handshake-Pakete, die der Server beantworten muss. In der Serverliste erscheint dann ein Ping nahe null, während der Serverprozess im Hintergrund an der Paketflut erstickt.

Die Folgen merken zuerst die Spieler: Aktionen kommen verzögert oder gar nicht an, Verbindungen brechen ab, im schlimmsten Fall stürzt der Proxy des Netzwerks komplett ab. Weil die gefälschten Pakete auf den ersten Blick wie legitime Client-Anfragen aussehen, lassen sie sich mit einfachen Bordmitteln kaum von echten Spielern unterscheiden.

Warum Plugins und Firewalls allein nicht reichen

Rate-Limits im Plugin oder iptables-Regeln auf dem Server greifen erst, wenn die Pakete den Server bereits erreicht haben. Bei kleinen Angriffen genügt das, bei ernsthaften Angriffen ist die Anbindung vorher gesättigt oder die CPU bereits mit dem Verwerfen beschäftigt. Wirksam ist nur eine Filterung im Netz davor, die das Protokollverhalten kennt und die Fake-Pakete verwirft, bevor sie ankommen.

Wie KernelHost Minecraft-Server schützt

Der DDoS-Schutz von KernelHost ist zweistufig aufgebaut und permanent aktiv, ohne dass Sie etwas konfigurieren müssen:

• Ebene 1: globale Filterkapazität von 17 Tbps. Volumetrische Angriffe werden nah an ihrer Quelle abgefangen, bevor sie das Rechenzentrum in Frankfurt erreichen.
• Ebene 2: Arbor-Echtzeitfilterung mit 3,2 Tbps vor Ort in Frankfurt. Direkt vor dem Server werden protokollspezifische Muster erkannt und verworfen, darunter Nullping, QuietException und Handshake-Floods.

Geschützt sind Java Edition (Port 25565 TCP) und Bedrock Edition (Port 19132 UDP) ebenso wie Proxys, Voice-Dienste und beliebige eigene TCP- oder UDP-Dienste auf anderen Ports. Es wird kein Null-Routing eingesetzt: Die angegriffene IP bleibt im Netz, nur die schädlichen Pakete fallen weg. Der Schutz ist in jedem Serverpaket kostenlos enthalten, die Standard-Tarife weisen 3,2 Tbps aus, die Professional-Tarife 17 Tbps.

Für sehr große Netzwerke eignet sich die Professional-Dedicated-Server-Reihe. Bei Partnerschaften mit großen Projekten sind spürbare Tarif-Reduzierungen möglich, sprechen Sie uns dazu einfach per Ticket an. Einen Überblick über alle abgedeckten Titel gibt der Beitrag Gameserver-DDoS-Schutz in Echtzeit.

Praxisfälle aus dem laufenden Betrieb

Die folgenden Angriffe wurden auf KernelHost-Servern in Echtzeit gefiltert, jeweils ohne Downtime für den Kunden. Die Screenshots stammen aus dem Live-Monitoring der Abwehr.

TeamSpeak-3-Voiceserver, Port 9987 UDP

Komplexer Angriff mit mehreren Angriffsmustern gleichzeitig, über 473,4 Gbit/s und über 41,5 Millionen Pakete pro Sekunde. Vollständig in Echtzeit gefiltert, ohne Ausfall.

ARK-Gameserver, Port 7777 UDP

Reiner UDP-Flood ohne komplexe Struktur, dafür mit über 112,2 Gbit/s und über 8,7 Millionen Paketen pro Sekunde. In Echtzeit gefiltert, ohne Downtime.

All-Port-Angriff, Ports 0-65535 TCP/UDP

Über 12 verschiedene Hauptangriffsmuster gegen sämtliche Ports gleichzeitig, insgesamt über 21,3 Gbit/s und über 3,9 Millionen Pakete pro Sekunde. Ebenfalls vollständig in Echtzeit gefiltert.

Minecraft und OpenVPN, Ports 25565 TCP und 1194 UDP

Kombinierter Angriff mit über 16 verschiedenen Hauptangriffsmustern, über 4 Millionen Paketen pro Sekunde und über 8,6 Gbit/s. Beide Dienste blieben ohne Unterbrechung erreichbar.

Ihr Server wird gerade angegriffen?

Läuft Ihr Projekt bereits bei KernelHost, ist die Filterung permanent aktiv und Sie müssen nichts einschalten. Bemerken Sie dennoch Auffälligkeiten, eröffnen Sie ein Support-Ticket, damit unser Team die Filterregeln für Ihre IP nachjustiert. Bei einem laufenden Angriff erreichen Sie uns zusätzlich über den WhatsApp-Notfall-Chat unter +43 650 8209883.