Valve warnt europaeische Steam-Hardware-Kaeufer vor Datenleck beim Versandpartner CEVA Logistics

Valve begann am 10. August, europaeische Kunden darueber zu informieren, dass ein Cyberangriff auf seinen Versandpartner CEVA Logistics persoenliche Lieferinformationen im Zusammenhang mit Steam-Hardware-Bestellungen offengelegt hat. Das Leck betraf nicht Valves eigene Systeme, Passwoerter oder Zahlungsinformationen — die kompromittierten Daten stammten vollstaendig von CEVA, das den physischen Versand von Steam-Deck-, Steam-Controller- und Steam-Machine-Bestellungen an europaeische Kunden abwickelt.

Laut Valves Benachrichtigung umfassen die offengelegten Informationen Namen, Strassenadressen, Postleitzahlen, Staedte, Laender, Telefonnummern, die mit dem Steam-Konto verknuepfte E-Mail-Adresse sowie Art und Preis der bestellten Hardware. Passwoerter und Zahlungskartendaten waren nicht Teil des Lecks.

Zeitlicher Ablauf des Lecks

Das Angriffsfenster erstreckte sich vom 29. Juli bis zum 1. August 2026. Valve gibt an, am 7. August von dem Vorfall erfahren zu haben und drei Tage spaeter, am 10. August, mit der Benachrichtigung betroffener Kunden begonnen zu haben. Da CEVA Lieferdaten etwa 90 Tage nach Versand aufbewahrt, koennte jeder betroffen sein, der in den letzten drei Monaten Steam-Hardware in Europa erhalten hat. Weder Valve noch CEVA haben genaue Zahlen betroffener Kundendatensaetze bekannt gegeben. Die niederlaendischen Haendler Bol und De Bijenkorf wurden Berichten zufolge am 1. August ueber denselben CEVA-Vorfall informiert und warnten separat ihre eigenen Kunden.

Warum Versanddaten fuer Betrueger eine Goldgrube sind

Sicherheitsforscher weisen darauf hin, dass Lieferdaten fuer Betrueger besonders wertvoll sind, weil sie Phishing-Versuche weitaus ueberzeugender machen als generische Nachrichten. Eine E-Mail, SMS oder ein Anruf, der korrekt den echten Namen eines Kunden, dessen Wohnadresse und die konkret bestellte Hardware nennt, hat eine deutlich hoehere Erfolgswahrscheinlichkeit als eine generische Nachricht wie Ihr Konto wurde gesperrt, da sie die Art legitimer Kommunikation nachahmt, die ein echtes Versandunternehmen senden wuerde.

Malwarebytes-Forscher berichteten, allein in der ersten Haelfte des Jahres 2026 mehr als 7.500 kompromittierte Datensaetze mit ueber 8,4 Milliarden Eintraegen im Darknet gefunden zu haben — ein Beleg dafuer, wie leicht diese Art von Daten nach ihrer Offenlegung gehandelt und fuer Folgebetrug wiederverwendet wird.

Valves Sicherheitshistorie

Dies ist nicht Valves erste Beruehrung mit einem Sicherheitsvorfall, auch wenn die Kernsysteme des Unternehmens diesmal nicht direkt kompromittiert wurden. Im Mai 2025 versuchte ein Bedrohungsakteur namens Machine1337, einen angeblichen Datensatz mit 89 Millionen Steam-Nutzerdatensaetzen zu verkaufen, der sich jedoch als aeltere SMS-Nachrichten mit abgelaufenen Zwei-Faktor-Codes herausstellte, die ueber einen Drittanbieter-Vermittler geleitet wurden, mit dem Valve nach eigenen Angaben nie zusammengearbeitet hat. Valves schwerwiegendstes direktes Datenleck ereignete sich im November 2011, als ein Vorfall Datensaetze von 35 Millionen Nutzern offenlegte, darunter Benutzernamen, E-Mail-Adressen und verschluesselte Kreditkartendaten.

Was betroffene Kunden tun sollten

Valve raet Kunden, jede Nachricht, die sich auf eine kuerzliche Steam-Hardware-Bestellung bezieht — E-Mail, SMS oder Anruf — als gefaelscht zu betrachten, selbst wenn sie Adresse oder Bestelldetails korrekt zitiert. Das Unternehmen weist darauf hin, dass der Steam-Support Nutzer niemals per E-Mail, Steam-Chat oder Discord kontaktiert und Kontoprobleme ausschliesslich ueber die offizielle Hilfeseite bearbeitet. Ein Passwort-Reset ist nicht zwingend erforderlich, da Anmeldedaten nicht offengelegt wurden, doch Valve empfiehlt, die Steam-Guard-Zwei-Faktor-Authentifizierung zu aktivieren und in den kommenden Wochen bei unaufgeforderten lieferbezogenen Nachrichten skeptisch zu bleiben.