Valve warnt aktuell europäische Käufer seiner Steam-Hardware vor einem Datenleck bei einem externen Versandpartner. Nach einem Cyberangriff auf CEVA Logistics könnten persönliche Kundendaten wie Namen, Adressen, Telefonnummern und E-Mail-Adressen in die Hände von Angreifern gelangt sein.
Betroffen sein können Nutzer, die Steam-Hardware in Europa bestellt haben. Dazu gehören unter anderem Steam Deck, Steam Machine und Steam Controller.
Steam selbst wurde nach aktuellem Stand nicht kompromittiert. Besonders wichtig ist jedoch eine andere Gefahr: Mit den gestohlenen Informationen könnten Kriminelle sehr glaubwürdig wirkende Phishing-Nachrichten verschicken.
Cyberangriff auf Valves europäischen Versandpartner
Der Vorfall betrifft CEVA Logistics, einen Versandpartner, den Valve für die Auslieferung von Steam-Hardware in Europa verwendet.
Nach den bislang veröffentlichten Informationen fand der Angriff zwischen dem 29. Juli und dem 1. August 2026 statt.
Valve informiert inzwischen betroffene beziehungsweise potenziell betroffene Kunden über den Vorfall.
Welche Daten könnten gestohlen worden sein?
CEVA verarbeitet für den Versand verschiedene persönliche Informationen.
Zu den möglicherweise kompromittierten Daten gehören:
Name, Lieferadresse, Telefonnummer und E-Mail-Adresse.
CEVA speichert entsprechende Lieferinformationen nach Angaben von Valve teilweise bis zu 90 Tage nach einer Bestellung.
Dadurch können auch Kunden betroffen sein, deren Bestellung bereits vor mehreren Wochen zugestellt wurde.
Passwörter und Zahlungsdaten sollen nicht betroffen sein
Eine wichtige Entwarnung gibt es bei den besonders sensiblen Steam-Kontodaten.
CEVA Logistics besitzt laut Valve keinen Zugriff auf Steam-Passwörter, Steam-Guard-Codes oder Zahlungsinformationen.
Auch weitere Daten des Steam-Accounts oder Informationen über Käufe innerhalb des Steam-Stores sollen durch den Vorfall nicht offengelegt worden sein.
Ein Passwortwechsel ist allein aufgrund dieses Vorfalls deshalb nach aktuellem Kenntnisstand nicht erforderlich.
Die größte Gefahr beginnt möglicherweise erst jetzt
Trotzdem ist das Datenleck für betroffene Kunden keineswegs harmlos.
Mit einer Kombination aus echtem Namen, Telefonnummer, E-Mail-Adresse und Lieferadresse können Angreifer äußerst überzeugende Betrugsversuche erstellen.
Genau davor warnt Valve ausdrücklich.
Kriminelle könnten beispielsweise vorgeben, von Steam, Valve oder einem Paketdienst zu stammen.
Betrüger könnten sogar eure echte Adresse nennen
Besonders perfide: Ein Angreifer könnte in einer Nachricht die korrekte Lieferadresse nennen und diese Information als vermeintlichen Beweis verwenden, dass es sich tatsächlich um einen legitimen Paketdienst handelt.
Anschließend könnten Nutzer etwa dazu aufgefordert werden, eine angeblich fehlgeschlagene Lieferung zu bestätigen, eine geringe Zoll- oder Nachsendegebühr zu bezahlen oder sich über einen Link bei Steam anzumelden.
Genau solche Nachrichten sollten laut Valve als Betrugsversuch betrachtet werden.
Valve warnt vor E-Mails, SMS und Telefonanrufen
Die Angriffe müssen sich nicht auf klassische Phishing-Mails beschränken.
Valve weist darauf hin, dass Betrüger Nutzer auch per SMS oder telefonisch kontaktieren könnten.
Gerade die Kombination aus persönlicher Telefonnummer und echter Adresse macht entsprechende Anrufe erheblich glaubwürdiger.
Steam-Support kontaktiert euch nicht über Discord
Valve erinnert gleichzeitig an eine wichtige Regel für den Steam-Support.
Accountprobleme werden offiziell über die Steam-Support-Seite unter help.steampowered.com bearbeitet.
Valve wird Nutzer nicht überraschend über Discord oder Steam-Chat kontaktieren, um Zugangsdaten, Steam-Guard-Codes oder Zahlungen anzufordern.
Auch Links in unerwarteten E-Mails oder Textnachrichten sollten nicht verwendet werden, wenn sie angeblich zur Verifizierung des Steam-Accounts führen.
Steam Machine und neuer Steam Controller erhöhen die Relevanz
Der Zeitpunkt des Vorfalls ist für Valve besonders ungünstig.
Die Steam-Hardware-Familie wurde zuletzt deutlich erweitert.
Neben dem Steam Deck bietet Valve inzwischen auch die neue Steam Machine und den neuen Steam Controller an.
Dadurch besitzen erheblich mehr Nutzer aktuelle Bestellungen beziehungsweise Versanddaten bei den beteiligten Logistikunternehmen.
Was sollten betroffene Nutzer jetzt tun?
Nutzer müssen nicht in Panik geraten, sollten in den kommenden Wochen aber besonders aufmerksam sein.
Unerwartete Nachrichten zu Steam-Hardware, Paketlieferungen, Nachzahlungen oder Zollgebühren sollten nicht über darin enthaltene Links beantwortet werden.
Bei Unsicherheit sollte die jeweilige Webseite immer direkt über den Browser beziehungsweise die offizielle Steam-Anwendung geöffnet werden.
Steam-Guard-Codes, Passwörter und Zahlungsinformationen sollten grundsätzlich niemals an vermeintliche Supportmitarbeiter weitergegeben werden.
Steam selbst wurde offenbar nicht gehackt
Für die Einordnung ist außerdem wichtig: Der Cyberangriff richtete sich nach aktuellem Stand nicht gegen Valves eigene Steam-Infrastruktur.
Betroffen ist ein externer Logistikdienstleister, der Informationen für die physische Auslieferung der Hardware benötigt.
Entsprechend sind die möglichen Datenfolgen deutlich anders als bei einem direkten Angriff auf Steam-Accounts.
Fazit
Das Datenleck beim Steam-Versandpartner CEVA Logistics ist vor allem aufgrund der möglichen Phishing-Folgen ernst zu nehmen.
Passwörter, Zahlungsdaten und Steam-Guard-Codes sollen zwar nicht betroffen sein, doch echte Namen, Adressen, Telefonnummern und E-Mail-Adressen reichen bereits aus, um äußerst glaubwürdige Betrugsversuche zu erstellen.
Wer in den vergangenen Wochen Steam-Hardware in Europa bestellt hat, sollte deshalb bei vermeintlichen Nachrichten von Valve, Steam oder Paketdiensten besonders vorsichtig sein.
