Steam-Datenleck: Valve warnt nach Hack beim Versandpartner CEVA

Die schnelle Antwort: Valve hat am 10. August 2026 europäische Käufer von Steam-Hardware per E-Mail gewarnt. Beim Versandpartner CEVA Logistics drangen zwischen dem 29. Juli und dem 1. August Unbefugte ein. Abgeflossen sind Name, vollständige Anschrift, Telefonnummer, die mit dem Steam-Konto verknüpfte E-Mail-Adresse sowie Art und Preis der bestellten Geräte. Betroffen ist, wer in den vergangenen rund 90 Tagen Steam-Hardware in Europa bestellt hat.

Was beim Versanddienstleister CEVA passiert ist

Getroffen hat es keinen Onlineshop, sondern die Stelle dahinter. CEVA Logistics betreibt für zahlreiche Marken die sogenannte Kontraktlogistik, also das Einlagern, Kommissionieren und Versenden fremder Ware. Nach Darstellung des Unternehmens bemerkte man am 1. August 2026 einen Einbruch in Teile der europäischen Kontraktlogistik, aktivierte die Sicherheitsprotokolle und startete eine Untersuchung, die weiterhin läuft. Der eigentliche Zugriff soll bereits am 29. Juli begonnen haben. Betroffen sind nach Unternehmensangaben acht europäische Lagerstandorte, andere CEVA-Systeme weltweit sollen unberührt geblieben sein.

Für Endkunden wurde der Vorfall erst über die Auftraggeber sichtbar. Valve erfuhr nach eigenen Angaben am 7. August davon, dass auch die Versanddaten seiner Hardware-Kunden im betroffenen Bereich lagen, und begann am 10. August damit, alle vermutlich betroffenen Käuferinnen und Käufer in Europa direkt per E-Mail zu benachrichtigen. Parallel informiert Valve die zuständigen Datenschutzbehörden der betroffenen europäischen Länder und fordert von CEVA weitere Angaben zu Umfang und Ursache.

Wichtig für die Einordnung: Es handelt sich nicht um einen Einbruch bei Steam. Das Konto, die Spielebibliothek und die Zahlungswege waren zu keinem Zeitpunkt im Zugriff. Was abgeflossen ist, sind die Daten, die ein Logistiker braucht, um ein Paket zuzustellen. Genau das klingt harmloser, als es ist.

Bin ich betroffen? Der 90-Tage-Test

Anders als bei vielen Datenlecks lässt sich die eigene Betroffenheit hier erstaunlich genau eingrenzen, weil die Speicherfrist des Logistikers bekannt ist. Valve nennt in seiner Benachrichtigung eine klare Zahl: CEVA bewahrt die Versandinformationen bis zu 90 Tage nach der jeweiligen Bestellung auf. Daraus ergibt sich ein Zeitfenster, das Sie in zwei Minuten prüfen können.

• Schritt 1, das Zeitfenster: Haben Sie zwischen etwa Anfang Mai und dem 1. August 2026 Steam-Hardware in Europa bestellt, also Steam Deck, Steam Machine oder Steam Controller? Dann fallen Ihre Versanddaten in die Speicherfrist. Ältere Bestellungen sollten planmäßig bereits gelöscht gewesen sein.
• Schritt 2, die Kaufhistorie: Öffnen Sie in Steam die Konto-Details und dort die Kaufhistorie. Notieren Sie sich Datum, Gerät und Betrag. Diese Angaben brauchen Sie gleich, um Betrugsnachrichten einzuordnen.
• Schritt 3, die Benachrichtigung: Valve hat betroffene Kunden angeschrieben. Suchen Sie in Ihrem Postfach nach einer Mail von Steam mit Bezug auf den Versandpartner, und sehen Sie auch im Spam-Ordner nach. Klicken Sie auch dort keine Links an, die Information genügt.
• Schritt 4, keine Entwarnung ohne Mail: Wer keine Benachrichtigung findet, ist wahrscheinlich, aber nicht sicher außen vor. CEVA hat bislang nicht beziffert, wie viele Datensätze insgesamt abgeflossen sind. Behandeln Sie Nachrichten zu Ihrer Bestellung deshalb vorerst grundsätzlich mit Misstrauen.

Diese Eingrenzung ist der eine Teil der Antwort. Der andere ist unbequemer: Ob Ihr konkreter Datensatz später tatsächlich gehandelt wird, sehen Sie heute nirgends. Ihre Adresse dauerhaft überwachen lassen ist deshalb die einzige Methode, die diese Lücke schließt, statt sie nur zu beschreiben.

Datentyp-Risiko: Warum Adresse und Telefonnummer schwerer wiegen als das Passwort

Bei den meisten Hacks lautet der erste Rat, das Passwort zu wechseln. Hier ist das ausdrücklich nicht der Punkt, und das verschiebt die gesamte Risikolage. Ein Passwort ist ein Wegwerfartikel, eine Wohnanschrift nicht. Die folgende Übersicht ordnet jeden abgeflossenen Datentyp seinem konkreten Missbrauchsweg zu.

Die rechte Spalte ist der eigentliche Befund. Vier von fünf Zeilen enthalten Angaben, die Sie nicht einfach zurücksetzen können. Ein solches Leck läuft deshalb nicht in Tagen aus, sondern begleitet Sie. Dass es keine Zugangsdaten enthält, macht es kurzfristig ungefährlicher und langfristig zäher.

Was Sie jetzt tun sollten, und was ausdrücklich nicht nötig ist

Sortieren Sie die Maßnahmen nach Wirkung, nicht nach Aufregung. Diese Reihenfolge hat sich bei Vorfällen dieses Zuschnitts bewährt.

• Nicht nötig, das Steam-Passwort zu wechseln: Valve schreibt seinen Kunden ausdrücklich, dass weder ein Passwortwechsel noch eine Änderung der Kontoeinstellungen erforderlich ist. Prüfen Sie stattdessen einmal, ob Steam Guard aktiv ist. Nutzen Sie dasselbe Passwort auch anderswo, ändern Sie es dort, aber aus grundsätzlichen Erwägungen, nicht wegen dieses Vorfalls.
• Sendungsverfolgung nur selbst aufrufen: Öffnen Sie Statusmeldungen zu Lieferungen ausschließlich über Ihr Steam-Konto oder die selbst eingetippte Seite des Zustellers. Nie über einen Link aus einer Mail oder SMS, auch dann nicht, wenn Adresse und Gerät korrekt genannt werden.
• Keine Kleinbeträge nachzahlen: Angebliche Zoll-, Lager- oder Zustellgebühren von wenigen Euro sind das Standardmuster. Der Betrag ist niedrig gewählt, damit Sie nicht nachdenken. Erbeutet wird nicht der Betrag, sondern die Kartendaten, die Sie dafür eingeben.
• Am Telefon nichts bestätigen: Weil die Telefonnummer mit abgeflossen ist, sind Anrufe realistisch. Das BSI rät in solchen Fällen, keine persönlichen Daten am Telefon herauszugeben und stattdessen aufzulegen. Rufen Sie danach über eine selbst herausgesuchte Nummer zurück.
• Bankkonto zwei Monate mitlesen: Zahlungsdaten sind nach aktuellem Stand nicht betroffen, ein Blick auf kleine, unerklärliche Abbuchungen kostet Sie trotzdem nur Minuten. Testbuchungen im Cent-Bereich sind ein typischer Vorbote größerer Abbuchungen.

Diese Schritte begrenzen den Schaden aus dem konkreten Vorfall. Sie ändern aber nichts daran, dass Ihre Anschrift und Ihre Telefonnummer parallel auch auf legalem Weg zirkulieren, nämlich in den Beständen von Werbe- und Adressbrokern. Genau dort setzen wir an: Löschanfragen nach Art. 17 DSGVO an über 100 Broker anstoßen verkleinert die Zahl der Stellen, an denen sich ein geleakter Teildatensatz zu einem vollständigen Profil ergänzen lässt.

Woran Sie die kommende Betrugswelle erkennen

Valve selbst warnt seine Kunden vor gefälschten E-Mails, SMS und Anrufen, die sich als Steam, als Valve oder als Zustelldienst ausgeben und dabei die echte Bestellung zitieren könnten. Die Empfehlung des Unternehmens ist bemerkenswert kompromisslos: Solche Nachrichten sollen Kunden sämtlich als gefälscht behandeln. Dass diese Sorge begründet ist, zeigt der Blick auf die Statistik. Das Bundesamt für Sicherheit in der Informationstechnik hält in seinem Jahresrückblick zum digitalen Verbraucherschutz fest, dass Kriminelle statt des Finanzsektors zunehmend die Namen bekannter Marken aus Logistik und Onlinehandel missbrauchen, und dass in den ausgewerteten Datenleaks bei 40,7 Prozent der Fälle persönliche Adressdaten abgeflossen sind.

Praktisch werden Sie in den kommenden Wochen vermutlich Varianten dieser drei Muster sehen. Erstens die Zustellmeldung: Ihr Paket hänge im Zoll oder könne nicht zugestellt werden, ein kleiner Betrag müsse nachgezahlt werden. Zweitens die Kontowarnung: Wegen des Vorfalls sei Ihr Steam-Konto zu verifizieren, natürlich über einen mitgelieferten Link. Drittens der Rückerstattungsanruf: Man wolle Ihnen den Kaufpreis erstatten und brauche dafür nur eben Ihre Kartendaten oder eine Freigabe in der Banking-App.

Das gemeinsame Erkennungsmerkmal ist nicht der Inhalt, sondern die Richtung. Jede dieser Maschen will, dass Sie von der Nachricht aus weitergehen, also klicken, zahlen oder freigeben. Echte Vorgänge halten das aus, wenn Sie den umgekehrten Weg wählen und die Sache selbst im Konto oder beim Anbieter nachsehen. Weil Ihre Telefonnummer nun ebenfalls im Umlauf ist, lohnt sich zusätzlich ein Blick darauf, wie Sie Werbe- und Betrugsanrufe an einer bekannten Nummer wieder eindämmen, von der Robinsonliste bis zum Widerspruch nach Art. 21 DSGVO.

Warum sich nicht CEVA bei Ihnen meldet, sondern der Shop

Viele Betroffene wundern sich, dass die Warnung von Valve kommt und nicht von dem Unternehmen, bei dem der Einbruch stattgefunden hat. Das ist kein Versäumnis, sondern die Konstruktion der DSGVO. Der Shop ist der Verantwortliche für Ihre Daten, der Logistiker verarbeitet sie in dessen Auftrag. Meldet der Auftragsverarbeiter einen Vorfall, muss der Verantwortliche ihn nach Art. 33 DSGVO bei der Aufsichtsbehörde anzeigen und die Betroffenen nach Art. 34 DSGVO informieren, wenn ein hohes Risiko besteht. Deshalb schreiben Ihnen Valve, ING oder Ace & Tate, und deshalb bleibt der Shop auch Ihre Ansprechstelle für Auskunft und Löschung. Welche Fristen und Schwellen für Unternehmen dabei konkret gelten, haben wir in unserem Leitfaden zur 72-Stunden-Meldepflicht nach Art. 33 DSGVO aufgeschlüsselt.

Diese Kette erklärt auch die zeitliche Staffelung, die viele irritiert. Zwischen dem Einbruch Ende Juli und der Mail an die Steam-Kunden am 10. August liegen fast zwei Wochen. Der Grund ist banal und lässt sich nicht wegorganisieren: Erst muss der Logistiker feststellen, welche Datenbestände betroffen sind, dann muss jeder Auftraggeber prüfen, welche seiner Kunden darin vorkommen. Rechnen Sie damit, dass in den nächsten Wochen weitere Unternehmen Benachrichtigungen verschicken.

Wie groß der Vorfall ist, und was noch offen bleibt

Steam ist der sichtbarste, aber bei Weitem nicht der einzige Auftraggeber in diesem Fall. Auswirkungen eingeräumt haben unter anderem der Onlinehändler Bol, das Warenhaus De Bijenkorf, der Fußballklub Ajax Amsterdam, die Bank ING und die Brillenkette Ace & Tate. Bei der niederländischen Datenschutzbehörde sind zu diesem Vorfall Meldungen von zehn Organisationen eingegangen. Bei ING sind nach Unternehmensangaben Bankkonten, Zahlungsdaten und die eigenen Systeme nicht berührt. Zalando hat bestätigt, vom Vorfall bei CEVA betroffen zu sein, dabei seien zwei kleinere Distributionszentren betroffen gewesen, Kundendaten sollen nach Unternehmensangaben nicht abgeflossen sein.

Offen bleibt das Entscheidende. CEVA hat bislang nicht mitgeteilt, wie viele Datensätze insgesamt kopiert wurden, und sich auch nicht dazu geäußert, ob es eine Erpressung oder Lösegeldforderung gab. In Teilen der Berichterstattung wird eine Tätergruppe genannt, die den Angriff für sich reklamiere und die Daten zum Verkauf anbiete. Bestätigt ist das nach aktuellem Stand nicht, und wir behandeln solche Selbstauskünfte von Angreifern grundsätzlich als unbelegt, bis eine der beteiligten Stellen sie bestätigt. Die Untersuchung führen die niederländische Datenschutzbehörde, Strafverfolgungsbehörden und externe Ermittler.

Für Sie als Kunde heißt das vor allem eines: Der Umfang kann in den nächsten Wochen noch wachsen, und die endgültige Betroffenenliste wird es möglicherweise nie geben. Frühwarnung einrichten, statt auf Meldungen zu warten ist deshalb die realistischere Haltung als der Versuch, sich jede Woche neu durch Pressemeldungen zu arbeiten.

Häufige Fragen zum Steam- und CEVA-Datenleck

Was in den nächsten Monaten auf Betroffene zukommt

Datensätze aus einem Vorfall dieser Größe tauchen selten sofort im Darknet auf. Üblich ist der stille Weg: Zuerst wird intern oder in kleinem Kreis verkauft, gezielt für einzelne Betrugswellen genutzt, und erst Wochen oder Monate später breiter gehandelt oder als Sammlung veröffentlicht. Wer heute einmalig prüft und nichts findet, kann also sehr wohl betroffen sein. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie als Kunde von einem solchen Vorfall betroffen, weisen wir Sie aktiv auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Das ist ein Hinweis auf passende Verfahren, keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check ist dabei entscheidend: Dieser zeigt Ihnen nur bereits bekannte, veröffentlichte Lecks. Das dauerhafte Monitoring ist das, was Sie beim nächsten Vorfall rechtzeitig erreicht.