Bot-Berechtigungen verstehen
· 6 Min. Lesezeit
Warum diese Liste überhaupt erscheint
Wenn du einen Bot einlädst, zeigt Discord dir eine Liste von Häkchen. Die meisten Leute überfliegen sie und drücken auf „Autorisieren". Das ist verständlich — die Liste ist lang, die Begriffe sind technisch, und der Bot soll ja funktionieren.
Nur: Diese Liste ist der einzige Moment, in dem du entscheidest, was ein fremdes Programm auf deinem Server darf. Danach fragt niemand mehr.
Der Beitrag erklärt, was die wichtigsten Berechtigungen tatsächlich bedeuten, welche zusammen gefährlich werden und wie du eine Einladung prüfst, ohne Discord-Dokumentation zu lesen.
Die eine, die alles aufhebt
Administrator ist keine Berechtigung unter vielen. Sie schließt jede andere ein, jetzt und in Zukunft, und sie hebt Kanaleinstellungen auf. Ein Bot mit Administrator kann Kanäle löschen, Rollen vergeben, alle Mitglieder bannen und den Server umbenennen — unabhängig davon, was du in einzelnen Kanälen eingestellt hast.
Das ist nicht theoretisch. Die Übernahmen, von denen man in Server-Foren liest, laufen fast immer über einen Bot mit Administrator, dessen Token irgendwo aufgetaucht ist. Der Angreifer braucht deinen Server nicht anzugreifen; er benutzt einfach den Bot.
Es gibt Fälle, in denen es sich vertreten lässt — ein Anti-Nuke-Bot muss jeden überstimmen können. Aber die Frage ist nicht „kann man das begründen", sondern „hat es jemand begründet". Ein Bot, der Administrator verlangt und nicht in seiner Beschreibung erklärt wofür, hat die Frage nicht beantwortet.
Die vier, bei denen es sich lohnt, kurz nachzudenken
Rollen verwalten klingt harmlos und ist die zweite Hälfte fast jeder Übernahme. Discord begrenzt sie zwar: Ein Bot kann nur Rollen vergeben, die unter seiner eigenen stehen. Genau deshalb entscheidet die Position der Bot-Rolle darüber, wie viel Schaden möglich ist. Schiebe sie so weit nach unten, wie die Funktion es zulässt.
Kanäle verwalten heißt auch: Kanäle löschen. Alle, nicht nur die eigenen. Ein Ticket-Bot braucht das, ein Musik-Bot nicht.
Webhooks verwalten erlaubt es, Nachrichten unter fremdem Namen und Bild zu senden. Für einen Benachrichtigungs-Bot ist das ein sinnvoller Weg, weil Webhook-Nachrichten kein Rate-Limit des Bots verbrauchen. Für alles andere ist es eine Möglichkeit, sich als jemand anderes auszugeben.
Nachrichten verwalten bedeutet löschen und anheften — für Moderation nötig, für einen Spiele-Bot fragwürdig.
Wie du eine Einladung prüfst, bevor du sie öffnest
Jede Einladungs-URL trägt die angeforderten Rechte in einer Zahl mit:
https://discord.com/oauth2/authorize?client_id=123456789&permissions=8&scope=bot
permissions=8 ist Administrator. Die 8 ist das dritte Bit, und sie ist die eine Zahl, die es sich zu merken lohnt. permissions=0 verlangt gar keine Rechte — dann bekommt der Bot nur, was die @everyone-Rolle ohnehin hat.
Bei jeder anderen Zahl hilft ein Blick in den Rechner, den Discords Entwicklerportal mitbringt, oder — bequemer — die Aufschlüsselung, die wir auf jeder Bot-Seite anzeigen. Wir zerlegen die Zahl im Klartext und markieren, was riskant ist.
Der zweite Wert, auf den es ankommt, ist scope. bot ist normal. applications.commands erlaubt Slash-Befehle und ist heute Standard. Bei allem darüber hinaus lohnt eine Rückfrage.
Die praktische Regel
Vergleiche die Rechte mit dem, was der Bot verspricht. Ein Musik-Bot braucht Verbinden und Sprechen. Ein Umfrage-Bot braucht Nachrichten senden. Wenn die Liste deutlich länger ist als die Funktion, gibt es zwei Möglichkeiten: Der Entwickler hat sich keine Mühe gemacht, oder der Bot kann mehr, als in der Beschreibung steht. Beides ist ein Grund, weiterzusuchen.
Und wenn du dich einmal vertan hast: Berechtigungen lassen sich nachträglich ändern. Serverinstellungen → Rollen → die Rolle des Bots. Was du dort wegnimmst, ist weg, auch wenn die Einladung mehr verlangt hat.