RCON (Minecraft)

RCON ist der Zweitschlüssel zur Konsole deines Minecraft-Servers. Am Schlüsselbund gut, auf der Fußmatte vor der Haustür weniger.

Kurz gesagt

RCON (Remote Console) ist ein TCP/IP-basiertes Protokoll, mit dem Serveradministratoren von einem anderen Rechner aus Befehle auf einem Minecraft-Java-Server ausführen [1]. Es setzt das Source-RCON-Protokoll um und wurde in der Java Edition Beta 1.9 Prerelease 4 eingeführt [1]. Es ist standardmäßig aus und braucht ein Passwort [2]. Das Wiki warnt, RCON sei nicht verschlüsselt, und es sei gefährlich, den Port ins Internet zu öffnen [1]. Unsere Einschätzung: Nutze RCON nur im LAN oder durch einen verschlüsselten Tunnel.

So funktioniert’s

1. Einschalten. In der server.properties setzt du enable-rcon=true, ein Passwort bei rcon.password und optional einen Port bei rcon.port. Der Standardport ist 25575 [1][2].
2. Schutzmechanismus. Ist das Passwort leer und RCON aktiviert, startet der Server RCON nicht [2]. Außerdem steht enable-rcon standardmäßig auf false, ein frischer Server hat also keinen RCON-Listener [2].
3. Protokoll. Ein Client schickt ein Login-Paket mit dem Passwort, danach Befehlspakete. Eine Request-ID von -1 in der Antwort bedeutet, dass die Anmeldung fehlschlug [1]. Die Ausgabe kann auf mehrere Pakete mit bis zu 4096 Byte verteilt sein [1].
4. Clients. Viele Bibliotheken setzen das Protokoll um. Das kleine Kommandozeilenwerkzeug mcrcon liest Host, Port und Passwort aus den Umgebungsvariablen MCRCON_HOST, MCRCON_PORT und MCRCON_PASS und startet im Terminalmodus, wenn du keinen Befehl angibst [5].
5. Ein Tunnel für mehr Sicherheit. SSH kann die Verbindung transportieren. Die Option LocalForward in der ssh_config leitet einen lokalen TCP-Port durch den verschlüsselten Kanal, und die Bind-Adresse localhost hält den lauschenden Port lokal auf deinem Rechner [4]. Den Client richtest du dann auf localhost.
6. Der neuere Weg. Aktuelle Java-Versionen haben zusätzlich ein Minecraft Server Management Protocol. Es ist standardmäßig deaktiviert, lauscht standardmäßig auf localhost, hat TLS standardmäßig aktiv und verlangt ein Geheimnis aus 40 alphanumerischen Zeichen [3][2]. Unsere Einschätzung: Für ältere Setups ersetzt es RCON nicht, ist aber gut zu kennen, wenn du Werkzeuge für aktuelle Versionen baust.

Ein Serverbeispiel

In unserem Inventar (Stand 14. bis 16. Okt. 2026) ist keine RCON-Konfiguration erfasst; das hier ist ein erfundener Heimserver. Du betreibst Minecraft auf einem Mini-PC und willst per nächtlichem Skript save-all und stop senden. Du aktivierst RCON mit einem langen Zufallspasswort, hältst Port 25575 zum Internet geschlossen und startest mcrcon auf demselben Rechner mit dem Passwort in MCRCON_PASS [5]. Für Administration vom Laptop öffnest du zuerst einen SSH-Tunnel und richtest den Client dann auf localhost [4]. Schreib das Passwort nicht in Skripte, die du eincheckst; nimm eine Umgebungsvariable oder eine Datei mit eingeschränkten Rechten (unsere Einschätzung).

Prüfliste

• Setze ein langes, einmaliges rcon.password und committe es nie [2].
• Leite Port 25575 nicht im Router weiter [1].
• Erreiche RCON über SSH, mit LocalForward an localhost gebunden [4].
• Setze broadcast-rcon-to-ops=false, wenn Operatoren RCON-Befehle nicht sehen sollen; in der Beispieldatei des Wikis steht true [2].
• Teste einen harmlosen Befehl wie list, bevor du stop automatisierst [5].
• Sieh dir auf neuen Versionen das Management-Protokoll an, halte aber sein Geheimnis privat [3].