Am 10. August 2026 hat Valve europäische Kunden gewarnt: Ihre Namen, Adressen, Telefonnummern und Bestelldetails könnten in falsche Hände geraten sein. Der Grund liegt nicht bei Valve selbst, sondern bei einem Logistikpartner. CEVA Logistics, ein europäisches Versandunternehmen, das für Valve die Auslieferung von Steam Deck, Steam Controller, Steam Machine und Valve Index abwickelt, wurde zwischen dem 29. Juli und 1. August 2026 Ziel eines Cyberangriffs. Betroffen sind Kunden, die in den vergangenen rund 90 Tagen Steam-Hardware in Europa bestellt haben, darunter auch Käufer in Deutschland, Österreich und der Schweiz.

Der Fall reiht sich in eine wachsende Zahl von Lieferketten-Angriffen ein, bei denen nicht der Zielkonzern selbst, sondern ein externer Dienstleister das Einfallstor bildet. Für die DACH-Region ist die Sache brisant: CEVA wickelt einen Großteil der europäischen Kontinentalverteilung ab, wodurch deutsche, österreichische und Schweizer Steam-Deck-Käufer zum Kreis der am stärksten betroffenen Kunden zählen. Dieser Artikel ordnet ein, was bislang bekannt ist, was es für Betroffene bedeutet und wie der Vorfall im Vergleich zu anderen Datenpannen der Gaming-Branche einzuordnen ist.

Der Zeitplan: Von der Attacke bis zur Kundenwarnung

Der Angriff auf CEVA Logistics lief in mehreren klar dokumentierten Etappen ab. Zwischen dem 29. Juli und 1. August 2026 drangen Angreifer in Teile der europäischen IT-Infrastruktur von CEVA ein. Laut CEVA war der operative Schaden auf acht Warenlager in Europa begrenzt, alle anderen weltweiten Systeme des Konzerns liefen unterbrechungsfrei weiter. Am 1. August bestätigte CEVA gegenüber betroffenen Geschäftskunden offiziell, dass ein Cyberangriff Teile seiner europäischen Vertragslogistik beeinträchtigt hatte.

Valve selbst erfuhr laut eigener Kundenmitteilung erst am 7. August 2026, dass Daten seiner Steam-Hardware-Kunden mit hoher Wahrscheinlichkeit betroffen waren. In der Warn-E-Mail an Kunden, zitiert von BleepingComputer, schreibt Valve wörtlich: “Between July 29 2026 and August 1, 2026, a cyberattack hit CEVA Logistics, the company that ships Steam hardware to customers in Europe.” Übersetzt: Zwischen dem 29. Juli und dem 1. August 2026 habe ein Cyberangriff CEVA Logistics getroffen, das Unternehmen, das Steam-Hardware an Kunden in Europa ausliefert. Weiter heißt es in derselben Mitteilung: “CEVA is still investigating this attack, but as Valve learned on August 7, certain information about Steam customers, including you, was likely compromised.” CEVA untersuche den Angriff weiterhin, doch Valve habe am 7. August erfahren, dass bestimmte Informationen über Steam-Kunden, einschließlich der jeweiligen Empfänger der E-Mail, mit hoher Wahrscheinlichkeit kompromittiert wurden.

Drei Tage nach dieser Erkenntnis, am 10. August, begann Valve mit dem Versand individueller Warn-E-Mails an Kunden, die in den vergangenen 90 Tagen Hardware in Europa bestellt hatten. Diese Zeitspanne ist kein Zufall: CEVA speichert lieferbezogene Bestelldaten laut eigener Aussage genau 90 Tage lang, weshalb sich der betroffene Kundenkreis exakt auf dieses Fenster eingrenzen lässt.

Zwischen der eigentlichen Attacke Ende Juli und der Kundenwarnung Mitte August liegen damit rund zehn Tage Untersuchungszeit bei CEVA und weitere drei Tage bis Valve reagierte. Nach Angaben von CEVA läuft die forensische Untersuchung des Vorfalls weiterhin, das Unternehmen arbeite dabei mit Behörden zusammen. The Verge bestätigt in seiner Einordnung des Vorfalls denselben Zeitrahmen und ordnet ihn als eines der ersten größeren Datenlecks ein, die Valves noch junges Hardware-Geschäft direkt treffen.

Welche Daten betroffen sind – und welche nicht

Anders als bei vielen Plattform-Hacks geht es hier nicht um Zugangsdaten oder Zahlungsinformationen, sondern um Versanddaten. Laut Valves eigener Kundenmitteilung, zitiert von BleepingComputer, enthielten die CEVA-Systeme “Informationen, die zum Versand von Hardware-Bestellungen benötigt werden”. Konkret sollen folgende Datenfelder betroffen sein: Name, Adresse, Telefonnummer, E-Mail-Adresse sowie Art und Preis des bestellten Produkts.

Wichtig für Betroffene: Valve betont ausdrücklich, dass CEVA keinen Zugriff auf Zahlungsinformationen, Passwörter, Steam-Guard-Codes oder andere sensible Kontodaten hatte. Auch andere Steam-Käufe oder Account-Aktivitäten sind laut Unternehmensangaben nicht einsehbar gewesen. Das erklärt auch, warum Valve seinen Kunden keine Passwortänderung empfiehlt. Windows Central berichtete unter Berufung auf Valve, es gebe “keinen Grund, das Passwort zu ändern oder Kontoeinstellungen anzupassen”, weil die kritischsten Datenkategorien nicht betroffen waren.

Die eigentliche Gefahr liegt an anderer Stelle: gezieltes Phishing. Wer Name, Adresse, Telefonnummer und exakte Bestelldetails eines Steam-Deck-Kaufs kennt, kann täuschend echte Nachrichten verfassen, die angeblich von einem Paketdienst, dem Zoll oder sogar dem Valve-Support stammen. Genau davor warnt Valve seine Kunden nun ausdrücklich, wie auch Tom’s Hardware in seiner Berichterstattung zu dem Vorfall hervorhebt.

DatenkategorieBetroffen?
NameJa
AdresseJa
TelefonnummerJa
E-Mail-AdresseJa
Bestellte ProduktartJa
BestellpreisJa
PasswörterNein
Steam-Guard-CodesNein
ZahlungsdatenNein
Sonstige KontoaktivitätNein

Was CEVA Logistics zu dem Vorfall sagt

CEVA Logistics selbst hat den Vorfall gegenüber TechCrunch bestätigt und eingeordnet. Ein Unternehmenssprecher erklärte laut TechCrunch: “On Aug. 1, CEVA Logistics confirmed to affected customers that a cyber intrusion was impacting part of its European contract logistics operations”, auf Deutsch: Am 1. August habe CEVA betroffene Kunden darüber informiert, dass ein Cyberangriff Teile der europäischen Vertragslogistik beeinträchtige.

Zur eigenen Reaktion sagte CEVA weiter: “As soon as the incident was identified, CEVA’s cybersecurity teams immediately activated its security protocols and launched a thorough investigation, which is still ongoing”, auf Deutsch: Sobald der Vorfall erkannt wurde, habe das Cybersicherheitsteam sofort Sicherheitsprotokolle aktiviert und eine gründliche, bis heute laufende Untersuchung eingeleitet.

Bemerkenswert ist, wie CEVA den Vorfall eingrenzt: Die operativen Auswirkungen blieben auf acht europäische Warenlager beschränkt, alle übrigen globalen Systeme des Logistikkonzerns seien nicht betroffen gewesen und der Betrieb sei ohne Unterbrechung weitergelaufen. Für ein Unternehmen, das als Logistik-Gigant beschrieben wird und Lagerhäuser in ganz Europa betreibt, ist das eine vergleichsweise eng gefasste Schadensbilanz, auch wenn die Zahl der betroffenen Endkunden über alle CEVA-Geschäftspartner hinweg bislang nicht offiziell beziffert wurde.

Nicht nur Steam: Die CEVA-Attacke trifft Banken und Handelsketten

Was den Vorfall von einem gewöhnlichen Gaming-Datenleck unterscheidet: Valve ist nur eines von mehreren namhaften Opfern. TechCrunch beschreibt den Angriff explizit als Vorfall, der “across banks, retailers, Steam gamers and beyond” reicht, auf Deutsch also Banken, Einzelhändler, Steam-Spieler und weitere Branchen erfasst. Laut Berichterstattung des The Register gehören zu den betroffenen CEVA-Geschäftskunden unter anderem der niederländische Onlinehändler Bol, das Kaufhaus De Bijenkorf, die Großbank ING, der Fußballverein Ajax Amsterdam sowie der Brillenhändler Ace & Tate. Auch der europaweit tätige Modehändler Zalando, dessen Zentrale in Berlin sitzt, bestätigte laut Berichten, von dem CEVA-Vorfall betroffen gewesen zu sein, erklärte allerdings, dass eigene Kundendaten nicht kompromittiert worden seien.

Diese Liste zeigt: Der eigentliche Angriffspunkt war nicht Valve, sondern die gemeinsame Lieferketten-Infrastruktur, über die ein einzelner kompromittierter Logistikdienstleister gleich mehrere große Marken parallel betreffen kann. Für Sicherheitsverantwortliche ist das ein vertrautes Muster: Je mehr Unternehmen ihre Logistik an spezialisierte Drittanbieter auslagern, desto attraktiver werden diese Anbieter selbst als Angriffsziel, weil ein einziger erfolgreicher Einbruch Zugriff auf Kundendaten mehrerer Konzerne gleichzeitig verspricht.

Die niederländische Datenschutzbehörde erhielt nach Angaben von TechCrunch bereits Meldungen von zehn verschiedenen Organisationen, die im Zusammenhang mit dem CEVA-Vorfall stehen. Das deutet darauf hin, dass die Gesamtzahl der betroffenen Unternehmen und Endkunden am Ende deutlich über das hinausgehen dürfte, was bisher öffentlich bekannt ist.

Der Vergleichsfall: Die umstrittene Behauptung von 89 Millionen Steam-Datensätzen

Parallel zur CEVA-Geschichte kursierte in denselben Tagen eine zweite, deutlich größere Behauptung: Ein Angreifer wollte Zugriff auf 89 Millionen Steam-Nutzerdatensätze erlangt haben. Die beiden Fälle werden in der Berichterstattung häufig vermischt, sind aber grundlegend verschieden, und der Unterschied lohnt eine genaue Betrachtung.

Valve wies die 89-Millionen-Behauptung zurück und erklärte, es handle sich nicht um einen Einbruch in die Steam-Systeme selbst. Nach Valves Darstellung stammte die zugrunde liegende Stichprobe aus Telefonnummern und veralteten Einmal-SMS-Codes, die für die Zwei-Faktor-Authentifizierung verwendet wurden, und diese Nummern ließen sich den zugehörigen Steam-Konten gar nicht zuordnen. Passwörter und Zahlungsdaten seien auch in diesem Fall nicht kompromittiert worden.

Die Gegenüberstellung zeigt zwei sehr unterschiedliche Risikoprofile: Der CEVA-Vorfall ist ein bestätigter, aber eng begrenzter Lieferketten-Einbruch mit realen, wenn auch nicht kontobezogenen Konsequenzen. Die 89-Millionen-Behauptung ist eine größere, aber von Valve dementierte Schlagzeile ohne bestätigten Zugriff auf Kontodaten. Für Endkunden bedeutet das: Das eigentliche, belegte Risiko im August 2026 liegt bei Phishing durch geleakte Lieferdaten, nicht bei einem großflächigen Passwort-Leck.

MerkmalCEVA-Logistik-Vorfall89-Mio.-Behauptung
StatusVon Valve und CEVA bestätigtVon Valve zurückgewiesen
Betroffenes SystemCEVA-Versanddaten (Drittanbieter)Angeblich Steam-Kontodaten
Zeitraum29. Juli – 1. August 2026Gleicher Berichtszeitraum, ungeklärt
Betroffene DatenName, Adresse, Telefon, E-Mail, BestelldetailsTelefonnummern, veraltete SMS-2FA-Codes
KontobezugNein, nur LieferdatenLaut Valve nicht mit Konten verknüpfbar
HauptrisikoGezieltes Phishing per Post/SMS/E-MailUnklar, da Behauptung bestritten

Warum die DACH-Region besonders im Fokus steht

Für deutsche, österreichische und Schweizer Steam-Nutzer ist dieser Vorfall keine ferne US-Geschichte. CEVA Logistics wickelt einen erheblichen Teil der kontinentaleuropäischen Verteilung für Valve ab, wodurch Hardware-Käufer aus der DACH-Region zum Kern der betroffenen Kundengruppe zählen. Wer in den vergangenen drei Monaten ein Steam Deck, einen Steam Controller oder eine Steam Machine direkt über Valve bestellt hat, sollte von einer möglichen Betroffenheit ausgehen.

Hinzu kommt die regulatorische Dimension. Valve erklärte laut Windows Central wörtlich: “Valve says that it is pressing CEVA for the full scope of what was taken and how, and we are in the process of notifying the data protection authorities in the countries affected.” Übersetzt: Valve dränge CEVA auf eine vollständige Aufklärung von Umfang und Ablauf des Vorfalls und befinde sich im Prozess, die Datenschutzbehörden der betroffenen Länder zu informieren. Für Deutschland heißt das: Der Vorfall dürfte auch bei den zuständigen Landesdatenschutzbehörden und beim Bundesamt für Sicherheit in der Informationstechnik auf dem Radar auftauchen, selbst wenn eine offizielle deutsche Stellungnahme bislang aussteht. Die Meldepflichten der DSGVO greifen bei einem Vorfall dieser Größenordnung unabhängig davon, ob am Ende Bußgelder verhängt werden.

Der Fall reiht sich damit in eine Serie von Vorgängen ein, bei denen europäische und speziell deutsche Aufsichtsbehörden verstärkt auf Plattformen aus der Gaming-Branche schauen. Shattered.io berichtete bereits, dass die Bundesnetzagentur gegen Steam wegen möglicher DSA-Verstöße ermittelt und dabei Bußgelder von bis zu sechs Prozent des Jahresumsatzes im Raum stehen. Ein zusätzlicher, europaweiter Datenschutzvorfall dürfte die regulatorische Aufmerksamkeit auf Valve in Europa kaum verringern.

Historischer Kontext: Gaming-Plattformen im Visier

Der CEVA-Vorfall ist kein Einzelfall in einer Branche, die zunehmend zum Ziel wird. Shattered.io hat in den vergangenen Monaten mehrfach über vergleichbare Angriffe auf Gaming-Unternehmen berichtet. Im Sommer 2026 erbeutete die Gruppe ShinyHunters bei einem Angriff auf Rockstar Games rund 78,6 Millionen Datensätze, einer der größten bekannt gewordenen Vorfälle in der Videospielbranche überhaupt. Kurz zuvor hatte ein Hack über eine manipulierte ChatGPT-Automatisierung bei Bandai Namco Daten von 46.812 Konten offengelegt.

Was diese Fälle mit dem aktuellen CEVA-Vorfall verbindet, ist die wachsende Angriffsfläche moderner Spieleplattformen: Sie verwalten nicht nur Zugangsdaten, sondern auch Zahlungsinformationen, physische Lieferadressen und zunehmend KI-gestützte Support- und Automatisierungssysteme, jedes davon ein potenzieller Angriffsvektor. Der Unterschied beim aktuellen Fall liegt darin, dass nicht Valves eigene Systeme kompromittiert wurden, sondern ein externer Partner in der Lieferkette. Das macht den Vorfall schwerer vorhersehbar und schwerer allein durch Investitionen in die eigene IT-Sicherheit zu verhindern.

Auch die Hardware-Sparte selbst steht wegen anderer Sicherheitsthemen im Gespräch: Berichten zufolge betrifft die CPU-Schwachstelle Zenbleed auch den in aktuellen Steam-Deck-Modellen verbauten AMD-Custom-Chip. Ein vollständiger Fix über ein Microcode-Update stand zuletzt noch aus, eine Übergangs-Abschwächung war jedoch bereits aktiv. Dieser Fall ist technischer Natur und steht nicht in direktem Zusammenhang mit dem CEVA-Datenleck, zeigt aber, dass Steam-Deck-Besitzer 2026 gleich auf mehreren Ebenen, Software, Hardware und jetzt auch Lieferkette, im Blick von Sicherheitsforschern stehen.

Marktauswirkungen: Was der Vorfall für Valve bedeutet

Anders als bei börsennotierten Konzernen gibt es bei Valve keine Aktienkursreaktion zu beobachten, da das Unternehmen weiterhin in Privatbesitz ist und keine Quartalszahlen veröffentlicht. Der eigentliche Marktschaden dürfte sich daher weniger in Finanzkennzahlen als in Vertrauen und regulatorischem Druck bemessen lassen.

Kurzfristig ist ein Reputationsschaden für Valves noch junge Hardware-Sparte plausibel. Erst wenige Monate zuvor hatte Valve mit der Steam Machine ein Verkaufslotterie-Modell gestartet, um der begrenzten Verfügbarkeit der neuen Konsole zu begegnen, ein Vorstoß, der zeigen sollte, dass Valve nach dem Erfolg des Steam Deck sein Hardware-Geschäft ernsthaft ausbauen will. Ein Datenleck, das ausgerechnet Käufer von Steam Deck, Steam Controller, Steam Machine und Valve Index betrifft, trifft damit den empfindlichsten Wachstumsbereich des Unternehmens: das Vertrauen neuer Hardware-Kunden in den Kaufprozess direkt bei Valve.

Langfristig dürfte der Vorfall die Diskussion um Lieferketten-Sicherheit in der gesamten Gaming-Hardware-Branche befeuern. Wettbewerber wie Nintendo, Sony, Microsoft oder Handheld-Hersteller wie ASUS und Lenovo arbeiten ebenfalls mit externen Logistikpartnern für den europäischen Versand. Ein öffentlich gewordener Vorfall bei einem der größten europäischen Logistikdienstleister dürfte in den Sicherheitsabteilungen dieser Konkurrenten eine interne Überprüfung der eigenen Lieferketten-Verträge auslösen, selbst wenn keine dieser Firmen bislang selbst betroffen gemeldet wurde.

Wettbewerbsvergleich: Wie andere Plattformen mit Datenlecks umgingen

Die Reaktion von Valve und CEVA lässt sich an drei Kriterien messen, die auch bei anderen großen Gaming-Datenlecks der vergangenen Monate im Fokus standen: Geschwindigkeit der Offenlegung, Klarheit der Kommunikation und Umfang der betroffenen Daten.

Bei der Geschwindigkeit schneidet Valve im Branchenvergleich solide, aber nicht herausragend ab: Neun Tage zwischen Kenntnisnahme des Ausmaßes und vollständiger Kundenbenachrichtigung sind akzeptabel, liegen aber über dem, was DSGVO-Verfechter als Zielmarke für unverzügliche Meldung ansehen. Bei der Kommunikationsklarheit schneidet Valve dagegen gut ab: Die klare Trennung zwischen betroffenen und nicht betroffenen Datenkategorien (siehe Tabelle oben) ist transparenter als es viele Unternehmen in vergleichbaren Fällen handhaben, die oft nur vage von “bestimmten Informationen” sprechen.

Beim Umfang der betroffenen Daten liegt der CEVA-Vorfall im unteren bis mittleren Bereich verglichen mit den großen Gaming-Datenlecks des Jahres: Der Rockstar-Games-Vorfall mit 78,6 Millionen Datensätzen und der Bandai-Namco-Fall betrafen deutlich mehr direkte Kontodaten inklusive teils sensiblerer Informationen. Der CEVA-Fall bleibt auf Lieferdaten eines rollierenden 90-Tage-Fensters beschränkt, kleiner im Umfang, aber durch den unmittelbaren Bezug zu einer physischen Adresse potenziell zielgenauer für Betrugsversuche nutzbar.

Was betroffene Kunden jetzt tun sollten

Auch wenn Valve selbst keine Passwortänderung für notwendig hält, gibt es konkrete Schutzmaßnahmen, die Betroffene ergreifen sollten. Erstens: erhöhte Vorsicht bei Nachrichten, die sich auf eine kürzliche Steam-Hardware-Bestellung beziehen, insbesondere wenn sie per SMS, E-Mail oder Anruf angeblich von einem Paketdienst, dem Zoll oder Valve selbst stammen. Kriminelle können durch die geleakten Bestelldetails täuschend echte Nachrichten formulieren, etwa mit korrektem Produktnamen und Kaufpreis.

Zweitens: keine Links in unaufgeforderten Nachrichten zu angeblichen Sendungsverfolgungen anklicken, sondern Sendungsstatus stets direkt über die offizielle Valve- oder Versanddienstleister-Website prüfen. Drittens: Wachsamkeit gegenüber Anrufen, die sich als “technischer Support” ausgeben und unter Verweis auf die tatsächliche Bestellung nach weiteren persönlichen Daten oder gar Steam-Zugangsdaten fragen. Viertens: Wer verdächtige Nachrichten erhält, die eindeutig auf die geleakten Daten zurückgehen, sollte dies Valve über den offiziellen Support-Kanal melden, da dies der Aufklärung des Gesamtausmaßes hilft.

Einordnung: Ein Muster, das sich wiederholt

Der CEVA-Vorfall zeigt exemplarisch ein Muster, das Sicherheitsexperten seit Jahren beschreiben: Angreifer suchen sich zunehmend nicht das bestgeschützte Ziel, sondern das schwächste Glied in einer Kette aus Vertragspartnern. Ein Logistikunternehmen muss nicht die gleichen Sicherheitsstandards erfüllen wie ein Softwarekonzern mit Milliardenumsatz, hat aber oft Zugriff auf ähnlich sensible Kundendaten. Für Valve bedeutet das: Die eigene Sicherheitsarchitektur mag solide sein, schützt aber nicht automatisch vor einem Einbruch bei einem Dienstleister, dem man Kundendaten anvertraut.

Für Verbraucher in Deutschland, Österreich und der Schweiz ist die Lehre pragmatischer: Ein Datenleck muss nicht bei der Marke passieren, der man vertraut, um die eigenen Daten zu gefährden. Je mehr Zwischenstationen ein Online-Einkauf durchläuft, von der Zahlungsabwicklung über die Lagerhaltung bis zur letzten Meile der Zustellung, desto mehr potenzielle Schwachstellen entstehen, auf die Kunden selbst keinen Einfluss haben.

Prognosen: Wie es mit dem Fall weitergehen dürfte

Auf Basis des bisherigen Verlaufs und vergleichbarer Fälle lassen sich mehrere Entwicklungen für die kommenden Wochen und Monate absehen:

  • Weitere betroffene Unternehmen werden bekannt: Da die niederländische Datenschutzbehörde bereits Meldungen von zehn Organisationen im CEVA-Umfeld erhalten hat, ist davon auszugehen, dass in den kommenden Wochen weitere Markennamen öffentlich werden, ähnlich wie bei Bol, ING, Ajax, De Bijenkorf, Ace & Tate und Zalando.
  • Phishing-Wellen mit Steam-Bezug nehmen zu: Sicherheitsforscher dürften in den kommenden Wochen einen Anstieg gezielter Phishing-Kampagnen registrieren, die sich konkret auf Steam-Hardware-Bestellungen beziehen und dabei echte Bestelldetails verwenden, um Vertrauen zu erschleichen.
  • Regulatorische Aufmerksamkeit in der EU steigt: Angesichts der laufenden Bundesnetzagentur-Ermittlungen gegen Steam wegen möglicher DSA-Verstöße dürfte der zusätzliche Datenschutzvorfall die Aufsichtsbehörden in mehreren EU-Ländern zu genaueren Nachfragen bei Valve bewegen.
  • CEVA dürfte Vertragsbedingungen mit Großkunden überarbeiten: Nach einem Vorfall, der mehrere prominente Marken gleichzeitig betrifft, ist es wahrscheinlich, dass CEVA seine Sicherheitsauflagen und Haftungsregeln in laufenden und künftigen Logistikverträgen verschärft, um weitere Kundenabwanderung zu vermeiden.
  • Valve dürfte die eigene Lieferketten-Absicherung öffentlich thematisieren: Angesichts des Zeitpunkts, der mit dem Ausbau der Steam-Machine-Verfügbarkeit zusammenfällt, ist ein offizielles Statement oder eine Sicherheitsüberprüfung der Logistikpartner in den kommenden Monaten plausibel, auch wenn Valve dazu bislang öffentlich schweigt.

Häufig gestellte Fragen zum Steam-Datenleck

Wurde mein Steam-Konto gehackt?

Nein, nicht direkt. Der Vorfall betrifft Lieferdaten bei CEVA Logistics, nicht die Steam-Kontosysteme von Valve selbst. Passwörter, Steam-Guard-Codes und Zahlungsdaten waren laut Valve nicht betroffen.

Wer genau ist von dem CEVA-Datenleck betroffen?

Kunden, die in den vergangenen rund 90 Tagen Steam Deck, Steam Controller, Steam Machine oder Valve Index direkt über Valve in Europa bestellt haben. Valve hat betroffene Kunden per E-Mail individuell benachrichtigt.

Muss ich mein Steam-Passwort ändern?

Laut Valve nicht zwingend, da Passwörter nicht Teil der bei CEVA gespeicherten Versanddaten waren. Ein Passwortwechsel schadet dennoch nicht, insbesondere wenn dasselbe Passwort auch für andere Dienste genutzt wird.

Was ist der Unterschied zwischen dem CEVA-Vorfall und der 89-Millionen-Behauptung?

Der CEVA-Vorfall ist ein bestätigter Einbruch bei einem Logistikpartner mit begrenztem Datenumfang. Die 89-Millionen-Behauptung bezieht sich auf einen angeblich viel größeren Steam-Datensatz, den Valve als nicht mit Konten verknüpfbar und nicht auf einen Steam-Systemeinbruch zurückgehend zurückgewiesen hat.

Ist meine Zahlungsinformation in Gefahr?

Nach aktuellem Kenntnisstand nein. Valve und CEVA erklären übereinstimmend, dass Zahlungsdaten in den betroffenen CEVA-Systemen nicht gespeichert waren und somit nicht kompromittiert wurden.

Welche Rolle spielt der Datenschutz in der EU bei diesem Fall?

Valve erklärte, die zuständigen Datenschutzbehörden der betroffenen Länder zu informieren. Die niederländische Datenschutzbehörde erhielt bereits Meldungen von zehn mit dem CEVA-Vorfall verbundenen Organisationen. Für Deutschland steht eine offizielle Stellungnahme bislang aus, DSGVO-Meldepflichten dürften aber greifen.

Wie erkenne ich Phishing-Versuche im Zusammenhang mit diesem Datenleck?

Warnsignale sind Nachrichten, die angeblich von Paketdiensten, dem Zoll oder Valve-Support stammen und zur Eingabe von Zugangsdaten oder zum Klicken auf Links auffordern, selbst wenn sie korrekte Bestelldetails enthalten. Echte Sendungsverfolgung sollte immer direkt über offizielle Kanäle geprüft werden, nie über einen Link aus einer unaufgeforderten Nachricht.

Betrifft der Vorfall auch digitale Steam-Käufe ohne Hardware?

Nein. Der CEVA-Vorfall betrifft ausschließlich Kunden, die physische Steam-Hardware gekauft und sich diese liefern lassen haben. Reine Software- oder Spielekäufe über Steam sind von diesem konkreten Vorfall nicht betroffen.