Der unsichtbare Aufpasser — und Sperren, die endlich erklären, warum 👁️

Vor einer Weile haben wir hier über Kindgerecht by Design geschrieben — über Melden, Feedback und ein wachsames Auge. Das wachsame Auge war damals ehrlich gesagt der schwächste Teil: Wir konnten Meldungen entgegennehmen, aber wir konnten kaum nachsehen, was in einer Welt eigentlich los ist. Genau daran haben wir jetzt gearbeitet — mit zwei Bausteinen: einem Beobachter-Modus für die Aufsicht und einem komplett überarbeiteten Sperr-System, das Betroffenen endlich sagt, was Sache ist.

Der Beobachter-Modus. Wenn eine Meldung eintrifft („da baut jemand Unsinn", „da schreibt jemand gemeine Sachen"), können wir die betroffene Welt jetzt betreten, ohne sie zu stören. Und zwar wirklich unsichtbar — nicht in der Variante „bitte zeichne mich nicht", die ein verändertes Spiel einfach ignorieren könnte. Der Server verschweigt den Beobachter komplett: kein Avatar, kein geparktes Schiff, kein belegter Landeplatz, keine Landeanimation, keine Haustiere, kein Speeder, kein belegter Spielerplatz und keine veränderte Spielerzahl. Für alle in der Welt ist buchstäblich niemand da. Fliegen geht frei durch Wände (sonst käme man in eine zugebaute Basis nie hinein), Kreaturen ignorieren den Beobachter, und schießen kann er ohnehin nicht.

Zuschauen heißt zuschauen. Der Beobachter darf im Spiel nichts anfassen — mit genau einer Ausnahme: Er kann Blöcke abbauen. Das ist der einzige Hebel, um einen anstößigen Bau tatsächlich aus der Welt zu bekommen, und jeder einzelne Abbau wird protokolliert. Im Chat ist der Beobachter stumm geschaltet; wer sich bewusst zeigen will, muss einen eigenen Befehl benutzen. Auf dem Bildschirm klebt dabei dauerhaft ein SPECTATOR-Schild — man soll nie aus Versehen glauben, man spiele gerade normal mit.

Warum das technisch so streng gebaut ist. Zwei Entscheidungen, die von außen unsichtbar sind, uns aber wichtig waren. Erstens: Die Beobachter-Rolle wird nicht im Spielstand gespeichert, sondern bei jedem Beitritt frisch aus der Server-Konfiguration berechnet. Spielstände kann man herunterladen und woanders wieder hochladen — eine mitgespeicherte Aufseher-Rolle würde mitwandern, auf Rechner, die uns nicht gehören. Zweitens: Es ist keine Welt-Option. Wer eine Welt besitzt, soll die Aufsicht über seine Welt nicht abschalten können. Genau deshalb hängt sie auch nicht an den „Admin-Cheats", die in Welten sowieso standardmäßig aus sind.

Erst mal finden, wo etwas passiert. Dazu gibt es neue Befehle: /players zeigt, wer online ist — und wer überhaupt je auf dieser Welt gespielt hat; /builds zeigt, wo jemand gebaut hat; /where führt zu einem Spieler; /goto springt auch über Planetengrenzen hinweg (der alte Teleport hat nur Koordinaten gesetzt und einen dann auf dem falschen Planeten abgesetzt 🙈). Dazu kommt eine Übersichtsseite in unserer Verwaltung, die direkt aus dem Weltspeicher liest: Spieler, Bauwerke und „Bau-Hotspots" — so findet man auch ein Haus, das jemand ohne Basiskern irgendwo ins Nirgendwo gestellt hat. Und jede veränderte Zelle merkt sich jetzt, wer sie zuletzt angefasst hat und wann. Bevor wir das eingebaut haben, wurde nachgemessen, was es an Speicher kostet: keine einzige zusätzliche Zeile in der Datenbank, weil ohnehin pro Zelle gespeichert wird.

Auch in privaten Welten — mit doppeltem Schloss. Die ersten Versionen hatten ein absurdes Loch: Der unsichtbare Beobachter kam nur in öffentliche, passwortfreie Welten — also ausgerechnet in die, wo am wenigsten passiert. Kinder spielen fast immer in privaten Welten, deren Passwort im Freundeskreis herumgereicht wird. Deshalb erreicht die Aufsicht jetzt auch die. Damit das keine Hintertür wird, ist der Zugang doppelt verriegelt: Es braucht ein Betreiber-Konto, das nur mit einem geheimen Code überhaupt angelegt werden kann — und den dafür vorgesehenen Spielernamen, der systemweit reserviert ist und den niemand sonst registrieren oder spielen kann. Fehlt eins von beidem, passiert gar nichts.

Und dann die Sperren. Bisher war das ehrlich schlecht gelöst: Ein gesperrtes Konto konnte sich ganz normal anmelden, und die Wand kam erst beim Beitritt zu einer Welt — ohne Grund, ohne Datum, ohne Möglichkeit nachzufragen. Aus Spielersicht war das Spiel einfach kaputt. Jetzt trägt schon die Anmeldung den Stand der Dinge, und es gibt einen Nachrichten-Eingang: „Deine Welt wurde gelöscht (Grund)", „Deine Sperre wurde aufgehoben". Diese Nachricht wird in dem Moment geschrieben, in dem etwas passiert — später existiert die Information nicht mehr, eine gelöschte Welt ist ja weg.

Auszeit statt Ausschluss. Sperren sind jetzt in erster Linie befristet — die Voreinstellung sind drei Tage. Eine abgelaufene Auszeit gilt an jeder Prüfstelle wieder als „nicht gesperrt", damit aus „drei Tage Pause" niemals klammheimlich ein Dauerbann wird. Für den Verlauf bleibt der Eintrag trotzdem stehen. Die Gründe gibt es als feste Kategorien (Chat, Zerstörung, Cheats, Name, Sonstiges), die in Deutsch und Englisch übersetzt angezeigt werden — schreibt ein Mensch etwas dazu, steht das wörtlich so da, wie es getippt wurde. Und das Wichtigste an der ganzen Sache: Die Nachricht kann den Tag nennen, an dem man wieder willkommen ist.

Welt-Besitzer dürfen jetzt selbst moderieren. Wer eine eigene Welt hat, bekommt für seine Welt denselben Hebel: eine eigene Sperrliste, die genauso zuverlässig greift wie unsere. Sie merkt sich das Konto (Umbenennen hilft also nicht) und den Spielnamen (Arcade-Gäste haben gar kein Konto). Ausgewählt wird aus einer Liste derer, die tatsächlich in der Welt waren — Namen von Hand eintippen ist genau der Weg, auf dem man versehentlich das falsche Kind sperrt. Weil eine Sperre aber immer nur über den nächsten Beitritt entscheidet, gibt es zusätzlich Rauswerfen: Der Spieler landet sofort im Menü, mit Begründung, und zwar in seiner Sprache. Die Nachricht geht raus, bevor die Verbindung geschlossen wird — damit auch ein verändertes Spiel sie nicht einfach ignorieren und weiterspielen kann.

Was wir bewusst nicht gebaut haben. Naheliegend wäre eine Geräteerkennung gegen Umgehung („neues Konto, gleicher PC"). Wir haben es verworfen, aus drei Gründen: Die Kennung ändert sich schon, wenn ein USB-Stick steckt oder Windows ein größeres Update macht; ein verändertes Spiel kann sie in fünf Minuten fälschen; und identisch aufgesetzte Schulrechner sähen alle gleich aus. Dazu kommt der rechtliche Teil — das Auslesen einer Gerätekennung braucht in Deutschland eine Einwilligung, die Kinder unter 16 gar nicht wirksam geben können. Aufsicht darf nicht zur Überwachung werden. Und noch eine Regel, die im Code festgeschrieben ist: Das Betreiber-Konto kann selbst weder gesperrt noch rausgeworfen werden — sonst könnte sich die Aufsicht selbst abschalten lassen.

All das steckt bereits im Code und geht mit dem nächsten Server-Update live. Wir hoffen aufrichtig, es so selten wie möglich zu brauchen. 🌟