Ein Steam Datenleck trifft aktuell europäische Käufer von Steam-Hardware: Valve verschickt seit dem 10. August 2026 Warn-E-Mails, weil bei seinem Versandpartner CEVA Logistics Kundendaten gestohlen wurden. Betroffen ist nicht Steam selbst, sondern die Firma, die Steam Deck und andere Geräte in Europa ausliefert – ein klassischer Angriff über den Dienstleister.
Steam Datenleck: Welche Daten abgeflossen sind
Laut Valve hatten die Angreifer zwischen dem 29. Juli und dem 1. August 2026 Zugriff auf Server von CEVA Logistics. Valve selbst erfuhr am 7. August davon. Gestohlen wurden die Versanddaten, die CEVA für die Auslieferung braucht: Name, Adresse, Telefonnummer, die mit dem Steam-Konto verknüpfte E-Mail-Adresse sowie Art und Preis der bestellten Hardware. Weil CEVA diese Informationen bis zu 90 Tage nach einer Bestellung aufbewahrt, hat Valve vorsorglich alle Kunden benachrichtigt, die betroffen sein könnten.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Was nicht betroffen ist
Die gute Nachricht vorweg: Passwörter, Steam-Guard-Codes und Zahlungsdaten sind nach Angaben von Valve nicht abgeflossen. Der Grund ist simpel – CEVA hatte auf diese sensiblen Daten nie Zugriff. Ein Versanddienstleister braucht die Lieferadresse, nicht die Kreditkartennummer. Genau deshalb muss auch niemand jetzt sein Steam-Passwort ändern.
Was das für dich bedeutet
Der eigentliche Schaden bei so einem Leck ist selten das Passwort – es ist die perfekte Vorlage für Phishing. Wer Name, Adresse, Telefonnummer, E-Mail und die konkrete Bestellung kennt, kann eine täuschend echte Nachricht bauen. Genau davor warnt Valve ausdrücklich: Betrüger könnten sich per E-Mail, SMS oder Anruf als Steam, Valve oder als Paketdienst ausgeben, deine echte Adresse zitieren, um seriös zu wirken, und dich dann bitten, eine Lieferung zu „bestätigen”, eine kleine Zoll- oder Zustellgebühr zu zahlen oder dich irgendwo „zur Verifizierung” anzumelden. Behandle solche Nachrichten grundsätzlich als Fälschung.
Mein Praxis-Tipp aus der CISO-Ecke: Der Trick der Angreifer ist, dass sie echte Details kennen – deshalb überzeugt die Adresse allein nichts mehr. Klick keine Links in solchen Nachrichten an, sondern gib die Adresse des Anbieters selbst im Browser ein oder nutze die offizielle App. Zahle niemals eine spontane „Zustellgebühr” per Link. Und schütze die wichtigen Konten so, dass ein abgephishtes Passwort allein nichts nützt: Wo es geht, aktiviere eine Zwei-Faktor-Anmeldung, die gegen Phishing resistent ist. Wie das mit modernen Hardware-Schlüsseln nach FIDO2-Standard funktioniert, habe ich im Ratgeber zu den besten Hardware-Security-Keys zusammengefasst. Der Fall zeigt außerdem ein Muster, das 2026 immer wieder auftaucht: Große Marken werden nicht direkt geknackt, sondern über ihre Dienstleister – ähnlich wie zuletzt beim npm-Supply-Chain-Angriff. Als Kunde kann man den Dienstleister nicht kontrollieren, wohl aber die eigene Reaktion auf die Folgen.
Quellen
- BleepingComputer: Valve notifies Steam hardware customers of a data breach (10.08.2026)
- Help Net Security: Cyberattack on Steam hardware shipper (10.08.2026)
- TechCrunch: Data breach at CEVA Logistics (10.08.2026)
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden