Die meisten von uns erkennen Phishing-E-Mails, die nur wenige persönliche Daten enthalten. Allgemeine Nachrichten wie „Ihr Konto wurde gesperrt“ landen meist sofort im Papierkorb. Doch was ist mit Phishing-E-Mails, die Ihren echten Namen und Ihre Adresse verwenden und sich auf das Produkt beziehen, das Sie letzten Monat gekauft haben? Selbst für die misstrauischsten Menschen können solche E-Mails überzeugend wirken.
In diese Situation gerieten auch europäische Steam-Hardware-Käufer diese Woche. Am 10. August warnte Valve, das Unternehmen hinter der Steam-Spieleplattform und der Steam-Hardware, seine Kunden vor einem Cyberangriff, bei dem Namen, Wohnadressen, Telefonnummern, Steam-E-Mail-Adressen und Details ihrer Hardware-Bestellungen offengelegt wurden.
Nicht Valve selbst wurde gehackt, sondern der Versandpartner CEVA Logistics, der für die Auslieferung der Hardware des Spieleladens zuständig ist. Passwörter und Zahlungsinformationen blieben unberührt.
Was wurde gestohlen?
Der Angriff erstreckte sich vom 29. Juli bis zum 1. August 2026. Valve erfuhr am 7. August davon und begann drei Tage später mit der Benachrichtigung der Kunden. CEVA speichert Lieferdaten etwa 90 Tage nach dem Versand. Das bedeutet, dass jeder, der in den letzten drei Monaten in Europa ein Steam Deck, einen Steam Controller oder eine Steam Machine erhalten hat, betroffen sein könnte.
Die offengelegten Informationen können Folgendes umfassen:
- Name
- Straße, Postleitzahl und Stadt
- Land
- Rufnummer
- E-Mail-Adresse, die mit dem Steam-Konto des Kunden verknüpft ist
- Art und Preis der bestellten Hardware
Die genauen Zahlen sind noch unbestätigt. Weder Valve noch CEVA haben Angaben zur Anzahl der betroffenen Kundendatensätze gemacht. Die niederländischen Einzelhändler Bol und De Bijenkorf wurden Berichten zufolge am 1. August über denselben CEVA-Vorfall informiert und warnten daraufhin ihre Kunden.
Warum Versanddaten für Betrüger wertvoll sind
Ein Betrüger kann Ihnen eine E-Mail oder SMS schicken oder Sie sogar anrufen und dabei auf Ihre tatsächliche Bestellung und Lieferadresse Bezug nehmen, bevor er Sie auffordert, eine kleine Zoll- oder erneute Zustellungsgebühr zu zahlen, Ihre Lieferung zu bestätigen oder sich anzumelden, um Ihre Bestellung zu „verifizieren“.
Betrug oder seriös? Scam Guard weiß es.
Derartige Daten werden bereits häufig online gehandelt. Malwarebytes Forscher entdeckten in den ersten sechs Monaten des Jahres 2026 mehr als 7.500 kompromittierte Datensätze mit über 8,4 Milliarden Einträgen im Darknet.
Nicht Valves erster Sicherheitsvorfall
Auch wenn Valves eigene Systeme nicht kompromittiert wurden, bedeutet das nicht, dass die Folgen nicht schwerwiegend sein können.
Im Mai 2025 versuchte ein Angreifer namens Machine1337, einen vermeintlichen Datensatz mit 89 Millionen Steam-Nutzerdatensätzen für 5.000 US-Dollar zu verkaufen . Die Daten entpuppten sich jedoch als ältere SMS-Nachrichten mit abgelaufenen Zwei-Faktor-Codes, die über einen Drittanbieter geleitet wurden, mit dem Valve eigenen Angaben zufolge nie eine Partnerschaft eingegangen ist.
Valve war in der Vergangenheit jedoch bereits Opfer eines direkten Datenlecks. Im November 2011 wurden dabei Daten von 35 Millionen Nutzern offengelegt , darunter Benutzernamen, E-Mail-Adressen und verschlüsselte Kreditkartendaten.
Was betroffene Käufer tun sollten
In einer E-Mail an ihre Kunden rät Valve ihnen, jede Nachricht, die sich auf ihre kürzliche Steam-Hardwarebestellung bezieht, als Fälschung zu betrachten. Dies gilt für E-Mails, SMS und Anrufe, selbst wenn die Adresse korrekt angegeben wird.
Der Steam-Support kontaktiert Nutzer niemals per E-Mail, Steam-Chat oder Discord und kümmert sich ausschließlich über die Hilfeseite um Kontoprobleme.
Sie müssen Ihr Passwort also nicht sofort zurücksetzen, obwohl es nie schadet, ein sicheres, einzigartiges Passwort zu verwenden und die Zwei-Faktor-Authentifizierung von Steam Guard zu aktivieren. Seien Sie stattdessen skeptisch gegenüber unerwünschten E-Mails, SMS oder Anrufen bezüglich einer kürzlich erfolgten Steam-Hardwarelieferung, selbst wenn diese Details enthalten, die nur ein echter Kunde kennen sollte.
Stimmt da etwas nicht? Überprüfen Sie es, bevor Sie klicken.
Mit Malwarebytes Guardkönnen Sie verdächtige Links, Texte und Screenshots sofort überprüfen.
Erhältlich mitMalwarebytes Premium für alle Ihre Geräte sowie in derMalwarebytes für iOS Android.
