DonutSMPs Mod-Scanner nutzt einen Minecraft-Bug, den Mojang noch immer nicht behoben hat

Was passiert ist: DonutSMP, einer der meistbesuchten öffentlichen Minecraft-Server, erkennt Cheat-Clients wie Meteor und Mods wie Freecam mit einem Trick, der als Schild-Übersetzungs-Exploit bekannt ist. Dein Client wird gezwungen, für einen Sekundenbruchteil ein unsichtbares Schild zu öffnen, und seine Antwort verrät, welche Mods du installiert hast. Spieler berichten, dass derselbe Scanner Leute wegen Ressourcenpaketen und harmloser Client-Mods gebannt hat, und die Lücke, auf der er beruht, ist in Vanilla-Minecraft weiterhin nicht geschlossen.

Wer betroffen ist

Alle, die Minecraft: Java Edition 1.20 oder neuer auf einem Server spielen, der die Technik nutzt. Dazu gehören DonutSMP und immer mehr Server mit Nachahmer-Plugins wie ModDetector, ModCheck und AntiMod. Spieler der Bedrock Edition sind nicht betroffen.

Die naheliegenden Ziele sind Cheat-Clients. Die gleiche Abfrage funktioniert aber mit jeder Mod, die eigenen Text mitbringt. Ein Server kann also auch harmlose Performance-, Karten- und Komfort-Mods sehen. Außerdem kann er deine Tastenbelegung und die Sprache deines Spiels auslesen.

So funktioniert es

Minecraft-Text kann Platzhalter enthalten: einen Übersetzungsschlüssel wie key.freecam.toggle oder einen Verweis auf eine Taste. Dein Spiel ersetzt sie anhand deiner Sprachdateien und Einstellungen durch echten Text, einschließlich der Dateien, die deine Mods mitbringen.

1. Beim Betreten platziert der Server ein Schild mit diesen Platzhaltern und erzwingt, dass sich der Schild-Editor auf deinem Bildschirm öffnet.
2. Der Editor schließt sich wieder, bevor du ihn sehen kannst.
3. Seit 1.20 wandelt das Schließen des Editors das Schild in reinen Text um und schickt ihn an den Server zurück, mit bereits ausgefüllten Platzhaltern.
4. Steht in der Antwort “Toggle Freecam” statt des rohen Schlüssels, weiß der Server, dass Freecam installiert ist. Der Bann kann automatisch folgen.

Forscher fanden später heraus, dass derselbe Trick auch über das Umbenennen im Amboss funktioniert. Vor 1.20 wurde dieser Text nur auf deinem eigenen Bildschirm angezeigt. Deshalb beschreibt das Wurst-Team die Änderung als Datenschutzleck, das in der Praxis echten Schaden angerichtet hat.

Wer verantwortlich ist

Mojang ist für den Bug verantwortlich. MC-265322 ist seit der 1.20-Zeit öffentlich, und im November 2026 verzeichnet das Wurst-Wiki weiterhin keine offizielle Lösung. Alle Java-Spieler sind darauf angewiesen, dass Mojang die Lücke schließt.

DonutSMP hat sich entschieden, sein Anti-Cheat auf diesem Leck aufzubauen, statt sich nur auf Gameplay-Prüfungen zu stützen. Cheater zu erwischen ist auf einem kompetitiven Server ein legitimes Ziel. Heimlich den Inhalt der Clients auszulesen, mit automatischen Banns und ohne klare Liste dessen, was verboten ist, ist ein viel größerer Schritt, und jeder Fehlalarm trifft einen echten Spieler.

Cheat-Client-Entwickler liefern sich damit ein Wettrüsten. Meteor Client versuchte, die Abfrage zu blockieren, und genau diese Lösung war wiederum erkennbar, weil sie den rohen Schlüssel statt des erwarteten Ersatztexts zurückschickte.

Was sie sagen

Wir haben keine öffentliche technische Stellungnahme von DonutSMP zum Scanner, zur Liste der erkannten Mods oder zum Umgang mit Fehlalarmen gefunden. Spielerberichte beschreiben Banns, die nach Support-Tickets aufgehoben wurden, was darauf hindeutet, dass Einsprüche zumindest in manchen Fällen funktionieren. Mojang hat sich öffentlich nicht zu MC-265322 geäußert. Sollte sich eine der beiden Seiten äußern, berichten wir darüber.

DonutSMPs weitere Kontroversen 2026

Der Mod-Scanner war nicht der einzige Streit zwischen DonutSMP und seinen Spielern in diesem Jahr.

• Die Botting-Bannwelle (April): Dutzende Spieler auf r/DonutSMP meldeten permanente „Botting“-Banns, weil sie in den AFK-Bereichen des Servers selbst untätig waren oder erlaubte Mods nutzten. Ein Spieler sagte, er habe zwei Konten mit rund 250 Millionen Ingame-Geld verloren. Einsprüche zogen sich über Tage, während laut Spielern echte Cheater weiter Basen plünderten. Das sind Schilderungen von Spielern. DonutSMP hat nicht veröffentlicht, wie seine Erkennung funktioniert.
• Die Pay-to-Win-Wende (August): Ein Shard-Shop mit direkten Fortschritts-Boosts und Spawnern, schwächere Mob-Spawner sowie neue Anti-AFK- und Überwachungssysteme brachten Kritiker dazu, vom Anfang vom Ende der grindbasierten Wirtschaft des Servers zu sprechen.
• Gefälschte Cheat-Seiten (Oktober): Eine Seite, die sich als DonutSMP-Cheat-Portal ausgab, verbreitete die Malware SilentNet an Spieler, die einen Vorteil suchten. Mehr dazu in unserem Ratgeber zu Mod-Malware.

Was du jetzt tun solltest

1. Geh davon aus, dass jeder Java-Server deine Mods sehen kann. Wenn ein Server eine Mod verbietet, kann er sie vermutlich erkennen. Entferne sie vor dem Betreten.
2. Prüfe die Serverregeln zu erlaubten Mods und halte für strenge Server ein separates, minimales Mod-Profil bereit.
3. Vorsicht bei Ressourcenpaketen, die Sprachdateien von Mods enthalten. Sie können so wirken, als hättest du eine Mod installiert.
4. Bei einem falschen Bann mit Details Einspruch einlegen: deine Mod-Liste, deine Ressourcenpakete und der Zeitpunkt des Banns.
5. Es gibt Datenschutz-Mods. Fabric-Mods wie ExploitPreventer und OpSec verhindern, dass dein Client diese Platzhalter auflöst. Manche Server halten “geschützte” Clients für verdächtig, also lies vorher die Regeln.
6. Vote für MC-265322 im Bugtracker von Mojang. Ein Vanilla-Fix schützt alle Spieler, nicht nur Modder.

Mehr zur Serversicherheit: Sicherheit & Exploits und alles zu DonutSMP.