Profit vor Spielern: Die Vertuschung bei BlockBlasters (Steam-Skandale, Teil 1)

Einleitung: Ein Verbrechen aus kalkulierter Fahrlässigkeit

Im August 2025 wurde die weltweit größte Gaming-Plattform, Steam, nicht nur Opfer einer Sicherheitslücke, sondern hat diese sogar aktiv ermöglicht. Durch eine Kette von systemischen Versäumnissen und grober Fahrlässigkeit hat Valve das Spiel BlockBlasters (AppID 3872350) wurde zum Trojaner für eine verheerende Malware-Kampagne. Es handelte sich nicht um einen ausgeklügelten, unvermeidbaren Angriff. Es war eine klassische Datendiebstahlaktion, die erfolgreich war, weil die Sicherheit von Steam grundlegend mangelhaft ist. 22 Tage lang wurden Hunderttausende Dollar gestohlen, Krypto-Wallets leergeräumt und Benutzerkonten kompromittiert, während Valve untätig blieb.

Als die Wahrheit ans Licht kam, bestand Valves Reaktion nicht darin, seine Nutzer zu schützen, sondern sein Image zu wahren. Das Unternehmen veröffentlichte eine einzige, irreführende Erklärung, in der es die Schuld auf ein „kompromittiertes Entwicklerkonto“ schob – eine erbärmliche Lüge, die darauf abzielte, die Schuld abzuwälzen und sich vor der Haftung zu schützen. Dieser Artikel wird diese Lüge entlarven. Anhand forensischer Daten, einer Zeitachsenanalyse und Valves eigenen Richtlinien werden wir beweisen, dass es sich bei diesem Vorfall nicht nur um eine Unterlassung handelte, sondern um eine absichtliche Vertuschung von grob fahrlässigem Verhalten.

Der 22-tägige Zeitplan der Untätigkeit

Valve hatte 22 Tage Zeit, dies zu unterbinden. Es gingen zahlreiche Nutzerberichte ein, und die Plattformdaten wiesen deutliche Anzeichen für Probleme auf. Ihr Schweigen war eine bewusste Entscheidung.

Die Anatomie des Angriffs

Es handelte sich nicht um hochentwickelte Malware. Es war eine primitive, aber wirksame Mischung aus gängigen Skripten und Stealern, deren Erkennung für eine milliardenschwere Plattform eigentlich ein Kinderspiel hätte sein müssen.

Phase 1: Erstinfektion (game2.bat)

Die ursprüngliche Nutzlast, ein einfaches Batch-Skript, führte grundlegende Erkundungsmaßnahmen durch: Es sammelte IP-Adressen, Geolokalisierungsdaten und Steam-Benutzerdaten. Anschließend lud es eine passwortgeschützte ZIP-Datei (v1.zip) herunter – eine klassische Technik, um einfache automatisierte Scanner zu umgehen.

Phase 2: Umgehung und Eskalation (VBS-Loader)

Mithilfe von VBS-Skripten führte die Malware ihre Kernkomponenten in versteckten Befehlsfenstern aus. Sie fügte ihr eigenes Verzeichnis zur Ausschlussliste von Microsoft Defender hinzu – eine Aktion, die auf jedem überwachten System einen sofortigen Alarm mit hoher Priorität auslösen sollte.

Phase 3: Datendiebstahl (Client-built2.exe & Block1.exe)

Nachdem die Sicherheitsmaßnahmen außer Kraft gesetzt worden waren, setzte die Malware ihre primären Schadfunktionen ein: eine Python-basierte Backdoor für dauerhaften Zugriff und eine Variante des StealC-Infostealers. Im Visier standen Browserdaten, Sitzungstoken und vor allem Kryptowährungs-Wallets aus Chrome, Edge und Brave. Alle gestohlenen Daten wurden über ungesicherten HTTP-Verkehr an zwei Command-and-Control-Server weitergeleitet. Die IOCs des Krypto-Drainers bestätigten Steam als Verbreitungsweg für Malware im Rahmen organisierter Diebstahloperationen.

Indikatoren für eine Kompromittierung (IoCs)

Die Lüge entlarven: Die Geschichte vom „gehackten Account“ ist völliger Blödsinn

Nennen wir Valves Ausrede mit dem „gehackten Entwickler“ doch einfach beim Namen: eine erbärmliche und leicht zu widerlegende Lüge. Das ist eine Beleidigung der Intelligenz ihrer Nutzer – eine Geschichte, die erfunden wurde, um sie vor den Folgen ihrer eigenen Nachlässigkeit zu schützen. Diese ganze Fantasie bricht in sich zusammen, sobald man sich die von Steam selbst vorgeschriebenen Verfahren ansieht.

• Die 100-Dollar-Hürde und die Identitätsprüfung: Um auf Steam veröffentlichen zu können, muss jeder Entwickler das Steam-Direct-Programm durchlaufen. Dazu gehört die Zahlung einer Gebühr von 100 US-Dollar sowie die Durchführung eines Know-Your-Customer-Verfahrens (KYC), bei dem der vollständige Name, Bankdaten und Steuerunterlagen anzugeben sind. Der Täter war kein anonymer Unbekannter; Valve verfügte über seine verifizierte Identität und seine Finanzdaten. Dies macht die Untätigkeit des Unternehmens zu einer bewussten Entscheidung, einen verifizierten Partner gegenüber den eigenen Nutzern zu schützen.
• Der Mythos vom 22-tägigen Stromausfall: Steamworks stellt Entwicklern zuverlässige Tools zur Sicherung ihrer Konten zur Verfügung. Ein legitimer Entwickler, der die Kontrolle über sein Konto verloren hat, kann ein Ticket mit dem Betreff „Verlorener Zugriff auf Publisher-Zugangsdaten“ einreichen. Dieser Prozess ist auf Schnelligkeit ausgelegt und sperrt Veröffentlichungsrechte und Builds innerhalb von Stunden, nicht Wochen. Die Vorstellung, dass ein Entwickler über 20 Tage lang ausgesperrt sein könnte, während sein Spiel Malware verbreitet, ist absurd. Dies impliziert eines von zwei Szenarien, die beide gegen Valve sprechen: Entweder war der Entwickler mitschuldig, oder Valve hat seine verzweifelten Support-Tickets sowie die Dutzenden von Nutzerbeschwerden ignoriert.
• Systematische Missachtung von Nutzerbeschwerden: Dutzende Nutzer reichten detaillierte Meldungen über Finanzbetrug, Malware-Aktivitäten und die Kompromittierung von Konten ein. Dabei handelte es sich nicht um vage Beschwerden, sondern um verwertbare Informationen. Ein kompetentes Support-System hätte diese Meldungen innerhalb von 24 Stunden als kritisch eingestuft, das Problem eskaliert und die App-Seite bis zum Abschluss der Untersuchung gesperrt. Dass Valve dies 22 Tage lang versäumt hat, ist kein Versehen, sondern eine Politik der vorsätzlichen Ignoranz.

Die zentrale Täuschung: Manipulation eines digitalen Tatorts

An dieser Stelle geht Valves Vertuschung von einfacher Fahrlässigkeit zu etwas über, das man nur als Manipulation eines digitalen Tatorts. Eines sei ganz klar gesagt: Valve hat das infizierte Spiel nicht entfernt.

Forensische Beweise und Analysen von Sicherheitsforschern, die die C2-Infrastruktur nachverfolgt haben, bestätigen dies eindeutig: Die Kriminellen haben ihre schädlichen Builds selbst von den Steam-Servern gelöscht. Dies geschah am 21. September, erst nachdem ihre Telegram-Kontrollgruppe öffentlich entlarvt worden war. Sie haben einen „Scorched-Earth“-Rückzug vollzogen und dabei die Beweise vernichtet, um ihre Spuren zu verwischen.

Die Behauptung von Valve, Maßnahmen ergriffen zu haben, ist eine offensichtliche Lüge. Indem Valve abwartete, bis die Angreifer ihre Spuren verwischt hatten, bevor es eingriff und die Store-Seite entfernte, hat das Unternehmen faktisch zugelassen, dass die wichtigsten Beweise vernichtet wurden. Das war keine Schadensbegrenzung, sondern Behinderung der Ermittlungen. Valve hat nicht die Nutzer geschützt, sondern sich selbst, indem es dafür sorgte, dass der Tatort gesäubert wurde.

Die menschlichen Kosten der Gleichgültigkeit von Unternehmen

Die Fahrlässigkeit von Valve hatte konkrete Folgen, für die das Unternehmen keinerlei Verantwortung übernommen hat.

• Finanzieller Ruin: Über 150.000 US-Dollar wurden gestohlen (es sieht so aus, als wären es mehr als 1.000.000 US-Dollar). Für viele war das eine Summe, die ihr Leben grundlegend verändert hätte. Ein Streamer verlor während einer Live-Spendenaktion für die Krebsbehandlung 32.000 US-Dollar.
• Vertrauensbruch: Bei Hunderten von Nutzern wurden die Konten gehackt, ihre Daten gestohlen und ihre Systeme infiziert.
• Absolute Stille: Bis heute hat Valve weder Rückerstattungen noch Entschädigungen angeboten und sich auch nicht aufrichtig entschuldigt. Ihre Standardantwort war eine Beleidigung für jedes einzelne Opfer.

Das Motiv: Profit vor Menschen

Warum sollte Valve so etwas zulassen? Das Motiv ist ebenso einfach wie zynisch: es war billiger.

Eine echte Sicherheitsüberholung – einschließlich der Einführung von Sandbox-Tests für alle Builds, der Trennung von Entwicklerzugangsdaten, der Einstellung eines kompetenten Sicherheitsteams und der Veröffentlichung von Transparenzberichten – würde Millionen kosten. Die Zahlung von Entschädigungen an die Opfer würde einen kostspieligen Präzedenzfall schaffen.

Die Alternative? Eine vage, irreführende Erklärung abgeben, den Nachrichtenzyklus weiterlaufen lassen und den minimalen Imageschaden in Kauf nehmen. Es handelte sich um eine kalkulierte geschäftliche Entscheidung, bei der die Sicherheit der Nutzer als akzeptabler Verlust angesehen wurde.

Dieses Muster der Nachlässigkeit ist nicht neu. Von PirateFi (2024) bis Chemia (2025) hat Valve wiederholt Warnungen ignoriert und Malware auf seiner Plattform zugelassen, um erst nach einem öffentlichen Aufschrei zu handeln. BlockBlasters war kein Einzelfall; es war das unvermeidliche Ergebnis einer maroden Sicherheitskultur.

Endgültiges Urteil: Schuldig im Sinne der Anklage

Lassen wir die Fakten für sich sprechen.

• Fakt: Die automatisierten Systeme von Valve haben einen Build zugelassen, der harmlose Malware enthielt.
• Fakt: Das Support-Team von Valve ignorierte drei Wochen lang direkte Warnungen der Betroffenen.
• Fakt: Valve hat erst gehandelt, nachdem die Hacker die schädlichen Dateien selbst entfernt hatten.
• Fakt: Die offizielle Stellungnahme von Valve war eine absichtliche Falschdarstellung der Ereignisse, die darauf abzielte, sich der Verantwortung zu entziehen.

Valve hat nicht nur versagt. Es hat gelogen. Es hat seine eigene Nachlässigkeit vertuscht, seine Gewinne geschützt und den Nutzern die Zeche präsentiert. Das Vertrauen, das die Community in Steam gesetzt hat, ist unwiderruflich zerstört. Das war kein Fehler, sondern ein Verrat.