Datenleck bei Steam Machine: Ein europäischer Valve-Lieferant kompromittiert, Käufer von Hardware benachrichtigt

Ein europäischer Dienstleister von Valve wurde Opfer eines Cyberangriffs, bei dem Daten von Käufern der Steam Machine und des Steam Controller offengelegt wurden. Valve benachrichtigt seine Kunden direkt – zum denkbar ungünstigsten Zeitpunkt für seine Rückkehr in die Hardware.

Was passiert ist

Ein europäischer Zulieferer von Valve – CEVA Logistics, ein auf internationale Logistik und Transport spezialisiertes Unternehmen – wurde Opfer eines Cyberangriffs, bei dem personenbezogene Daten von Käufern der Steam-Hardware, insbesondere Besitzer einer Steam Machine oder eines Steam Controllers, kompromittiert wurden. Valve bestätigte den Vorfall, indem es seine Kunden direkt per E-Mail benachrichtigte. Wie von Kotaku und BleepingComputer berichtet wird, liegt die Schwachstelle beim Unterauftragnehmer, nicht bei Valve selbst: Die Steam-Server sind nicht Teil des gemeldeten Vorfalls.

Wer ist betroffen

Nutzer, die Steam-Hardware (Steam Machine, Steam Controller) beim betroffenen Zulieferer gekauft haben. Die genaue Art der exponierten Daten – Lieferadressen, Kaufhistorie, Kontaktdaten – wurde von Valve noch nicht öffentlich spezifiziert. Die Benachrichtigungen an die Kunden werden derzeit versendet.

Analyse: Angriffe über vertrauenswürdige Dritte – der unsichtbare Vektor

Angriffe über die Lieferkette (supply chain vendor attack) bleiben einer der am schwersten zu verhindernden Angriffsvektoren für Endnutzer. Sie haben keinerlei Einblick in die Sicherheitsmaßnahmen des Unterauftragnehmers Ihres bevorzugten Anbieters. Dies ist derselbe Vektor, den Angreifer bei jüngsten großen Datenlecks nutzten (Ticketmaster über Snowflake oder mehrere Telekommunikationsanbieter über Logistikpartner).

Was das konkret bedeutet: Selbst wenn Ihr Steam-Konto mit einem starken Passwort und 2FA abgesichert ist, können Ihre Kundendaten bei einem Drittanbieter exponiert werden – ohne dass Sie präventiv etwas dagegen tun könnten.

Kontext: Ein verheerender Zeitpunkt für Valve Hardware

Dieser Datenleck trifft Valve zum denkbar ungünstigsten Zeitpunkt. Das Unternehmen von Gabe Newell ist gerade in vollem Hardware-Offensive-Modus mit der Steam Machine 2 und dem Steam Frame, deren Ankündigungen und Vorverkäufe seit Wochen die Aufmerksamkeit der PC-Gaming-Community auf sich ziehen. Ein Datenleck bei Hardware-Käufern – selbst über einen Drittanbieter – schadet direkt dem Image der Zuverlässigkeit, das Valve für seine Rückkehr ins Wohnzimmer aufzubauen versucht.

Das ursprüngliche Steam-Machine-Programm (2015–2018) hatte bereits einen bitteren Nachgeschmack bei seinen Käufern hinterlassen. Dieser Vorfall reißt die symbolische Wunde wieder auf.

Was jetzt zu tun ist

• Wenn Sie eine Steam Machine oder einen Steam Controller gekauft haben: Überprüfen Sie Ihr E-Mail-Postfach auf die Benachrichtigungs-E-Mail von Valve.
• Ändern Sie Ihr Steam-Passwort, falls Sie es woanders wiederverwenden (eine grundlegende Vorsichtsmaßnahme).
• Achten Sie auf Phishing-E-Mails, die gezielt Steam-Hardware-Käufer ansprechen – genau solche Listen monetarisieren Angreifer.
• Aktivieren Sie Steam Guard (2FA), falls noch nicht geschehen: Die Zwei-Faktor-Authentifizierung schützt Ihr Konto, selbst wenn Ihre Kontaktdaten exponiert wurden.