Eine Nachricht kann echte Bestell- oder Adressdetails nennen und trotzdem ein Betrugsversuch sein. Genau davor warnt Valve europäische Käufer von Steam-Hardware nach einem Cyberangriff auf den Logistikdienstleister CEVA Logistics. Mehrere aktuelle Berichte vom 10. August 2026 geben eine Kundenkommunikation wieder, in der Valve vor gefälschten E-Mails, SMS und Anrufen warnt.
Das Wichtigste in 30 Sekunden
- Im Raum stehen möglicherweise Namen, Lieferanschriften, Telefonnummern, die E-Mail-Adresse des Steam-Kontos sowie Typ und Preis bestellter Hardware.
- Die reproduzierte Kundenkommunikation nennt Versand- und Bestelldaten als Warnbasis; Steam-Passwörter, Zahlungsdaten und Steam-Guard-Codes sind darin nicht als betroffen nachgewiesen.
- Mit echten Lieferdetails können Fake-Nachrichten glaubwürdiger wirken. Typische Vorwände sind Zoll- oder Nachsendegebühren, eine Lieferbestätigung oder ein angeblicher Login.
- Steam und den Support immer selbst über die offizielle App oder Domain öffnen. Links aus Nachrichten nicht verwenden und niemals Passwort oder Steam-Guard-Code weitergeben.
Was bisher bekannt ist
Für Käufer entsteht das Risiko nicht erst dann, wenn ein Steam-Konto übernommen wurde: Echte Bestell- und Adressdetails können eine Fake-Nachricht so plausibel machen, dass eine angebliche Gebühr oder ein Login glaubwürdig wirkt. Der konkrete Angriff auf CEVA Logistics soll zwischen dem 29. Juli und dem 1. August 2026 stattgefunden haben; CEVA erklärte gegenüber TechCrunch, der operative Einfluss habe acht europäische Lager betroffen, während die Untersuchung zum Veröffentlichungszeitpunkt noch lief. Am 7. August soll Valve von einer möglichen Datenoffenlegung erfahren haben. Die aktuellen Berichte vom 10. August beziehen sich deshalb auf eine Verbraucherwarnung nach dem Angriff, nicht auf das Datum des Angriffs selbst.
Eine stabile öffentliche Originalmitteilung von Valve oder eine öffentliche CEVA-Incident-Seite ist nicht auffindbar. Die Valve-spezifischen Angaben stammen aus einer Kunden-E-Mail beziehungsweise einem Kundenhinweis, den mehrere Medien unabhängig wiedergeben. Diese Grenze ist wichtig: Sie macht die Warnung nicht wertlos, aber sie verhindert, dass aus einer reproduzierten Nachricht eine vermeintliche Pressemitteilung wird.
Welche Daten im Raum stehen
Nach dem wiedergegebenen Hinweis könnten Daten betroffen sein, die bei einer Hardwarebestellung für Lieferung und Zustellung anfallen. Genannt werden Namen, Straßenadressen einschließlich Postleitzahl und Ort, Land, Telefonnummern, die E-Mail-Adresse des Steam-Kontos sowie Typ und Preis der bestellten Hardware. Die Formulierungen bleiben vorsichtig: Es geht um mögliche beziehungsweise wahrscheinliche Offenlegung, während der endgültige Umfang noch untersucht wurde.
Die Berichte ziehen zugleich eine klare Grenze. Nach der verfügbaren Kundenkommunikation waren zusätzliche Steam-Kontodaten nicht betroffen; CEVA habe keine Zahlungsinformationen, Passwörter oder Steam-Guard-Codes. Daraus folgt weder eine bestätigte Kontenübernahme noch eine Aufforderung, vorsorglich das Steam-Passwort zu ändern. Wer betroffen sein könnte, sollte verdächtige Nachrichten trotzdem ernst nehmen – aber den Vorfall nicht größer machen, als die Quellen ihn belegen.
| Im Raum stehende Daten | Nicht als betroffen belegt |
|---|---|
| Name, Lieferadresse, Postleitzahl, Ort und Land | Steam-Passwort und Steam-Guard-Code |
| Telefonnummer und Steam-Konto-E-Mail | Zahlungsinformationen |
| Hardwaretyp und Preis der Bestellung | Steam-Authentifizierung oder weitere Kontodaten |
Warum Fake-Nachrichten plausibler werden
Phishing muss nicht auf einen technischen Einbruch in ein Konto folgen. Für einen glaubwürdigen Vorwand reichen manchmal wenige richtige Angaben: ein Name, ein passender Ort, eine erwartete Lieferung oder der konkrete Preis eines bestellten Geräts. Eine Nachricht kann dadurch persönlich wirken und trotzdem von einem Angreifer stammen.
Der reproduzierte Valve-Hinweis nennt E-Mails, SMS und Anrufe. Denkbar sind Forderungen nach einer Zoll- oder Nachsendegebühr, eine angebliche Bestätigung der Lieferadresse oder ein Login, mit dem eine Bestellung „freigeschaltet“ werden soll. Keine dieser Varianten beweist automatisch, dass eine konkrete Nachricht gefälscht ist. Sie sind aber ein guter Grund, den angebotenen Prüfweg nicht zu benutzen.
Auch das 90-Tage-Fenster, in dem CEVA Versanddaten nach einer Bestellung aufbewahrt, ist keine Liste sicher betroffener Käufer. Es beschreibt die mögliche Datenhaltung. Eine exakte Zahl betroffener Steam-Kunden oder eine Deutschlandquote nennen die Quellen nicht.
So prüfen Käufer eine Nachricht
Die sicherste Reaktion ist unspektakulär: nicht auf die Nachricht antworten und keinen darin enthaltenen Link öffnen. Stattdessen wird die bekannte Adresse selbst eingegeben oder die offizielle Steam-App geöffnet.
- Inhalt nicht über den Absender bewerten. Ein echter Name, eine korrekte Adresse oder ein plausibler Hardwarepreis beweist nicht, dass E-Mail, SMS oder Anruf von Valve oder einem Paketdienst kommt.
- Steam selbst öffnen. Bestellung und Kontostatus über die offizielle App oder eine selbst eingegebene Domain prüfen. In den Berichten werden
help.steampowered.com,store.steampowered.com,www.steampowered.comundsteamcommunity.comals offizielle Wege genannt. - Keine Zahlung über die Nachricht auslösen. Eine angebliche Zoll-, Liefer- oder Nachsendegebühr nicht über den Link und nicht über die im Anruf genannte Zahlungsseite begleichen.
- Zugangsdaten schützen. Steam-Passwort und Steam-Guard-Code niemals an einen Anrufer, einen vermeintlichen Supportmitarbeiter oder einen Paketdienst weitergeben.
- Bei Unsicherheit den offiziellen Supportweg nutzen. Nicht antworten, sondern die Supportseite selbst aufrufen und dort nach dem Vorgang suchen. So bleibt die Prüfung vom möglichen Angreifer getrennt.
Wer bereits auf einen Link geklickt hat, sollte nicht in der Nachricht weiterarbeiten. Die nächsten Schritte gehören in die selbst geöffnete Steam-Umgebung. Erst dort lässt sich prüfen, ob tatsächlich eine Kontomeldung oder Bestellung vorliegt.
Logistikdaten sind kein Steam-Account
Der wichtigste Unterschied liegt zwischen einem Logistiksystem und der Steam-Authentifizierung. Ein Logistikpartner kann Liefer- und Bestelldaten verarbeiten, ohne Passwörter oder Steam-Guard-Codes zu besitzen. Werden solche Daten offengelegt, steigt das Risiko für Social Engineering. Daraus entsteht aber nicht automatisch ein Zugriff auf das Steam-Konto.
Diese Trennung schützt vor zwei Fehlern: vor Panik und vor falscher Entwarnung. Es gibt nach den verfügbaren Quellen keinen belegten Steam-Account-Hack. Gleichzeitig kann eine auf echte Bestelldaten gestützte Nachricht gefährlicher sein als gewöhnliches Spam-Phishing, weil sie im ersten Moment vertraut klingt.
Was der europäische Kontext bedeutet
Die Warnung bezieht sich auf europäische Bestellungen und ein europäisches Fulfilment-Netz. Damit ist der Hinweis für Käufer in Deutschland und anderen EU-Ländern praktisch relevant. Eine deutsche Opferzahl oder eine besondere deutsche Behördenfeststellung ist jedoch nicht belegt. Auch die in einem Bericht genannte Zahl von zehn Meldungen an die niederländische Datenschutzaufsicht beschreibt keine Zahl betroffener Steam-Kunden.
CEVA und die beteiligten Unternehmen untersuchten den Vorfall zum Stand der Berichte noch. Neue Informationen können den Umfang später präzisieren. Bis dahin ist die robuste Verhaltensregel unabhängig vom endgültigen Zähler: keine Zahlung und keine Anmeldung über eine eingehende Nachricht, sondern Prüfung über einen selbst geöffneten offiziellen Weg.
Häufige Fragen
Wurde Steam gehackt?
Das ist nach dem verfügbaren Hinweis nicht belegt. Die Berichte grenzen die möglicherweise offengelegten Logistikdaten von Passwörtern, Zahlungsinformationen und Steam-Guard-Codes ab.
Muss das Steam-Passwort geändert werden?
Der reproduzierte Kundenhinweis nennt nach aktuellem Stand keine notwendige Passwortänderung. Wer unabhängig von diesem Vorfall einen konkreten Verdacht auf einen Kontozugriff hat, sollte das Konto nur über die selbst geöffnete offizielle Steam-Umgebung prüfen.
Sind alle Bestellungen der vergangenen drei Monate betroffen?
Nein. Die 90 Tage beschreiben die mögliche Aufbewahrungsdauer von Versanddaten, nicht eine bestätigte Betroffenheit jedes Käufers. Eine Gesamtzahl nennen die Quellen nicht.
Woran lässt sich eine echte Nachricht erkennen?
Einzelne richtige Bestelldetails reichen nicht als Echtheitsbeweis. Der sichere Weg führt nicht über den Link oder die Telefonnummer in der Nachricht, sondern über die selbst geöffnete Steam-App, offizielle Domains und den offiziellen Support.
Quellen und weiterführende Informationen
- TechCrunch: „A data breach at shipping giant Ceva Logistics is rippling across banks, retailers, Steam gamers, and beyond“ – CEVA-Einordnung und Incident-Scope. Quelle öffnen
- Help Net Security: „Cyberattack on Steam hardware shipper leaks names, addresses, and order data“ – reproduzierte Kundenwarnung und Datenabgrenzung. Quelle öffnen
- The Verge: „Steam hardware shipper breach leaks customer data, including names and addresses“ – unabhängige Gegenlesung der Valve-Warnung. Quelle öffnen
- Tom’s Hardware: „Steam hardware distributor hit by cyberattack, ‘expect fake messages,’ Valve warns“ – konkrete Phishing-Szenarien und offizielle Prüfwege. Quelle öffnen
- Eurogamer: „Valve issues warning to Steam Machine and Steam Controller customers to ‘expect fake messages’“ – Produkt- und Leser-Kontext. Quelle öffnen
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-11
