Ein gestohlenes Steam-Konto mit einem CS2-Inventar im Wert von mehreren Tausend Euro. Ein Epic-Account mit Jahren an Fortnite-Skins. Ein PSN-Profil mit hinterlegter Zahlungsmethode. Alle drei haben eines gemeinsam: Ohne die richtige Zwei-Faktor-Authentifizierung (2FA) sind sie nur einen Phishing-Klick von der Übernahme entfernt. Steam, Epic Games und PlayStation Network setzen dabei auf drei unterschiedliche Sicherheitskonzepte, und keines davon ist perfekt. Dieser Vergleich zeigt, welches System 2026 tatsächlich am besten schützt, wo die Lücken liegen und wie du in wenigen Schritten von einer schwachen auf eine starke Absicherung wechselst.

Der Anlass dafür ist konkret: 2025 wurde bekannt, dass Angreifer die PlayStation-Network-Verifizierung nicht durch Codeknacken, sondern über den Kundensupport umgingen. Das wirft eine Frage auf, die für Millionen Gamer in Deutschland, Österreich und der Schweiz relevant ist: Reicht die aktivierte 2FA überhaupt aus, oder kommt es genauso auf den Prozess dahinter an? Dieser Artikel vergleicht Steam Guard, Epic Games 2FA und PSNs 2-Schritt-Verifizierung anhand von Spezifikationen, Preisen, echten Vorfällen und einer klaren Empfehlung für jede Nutzergruppe.

Kurz vorab die wichtigste Erkenntnis: Keine der drei Plattformen ist rundum überlegen. Steam Guard ist am strengsten, aber am unflexibelsten. Epic ist am bequemsten, aber am angreifbarsten über SMS. PSN liegt technisch dazwischen, hatte 2025 aber den bisher einzigen dokumentierten Fall, in dem eine aktivierte 2FA praktisch wirkungslos blieb. Wer die Details will, findet sie in den folgenden Abschnitten, wer nur die Empfehlung braucht, kann direkt zum Abschnitt “Das Urteil” springen.

Warum die Wahl der 2FA-Methode für Gamer entscheidend ist

Gaming-Konten sind längst Wertgegenstände. Wer auf Steam handelt, hat oft ein Community-Market-Inventar im vierstelligen Bereich. Wer Fortnite oder Rocket League spielt, hat bei Epic teils Jahre an Battle-Pass-Skins angesammelt. Und PlayStation-Network-Konten speichern in der Regel eine hinterlegte Zahlungsmethode sowie den kompletten digitalen Spielekatalog. Genau deshalb sind diese Konten ein bevorzugtes Ziel für Phishing-Kampagnen, Fake-Trade-Seiten und Credential-Stuffing-Angriffe, bei denen gestohlene Passwörter aus anderen Datenlecks systematisch gegen Gaming-Logins durchprobiert werden.

Steam, Epic und Sony haben darauf mit jeweils eigenen Zwei-Faktor-Systemen reagiert. Doch die Umsetzung unterscheidet sich deutlich: Steam Guard setzt auf eine geschlossene, plattformeigene App, Epic Games kombiniert drei Methoden nebeneinander, und PlayStation nennt sein System schlicht “2-Schritt-Verifizierung”. Für Spieler im DACH-Raum stellt sich damit eine sehr konkrete Frage: Welches System lohnt den Zusatzaufwand, und wo bleibt trotz aktivierter 2FA eine Lücke offen?

Genau das hat sich 2025 bei PlayStation Network gezeigt, als Angreifer nicht die Verschlüsselung brachen, sondern den Support-Prozess austrickten. Das Beispiel ist deshalb so lehrreich, weil es zeigt, dass technische Stärke allein nicht reicht. Ein System kann kryptografisch einwandfrei sein und trotzdem versagen, wenn der menschliche Prozess drumherum zu vertrauensselig ist. Diese Erkenntnis zieht sich durch den gesamten folgenden Vergleich, denn sie erklärt, warum Steam Guard, Epic 2FA und PSN trotz ähnlicher Grundtechnologie faktisch unterschiedlich sicher sind.

Steam Guard im Detail: So schützt Valve seine Accounts

Steam Guard ist Valves hauseigenes Sicherheitssystem und existiert in zwei Ausprägungen. Die einfachere Variante verschickt bei einer Anmeldung von einem neuen Gerät einen Einmalcode per E-Mail. Die stärkere und von Valve klar empfohlene Variante ist der Steam Guard Mobile Authenticator, integriert in die Steam-Mobile-App für iOS und Android. Er erzeugt alle 30 Sekunden einen neuen fünfstelligen Code und bestätigt zusätzlich Trades auf dem Community Market.

Die Besonderheit: Steam Guard funktioniert bewusst nicht mit Drittanbieter-Apps wie Google Authenticator oder Authy. Der Grund liegt im Funktionsumfang. Die Steam-App kombiniert TOTP-Codes mit der Freigabe von Markttransaktionen, was ein generischer Authenticator technisch nicht abbilden kann. Wer den Mobile Authenticator seit mindestens zwei Wochen aktiv nutzt, kann Trades sofort abschließen. Ohne ihn hält Valve Community-Market-Verkäufe bis zu 15 Tage zurück, um Betrug über gestohlene Konten zu erschweren.

Diese Kopplung aus Login-Schutz und Handelsfreigabe ist ein Alleinstellungsmerkmal von Steam. Kein anderer der drei Anbieter verknüpft 2FA so eng mit dem eigentlichen Marktplatz. Für Gelegenheitsspieler, die nie traden, spielt das kaum eine Rolle. Für aktive Sammler und Trader ist es dagegen der entscheidende Grund, warum Steam Guard faktisch alternativlos ist, selbst wenn man lieber eine App wie Authy nutzen würde.

Ein Nachteil bleibt: Wer sein Smartphone verliert und keinen Wiederherstellungscode gesichert hat, muss sich durch einen zähen Support-Prozess kämpfen. Valve verzichtet bewusst auf einen schnellen Reset-Weg, weil genau dieser Weg bei Konkurrenten wie PSN 2025 zum Einfallstor wurde. Nutzerberichte in Community-Foren beschreiben Wartezeiten von mehreren Tagen bis zur vollständigen Wiederherstellung, inklusive Identitätsnachweis gegenüber dem Support. Hardware-Sicherheitsschlüssel nach FIDO2/WebAuthn-Standard oder Passkeys unterstützt Steam bis Mitte 2026 nicht, wie die offizielle Steam-Sicherheitsseite und aktuelle Support-Dokumentation zeigen.

Epic Games 2FA: Drei Wege, ein blinder Fleck

Epic Games verfolgt einen offeneren Ansatz. Statt einer eigenen App unterstützt der Epic Games Store gleich drei Methoden: eine klassische TOTP-Authenticator-App wie Google Authenticator oder Microsoft Authenticator, SMS-Codes an eine hinterlegte Rufnummer und Einmalcodes per E-Mail. Nutzer scannen dafür einfach einen QR-Code beim Einrichten, ganz ohne proprietäre Software.

Diese Flexibilität hat einen Preis. SMS-basierte 2FA gilt in der Sicherheitsbranche seit Jahren als schwächstes Glied, weil sie anfällig für SIM-Swapping ist: Kriminelle übernehmen dabei die Telefonnummer eines Opfers bei dessen Mobilfunkanbieter und fangen so die Codes ab, oft ohne dass das Opfer den Angriff bemerkt, bis das eigene Telefon plötzlich keinen Empfang mehr hat. Epic bietet SMS als gleichwertige Option neben der App an, überlässt die Risikoabwägung aber komplett dem Nutzer, statt sie standardmäßig zu deaktivieren.

Epic setzt 2FA zudem gezielt als Hebel ein. In der Vergangenheit war die Aktivierung Voraussetzung, um bestimmte kostenlose Spiele im Epic Games Store einzulösen, was die Adoptionsrate spürbar erhöht hat, ohne dass Nutzer aktiv dazu aufgefordert werden mussten. Auch für Fortnite gilt: Wer an bestimmten Wettbewerben teilnehmen oder Items verschenken will, kommt an der Aktivierung nicht vorbei. Wie Epic Games selbst in seinen Support-Dokumenten erklärt, soll das Verfahren unbefugten Zugriff spürbar erschweren.

Bemerkenswert ist, dass Epic diese Pflicht nicht dauerhaft, sondern kampagnenweise einsetzt, meist rund um besonders begehrte Gratis-Aktionen. Kritiker werten das als cleveres Wachstumsinstrument, das gleichzeitig die Sicherheitslage verbessert, ohne wie ein Zwang zu wirken. Hardware-Sicherheitsschlüssel oder Passkeys bietet Epic laut aktueller Dokumentation (Stand Mitte 2026) allerdings ebenfalls nicht an, ein Punkt, in dem sich alle drei Plattformen gleichen.

PlayStation Network 2-Schritt-Verifizierung: Sonys Ansatz

Sony nennt sein System nüchtern “2-Schritt-Verifizierung” und unterstützt zwei Wege: SMS-Codes an ein registriertes Mobiltelefon und TOTP-Codes über eine Drittanbieter-App wie Google Authenticator. Sony selbst begründete die Einführung mit dem Ziel, Nutzerkonten zusätzlich abzusichern: “in order to further safeguard our users and their accounts, we are preparing to offer a 2-step verification feature”, wie das Unternehmen laut PCMag erklärte. Die offizielle Konfiguration läuft über die PlayStation-Kontoseite und lässt sich sowohl auf der Konsole als auch im Browser einrichten.

Auf dem Papier wirkt das solide, und rein methodisch unterscheidet sich PSN kaum von Epic. Das Problem zeigte sich 2025 an anderer Stelle: nicht bei der Verschlüsselung selbst, sondern beim Support-Prozess dahinter. Mehrere Sicherheits- und Gaming-Medien berichteten über Fälle, in denen Angreifer den PlayStation-Support kontaktierten, sich als ausgesperrte Kontoinhaber ausgaben und allein mit leicht zu beschaffenden Daten wie der PSN-ID und einer Transaktionsnummer die hinterlegte E-Mail-Adresse oder Telefonnummer ändern ließen. Damit hebelten sie die aktivierte 2-Schritt-Verifizierung faktisch aus, ohne einen einzigen Code zu erraten oder ein Passwort zu knacken.

Genau dieser Fall zeigt eine Lehre, die für alle drei Plattformen gilt: 2FA schützt nur so gut wie der schwächste Prozess drumherum, und Support-Workflows werden bei Angreifern zunehmend zum bevorzugten Umgehungsweg, weil sie leichter zu manipulieren sind als eine Verschlüsselung zu brechen. Sony hat bislang keine offizielle Zahl betroffener Konten veröffentlicht, auch nicht in den Geschäftsberichten für das Fiskaljahr 2025/26. In Reaktion darauf rät Sonys Support-Dokumentation Nutzern verstärkt, das eigene E-Mail-Konto zusätzlich abzusichern und wachsam gegenüber Phishing-Versuchen zu bleiben.

Steam Guard vs. Epic vs. PSN im direkten Vergleich

Die folgende Tabelle stellt alle zentralen Merkmale gegenüber. Sie zeigt: Kein Anbieter deckt aktuell alle Sicherheitsstufen ab, und alle drei verzichten bislang auf Hardware-Schlüssel und Passkeys, obwohl diese als derzeit stärkster Schutz gegen Phishing gelten.

MerkmalSteam GuardEpic GamesPlayStation Network
App-basierte TOTP-CodesJa, nur eigene AppJa, Drittanbieter-AppsJa, Drittanbieter-Apps
SMS-VerifizierungNeinJaJa
E-Mail-EinmalcodeJaJaNicht dokumentiert
Hardware-Schlüssel (FIDO2/WebAuthn)NeinNeinNein
Passkey-UnterstützungNeinNeinNein
Drittanbieter-Authenticator kompatibelNeinJaJa
Pflicht für Marktplatz/TradesJa, sonst 15 Tage SperrfristTeilweise, z. B. GiftingNein
WiederherstellungscodesJaJaJa
Bekannter 2FA-Umgehungsfall 2025/26Keiner öffentlich bekanntKeiner öffentlich bekanntJa, Support-Bypass 2025
Nutzerbasis 202642,04 Mio. gleichzeitig online (11. Jan. 2026)78 Mio. MAU (Dez. 2025)125 Mio. MAU (Juni 2026)
Registrierte KontenKeine offizielle Zahl295 Mio.Keine aktuelle Gesamtzahl veröffentlicht
Einführung des App-basierten 2FA2015Laufend erweitert, Update 2025Erste 2-Schritt-Funktion vor 2020, seither ausgebaut

Auffällig: Steam ist das einzige System ohne SMS-Option, was aus Sicherheitssicht ein Vorteil ist, da SMS als anfälligster Kanal gilt. Gleichzeitig ist Steam Guard aber auch am wenigsten flexibel, weil es keine Drittanbieter-App akzeptiert. Epic bietet die größte Methodenvielfalt, verwässert die Sicherheit damit aber auch am stärksten, da die schwächste Option (SMS) gleichberechtigt neben der stärksten (App) steht. PSN liegt bei der reinen Methodenauswahl in der Mitte, hat aber mit dem Support-Bypass 2025 den bislang einzigen dokumentierten Fall gezeigt, bei dem 2FA in der Praxis versagte, nicht wegen einer Schwäche im Code, sondern wegen eines zu vertrauensseligen Prozesses im Hintergrund.

Wer den direkten Vorgänger-Vergleich zwischen den beiden PC-Stores sucht, findet ihn im Artikel Steam vs Epic Games Store, dort allerdings mit Fokus auf Provisionen statt auf Kontosicherheit.

Interessant ist außerdem, wie unterschiedlich die drei Anbieter mit dem Konflikt zwischen Nutzerkomfort und Sicherheit umgehen. Valve nimmt bewusst Reibungsverluste in Kauf, etwa die längere Sperrfrist ohne Mobile Authenticator, um die Adoption zu erzwingen. Epic setzt auf Freiwilligkeit mit gelegentlichen Anreizen über Gratis-Spiele. Sony verlässt sich am stärksten auf den Support als Rückfallebene, genau die Stelle, die sich 2025 als Schwachpunkt erwies. Diese unterschiedliche Philosophie erklärt einen Großteil der Unterschiede in der Tabelle besser als reine Feature-Listen.

Benchmark: Reichweite und Sicherheitsvorfälle im Vergleich

Ein reiner Methodenvergleich sagt wenig darüber aus, wie viele Konten tatsächlich im Risiko stehen. Deshalb lohnt ein Blick auf die Nutzerzahlen, die aus drei unabhängigen Quellen stammen. Steam erreichte laut SteamDB-Daten, ausgewertet unter anderem von Notebookcheck, am 11. Januar 2026 einen neuen Rekord von 42.042.778 gleichzeitig aktiven Nutzern, der am 24. März 2026 mit 42.318.602 gleichzeitigen Nutzern erneut übertroffen wurde, der dritte Rekord innerhalb von drei Monaten. Eine offizielle, laufend aktualisierte Zahl monatlich aktiver Nutzer veröffentlicht Valve nach wie vor nicht, Drittschätzungen gehen von rund 150 Millionen aus, ohne dass Valve dies bestätigt hat.

Epic Games nannte im Rahmen der State-of-Unreal-Präsentation 2026 konkrete Zahlen: durchschnittlich 67 Millionen monatlich aktive Nutzer über das Jahr 2025 hinweg, mit einem Rekordwert von 78 Millionen im Dezember 2025, angetrieben von den saisonalen Gratis-Spiel-Aktionen. Insgesamt zählt der Epic Games Store demnach 295 Millionen registrierte Konten, wobei nicht jedes Konto regelmäßig aktiv genutzt wird.

Sony wiederum bezifferte im Rahmen der Quartalszahlen zum Fiskaljahr 2026 die monatlich aktiven PSN-Nutzer für Juni 2026 auf 125 Millionen, ein Plus von rund 2 Prozent gegenüber dem Vorjahresmonat. Ein weiterer Bericht nennt für Dezember 2025 einen Zwischenrekord von 132 Millionen. Die konservativste, offiziell bestätigte Zahl bleibt die aus dem aktuellen Quartalsbericht: 125 Millionen.

Was diese Zahlen für die Sicherheitsdiskussion bedeuten: Selbst ein Bypass-Verfahren, das nur einen Bruchteil eines Prozents der Nutzerbasis trifft, betrifft bei PSN potenziell zehntausende Konten. Genau deshalb wiegt der 2025 bekannt gewordene Support-Bypass bei Sony schwerer, als es eine reine Prozentzahl vermuten lässt. Bei Steam sorgt umgekehrt die enge Kopplung von 2FA und Handelsfreigabe dafür, dass ein großer Teil der aktiven Trading-Community faktisch zur Nutzung des Mobile Authenticators gezwungen ist, was die Angriffsfläche gegenüber reinen Phishing-Versuchen spürbar verkleinert.

Ein weiterer Blickwinkel lohnt sich beim Vergleich der Kontoalter. Epic zählt zwar 295 Millionen registrierte Konten, ein Großteil davon dürfte aber aus den jährlichen Gratis-Spiel-Kampagnen stammen und wird selten aktiv genutzt, was die Differenz zwischen registrierten Konten und den 78 Millionen tatsächlich monatlich aktiven Nutzern erklärt. Steam wiederum weist keine vergleichbare Kluft zwischen Registrierung und Aktivität aus, da Valve gar keine Gesamtzahl registrierter Konten veröffentlicht, sondern ausschließlich die Zahl gleichzeitig aktiver Spieler über SteamDB einsehbar macht. Für die Risikobewertung heißt das: Reine Kontenzahlen sind mit Vorsicht zu lesen, entscheidend ist die tatsächlich aktive und damit angreifbare Nutzerbasis.

Was kostet zusätzliche Sicherheit? Der Preisvergleich

Die gute Nachricht zuerst: Die Basis-2FA ist bei allen drei Plattformen kostenlos. Wer mehr Schutz will, etwa über einen dedizierten Passwort-Manager mit TOTP-Funktion oder einen Hardware-Sicherheitsschlüssel, muss draufzahlen, auch wenn Letzterer aktuell bei keiner der drei Plattformen zum Login nutzbar ist.

MethodeBeispiel-ProduktPreisNutzbar bei
Plattformeigene Authenticator-AppSteam Guard Mobile AuthenticatorKostenlosNur Steam
E-Mail-VerifizierungIntegriertKostenlosSteam, Epic
TOTP-Authenticator-AppGoogle Authenticator, Microsoft Authenticator, AuthyKostenlosEpic, PSN
SMS-CodeMobilfunkanbieterKostenlos, ggf. SMS-GebührEpic, PSN
Passwort-Manager mit TOTPz. B. 1Password, Bitwarden0 € bis rund 36 €/JahrEpic, PSN
Hardware-Schlüssel EinstiegYubico Security Key C NFCca. 30–40 €Bei keiner der drei Plattformen als Login-Faktor
Hardware-Schlüssel PremiumYubiKey 5 NFCab 51,41 € laut geizhals.deBei keiner der drei Plattformen als Login-Faktor
Hardware-Schlüssel USB-CYubiKey 5C NFCca. 60–70 €Bei keiner der drei Plattformen als Login-Faktor

Der auffälligste Punkt in dieser Tabelle: Ein YubiKey für 50 Euro und mehr bringt bei Steam, Epic oder PSN aktuell keinen zusätzlichen Login-Schutz, weil keine der drei Plattformen FIDO2/WebAuthn unterstützt. Wer trotzdem in Hardware investieren will, sollte den Schlüssel stattdessen für das eigene E-Mail-Konto und den Passwort-Manager nutzen, denn genau dort setzt der wahrscheinlichste Angriffsweg an: dem E-Mail-Postfach, über das sich fast jede 2FA im Notfall zurücksetzen lässt.

Wer noch keinen Passwort-Manager nutzt, findet eine Einordnung kostenloser und kostenpflichtiger Optionen im Passwort-Manager-Vergleich 2026. Für Gaming-Konten reicht in den meisten Fällen bereits die kostenlose Stufe, solange sie TOTP-Codes generieren kann.

Ein Kostenfaktor wird in Preisvergleichen oft übersehen: die Zeit. Die Einrichtung von Steam Guard, Epic 2FA oder PSN 2-Schritt-Verifizierung dauert jeweils nur wenige Minuten, doch die Wiederherstellung nach einem Kontoverlust ohne gesicherte Backup-Codes kann Stunden bis Tage an Support-Kommunikation kosten. Gerechnet auf den tatsächlichen Zeitaufwand ist die vorbeugende Einrichtung damit die mit Abstand günstigste Versicherung, die für ein Gaming-Konto verfügbar ist, auch ganz ohne zusätzliche Hardware.

Reale Vorfälle: 6 Beispiele aus 2025 und 2026

1. PSN-Support-Bypass (2025). Angreifer gaben sich gegenüber dem PlayStation-Support als ausgesperrte Kontoinhaber aus und ließen sich mit PSN-ID und Transaktionsnummer die hinterlegte E-Mail-Adresse ändern. Die aktivierte 2-Schritt-Verifizierung wurde dadurch faktisch umgangen, ohne dass ein Code geknackt werden musste. Sony hat den Vorfall bislang nicht mit konkreten Opferzahlen kommentiert.

2. Phishing-Wellen gegen CS2- und Dota-2-Handelsplattformen. Sicherheitsforen und Trading-Communities berichteten 2025 und 2026 wiederholt über gefälschte Handelsseiten, die Steam-Zugangsdaten und Session-Cookies abgreifen, oft getarnt als angebliche Skin-Tauschbörsen oder Turnier-Wetten. Wer den Mobile Authenticator aktiviert hat, ist gegen die reine Zugangsdatenübernahme deutlich besser geschützt, da Trades zusätzlich per App bestätigt werden müssen.

3. Credential-Stuffing gegen Epic-Konten. Weil viele Nutzer Passwörter über mehrere Dienste hinweg wiederverwenden, testen Angreifer geleakte Kombinationen aus früheren Datenlecks systematisch gegen Epic-Konten. Ein eigener Server-Einbruch bei Epic wurde 2025/26 nicht öffentlich gemeldet, die Kontoübernahmen laufen fast ausschließlich über wiederverwendete Passwörter, nicht über eine Schwäche in Epics Infrastruktur.

4. Epics 2FA-Pflicht für Gratis-Spiele. Um Nutzer zur Aktivierung zu bewegen, machte Epic die Zwei-Faktor-Authentifizierung zeitweise zur Voraussetzung für das Einlösen bestimmter kostenloser Spiele, dokumentiert unter anderem auf der offiziellen Fortnite-News-Seite. Das Vorgehen gilt in Sicherheitskreisen als eines der wirksameren Beispiele, wie Plattformen Adoptionsraten ohne direkten Zwang erhöhen können.

5. Der historische PSN-Breach als Referenzpunkt. 2011 kompromittierten Angreifer bei einem echten Server-Einbruch rund 77 Millionen PSN-Konten, deutlich mehr als jeder Vorfall seither. Sicherheitsanalysten ziehen diesen Fall bis heute als Kontrast heran: Ein plattformweiter Datenverlust unterscheidet sich fundamental vom Support-Bypass 2025, bei dem einzelne Konten gezielt und nicht durch einen Infrastruktur-Hack betroffen waren. Der Unterschied zeigt, wie sich die Bedrohungslage über anderthalb Jahrzehnte verschoben hat: weg vom Massen-Datenklau, hin zum gezielten Social Engineering einzelner Konten.

6. Gestohlene Zugangsdaten aus Cheat-Software-Lecks. Der Vorfall rund um Atlas Menu, bei dem 63.926 Konten von CS2-Cheat-Nutzern offengelegt wurden, zeigt ein verwandtes Risiko: Wer Cheat-Software oder inoffizielle Tools installiert, um Wettbewerbsvorteile zu erschleichen, riskiert oft gleichzeitig den Diebstahl der im Browser oder Client gespeicherten Steam-Session, unabhängig davon, ob 2FA aktiv ist. Malware, die zusammen mit solcher Software installiert wird, kann aktive Sitzungs-Cookies auslesen und damit die Anmeldeprüfung komplett umgehen.

Wie Kriminelle gestohlene Gaming-Konten zu Geld machen

Ein übernommenes Steam-, Epic- oder PSN-Konto ist selten das Endziel eines Angriffs, sondern meist nur ein Zwischenschritt. Auf einschlägigen Marktplätzen im Darknet und in geschlossenen Telegram-Gruppen werden gestohlene Konten nach Inventarwert, Kontoalter und verknüpften Zahlungsmethoden sortiert und weiterverkauft. Ein altes Steam-Konto mit hoher Spielstunden-Zahl gilt dabei paradoxerweise als besonders wertvoll, weil es seltener automatisierte Betrugsfilter auslöst als ein neu angelegtes Konto.

Bei Steam fließt gestohlenes Inventar häufig über automatisierte Trade-Bots in Echtzeit ab, oft innerhalb weniger Minuten nach der Kontoübernahme, bevor das Opfer überhaupt bemerkt, dass etwas nicht stimmt. Genau deshalb ist die verpflichtende App-Bestätigung für Trades bei aktiviertem Steam Guard so wirkungsvoll: Sie unterbricht diesen automatisierten Abfluss, selbst wenn das Passwort bereits kompromittiert ist. Bei Epic und PSN, wo kein vergleichbarer Marktplatz existiert, zielen Angreifer stattdessen stärker auf hinterlegte Zahlungsdaten oder den Weiterverkauf des kompletten Kontos samt Spielebibliothek.

Für Betroffene bedeutet das in der Praxis: Je schneller ein Diebstahl auffällt, desto größer die Chance, den Schaden zu begrenzen. Wer 2FA-Benachrichtigungen ernst nimmt und bei einer unerwarteten Anmeldeanfrage sofort das Passwort ändert, kann viele Übernahmeversuche noch im Ansatz stoppen, selbst wenn ein Angreifer bereits das korrekte Passwort kennt.

Ein weiterer, oft übersehener Kanal ist die Umwandlung gestohlener Guthaben in Geschenkkarten oder digitale Wallet-Codes, die sich schneller und anonymer weiterverkaufen lassen als das Konto selbst. Bei allen drei Plattformen gilt deshalb: Eine ungewöhnliche Änderung der Zahlungsmethode oder ein plötzlicher Kauf von Geschenkkarten-Guthaben sollte sofort eine Passwortänderung und eine Prüfung aller aktiven Sitzungen nach sich ziehen, auch wenn 2FA aktiviert war.

Das sagen Steam, Epic und Sony offiziell

Alle drei Anbieter kommunizieren den Sinn ihrer 2FA-Systeme ähnlich, mit leicht unterschiedlicher Gewichtung. Valve beschreibt auf der eigenen Steam-Werbeseite den Kerngedanken so: “Using a second device (aka 2 factor authorization) makes it very difficult for an attacker to access your account, even if they obtain your password, without physical access to your mobile device”, so Valve auf der offiziellen Steam-Seite.

Epic Games formuliert die Empfehlung in seinem Support-Center noch direkter: “We highly recommend enabling two-factor authentication (2FA) for the following reasons: 2FA increases the security of your account”, heißt es in den offiziellen Epic-Games-Hilfeseiten. Auf der Kontosicherheitsseite ergänzt Epic: “Two-Factor authentication allows you to require a code from a device you own before you can log in, this makes it much more difficult for someone to gain unauthorized access”, nachzulesen auf der Epic-Seite zur Kontosicherheit.

Sony wiederum begründete die Einführung des eigenen Systems gegenüber PCMag mit dem Ziel, Nutzerkonten zusätzlich abzusichern: “in order to further safeguard our users and their accounts, we are preparing to offer a 2-step verification feature”, zitiert von PCMag in der Ankündigung der PSN-2-Schritt-Verifizierung.

Gemeinsam ist allen drei Aussagen der gleiche Kern: Ein zweiter Faktor soll den reinen Passwortdiebstahl wertlos machen. Der PSN-Vorfall von 2025 zeigt aber, dass dieser Schutz nur so stark ist wie der schwächste Prozess im Hintergrund. Keiner der drei Konzerne hat bislang öffentlich angekündigt, wann Passkeys oder Hardware-Schlüssel als zusätzliche Option folgen, obwohl beide Standards in anderen Branchen längst etabliert sind.

Für wen eignet sich welches System?

Aktive Trader auf dem Steam Community Market kommen an Steam Guard nicht vorbei, da erst der Mobile Authenticator sofortige Trades ohne 15-tägige Sperrfrist erlaubt. Für diese Gruppe ist die App keine Option, sondern Pflicht, unabhängig davon, welchen Passwort-Manager sie sonst nutzen.

Wer bereits einen Passwort-Manager mit TOTP-Funktion nutzt, etwa Bitwarden oder 1Password, profitiert am meisten von Epic und PSN, da sich beide Konten dort direkt integrieren lassen. Bei Steam bleibt die eigene App zwingend, ein Passwort-Manager kann dort nur das Passwort selbst verwalten, nicht die Codes.

Familien mit gemeinsam genutzten Konsolen sollten bei PSN besonders auf die hinterlegte Wiederherstellungs-E-Mail achten, denn genau dieser Kanal war 2025 der entscheidende Angriffspunkt. Ein separates, ausschließlich für Gaming genutztes E-Mail-Konto mit eigener starker 2FA reduziert das Risiko erheblich, gerade wenn mehrere Familienmitglieder Zugriff auf dieselbe Konsole haben.

Competitive-Fortnite-Spieler profitieren von Epics Zwangskopplung zwischen 2FA und Turnier-Belohnungen: Wer an Ranglisten-Events teilnehmen will, hat die Absicherung ohnehin meist schon aktiviert, oft ohne es als Umweg wahrzunehmen.

Gelegenheitsspieler ohne Zweitgerät fahren bei allen drei Plattformen am sichersten mit der jeweiligen App-Option statt SMS, auch wenn das bei Epic und PSN einen kurzen Einrichtungsschritt mehr bedeutet als die vermeintlich bequeme SMS-Variante.

Sammler mit hochpreisigem Skin-Inventar, egal ob auf Steam oder im Epic Games Store, sollten zusätzlich zur 2FA ein dediziertes, nirgendwo sonst genutztes Passwort setzen. Der größte Risikofaktor bleibt laut allen ausgewerteten Berichten die Wiederverwendung von Zugangsdaten, nicht die Wahl der Plattform selbst.

Streamer und Content-Creator mit öffentlich sichtbarem Nutzernamen sind ein bevorzugtes Ziel, weil Angreifer ihre Fortnite- oder Steam-IDs bereits kennen und gezielt Phishing-Nachrichten zuschneiden können, etwa als angebliche Sponsoring-Anfrage mit Login-Link. Für diese Gruppe lohnt sich zusätzlich eine eigene, nicht öffentlich bekannte E-Mail-Adresse für die Kontoverwaltung, getrennt von der öffentlich beworbenen Kontakt-Mail.

Migrationsanleitung: Von SMS oder E-Mail zu App-basierter 2FA

Der Umstieg auf die jeweils stärkste verfügbare Methode dauert bei allen drei Plattformen weniger als zehn Minuten. So gehst du vor:

  • Steam: Steam-Mobile-App installieren, unter Steam Guard den Mobile Authenticator aktivieren, den Wiederherstellungscode ausdrucken oder in einem Passwort-Manager sichern, danach zwei Wochen warten, bis Trades ohne Sperrfrist möglich sind.
  • Epic Games: Im Kontobereich unter “Passwort & Sicherheit” die Option “Zwei-Faktor-Authentifizierung” öffnen, dort eine Authenticator-App statt SMS wählen, QR-Code scannen und den ersten generierten Code zur Bestätigung eingeben.
  • PlayStation Network: In den Kontoeinstellungen auf PS5, PS4 oder über die Web-Kontoseite die 2-Schritt-Verifizierung aktivieren, dabei die Authenticator-App-Option statt SMS wählen und zusätzlich eine aktuelle, selbst abgesicherte E-Mail-Adresse hinterlegen.
  • Für alle drei Plattformen: Wiederherstellungscodes niemals als Screenshot auf dem Smartphone speichern, sondern ausgedruckt oder in einem verschlüsselten Passwort-Manager ablegen.
  • E-Mail-Konto zuerst absichern: Da sich alle drei Systeme im Zweifel über die hinterlegte E-Mail-Adresse zurücksetzen lassen, sollte dieses Konto die stärkste verfügbare 2FA erhalten, im Idealfall mit einem Hardware-Schlüssel wie einem YubiKey.
  • Alte SMS-Nummern entfernen: Wer den Anbieter wechselt oder eine alte Prepaid-Nummer als Rückfallebene hinterlegt hat, sollte diese aus allen drei Konten entfernen, da eine reaktivierte Nummer sonst zum Einfallstor werden kann.

Der vorletzte Punkt ist der wichtigste und wird am häufigsten übersehen: Die stärkste Gaming-2FA nützt wenig, wenn das verknüpfte E-Mail-Postfach nur mit einem einfachen Passwort geschützt ist. Wer sich unsicher ist, welches Passwort wo wiederverwendet wurde, findet eine strukturierte Übersicht im Artikel Passwortsicherheit: starke Passwörter, Hashing und 2FA.

Ein häufiger Stolperstein bei der Migration: Nach der Aktivierung der App-basierten 2FA verlieren viele Nutzer den Zugriff auf ältere, bereits eingeloggte Geräte nicht automatisch. Wer ein Konto nach einem Verdacht auf Kompromittierung absichert, sollte deshalb zusätzlich alle aktiven Sitzungen manuell beenden, eine Funktion, die alle drei Plattformen in den jeweiligen Kontoeinstellungen unter “Geräte” oder “Aktive Sitzungen” anbieten. Nur so lässt sich ausschließen, dass ein Angreifer trotz neuer 2FA über eine alte, bereits autorisierte Sitzung weiterhin Zugriff behält.

Vor- und Nachteile im Überblick

PlattformGrößter VorteilGrößter Nachteil
Steam GuardKein SMS-Risiko, Trade-Bestätigung direkt in der App integriertKeine Drittanbieter-Apps, Reset-Prozess umständlich bei Geräteverlust
Epic GamesGrößte Methodenvielfalt, funktioniert mit jedem TOTP-ManagerSMS als gleichwertige, aber schwächere Option verfügbar
PlayStation NetworkEinfache Einrichtung über App oder Web-KontoseiteSupport-Prozess 2025 als dokumentierter Umgehungsweg

Kurz zusammengefasst: Steam gewinnt bei der reinen Methodensicherheit, verliert aber an Flexibilität. Epic bietet die bequemste Einrichtung, aber auch die schwächste Standardoption. PSN liegt technisch im Mittelfeld, hatte 2025 aber den bislang einzigen öffentlich dokumentierten Fall, bei dem 2FA in der Praxis umgangen wurde, nicht wegen eines kryptografischen Fehlers, sondern wegen eines Support-Prozesses, der zu leicht vertraute. Für Nutzer heißt das: Die Plattform allein entscheidet nicht über die Sicherheit, das eigene Verhalten bei Passwort-Wiederverwendung und E-Mail-Absicherung wiegt mindestens genauso schwer.

Warum fehlen Passkeys noch bei allen drei Plattformen?

Passkeys gelten in der Sicherheitsbranche als der aktuell wirksamste Schutz gegen Phishing, weil sie an ein konkretes Gerät gebunden sind und sich technisch nicht auf einer gefälschten Login-Seite abfangen lassen. Trotzdem hat keiner der drei großen Gaming-Anbieter bis Mitte 2026 eine Umsetzung angekündigt. Ein plausibler Grund: Alle drei Systeme sind historisch stark auf plattformübergreifende Logins ausgelegt, etwa von der Konsole, dem PC-Client und dem Smartphone gleichzeitig, was die Migration zu geräte-gebundenen Passkeys komplexer macht als bei einem reinen Web-Login.

Hinzu kommt: Steam Guards enge Kopplung mit der Trade-Bestätigung müsste bei einer Umstellung auf Passkeys komplett neu gebaut werden, da Passkeys keine eigenständige Transaktionsfreigabe wie ein TOTP-Code vorsehen. Bei Epic und PSN dürfte der Aufwand geringer ausfallen, da beide bereits auf offene TOTP-Standards setzen. Bis eine der drei Plattformen nachzieht, bleibt die Kombination aus starkem Passwort, App-basierter 2FA und einem gut abgesicherten E-Mail-Konto der praktikabelste Schutz, den Spieler selbst in der Hand haben.

Andere Branchen zeigen bereits, wie schnell sich das ändern kann. Große Konsumenten-Plattformen außerhalb des Gaming-Sektors haben Passkeys in den vergangenen zwei Jahren zügig ausgerollt, sobald die zugrunde liegenden Login-Systeme dafür bereit waren. Sollte einer der drei Gaming-Anbieter vorlegen, dürften die anderen beiden aus Wettbewerbsgründen zügig nachziehen, ähnlich wie es bei der ursprünglichen Einführung von 2FA selbst der Fall war. Bis dahin bleibt Spielern nur, die vorhandenen Werkzeuge konsequent zu nutzen, statt auf die nächste Sicherheitsgeneration zu warten.

Rechtlicher Rahmen: Was gilt in der EU für Kontosicherheit?

Für Nutzer in Deutschland, Österreich und der Schweiz stellt sich zusätzlich die Frage, welchen rechtlichen Rahmen die Datenschutz-Grundverordnung (DSGVO) für die Kontosicherheit bei Gaming-Plattformen setzt. Die DSGVO schreibt in Artikel 32 “angemessene technische und organisatorische Maßnahmen” zum Schutz personenbezogener Daten vor, definiert aber keine konkrete Pflicht zu einer bestimmten 2FA-Methode. Ob SMS, App-Code oder E-Mail als “angemessen” gilt, bleibt damit auslegungsbedürftig und liegt faktisch im Ermessen der Anbieter, solange kein grober Sicherheitsverstoß nachweisbar ist.

Praktisch heißt das für Steam, Epic und Sony: Alle drei Unternehmen unterliegen als Anbieter mit EU-Nutzern der DSGVO, doch keine Aufsichtsbehörde hat bislang eine bestimmte 2FA-Methode als verpflichtend vorgeschrieben. Der PSN-Support-Bypass 2025 zeigt allerdings ein Muster, das auch datenschutzrechtlich relevant werden kann: Wird eine Kontoänderung ohne ausreichende Verifizierung durchgeführt, kann das je nach Einzelfall als unzureichende technische Schutzmaßnahme gewertet werden. Für Verbraucher in der EU bleibt der praktikabelste Schutz weiterhin, selbst die stärkste verfügbare Methode zu aktivieren, statt auf eine gesetzliche Mindestvorgabe zu warten.

Das Urteil: Welches System schützt Gaming-Konten am besten?

Rein technisch hat Steam Guard 2026 die Nase vorn: keine SMS-Option, verpflichtende App-Bestätigung für Trades und kein öffentlich bekannter Umgehungsfall. Der Preis dafür ist Unbequemlichkeit, denn Nutzer sind an die Steam-eigene App gebunden und können keinen bereits vorhandenen Passwort-Manager mit TOTP-Funktion einbinden.

Epic Games punktet bei der Flexibilität, verschenkt aber Sicherheit, indem SMS gleichrangig neben der Authenticator-App steht. Wer bei Epic wirklich sicher sein will, sollte SMS deaktivieren und ausschließlich auf die App-Option setzen, auch wenn die Plattform selbst diese Empfehlung nicht aktiv durchsetzt.

PlayStation Network zeigt am deutlichsten, dass die Stärke einer 2FA nicht allein von der Kryptografie abhängt. Der Support-Bypass 2025 traf Konten, die technisch korrekt abgesichert waren, aber über einen menschlichen Prozess ausgehebelt wurden. Mit rund 125 Millionen monatlich aktiven Nutzern laut Sonys eigenem Quartalsbericht ist die potenzielle Angriffsfläche bei PSN zudem die größte der drei Plattformen.

Die praktische Empfehlung für 2026: Aktiviere bei allen drei Plattformen die App-basierte Option statt SMS, sichere Wiederherstellungscodes offline, und behandle das verknüpfte E-Mail-Konto als die eigentliche erste Verteidigungslinie. Keine der drei Plattformen unterstützt aktuell Passkeys oder Hardware-Schlüssel, das bleibt 2026 die größte gemeinsame Schwachstelle aller drei Systeme.

Zusammengefasst nach Zielgruppe: Trader und Sammler mit hochwertigem Inventar sollten sich an Steam Guard orientieren, selbst wenn sie primär auf einer anderen Plattform spielen, weil dessen Trade-Kopplung schlicht den stärksten praktischen Schutz bietet. Wer plattformübergreifend denkt und einen Passwort-Manager konsequent nutzt, ist bei Epic und PSN gut aufgehoben, sofern SMS konsequent deaktiviert bleibt. Und wer ohnehin nur gelegentlich spielt, profitiert am meisten davon, einfach die App-Option zu wählen und den Rest dem gesunden Menschenverstand zu überlassen: keine Links aus unbekannten Nachrichten öffnen, keine Zugangsdaten auf Drittseiten eingeben.

Häufig gestellte Fragen

Kann ich Google Authenticator für Steam Guard nutzen?
Nein. Steam akzeptiert ausschließlich den eigenen Steam Guard Mobile Authenticator in der Steam-Mobile-App, da dieser zusätzlich Markttransaktionen bestätigt, eine Funktion, die generische TOTP-Apps nicht abbilden können.

Unterstützt PlayStation Network Passkeys?
Nein, Stand Mitte 2026 dokumentiert Sony auf den offiziellen Kontoseiten keine Passkey- oder WebAuthn-Unterstützung. Login läuft weiterhin über Passwort plus SMS- oder App-Code.

Ist SMS-2FA bei Epic Games unsicher?
SMS ist sicherer als gar keine 2FA, gilt in der Sicherheitsbranche aber als schwächste der verfügbaren Optionen, weil SIM-Swapping-Angriffe die Codes abfangen können. Wo möglich, ist eine Authenticator-App vorzuziehen.

Was war der PSN-2FA-Bypass 2025 genau?
Angreifer kontaktierten den PlayStation-Support, gaben sich als ausgesperrte Kontoinhaber aus und ließen sich mit PSN-ID und Transaktionsnummer die hinterlegte E-Mail-Adresse ändern. Die aktivierte 2-Schritt-Verifizierung wurde so faktisch ausgehebelt, ohne dass die Verschlüsselung selbst geknackt wurde.

Lohnt sich ein YubiKey für Gaming-Konten?
Nicht direkt, da Steam, Epic und PSN aktuell keine FIDO2-Hardware-Schlüssel als Login-Option akzeptieren. Sinnvoll ist ein YubiKey trotzdem, wenn er das verknüpfte E-Mail-Konto absichert, über das sich alle drei Gaming-Konten im Notfall zurücksetzen lassen.

Was passiert, wenn ich mein Smartphone mit Steam Guard verliere?
Ohne gesicherten Wiederherstellungscode musst du den Steam-Support kontaktieren und die Kontoinhaberschaft nachweisen, ein Prozess, der laut Nutzerberichten mehrere Tage dauern kann. Deshalb empfiehlt Valve, den Code direkt bei der Einrichtung offline zu sichern.

Warum verlangt Epic 2FA für manche Gratis-Spiele?
Epic nutzte die Kopplung in der Vergangenheit gezielt, um die Aktivierungsrate zu erhöhen, dokumentiert unter anderem auf der offiziellen Fortnite-News-Seite. Nutzer, die ein Gratis-Spiel einlösen wollten, mussten zuvor 2FA aktivieren.

Reicht E-Mail-2FA allein aus, oder brauche ich eine App?
E-Mail-2FA ist besser als keine Absicherung, gilt aber als schwächer als eine App, weil ein kompromittiertes E-Mail-Postfach beide Schutzebenen gleichzeitig aushebelt. Wo verfügbar, sollte die App-Option Vorrang haben, und das E-Mail-Konto selbst eine eigene, starke 2FA erhalten.

Kann ich bei Steam, Epic und PSN dieselbe Authenticator-App nutzen?
Bei Epic und PSN ja, beide akzeptieren gängige TOTP-Apps wie Google Authenticator, Microsoft Authenticator oder Authy in derselben App parallel zu anderen Diensten. Steam ist die Ausnahme, da Valve ausschließlich die eigene Steam-Mobile-App als Authenticator zulässt.

Ist ein Steam-, Epic- oder PSN-Konto überhaupt versicherbar?
Nein, keiner der drei Anbieter bietet eine Versicherung oder Garantie-Erstattung bei Kontodiebstahl an, die über die reguläre Wiederherstellung durch den Support hinausgeht. Der wirksamste Schutz bleibt deshalb die Vorbeugung durch starke 2FA, statt sich auf eine nachträgliche Entschädigung zu verlassen.