Modrinth oder CurseForge: Ist Modrinth sicher? (2026)

Modrinth oder CurseForge? Wer Mods für Minecraft sucht, landet auf beiden Seiten, und gleich danach kommt die zweite Frage: Ist Modrinth sicher, oder fängt man sich dort einen Virus ein? Hier bekommst du beide Antworten aus den eigenen Angaben der Plattformen, dazu eine Anleitung, mit der du den Ordner mods deines Servers prüfst.

Stand aller Angaben: 3. November 2026. Zitate aus englischen Quellen haben wir übersetzt, Modrinths eigene deutsche Texte zitieren wir direkt.

Kurze Antwort: Ja, Modrinth ist sicher, und CurseForge auch, solange du Mods von der offiziellen Projektseite oder aus der offiziellen App lädst. Beide Plattformen prüfen jede hochgeladene Datei automatisch auf Schadcode, beide lassen neue Projekte von Menschen prüfen, und beide hatten trotzdem einen bekannten Malware-Fall: fractureiser auf CurseForge im Juni 2023 und Windows Borderless auf Modrinth im Mai 2024, beide binnen Stunden nach der Entdeckung entfernt. Bei Modrinth oder CurseForge entscheidet also nicht die Sicherheit, sondern wo deine Mods liegen: Modrinth ist die offenere Plattform und stark bei Fabric, CurseForge ist größer und hat die großen NeoForge- und Forge-Packs wie All the Mods 10. Die echte Gefahr sind Dateien von anderswo, vor allem Modpack-ZIPs aus Discord.

Modrinth oder CurseForge auf einen Blick

Stand 3. November 2026, sonst wie angegeben:

Ist Modrinth sicher?

Ja. Modrinth läuft seit seiner Beta im Dezember 2020, wird von der US-Firma Rinth, Inc. betrieben und zählt laut eigener Statistik 166.497 Projekte. Der Code von Website, Backend und App liegt öffentlich auf GitHub, du kannst also nachlesen, was mit einer hochgeladenen Datei passiert:

• Jede Datei wird gescannt. Neue Projekte, neue Versionen und zusätzliche Dateien gehen nach dem Hochladen an Modrinths eigenen Malware-Scanner, im Code „Delphi“ genannt. Er dekompiliert die Java-Dateien und stuft seine Funde nach Schwere ein.
• Verdächtige Funde prüft das Team. Mitarbeiter bewerten jeden Fund als sicher oder unsicher. Lautet das Urteil unsicher, wird das Projekt abgelehnt.
• Neue Projekte prüfen Menschen. Auf der deutschen Modrinth-Seite steht: „Dein Projekt wird gescannt und anschließend von menschlichen Moderatoren geprüft, um sicherzustellen, dass es den Inhaltsrichtlinien und Nutzungsbedingungen von Modrinth entspricht.“
• Die Regeln verbieten die typischen Tricks. Die Inhaltsrichtlinien (Stand 13. August 2026) verbieten unter anderem, sich als jemand anderes auszugeben, und Inhalte, die ohne klaren Hinweis Daten an einen fremden Server schicken.
• Jeder kann melden. Jedes Projekt lässt sich den Moderatoren melden. Für eine Meldung wegen Schadcode verlangt Modrinth Belege wie Codeausschnitte, denn „Zusammenfassungen von Microsoft Defender, VirusTotal oder KI-Virus-Detektoren sind keine ausreichenden Beweise“.

Die Lücke: Updates warten nicht auf einen Moderator

Die menschliche Prüfung gibt es einmal, beim ersten Einreichen. Lädt der Autor eines freigegebenen Projekts eine neue Version hoch, ist sie sofort online, und der Scanner prüft sie danach. Genau so kam 2024 Windows Borderless durch, laut Modrinths eigenem Bericht:

Die Malware lief nur unter Windows und griff auf Daten zu, die Browser wie Chrome, Edge und Firefox und die Discord-App speichern, darunter Konto-Tokens, gespeicherte Passwörter und Bankdaten. Rund 372 verschiedene IP-Adressen haben die Dateien geladen, in keinem Modpack auf Modrinth war die Mod enthalten. Heute geht jedes Update automatisch durch den Scanner, auch wenn kein Moderator es vorher freigibt.

Modrinth Virus: Gab es schon Malware auf Modrinth?

Ja, einmal öffentlich bekannt, und nach der ersten Meldung war sie in wenigen Stunden weg. Windows Borderless ist der einzige Malware-Bericht in Modrinths News (geprüft am 3. November 2026). Zwei Einschränkungen:

• Ein Bericht ist keine Statistik. Was der Scanner findet und das Team ablehnt, verschwindet ohne Beitrag.
• fractureiser hat Modrinth nicht erreicht. Die Malware steckte 2023 in Projekten auf CurseForge und BukkitDev. Modrinth hat die Uploads der letzten zehn Monate durchsucht und nichts gefunden. Die Ermittler, die fractureiser untersucht haben, nennen das „reines Glück“ und schreiben: „Modrinth ist genauso sicher wie CurseForge.“

Und dein Virenscanner? Laut CurseForge war fractureiser so gebaut, dass es „alle kommerziellen Antivirenprogramme“ umging. Ein sauberer Scan beweist also wenig. Nimm eine Warnung als Grund, die Datei zu entfernen und genauer hinzusehen.

Ist die Modrinth App sicher?

Ja, und ein Virus ist sie auch nicht. Die App ist Open Source, lade sie nur von modrinth.com/app. Aktuell ist Version 0.22.1 vom 29. Oktober 2026, und 2026 hat Modrinth mehrere Warnungen eingebaut (Changelog):

• Seit Version 0.13.7 (29. April 2026) warnt die App, bevor sie eine .mrpack-Datei installiert, die nicht auf Modrinth liegt, um zu verhindern, dass Nutzer „zur Installation von Malware verleitet werden“.
• Seit Version 0.15.11 (14. Juli 2026) warnt sie auch vor einzelnen Mods, die nicht auf Modrinth veröffentlicht sind. Im Warnfenster für Modpacks ist seitdem Nicht-Installieren die Hauptaktion, damit niemand die Meldung einfach wegklickt.
• Seit Version 0.22.0 (21. Oktober 2026) lassen sich keine ausführbaren Dateien mehr in geteilte Instanzen schieben.

In den Einstellungen heißt der Schalter „Warne mich, bevor unbekannte Modpacks installiert werden“. Lass ihn an. Die Website von Modrinth kannst du in den Spracheinstellungen auf Deutsch umstellen, als Deutsch (Deutschland) oder Deutsch (Schweiz).

Wie prüft CurseForge?

Bei CurseForge, das von Overwolf entwickelt wird, durchläuft laut Vorfallbericht von 2023 jede hochgeladene Datei über ein Dutzend automatischer Tests, darunter mehrere Virenscans. Jede Projektseite wird beim Anlegen und bei jedem Update von Hand geprüft, und verdächtige Dateien gehen an einen Sicherheitsexperten bei Overwolf, der weiter testet und die Mod wenn nötig im Spiel ausprobiert. Seit Mai 2024 kommen für jede Minecraft-Mod fünf Schritte dazu (Mod Approval Process): Die Datei wird dekompiliert, jede Klasse wird gehasht und mit bekannter Malware verglichen, Werkzeuge für statische Analyse suchen nach Risiken, verdächtige Klassen gehen durch weitere Tests, und am Ende wird die Mod abgelehnt oder von Hand geprüft. CurseForge schreibt selbst, dass „kein Verfahren absolut sicher“ ist.

Das zeigte fractureiser. Am 7. Juni 2023 lud ein Angreifer infizierte Mods über neue Konten hoch und kam über einen infizierten Rechner eines großen Studios auch an dessen beliebte Projekte. Innerhalb von zehn Stunden sperrte CurseForge die Konten, durchsuchte die ganze Datenbank, entfernte die infizierten Dateien und veröffentlichte Prüfwerkzeuge. Während des ganzen Vorfalls wurden die infizierten Dateien rund 6.500 Mal geladen.

Am 14. Mai 2026 warnte CurseForge vor einer Masche auf Discord: Betrüger geben sich als bekannte Leute aus und schicken kleine ZIP-Dateien als angeblich nötiges Modpack. In einem Fall steckte darin EchoVoiceBeta-1.0-SNAPSHOT.jar, das Befehle ausführen und Schadsoftware nachladen konnte. CurseForge schreibt dazu: „Wir können Modpack-Dateien, die dir Freunde schicken und die du in die CurseForge App importierst, nicht scannen oder überprüfen, aber wir scannen alle Dateien, die du direkt über unsere App oder Website lädst, auf Malware und Schadcode.“ Beim Import markiert die App inzwischen verdächtige Override-Dateien, und die Option „CurseForge Files Only“ installiert nur geprüfte Dateien von CurseForge.

Modrinth oder CurseForge: Welche Plattform nimmst du?

Als Plattform ist Modrinth die offenere: Der Code ist öffentlich, und die API braucht für die meisten Anfragen keinen Schlüssel. CurseForge ist dafür deutlich größer: 300.000 Minecraft-Mods meldete es im August 2026. All the Mods 10 (NeoForge 1.21.1) fehlt auf Modrinth.

Viele große Mods liegen auf beiden Seiten, und die Downloadzahlen zeigen, wer wo lädt: Sodium hat auf Modrinth 259 Millionen Downloads, auf CurseForge 162 Millionen. Bei JEI ist es umgekehrt, mit 644 Millionen auf CurseForge und 88 Millionen auf Modrinth. Daraus ergibt sich:

• Fabric mit Performance-Mods oder Shadern: Modrinth.
• Ein großes NeoForge- oder Forge-Pack wie ATM10: CurseForge, weil das Pack dort erscheint.
• Bedrock-Add-ons: die CurseForge-Website, denn die App verwaltet nur Java Edition und Modrinth führt nur Java-Versionen.
• Mods von beiden Seiten: Prism Launcher, der direkt mit Modrinth und CurseForge arbeitet.
• Ohne Overwolf: beide. Die CurseForge App gibt es auch als schlanke Standalone-Version.

Den ausführlichen Vergleich mit Server-Angeboten beider Seiten findest du in Modrinth vs CurseForge (auf Englisch).

So prüfst du Mods, bevor sie auf deinen Server kommen

Ein Server lädt jede .jar im Ordner mods, auf Paper jede im Ordner plugins, und jede davon hat dieselben Rechte wie der Server selbst. Prüf den Ordner vor allem, wenn du einen Server übernimmst oder ein Pack als ZIP bekommen hast.

Schritt 1: Den Ordner herunterladen

Kopiere mods (und plugins) per SFTP oder über den Dateimanager deines Panels auf deinen Rechner. Auf einem Modpack Server bei Space-Node geht beides, und gelistete Packs von CurseForge und Modrinth installierst du dort mit dem Modpack-Installer im Panel, statt Dateien aus fremden Quellen hochzuladen.

Schritt 2: Jede Datei mit Modrinth abgleichen

Die Modrinth-API sagt dir, ob eine Datei Byte für Byte einer veröffentlichten Version entspricht. Öffne ein Terminal im Ordner, der mods enthält:

cd mods
for f in *.jar; do
  h=$(sha1sum "$f" | cut -d ' ' -f 1)
  code=$(curl -s -o /dev/null -w '%{http_code}' -A "mod-check-yourname" \
    "https://api.modrinth.com/v2/version_file/$h?algorithm=sha1")
  echo "$code $h $f"
  sleep 0.25
done

Auf dem Mac ersetzt du sha1sum durch shasum -a 1. Unter Windows öffnest du PowerShell im selben Ordner:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Get-ChildItem .\mods -Filter *.jar | ForEach-Object {
  $file = $_
  $hash = (Get-FileHash -LiteralPath $file.FullName -Algorithm SHA1).Hash.ToLower()
  try {
    $null = Invoke-WebRequest "https://api.modrinth.com/v2/version_file/${hash}?algorithm=sha1" -UseBasicParsing -UserAgent "mod-check-yourname"
    $code = 200
  } catch {
    $code = [int]$_.Exception.Response.StatusCode
  }
  "$code $hash $($file.Name)"
  Start-Sleep -Milliseconds 250
}

200 heißt: Die Datei ist genau so auf Modrinth veröffentlicht. Öffnest du die Adresse mit dem Hash im Browser, zeigen name und project_id, zu welcher Mod sie gehört. 404 heißt: Modrinth kennt diese Datei nicht. Das ist normal bei Mods, die es nur auf CurseForge gibt, sieht aber auch bei einer veränderten Kopie so aus. In unserem Test am 3. November 2026 wurde aus der 200 einer echten Mod eine 404, nachdem wir ein einziges Byte angehängt hatten. Ersetze yourname durch deinen Namen: Modrinth verlangt einen User-Agent, der dich erkennbar macht, und erlaubt 300 Anfragen pro Minute.

Schritt 3: CurseForge-Packs mit dem offiziellen Serverpack vergleichen

Für ein Pack von CurseForge ist eine frische Kopie des offiziellen Serverpacks der beste Vergleich. Öffne auf der Pack-Seite den Reiter Files, dann genau die Version deines Servers, und lade das Serverpack unter Additional Files. Entpacke es so, dass sein Ordner mods unter official/mods neben deinem Serverordner server liegt, und führe das im Ordner darüber aus (Linux oder WSL unter Windows):

(cd official/mods && sha256sum *.jar) | sort -k2 > official.txt
(cd server/mods && sha256sum *.jar) | sort -k2 > server.txt
diff official.txt server.txt

Keine Ausgabe heißt: Alle Dateien stimmen überein. Jede Zeile mit > ist eine Datei, die nur dein Server hat oder die sich vom Pack unterscheidet, und sollte eine Mod sein, die du bewusst hinzugefügt hast. In PowerShell markiert => dieselben Dateien:

$official = Get-FileHash .\official\mods\*.jar | ForEach-Object { "$($_.Hash) $(Split-Path $_.Path -Leaf)" }
$server = Get-FileHash .\server\mods\*.jar | ForEach-Object { "$($_.Hash) $(Split-Path $_.Path -Leaf)" }
Compare-Object $official $server

Schritt 4: Was du nicht erklären kannst, fliegt raus

Stopp den Server, nimm die Datei heraus, spiel ein Backup von vor ihrem Auftauchen ein und ändere die Passwörter für Panel und SFTP. Melde das Projekt danach mit dem, was du gefunden hast. Wie du Packs sauber aufsetzt, steht in Minecraft Server mit Mods erstellen.

Drei Regeln für jede Plattform

1. Lade nur von der offiziellen Projektseite oder aus der offiziellen App, nie von Repost-Seiten oder aus Discord.
2. Prüf Autor, Alter und Downloads. Ein fast gleicher Name mit ein paar hundert Downloads neben einer bekannten Mod ist ein Warnsignal.
3. Öffne keine .mrpack, .zip oder .jar, die dir jemand schickt, auch nicht von Freunden.

FAQ

Ist Modrinth seriös? Ja. Modrinth läuft seit der Beta im Dezember 2020, wird von Rinth, Inc. betrieben und gibt 75 Prozent seiner Werbeeinnahmen an die Mod-Autoren weiter. Seit Februar 2026 gehört es zu Spark Universe, der Firma hinter der Essential-Mod. In der Ankündigung vom 15. Juni 2026 verspricht Modrinth, Open Source zu bleiben, nicht mit Essential zu verschmelzen und Essential nie automatisch in deine Instanzen zu installieren.

CurseForge oder Modrinth: Was ist sicherer? Keine der beiden ist klar sicherer. Beide scannen jede hochgeladene Datei, beide prüfen neue Projekte von Hand, und beide hatten einen bekannten Malware-Fall. Mehr Sicherheit bringt dir die Quelle: offizielle Seite oder App statt Discord-ZIP.

Kann ich Mods von Modrinth und CurseForge mischen? Ja. Minecraft ist es egal, woher eine Mod kommt, solange sie für denselben Loader und dieselbe Minecraft-Version gebaut ist. Installiere jede Mod nur einmal, nicht eine Kopie von jeder Seite.

Was mache ich, wenn ich eine verdächtige Mod gestartet habe? Schließ Minecraft und den Launcher, lösch die Mod und mach einen vollständigen Virenscan. Ändere von einem anderen Gerät aus die Passwörter für dein Microsoft-Konto, Discord, deine E-Mail und alles, was im Browser gespeichert ist, und behalte dein Bankkonto im Blick. Melde das Projekt danach auf der Plattform.

Weitere Anleitungen: Is Modrinth Safe? und Is CurseForge Safe? (beide auf Englisch, mit mehr Details zu den Prüfungen)

Quellen

Alle aufgerufen am 3. November 2026, auf Englisch, soweit nicht anders angegeben:

• Modrinth: Bericht zu Windows Borderless (7. Mai 2024), News, Modrinth joins Spark Universe (15. Juni 2026), Welcome to Modrinth Beta (1. Dezember 2020), Inhaltsrichtlinien, Nutzungsbedingungen, Rewards Program, App-Changelog, Modrinth App, Spracheinstellungen, Statistik, API-Dokumentation, Abfrage per Hash, Sodium, JEI
• Modrinth-Quellcode, Stand becf6e8 vom 3. November 2026: Scan-Warteschlange, Versions-Upload, technische Prüfung, deutsche Website-Texte (auf Deutsch), deutsche App-Texte (auf Deutsch), Changelog-Daten
• CurseForge: Safeguarding our community: incident report (19. Juni 2023), Our Mod Approval Process (8. Mai 2024), Stay Safe: How To Spot Suspicious Modpacks And Files (14. Mai 2026), August-Newsletter 2026 (30. August 2026), How to Add Minecraft Bedrock Mods (26. Oktober 2026), App-Download, All the Mods 10, JEI, Sodium
• fractureiser-Untersuchung: README und Leitfaden für Spieler
• Prism Launcher