Discord hat sich in den letzten Jahren vom Gaming-Tool zu einer ernstzunehmenden Kollaborationsplattform entwickelt. Redaktionen, Medienhäuser und Produktionsteams nutzen die Plattform für Pitches, Recherche-Koordination und die interne Abstimmung zwischen freien Mitarbeitenden und festen Redakteur:innen. Die Zahl der beruflich genutzten Discord-Server im deutschsprachigen Raum ist schwer zu beziffern, aber wer einmal in größeren Medienbetrieben gearbeitet hat, kennt die inoffiziellen Server, auf denen Kolleginnen und Kollegen Quellen teilen oder Texte kommentieren.
Das Problem: Discord wurde nicht primär für professionelle Kommunikation mit erhöhtem Schutzbedarf entwickelt. Wer sensible redaktionelle Inhalte über die Plattform koordiniert, muss sich um technische Absicherung aktiv kümmern. Und das beginnt nicht erst beim Rollenmodell innerhalb des Servers.
Warum Standard-Einstellungen nicht ausreichen
Ein frisch angelegter Discord-Server bietet standardmäßig kaum nennenswerten Schutz. Einladungslinks sind oft dauerhaft gültig, Zugriffsrechte pauschal vergeben, und Bots werden ohne genaue Prüfung der Berechtigungen installiert. In Redaktionen, die mit vertraulichen Quellen, unveröffentlichten Beiträgen oder Embargos arbeiten, ist das ein strukturelles Problem.
Konkret: Ein Bot mit Leserechten auf alle Kanäle kann theoretisch sämtliche Nachrichten auslesen und an externe Server weiterleiten. Discord selbst weist in seinen Entwicklerdokumentationen auf diese Risiken hin, aber in der Praxis werden Bot-Berechtigungen selten systematisch geprüft. Hinzu kommt, dass viele Nutzerinnen und Nutzer dieselben Zugangsdaten für mehrere Dienste verwenden. Phishing-Angriffe auf Discord-Konten sind dokumentiert und treffen auch Accounts in professionell genutzten Servern.
Netzwerkseitige Absicherung: Proxys und IP-Kontrolle
Ein Ansatz, den größere Medienhäuser zunehmend verfolgen, ist die Trennung des redaktionellen Discord-Traffics vom regulären Büronetzwerk über zwischengeschaltete Proxyserver. Das erlaubt es, ausgehende Verbindungen zu Discord-Endpunkten zu überwachen, zu filtern und im Angriffsfall schnell zu unterbrechen. Wer sich über konkrete Implementierungen informieren möchte, findet beim Anbieter Bytedocks einen technischen Überblick zum Einsatz eines Discord Proxy für genau diesen Zweck. Für Redaktionen relevant ist dabei vor allem die Möglichkeit, IP-Adressen zu normalisieren und so zu verhindern, dass Mitarbeitende über private Accounts mit identifizierbaren Heim-IPs auf interne Server zugreifen.
Das ist kein rein technisches Detail. Gerade Investigativredaktionen, deren Mitglieder unter Umständen beobachtet werden, profitieren davon, dass ihre Netzwerkaktivitäten nicht ohne Weiteres auf einzelne Personen oder Standorte zurückführbar sind.
Rollenmodelle und Kanalarchitektur
Auf Serverebene beginnt Sicherheit mit einem durchdachten Rollenmodell. Das klingt selbstverständlich, wird aber häufig vernachlässigt. Empfehlenswert ist folgendes Grundprinzip:
- Minimale Standardrechte: Neue Mitglieder erhalten zunächst nur Leserechte auf einen Begrüßungskanal.
- Explizite Freischaltung: Kanalzugriffe werden rollenbasiert vergeben und dokumentiert.
- Zeitlich begrenzte Einladungslinks: Keine Dauereinladungen, maximale Gültigkeitsdauer 24 Stunden.
- Bot-Audit: Alle installierten Bots werden quartalsweise auf ihre Berechtigungsstruktur geprüft.
- Zwei-Faktor-Authentifizierung: Für alle Mitglieder mit Administrationsrechten verpflichtend.
Großredaktionen, die Discord professionell einsetzen, arbeiten oft mit separaten Servern für unterschiedliche Sicherheitsstufen: ein öffentlicherer Server für die Zusammenarbeit mit Freien, ein interner Server für die Festredaktion, und ein weiterer, stark zugangsbeschränkter Server für laufende Rechercheprojekte.
Protokollierung und Audit-Logs
Discord bietet im Server-Audit-Log eine chronologische Aufzeichnung aller administrativen Aktionen: wer wurde eingeladen, welche Rolle wurde vergeben, welcher Kanal wurde erstellt oder gelöscht. Dieses Log wird in der Praxis kaum regelmäßig ausgewertet, obwohl es bei Sicherheitsvorfällen oft die erste verwertbare Informationsquelle ist.
Wer darüber hinausgeht, kann über Bots wie Audit Logger oder selbst entwickelte Webhook-Integrationen eine externe Protokollierung einrichten. Dabei werden relevante Serverevents in ein separates, nicht öffentliches Log-System geschrieben. Für Redaktionen, die unter die Vorschriften der Datenschutz-Grundverordnung fallen und Verarbeitungstätigkeiten dokumentieren müssen, ist das kein optionaler Komfort, sondern eine Pflicht. Artikel 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten, das auch informelle Kommunikationskanäle erfassen sollte, sobald dort personenbezogene Daten ausgetauscht werden.
Rechtlicher Rahmen und redaktionelle Verantwortung
Viele Redaktionen unterschätzen, welche rechtlichen Implikationen die Nutzung von Discord als Arbeitsmittel hat. Sobald Mitarbeitende über den Server kommunizieren, gelten datenschutzrechtliche Anforderungen. Discord Inc. hat seinen Sitz in San Francisco; der Datentransfer in die USA ist nach dem aktuellen Stand des EU-US Data Privacy Frameworks grundsätzlich möglich, aber nicht ohne Prüfaufwand. Das Bundesbeauftragte für den Datenschutz und die Informationsfreiheit stellt Orientierungshilfen zur Nutzung von US-Clouddiensten bereit, die auch auf Kommunikationsplattformen anwendbar sind.
Zusätzlich ist der Redaktionsgeheimnis-Gedanke zu berücksichtigen. Der Quellenschutz ist in Deutschland durch Paragraf 53 der Strafprozessordnung verankert. Wer Hinweisgeber-Informationen über Discord kommuniziert, ohne die Plattform abzusichern, handelt fahrlässig gegenüber seinen Quellen.
Schulung als unterschätzter Faktor
Technische Maßnahmen helfen wenig, wenn Mitarbeitende nicht verstehen, warum sie existieren. Eine einmalige Onboarding-Session reicht nicht aus. Empfehlenswert sind halbjährliche kurze Auffrischungen (30 bis 45 Minuten), in denen konkrete Szenarien durchgespielt werden: Was tun, wenn ein verdächtiger Bot-Invite erscheint? Wie erkenne ich Phishing auf Plattformebene? Wem melde ich einen Vorfall?
Redaktionen, die Discord als festes Arbeitsmittel etablieren wollen, sollten die Plattform intern wie jede andere IT-Infrastruktur behandeln: mit Sicherheitsverantwortlichen, dokumentierten Prozessen und regelmäßigen Überprüfungen. Der Aufwand dafür ist überschaubar. Die Risiken eines ungeschützten Servers dagegen können Quellen gefährden, Embargos brechen oder interne Konflikte nach außen tragen. Das ist kein hypothetisches Szenario, sondern in mehreren Redaktionen bereits eingetreten.
