Steam-Hack: Daten von 89 Mio. Gamern sind nicht im Darknet (Update)

Hacker bieten Daten von 89 Millionen Steam-Nutzern zum Verkauf an. Betroffen könnten SMS-Logs mit 2FA-Codes sein. Experten vermuten eine Lücke bei einem Drittanbieter. Valve hat sich mittlerweile zu Wort gemeldet und gibt Entwarnung.

Update: Steam reagiert auf den Hack

In einem Blog-Beitrag richtet sich Valve an die Steam-Community:

Sie haben möglicherweise Berichte über einen Leak von älteren SMS-Nachrichten gesehen, die zuvor an Steam-Kunden gesendet worden waren. Wir haben den verfügbaren Teil der geleakten Nachrichten untersucht und festgestellt, dass es sich dabei NICHT um einen Breach der Steam-Systeme handelt.

Ebenso geht man technisch weiter ins Detail:

Die geleakten Daten bestanden aus älteren SMS-Nachrichten, die einmalige Codes enthielten, die nur für einen Zeitraum von 15 Minuten gültig waren, sowie die Telefonnummern, an die sie gesendet wurden. Die geleakten Daten sind nicht geeignet, die Telefonnummern mit einem bestimmten Steam-Konto, Passwortinformationen, Zahlungsinformationen oder anderen personenbezogenen Daten in Verbindung zu bringen. Derartige alte SMS-Nachrichten sind nicht geeignet, die Schutzvorkehrungen Ihres Steam-Kontos zu überwinden, und immer wenn ein Code verwendet wird, um Ihre Steam-E-Mail-Adresse oder Ihr Passwort per SMS zu ändern, werden Sie eine Bestätigung per E-Mail und/oder über die sicheren Nachrichten der Steam App erhalten.

Daten von 89 Millionen Steam-Nutzern erbeutet

Während Steam für gewöhnlich eher aufgrund seiner etlichen Sales oder kurioser Spiele wie Bongo Cat auf sich aufmerksam macht, sorgte zuletzt auch eine verseuchte Spieldemo für Schlagzeilen. Jetzt gibt es einen weiteren besorgniserregenden Bericht.

So behauptet ein Cyberkrimineller mit dem Alias Machine1337 gerade, im Besitz von Daten von mehr als 89 Millionen Steam-Nutzern zu sein. In einem Darknet-Forum bietet der Hacker diese Informationen für 5.000 Dollar zum Verkauf an. Bei den angeblich gestohlenen Daten soll es sich unter anderem um historische SMS-Nachrichten mit Einmal-Passcodes für die Zwei-Faktor-Authentifizierung (2FA) sowie die zugehörigen Telefonnummern handeln.

Woher stammen die Daten?

Der Diebstahl könnte das Ergebnis eines Supply-Chain-Angriffs sein, wobei Twilio als wahrscheinlichstes Opfer gilt. Twilio ist eine Cloud-Kommunikationsplattform, die Entwicklern die Integration verschiedener Messaging-, Sprach- und Videofunktionen ermöglicht. Wie der unabhängige Spieljournalist Mellow_Online1 auf X berichtet, deuten technische Beweise in den geleakten Daten auf Echtzeit-SMS-Protokolleinträge aus Twilios Backend-Systemen hin. Der Journalist vermutet einen kompromittierten Admin-Account oder den Missbrauch von API-Schlüsseln.

Viele Unternehmen, darunter auch Steam, nutzen Twilio für den Versand von SMS-Nachrichten zur Zwei-Faktor-Authentifizierung. Die Firma Twilio selbst weist jedoch jede Verantwortung zurück. In einer Stellungnahme erklärte ein Sprecher des Unternehmens: "Es gibt keine Hinweise darauf, dass Twilio kompromittiert wurde. Wir haben eine Stichprobe der im Internet gefundenen Daten überprüft und sehen keine Anzeichen dafür, dass diese Daten von Twilio stammen."

Situation noch unklar

Eine andere mögliche Erklärung wäre, dass ein Vermittler-SMS-Anbieter gehackt wurde. Zum jetzigen Zeitpunkt wurde das tatsächliche Opfer also nicht bestätigt. Die Behauptungen des Hackers konnten zudem bisher nicht vollumfänglich verifiziert werden. Allerdings ist der Leaker recht berüchtigt, da er bereits mit Datenlecks bei Cisco, Ford und HPE in Verbindung gebracht wurde.

Besonders beunruhigend ist, dass ein Teil der angeblich gestohlenen Daten relativ neu ist. In den geleakten Dateien, die 3.000 Datensätze enthalten, wurden Zustelldaten gefunden, die von Anfang März 2025 stammen. Die kompromittierten Informationen umfassen offenbar nicht nur Telefonnummern und 2FA-Codes, sondern auch Metadaten, Zustellstatus und weitere Details.

Valve schweigt, während Nutzer besorgt sind

Steam-Betreiber Valve hat bisher nicht auf Anfragen reagiert. Die Plattform gilt als relativ sicher und hat über 120 Millionen monatlich aktive Nutzer. Ein Datenleck dieses Ausmaßes könnte jedoch schwerwiegende Folgen haben, insbesondere wenn Angreifer in der Lage wären, die gestohlenen Informationen für Phishing-Angriffe oder zum Umgehen der Zwei-Faktor-Authentifizierung zu nutzen.

Steam empfiehlt Nutzern generell, den Steam Guard Mobile Authenticator zu aktivieren und die Kontoaktivitäten im Auge zu behalten. Der Steam Guard Mobile Authenticator bietet eine zusätzliche Sicherheitsebene, indem er einen einmaligen Code generiert, der bei jedem Login eingegeben werden muss. Dies macht es für Angreifer deutlich schwieriger, auf fremde Konten zuzugreifen, selbst wenn sie über Benutzernamen und Passwort verfügen.

So schützen Nutzer ihr Steam-Konto

Momentan ist die aktuelle Bedrohungslage also noch recht unklar. Wer trotzdem auf Nummer sicher gehen will, kann das eigene Steam-Konto mit den folgenden Maßnahmen bestmöglich schützen:


Was haltet ihr von diesem möglichen Datenleck? Habt ihr bereits den Steam Guard Mobile Authenticator aktiviert oder werdet ihr es jetzt tun? Teilt eure Gedanken und Erfahrungen in den Kommentaren mit uns!


Siehe auch: