Mein Hund gegen Elite-GDPR-Anwälte: Der Valve-Datenverstoß, über den niemand spricht
Wie eine routinemäßige DSGVO-Anfrage, die von einer internationalen Anwaltskanzlei bearbeitet wurde, zu einem katastrophalen Datenleck von Steam-Nutzern und Minderjährigen führte.
Mein Hund: 0 abgerechnete Stunden. 0 Datenlecks. 100 % besser im Umgang mit PDFs als Elite-Unternehmensanwälte.
Lassen Sie uns eine absurde, aber äußerst praxisnahe Frage im Bereich des unternehmerischen Datenschutzes untersuchen: Sollte ein globaler Technologieriese wie die Valve Corporation erstklassige Angriffsanwälte engagieren – wie die der internationalen Anwaltskanzlei Taylor Wessing –, um standardmäßige GDPR-Datenanfragen zu bearbeiten?
Die Antwort hängt vollständig von deiner Situation ab:
- Wenn Ihr Unternehmen vollkommen unschuldig und konform ist: Absolut nicht.
- Wenn Ihr Unternehmen einen massiven internen Datenschatz zu verbergen hat: Oh, ja. Stellen Sie sie sofort ein.
Warum? Weil diese Elite-Wirtschaftsanwälte als ahnungslose Doppelagenten agieren. Sie helfen Ihrem Gegner bereitwillig dabei, jedes einzelne Detail aufzudecken, das Sie verzweifelt vor den Aufsichtsbehörden zu verbergen versuchen. Die einzige technische Voraussetzung ist, dass Ihr Gegner weiß, wie man eine schlecht geschwärzte PDF-Datei öffnet.
Genau deshalb gewinnt mein Hund im Kampf um den ultimativen Datenschutzbeauftragten (DSB) haushoch gegen einen teuren Unternehmensanwalt. Ein Hund kaut vielleicht ein Ethernet-Kabel durch, aber er wird niemals Ihre sensibelsten Unternehmensgeheimnisse auf dem Silbertablett servieren und eine DSGVO-Datenpanne verursachen.
Die Waffenisierung der Bürokratie
Die Kernstrategie dieser erstklassigen Anwaltskanzleien besteht darin, eine Aura geheimen Wissens zu erzeugen, den Gegner von Anfang an direkt zu bedrohen und das rechtliche Verfahren künstlich zu verzögern. Verlangt das EU-Recht eine GDPR-Antwort innerhalb von 30 Tagen? Sie werden sie am 35. Tag liefern, eine bedeutungslose Klärungsfrage stellen und die Frist neu starten. Das Ziel ist nicht Compliance; das Ziel ist es, die Person, die das Unternehmen herausfordert, zu erschöpfen.
Wir haben die genaue Zeitleiste dieses bürokratischen Ping-Pongs. Am 15. August sandte ein Anwalt von Taylor Wessing (Dr. Tobias Schelinski) ein formelles Schreiben, das alles Mögliche unternahm, um die DSGVO-Anfrage zu verzögern. Er verlangte zusätzliche Identitätsnachweise und argumentierte, dass die Wegwerf-E-Mail-Adresse des Nutzers (ein Alias, der wörtlich übersetzt „Unwichtig“ bedeutet) nicht explizit seinen echten Namen enthalte. Anschließend nutzte er diese künstlich herbeigeführte Verzögerung, um das betreffende Steam-Konto umgehend und dauerhaft zu sperren.
Sie haben diese einfache Datenanfrage monatelang hinausgezögert. Schließlich übernahm am 1. Oktober ein anderer Anwalt (Dr. Patrick Zurheide) den Fall und lieferte die angeforderten Daten.
(Und ja, Taylor Wessing, wir wissen, wie absolut begeistert Sie von diesem Artikel sein müssen. Es tut uns so leid, dass wir Ihre elitäre Unternehmensstrategie Ihren Konkurrenten offenbaren. Moment, haben Sie überhaupt Konkurrenten auf diesem Niveau digitaler Inkompetenz? Ach, vergessen Sie es, antworten Sie nicht darauf. Wir haben keine 30 Tage Zeit, um auf eine Antwort einer Partei zu warten, die uns nicht im Geringsten interessiert.)
Doch während die Instrumentalisierung von Verzögerungen eine gängige rechtliche Taktik ist, war das, was als Nächstes geschah, ein katastrophales operatives Versagen. Während diese Wachhunde damit beschäftigt waren, am Zaun zu bellen, ließen sie die Hintertür weit offen.
Ein kurzer IT-Intensivkurs für IT-Anwälte (Modul 101)
Bevor wir uns die geleakten Daten ansehen, müssen wir darüber sprechen, wie es dazu kam.
Wenn Sie sich den Lehrplan eines jeden angesehenen Master-of-Laws-Programms (LL.M.) im IT-Recht ansehen, finden Sie umfangreiche Module zu Internationalem Datenschutz, Cybersicherheits-Frameworks und der rechtlichen Auslegung von Artikel 32 der DSGVO („Sicherheit der Verarbeitung“). Professoren verbringen Monate damit, Studierenden die theoretische Notwendigkeit der Sicherung personenbezogener Daten einzutrichtern.
Allerdings setzen Universitäten voraus, dass ein Absolvent bereits weiß, wie ein Computer funktioniert. Sie lehren nicht „Wie speichere ich eine Datei“ oder „Wie benutze ich Adobe Acrobat.“ Und genau hier versagte das elitäre Unternehmensrechtssystem.
Hier ist die technische Realität, die den Experten entgangen ist:
Ein Portable Document Format (PDF) ist keine flache Fotografie. Es ist ein geschichteter digitaler Container. Wenn Sie mit einem einfachen PDF-Editor ein schwarzes Vektor-Rechteck über eine Textzeile zeichnen, löschen Sie den Text nicht. Sie platzieren lediglich einen digitalen Haftnotizzettel darüber.
Jeder, der dieses Dokument in einem Programm wie LibreOffice Draw, Adobe Illustrator oder sogar einem einfachen Text-Extraktionsskript öffnet, kann einfach die Textebene unterhalb des schwarzen Kastens auswählen, kopieren und in Notepad einfügen.
Eine ordnungsgemäße Schwärzung erfordert eine „Säuberung“ – einen Prozess, der die Textobjekte und Metadaten dauerhaft aus dem Dokumentcode entfernt. Das Zeichnen einer schwarzen Form ist keine Cybersicherheit; es ist digitale Bastelei.
Die geleakten Daten: Wenn Inkompetenz gefährlich wird
Als Reaktion auf eine standardmäßige Anfrage gemäß Artikel 15 der DSGVO übermittelte die Rechtsvertretung von Valve ein massives 830-seitiges Dokument, das mit diesen digitalen „Basteleien“ gefüllt war. Sie platzierten sorgfältig schwarze Vektorformen über Tausende von Datenzeilen – und ließen dabei nur die Informationen sichtbar, die für ihre Darstellung zweckdienlich waren (insbesondere Benutzermeldungen, die gegen den Antragsteller eingereicht worden waren).
Auf den ersten Blick ist die schiere Hingabe, auf 830 Seiten schwarze Kästchen zu zeichnen, fast beeindruckend. Doch wenn man die Vektoren einfach umgeht und sich die tatsächlich geleakten Daten ansieht, verfliegt der Humor augenblicklich.
Durch unsere Analyse, wie große Konzerne mit Anfragen gemäß Artikel 15 der DSGVO umgehen, haben wir ein systemisches Problem identifiziert. Unternehmenskanzleien, die im Auftrag von Technologiegiganten handeln, agieren häufig eher wie aggressive PR-Abteilungen oder Versicherungssachbearbeiter. Ihre primäre Taktik besteht darin, den Antragsteller einzuschüchtern, zu verzögern und unter Druck zu setzen, um die Offenlegung von Daten zu verhindern.
Wenn sie jedoch schließlich gezwungen sind, die Daten herauszugeben, wird ihre technische Inkompetenz offengelegt. In dem Versuch, personenbezogene Daten Dritter oder interne Unternehmensgeheimnisse zu verbergen, verwenden diese Anwälte routinemäßig grundlegend fehlerhafte Methoden zur Schwärzung von PDF-Dateien.
Unsere dringende Empfehlung an alle Nutzer, rechtlichen Gegner und Datenschutzbefürworter:
Falls Sie, Ihre Kollegen oder jemand, den Sie kennen, jemals Daten angefordert und von diesen Unternehmensanwälten eine PDF-Datei mit durch schwarze Kästen geschwärztem Text erhalten haben – prüfen Sie diese Dateien sofort.
Öffnen Sie das PDF in einem einfachen Editor (wie LibreOffice Draw, Adobe Illustrator) oder versuchen Sie einfach, den Text unter dem schwarzen Rechteck mit Ihrem Cursor zu markieren und ihn in Notepad einzufügen. Wenn der Text kopiert wird, ist ein massiver Datenverstoß aufgetreten. Geben Sie diese Informationen an alle weiter, die ähnliche rechtliche Auseinandersetzungen führen. Prüfen Sie jedes einzelne Dokument. Ihre Einschüchterungstaktiken sind ein Bluff, und ihre technische Inkompetenz spielt gegen sie – aber sie gefährdet auch die Privatsphäre unzähliger Personen.
Was die Elite-Anwälte tatsächlich durchsickern ließen:
- De-anonymisierte Benutzeranmeldungen: Da ein Steam-Login oft sehr persönlich ist und mit anderen Online-Identitäten verknüpft ist, wurden über 60 % der Nutzer in diesem Dokument sofort und vollständig identifiziert.
- Unverschlüsselte, rohe Chat-Protokolle & absurde Berichte: Das waren keine gewöhnlichen Server-Logs. Das Dokument legte eine Fundgrube völlig absurder und enthemmter Nutzermeldungen offen. Wir sprechen hier von rohen, ungeschwärzten Nachrichten, die stark mit extremer Obszönität, purem Neid und ungezügeltem Hass durchsetzt waren. Es enthielt regelrechte Todeswünsche, nationalistische Verunglimpfungen und heftige geopolitische Hetze russischer Nutzer, die sich gegen einen ukrainischen Nutzer richtete. Anstatt diese höchst sensiblen und toxischen Daten ordnungsgemäß zu sichern, verpackten die Elite-Anwälte im Wesentlichen eine Rohdatenbank voller Hassreden und übergaben sie völlig ungeschützt.
- Minderjährige in Gefahr bringen: Der ukrainische Nutzer, dessen Datenschutzrechte Valve zu unterdrücken versuchte, war kein beliebiger Teenager. Er ist eine Person mit ernstzunehmenden technischen Fähigkeiten. Dadurch, dass die Anwälte eine grundlegende Schwärzung von PDF-Dokumenten versäumten, übergaben sie ihm eine vollständig deanonymisierte Datenbank der Personen, die ihn gemeldet hatten. Dies brachte diese Steam-Nutzer – von denen viele minderjährig sind – in unmittelbare physische und digitale Gefahr.
Mein Hund würde so etwas nie tun. Mein Hund würde einfach die Unterlagen fressen. Null Datenschutzverletzung.
Das Meisterwerk der Heuchelei: Seite 8
Wenn du den technischen Fehler schon amüsant findest, hebt das offizielle Begleitschreiben zu diesem Leak die Situation auf ein absolutes Niveau von Hochkomik.
Auf Seite 8 der offiziellen rechtlichen Antwort verweigert Dr. Zurheide dem Nutzer formell den Zugriff auf bestimmte Kontodetails. Seine rechtliche Begründung für die Zurückhaltung der Informationen? Wir zitieren direkt aus dem deutschen Dokument:
“A more detailed response is not possible due to the protection of personal data of other users of the Steam platform…”
Eine detailliertere Antwort ist aufgrund des Schutzes personenbezogener Daten anderer Steam-Nutzer nicht möglich …
Lassen Sie das einen Moment wirken. Der hochbezahlte Salary Partner bei Taylor Wessing weigerte sich ausdrücklich, bestimmte Details preiszugeben, um die Privatsphäre anderer Steam-Nutzer zu schützen … in genau demselben E-Mail-Paket, in dem er ein 830-seitiges PDF anhängte, das die deanonymisierten Identitäten, Chatprotokolle und rohen Hassreden genau dieser Nutzer vollständig offenlegte.
Er erklärte stolz schriftlich, dass er genau die Daten schütze, die er aktiv verlor.
Der Brief endet schließlich mit einer klassischen Einschüchterungstaktik von Unternehmen: Dem Nutzer wird mit strafrechtlicher Verfolgung nach dem deutschen Strafgesetzbuch (StGB) gedroht, während gleichzeitig die übrigen, rechtlich garantierten DSGVO-Daten des Nutzers als Geisel gehalten werden, bis dieser den Anwälten bestimmte Kontoverhaltensweisen „erklärt". Es ist ein Meisterkurs in bewaffneter, aber völlig inkompetenter Bürokratie.
Eine 5-Sterne-Bewertung für „Elite“-IT-Rechtskompetenz
Um das Ausmaß dieses Versagens zu verstehen, muss man sich ansehen, wer diese Daten verwaltet. Wir sprechen hier nicht von einem Praktikanten.
Laut öffentlichen Berufsprofilen ist die für diese Antwort verantwortliche Person eine kürzlich beförderte Salary Partnerin bei Taylor Wessing. Es handelt sich um eine Fachkraft mit einem Master of Laws in International Commercial Law der University of Aberdeen und – die Ironie der Ironie – einem tatsächlich abgeschlossenen Promotionsstudium im IT-Recht.
Wenn Sie einen Spezialisten mit Promotion im IT-Recht von einer erstklassigen internationalen Kanzlei beauftragen, erwarten Sie, dass dieser weiß, wie man ein digitales Dokument ordnungsgemäß bereinigt, bevor sensible Nutzerdaten grenzüberschreitend übermittelt werden.
Stattdessen hat dieses katastrophale Versagen in grundlegender digitaler Kompetenz unbeabsichtigt technische Realitäten bestätigt, die Valve seit Jahren vehement bestreitet. Dank dieses spektakulären juristischen Fehlgriffs haben wir nun offiziell dokumentierte Beweise dafür, dass:
- Massive Kontoverknüpfung: Valve besitzt die Fähigkeit, Steam-Konten bis ins Jahr 2019 zurückzuverfolgen.
- Tiefentelemetrie: Valve unterhält ein internes Telemetrie- und Protokollierungssystem über seine Nutzer, das in seiner Tiefe mit den Systemen staatlicher Geheimdienste konkurriert.
- Offizielle Bestätigung: Das Elite-Rechtsteam hat all dies bequemerweise in offizieller, verifizierbarer Rechtskorrespondenz bestätigt.
Ein bescheidener Appell an IT-Rechtsprofessoren (und ein Realitätscheck)
An die verehrten Professoren der University of Aberdeen und anderer renommierter Institutionen, die Abschlüsse in IT-Recht anbieten: Wir haben eine demütige Bitte. Bitte, wir flehen Sie an, fordern Sie Ihre Studierenden stärker im tatsächlichen „IT“-Teil ihres Studiums heraus.
Bringen Sie ihnen bei, wie Vektorgrafiken funktionieren. Bringen Sie ihnen bei, dass das Zeichnen einer Box in Adobe Acrobat nicht magisch den zugrunde liegenden Textcode löscht. Das sind absolute digitale Grundlagen, die beherrscht werden sollten, bevor jemand einen Doktortitel erhält oder in die Nähe sensibler GDPR-Nutzerdaten gelassen wird.
Aber seien wir den akademischen Einrichtungen gegenüber vollkommen fair. Universitäten sind höchst autoritative und respektable Institutionen. Wir wissen mit Sicherheit, dass kein seriöser Professor einem Studenten beibringt, wie man eine gesetzlich vorgeschriebene GDPR-Antwort künstlich verzögert, um ein Opfer zu erschöpfen.
Diese spezifische Fähigkeit – die Waffenisierung von Bürokratie und das bewusste Hinauszögern rechtlicher Fristen – ist nicht Bestandteil irgendeines universitären Lehrplans. Das ist strikt eine interne Unternehmensinitiative. Es ist die Art dunkler Kunst, die man nur erlernt, wenn man einer Kanzlei wie Taylor Wessing beitritt.
Es verdeutlicht tatsächlich eine brutale, unausgesprochene Realität der modernen juristischen Karrierepipeline. Es scheint, dass die Absolventen, die Technologie wirklich verstehen, normale, angesehene Jobs finden, in denen sie in der realen Welt aufbauen, schützen und innovieren.
Und die anderen? Diejenigen, die einfach nur teure Anzüge tragen und mit Schlagwörtern spielen wollen? Die gehen zu Kanzleien wie Taylor Wessing, um als hochbezahlte Unternehmenslöser zu agieren, damit beauftragt, die schmutzigen Geheimnisse von Technologiegiganten hinter schlecht gezeichneten digitalen Black Boxes zu begraben.
Eine formelle Petition an die EU-Datenschutzaufsichtsbehörden
An die DSGVO-Aufsichtsbehörden und Datenschutzbehörden, die derzeit mit der Überwachung dieses Chaos betraut sind: Unter der Annahme, dass Ihre Büros nicht mit genau derselben Art von „Experten“ besetzt sind, bitten wir Sie respektvoll, die Zirkusnummer zu untersuchen, die unter dem Namen Taylor Wessing auftritt.
Gibt es einen rechtlichen Mechanismus, um für diese Fachleute eine digitale Re-Zertifizierung verpflichtend zu machen? Oder sollte vielleicht einfach jemand ihre Körpertemperatur messen? Es scheint tatsächlich so, dass in dem Moment, in dem diese Anwälte ihren prestigeträchtigen „Dr.“-Titel erhalten, sie ein schweres Unternehmensfieber bekommen, das grundlegende Computerkenntnisse dauerhaft aus ihrem Gehirn löscht.
Ist Ihnen bewusst, welches schiere Ausmaß an DSGVO-Verstößen in dieser einzigen Interaktion steckt? Sie haben eine gesetzlich vorgeschriebene Antwort künstlich verzögert, Daten unter dem falschen Vorwand des „Schutzes“ anderer zurückgehalten, die Bürokratie als Waffe eingesetzt und dann versehentlich die rohen, deanonymisierten Daten genau dieser Personen durchsickern lassen.
Werfen wir währenddessen einen Blick auf die Anzeigetafel. Mein Hund hat weiterhin exakt null Datenschutzverletzungen auf dem Konto. Klar, sie hat die DSGVO-Anfrage nicht erfolgreich bearbeitet. Aber sie hat auch keinen massiven, grenzüberschreitenden Datenleck verursacht, während sie dem Kunden hunderte Euro pro Stunde in Rechnung gestellt hat. Im modernen Unternehmensökosystem macht es meinen Hund zur unangefochtenen Mitarbeiterin des Monats, wenn sie absolut nichts tut und einfach nichts vermasselt.
Zeit, das Spiel bei Steam zu ändern
Hierbei geht es nicht nur um einen Anwalt, der einen Fehler mit einer PDF-Datei macht. Es geht um die systemische Missachtung der Nutzersicherheit durch eine Multi-Milliarden-Dollar-Plattform.
Unser Projekt, PhishDestroy, entstand, weil Valve sich schlicht nicht um den unkontrollierten Spam, Phishing und die gekaperten Konten kümmerte, die sein Ökosystem verschlangen. Wir wuchsen in diesem Vakuum unternehmerischer Verantwortung heran.
Nun, dank Valves Wahl der rechtlichen Vertretung und diesem daraus resultierenden Datenleck, ist der Vorhang endlich gelüftet worden. Es ist an der Zeit, ihre Politik zu demontieren, wegzusehen, während Kinder ausgeraubt werden, unregulierte Skin-Glücksspiele zu ignorieren und Nutzerinventare dauerhaft einzufrieren, um die eigene Bilanz aufzubessern.
Wir haben die Beweise, die Chronologie der unternehmerischen Absurdität und die vollständige technische Aufschlüsselung ihres Versagens zusammengestellt. Es ist eine dichte, ernsthafte Lektüre, denn die Wahrheit darüber, wie globale Konzerne mit Ihren Daten umgehen, ist es in der Regel auch.
Lesen Sie die vollständige, umfassende Untersuchung zu Valves Praktiken hier:
PhishDestroy: Wie Valve von gestohlenen Konten profitiert
Ein besonderer Haftungsausschluss für Taylor Wessing & Dr. Zurheide
Wir wissen genau, was als Nächstes passiert. Wir wissen, dass Sie wahrscheinlich gerade eine Beschwerde wegen Verstoßes gegen die Nutzungsbedingungen oder eine Unterlassungserklärung verfassen, um die Entfernung dieses Artikels zu erreichen.
Bevor du das tust, lass uns ein paar Dinge öffentlich klarstellen.
Erstens: PhishDestroy ist eine zu 100 % gemeinnützige Initiative. Wir verdienen damit exakt 0 $. Dies ist kein Verriss, der von Ihren Konkurrenten in Auftrag gegeben wurde (sofern Sie auf dieser speziellen Ebene digitaler Kunst und Handwerkskunst überhaupt welche haben). Wir veröffentlichen dies, weil Ihr katastrophaler Leak die grundlegende Beweisgrundlage für unsere umfangreiche Untersuchung gegen Valve bildet.
Zweitens möchten wir Ihre Kunstwerke aufrichtig loben. Diese 830 Seiten mit manuell platzierten schwarzen Rechtecken sind wahrhaft exquisit. Die Quadrate sind tief, reichhaltig und bemerkenswert konsistent. Es ist ein wunderschönes Zeugnis dafür, dass Unternehmensgelder für die Unternehmen, die sie ausgeben, absolut nichts bedeuten. Angesichts Ihres Stundensatzes bei Taylor Wessing könnte dies das teuerste moderne Kunstprojekt in der Geschichte der Spieleindustrie sein.
(Profi-Tipp für Ihre nächste GDPR-Antwort: Da Sie Valve bereits für hunderte Stunden abrechnen, um schwarze Quadrate auf über 800 Seiten zu zeichnen, versuchen Sie doch vielleicht, ein paar hübsche kleine Kreise darunter zu zeichnen? Nur um etwas Abwechslung zu schaffen. Es wird die Daten nicht besser sichern, aber es wird der Person, die den Text extrahiert, Spaß machen.)
Betrachten Sie dies abschließend als eine höfliche Warnung:
Jeder Versuch, diese Veröffentlichung zu melden, zu sperren oder rechtlich zu bedrohen, wird als direkter Angriff auf legitime, gemeinnützige Sicherheitsforschung behandelt. Wir folgen einer sehr einfachen Regel des Internets. Sie können gerne versuchen, diesen Link entfernen zu lassen. Aber wenn Sie das tun, werden wir tun, was wir immer tun: Für jeden Link, den Sie zerstören, werden fünf neue erscheinen.
Willkommen im Internet.
Eine rechtliche Erinnerung für Taylor Wessing: Die 72-Stunden-Regel
Normalerweise würden wir Ihnen keine Geschäftsberatung anbieten, außer „machen Sie den Laden dicht“, aber als Cybersicherheitsexperten fühlen wir uns verpflichtet, auf die rechtliche Realität Ihres technischen Versagens hinzuweisen.
Ihre Praxis, grafische Vektorüberlagerungen anstelle einer ordnungsgemäßen strukturellen Dokumentensanitisierung zu verwenden, stellt einen direkten Verstoß gegen Artikel 32 der DSGVO (Sicherheit der Verarbeitung) dar.
Wir empfehlen Ihnen dringend, jedes einzelne PDF zu prüfen, das Sie jemals an einen Gegner, Bewerber oder Kunden gesendet haben. Wenn Sie diese Dokumente nicht auf grundlegender IT-Ebene überprüft haben (Entfernen von Metadaten und versteckten Ebenen), ist die Wahrscheinlichkeit extrem hoch, dass Sie aktiv für mehrere, andauernde Datenlecks verantwortlich sind.
Darüber hinaus möchten wir Ihre geschätzten IT-Rechts-Promovierten an Artikel 33 der DSGVO erinnern: Sobald ein Verantwortlicher Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt, ist er gesetzlich verpflichtet, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden zu benachrichtigen.
Angesichts der grenzüberschreitenden Natur dieser Leaks und der schieren Menge hochsensibler, deanonymisierter Daten, die Sie misshandeln, wird der Versuch, dies unter den Teppich zu kehren, lediglich maximale regulatorische Strafen auslösen. Sie sind nun über den Vorfall in Kenntnis gesetzt worden. Die Uhr tickt.
Lies hier erneut die vollständige Untersuchung:
PhishDestroy: Wie Valve von gestohlenen Konten profitiert
