Die Steam-Illusion: Wie Valve eine Schattenwirtschaft betreibt, Datendiebstahl ermöglicht und internationales Recht missachtet

Ein exklusiver investigativer Bericht von PhishDestroy

Das PhishDestroy-Projekt entstand nicht, weil die Zeiten gut waren. Unsere Existenz ist kein Beweis für den Erfolg von Steam, sondern eine dringende Notwendigkeit, die aus Valves absoluter Missachtung der Nutzersicherheit hervorgegangen ist. Tatsächlich griff unser Kampf gegen Phishing direkt in Valves Geschäftsmodell ein und störte deren sorgfältig ausgearbeitetes System aus Kontosperrungen und dem Weiterverkauf von Gegenständen. (Wir werden zu einem späteren Zeitpunkt einen separaten, ausführlichen Artikel veröffentlichen, der die wahren „Werte“ des Unternehmens und dessen Farce in Sachen Cybersicherheit aufdeckt.)

Seit über einem Jahrzehnt versteckt sich die Valve Corporation hinter einer sorgfältig inszenierten, verbraucherfreundlichen Fassade. Doch unter der Oberfläche verbirgt sich eine zynische Unternehmensmaschinerie. Im Rahmen einer umfassenden internen Untersuchung hat das PhishDestroy-Team die Richtlinien dekonstruiert, über die Valve lieber Stillschweigen bewahrt. Dies ist die Anatomie einer Plattform, die als unreguliertes Finanzkonsortium agiert, sanktionierte Staaten beschwichtigt, kompromittierte ausgelagerte Supportdienste schützt und europäische Gesetze als optionale Empfehlungen behandelt.

1. Die Sanktionsfarce und die pro-russische Voreingenommenheit

Für Valve sind Nutzer in der EU und den USA nichts weiter als Geldquellen. Während europäische Spieler den vollen Preis zahlen, gewährt Steam für den russischen Markt weiterhin aggressive Rabatte von 70 % bis 80 %. Ein Spiel kostet in Russland nur einen Bruchteil dessen, was es in Deutschland kostet. So sehen internationale „Sanktionen“ im Wörterbuch von Valve aus.

Die Plattform unternimmt alles, um diesen Trend zu begünstigen und zu fördern: Sie erleichtert den Wechsel der Region, verschließt die Augen vor Geldwäsche über Spielgegenstände und erklärt in ihren Nutzungsbedingungen ausdrücklich, dass sie sich der Zuständigkeit jedes russischen Gerichts unterwirft. Dies erreicht einen geradezu absurden Punkt: In den seltenen Fällen, in denen es zu massiven Ausfällen der Steam-Server kommt, ist die erste Instanz, die sich offiziell zu den technischen Störungen äußert, oft Roskomnadzor (die russische Bundeszensurbehörde).

2. Das Kartell der ausgelagerten Supportdienste

Der Mythos eines „strengen, sicheren amerikanischen technischen Supports“ bricht in dem Moment zusammen, in dem man erkennt, wer die Schlüssel zum Backend von Steam in der Hand hält. Valve hat den Support in der GUS-Region an ein stark kompromittiertes, ausgelagertes Netzwerk delegiert.

Es ist uns gelungen, Teile dieses Netzwerks zu de-anonymisieren. Eine Schlüsselfigur, die diesen Support-Zweig leitet oder betreut, ist eine Person namens Nikita. Unsere Ermittlungen ergaben, dass diese Person (oder zumindest ihre primäre E-Mail-Adresse) als Nutzer in Untergrund-Hackerforen wie Lolzteam (Zelenka) registriert und aktiv ist – einem berüchtigten Darknet-Knotenpunkt, der sich ausschließlich dem Verkauf gestohlener Kreditkarten, kompromittierter Datenbanken und Brute-Force-Protokolle widmet.

Valve ist sich dieser Missstände voll und ganz bewusst. Das Unternehmen hat bereits in der Vergangenheit Fälle eingeräumt, in denen ausgelagerte Mitarbeiter systematisch hochwertige Nutzerbestände entwendet haben. Dennoch ist es für Valve nach wie vor rentabler, auf billige, nicht rechenschaftspflichtige ausgelagerte Arbeitskräfte zurückzugreifen, als qualifizierte interne Cybersicherheitsexperten einzustellen.

3. Betrug als Geschäftsmodell und Offshore-Währung

Die In-Game-Skins von Steam haben sich im Darknet zu einer allgegenwärtigen, nicht zurückverfolgbaren Währung entwickelt – einer Art „Geldwäscheautomat“, der internationale Regulierungsbehörden und Steuerbehörden umgeht.

Für die Finanzabteilung von Valve stellen Betrüger keine Bedrohung dar; sie sind externe Akteure, die die Marktdynamik ankurbeln. Das traditionelle Modell „ein Nutzer, ein Spiel“ bringt nur begrenzte Einnahmen. Ein kompromittiertes Ökosystem schafft jedoch einen hochprofitablen Kreislauf: Ein Nutzer wird gehackt, die Gegenstände werden gestohlen, die Konten der Betrüger erhalten ein „Handelsverbot“, und das Opfer ist gezwungen, ein neues Profil anzulegen und seine Vermögenswerte neu zu erwerben.

Wenn Valve einen Betrüger sperrt, gibt das Unternehmen die gestohlenen Vermögenswerte nicht an den rechtmäßigen Eigentümer zurück. Es friert sie dauerhaft ein. Dadurch entsteht eine künstliche Knappheit. Die Verringerung des Marktangebots treibt die Preise der verbleibenden Artikel in die Höhe, was wiederum Valves Provision von 15 % auf dem Community-Markt vervielfacht. Das Unternehmen will Betrugsfälle nicht unterbinden; es profitiert davon.

4. Der Datenverstoß bei CEVA Logistics: Unbestreitbarer Beweis für Fahrlässigkeit

Wenn Sie glauben, dass Valve zumindest Ihre physischen, realen Daten schützt, beweist der jüngste Vorfall im Zusammenhang mit CEVA Logistics das Gegenteil. Zwischen dem 29. Juli und dem 1. August 2026 drangen Hacker in das System des europäischen Hardware-Logistikpartners von Valve ein. Valve bestätigte den Vorfall erst am 7. August, wodurch die Daten der Nutzer eine Woche lang in den Händen böswilliger Akteure blieben.

Die durchgesickerten Daten umfassen echte Namen, vollständige Wohnadressen, Telefonnummern und mit Steam verknüpfte E-Mail-Adressen europäischer Kunden, die physische Hardware bestellt haben. Valve versucht, die Nutzer zu beruhigen, indem es erklärt, dass „Passwörter und Zahlungsdaten“ nicht offengelegt wurden. Doch ein vollständiger Name, eine Wohnadresse, eine Telefonnummer und eine Steam-E-Mail-Adresse sind genau die Informationen, die für verheerend effektives Spear-Phishing und die Übernahme von Konten erforderlich sind – eine Goldgrube für genau jene ausgelagerten Mitarbeiter und Betrugsnetzwerke, die oben erwähnt wurden. Valve hat Ihre Daten im Grunde genommen direkt an diese weitergegeben.

5. Aufruf zum Handeln: Die europäische Haltung gegen die Immunität von Unternehmen

Jeder Gamer in Europa muss sich einer harten Realität stellen: Sie zahlen fünfmal mehr für Spiele als Nutzer in Russland, doch Ihre europäischen Rechte und Gesetze (DSGVO) werden völlig außer Kraft gesetzt. Ihre personenbezogenen Daten gelangen an Drittanbieter, und Ihre Support-Anfragen werden von einem Outsourcing-Netzwerk aus der GUS mit höchst fragwürdigem Ruf bearbeitet.

Einen besonderen, sarkastischen Gruß senden wir den Anwälten von Taylor Wessing, die unweigerlich die Interessen von Valve vor europäischen Gerichten verteidigen müssen. Machen Sie sich bereit – die Verteidigung eines Monopols, das aktiv gegen das EU-Recht verstößt, wird bald erheblich schwieriger werden.

Es ist an der Zeit, nicht länger ein bequemer Sponsor zu sein. Verzeihen Sie diese Datenlecks nicht.

Sollten sie sich weigern, behaupten, keine Protokolle zu führen, oder sich hinter einer unternehmensinternen Geheimhaltungsvereinbarung verstecken, um ihre ausgelagerten Mitarbeiter zu schützen, leiten Sie diese Weigerung bitte direkt an Ihre Datenschutzbehörde weiter. Massenklagen sind die einzige Sprache, die dieses Monopol versteht.

Nachtrag des Autors: Der Markt hinter der Plattform

Auf der Steam-Plattform liegen die empfohlenen regionalen Preise für Russland (und die GUS-Region insgesamt) in der Regel 40–60 % unter dem Basispreis in US-Dollar. Russland wird als „Tier 2: Emerging Market“ eingestuft, wofür in der Regel ein Rabatt von 40–50 % auf den Basispreis gewährt wird. So sollte beispielsweise ein Standard-Indie-Spiel zum Preis von 19,99 US-Dollar (was bei direkter Umrechnung etwa 1.900 Rubel entspräche) gemäß den Empfehlungen von Valve etwa 419–499 Rubel kosten.

Es muss klar zum Ausdruck gebracht werden, dass der ausgelagerte Support zwar in Irland angesiedelt ist, jedoch von Russen besetzt wird – wobei ein Teil der Mitarbeiter direkt in Russland ansässig ist. Ach ja, und übrigens: CSGOFast ist Eigentümer der beliebten Erweiterung „SteamInventoryHelper“, die ausschließlich dazu dient, für ihr auf Kinder ausgerichtetes Casino zu werben (ein Casino, das in mehreren europäischen Ländern verboten ist). Und wem gehört dieses Casino? Richtig, Russen – genau wie die Mehrheit ähnlicher Websites. Weiß Steam das nicht? Oder will man es einfach nicht wissen, wenn man bedenkt, dass der Umsatz auf dem Schwarzmarkt, wie ich glaube, bei rund einer Milliarde Dollar liegt?

Darüber hinaus schätze ich, dass 40 % der Betrüger aus der GUS, die derzeit Krypto-Betrug betreiben, ihre Anfänge auf Steam hatten. Mir sind persönlich mindestens zwei konkrete Fälle von Geldwäsche über Skins bekannt. Ich werde hier nicht näher darauf eingehen, kann dies aber bei Bedarf tun – nur nicht öffentlich, da ich die Plattformen usw. nicht namentlich nennen möchte. Steam ist sich dessen jedoch sehr wohl bewusst. Oder erwarten sie tatsächlich von uns, dass wir glauben, Spieler, die das Spiel nicht einmal besitzen, würden immer wieder genau denselben Gegenstand kaufen, nur um damit zu „spielen“? Ja, klar, das ist ein Witz.

Da ich sexuelle Belästigung durch Taylor Wessing befürchte, werde ich nicht selbst schreiben und darum bitten, meine Botschaft an die Opfer des Datenlecks weiterzuleiten – an die Menschen, die Valve im Stich gelassen hat und die diese Benachrichtigungs-E-Mails erhalten haben. Satire / Joke

Die Prioritäten von Steam sind so pro-russisch wie nur möglich – sowohl in Bezug auf die Preisgestaltung und rechtliche Aspekte als auch hinsichtlich der Popularisierung von Putin, Flaggen und verbotenen Terroristen. Doch Steam scheint dies zu gefallen, genauso wie das Unternehmen Antisemitismus, Diskriminierung, Belästigung, Stalking und Drogenhandel toleriert. Für Steam ist dies völlig in Ordnung, genau wie Spiele ab 18 Jahren. Das Unternehmen scheint daran sogar Gefallen zu finden.

Es handelt sich hierbei nicht um einen kurzlebigen politischen Streit. Russische Beamte und Arbeitsgruppen der Branche haben weit über ein Jahr damit verbracht, ein Kontrollsystem für Videospiele zu entwickeln, das die Identifizierung der Spieler über eine russische Telefonnummer, das staatliche Identitätsportal „Gosuslugi“ oder das staatliche biometrische System vorsieht. Steam und GOG wurden ausdrücklich als Plattformen genannt, die von dem Vorschlag betroffen sein könnten, und die Teilnehmer gaben an, dass die zugrunde liegende staatliche Arbeitsgruppe bis Dezember 2024 bereits seit fast anderthalb Jahren getagt habe. Valve hat keine vergleichbare öffentliche Zusage abgegeben, dass es den russischen Markt verlassen würde, anstatt seine Nutzer an diese staatlich gelenkte Identitätsarchitektur anzubinden.

Der Kontrast ist empörend. Große Branchenakteure haben ihre Verkäufe oder Dienstleistungen in Russland eingestellt – Microsoft hat alle Neuverkäufe gestoppt, während Konsolenplattformen und Publisher ihren Rückzug ankündigten –, doch Steam entschied sich für Kontinuität. Das Unternehmen stellt weiterhin kommerzielle und soziale Infrastruktur für ein Land bereit, das vom Europäischen Parlament offiziell als einen Staat anerkannt wurde, der den Terrorismus unterstützt und terroristische Mittel einsetzt.

Diese Unterstützung zeigt sich innerhalb von Valves eigenem Ökosystem. Der offizielle Steam Community Market listet einen käuflichen Profilhintergrund mit der Aufschrift „Putin & Trump“ sowie Tausende von Artikeln mit Bezeichnungen wie „Putin forever“, „Putin smile“, „Putin like“ und „Putin angry“ auf. Valve hat diese Bilder nicht selbst erstellt, vertreibt, listet und monetarisiert sie jedoch über einen von Valve betriebenen Marktplatz. Gleichzeitig dürfen in von PhishDestroy dokumentierten Fällen Belästigungen aufgrund der Nationalität sichtbar bleiben oder werden als gewöhnliche Konflikte innerhalb der Community behandelt. Die Botschaft von Steam ist unmissverständlich: Politische Propaganda kann monetarisiert werden, während die Menschen, die Ziel von Beleidigungen aufgrund ihrer nationalen Herkunft sind, damit allein gelassen werden.

Privates Eigentum bedeutet keine rechtliche Immunität

Valve ist ein privat geführtes Unternehmen, dessen Anteile nicht öffentlich gehandelt werden. Das bedeutet, dass seine Eigentümerstruktur, seine Investoren, seine internen Kontrollmechanismen und seine finanziellen Anreize weitaus weniger routinemäßiger öffentlicher Kontrolle unterliegen als die eines börsennotierten Unternehmens. Es bedeutet jedoch nicht, dass Verbraucherschutzrecht, Verpflichtungen zur Kindersicherheit, Datenschutzrecht oder nationale Regulierungsbehörden keine Gültigkeit mehr haben. Wird eine Plattform nicht ausreichend überwacht, so ist dies ein Versagen der Aufsicht – und kein Freibrief, sie zu einem Ort zu machen, an dem Kinder sexuellen Inhalten, Glücksspielwerbung, Stalking und organisierter Belästigung ausgesetzt sind.

In Valves eigener Nutzungsvereinbarung heißt es, dass Steam nicht für Kinder unter 13 Jahren bestimmt ist. Dennoch verbleibt ein riesiges jugendliches Publikum auf derselben Plattform, auf der gewöhnliche Spiele neben expliziten Titeln für Erwachsene und Hentai-Titeln verkauft werden. Ein selbst angegebenes Geburtsdatum, eine Warnseite und Einstellungsfilter stellen keine aussagekräftige Altersüberprüfung dar. Das Problem ist nicht die Existenz von Erwachseneninhalten; das Problem besteht darin, diese auf einer massentauglichen Spieleplattform zu platzieren, die von Minderjährigen genutzt wird, und dann so zu tun, als würde eine oberflächliche Zugangsbeschränkung das Risiko beseitigen. Wenn Gabe Newell, die Geschäftsführung von Valve oder deren Support-Dienstleister eine Plattform für Erwachseneninhalte wünschen, sollten sie diese offen und separat betreiben, anstatt jeden Spielehersteller dazu zu zwingen, sich ein kommerzielles Regal mit ihr zu teilen.

Die Rechteinhaber sollten zudem erläutern, warum sie diese Nähe akzeptieren. Ein Familienspiel, ein Kindertitel oder eine Mainstream-Veröffentlichung kann nur eine Empfehlung oder ein Suchergebnis von explizitem Material entfernt sein, während Valve an beiden verdient. Publisher geben ein Vermögen aus, um ihre Marken zu schützen, scheinen jedoch bereit zu sein, zu ignorieren, was diese Marken innerhalb von Steam umgibt. Private Eigentumsverhältnisse machen dies nicht verantwortungsvoll, und Marktbeherrschung macht es nicht unvermeidbar.

Die Moderationsgrundsätze von Valve lassen sich im Vergleich zu seiner Reaktion auf die staatliche Zensur in Russland noch schwerer verteidigen. Im Jahr 2024 gab Roskomnadzor bekannt, dass Steam alle von der Behörde geforderten Inhalte entfernt habe und dass 11 Steam-URLs folglich aus dem russischen Register für verbotene Informationen gestrichen würden. Im Jahr 2025 entfernte Steam Inhalte von der Seite eines Spiels, das ausschließlich für Erwachsene bestimmt war, nachdem Roskomnadzor erneut eine Aufforderung bezüglich sogenannter LGBT-„Propaganda“ gestellt hatte. Das war politische Zensur, die sogar auf ein Werk ab 18 Jahren angewendet wurde – und kein Schutz eines Kindes, das eine Altersbeschränkung umgangen hatte. Valve kann sich zwar an eine russische Zensurliste halten, ist jedoch aus irgendeinem Grund hilflos, wenn es darum geht, Nutzer vor Beleidigungen aufgrund ihrer nationalen Herkunft, illegalen Glücksspielkanälen oder der aufdringlichen Darstellung von Erwachseneninhalten zu schützen. Das ist eine Frage der Prioritäten und wirft eine offensichtliche Frage zur Meinungsfreiheit auf.

Valve hat zudem keine öffentliche Stellungnahme des Unternehmens zur russischen Invasion in der Ukraine abgegeben, wie sie von den Unternehmen zu erwarten wäre, die ihren Betrieb eingestellt oder die Ukraine offen unterstützt haben. Die private Kapitalstruktur des Unternehmens erfordert keine Offenlegungspflichten gegenüber Investoren, wie sie von einem börsennotierten Unternehmen erwartet werden; daher können Außenstehende nicht vollständig nachvollziehen, wessen Interessen geschützt werden. Was jedoch deutlich wird, ist eine außergewöhnliche Bindung an einen Niedrigpreismarkt, der mit Betrug im industriellen Maßstab, Glücksspiel, Kontodiebstahl und Dienstleistungen zur Umgehung von Sanktionen in Verbindung steht. Vielleicht wird der Grund dafür klarer, sollte Steam jemals einer Identitätsanbindung an Gosuslugi zustimmen.

Die Geschichte rund um die Auslagerung folgt demselben Muster der Undurchsichtigkeit. Valve beauftragt Unternehmen, nicht die einzelnen Support-Mitarbeiter, die den Nutzern präsentiert werden. Laut einer Primärquelle und von PhishDestroy geprüften Unterlagen ist eine Person, die mit dem früheren Skandal um den Diebstahl hochwertiger Inventargegenstände in Verbindung stand, nicht aus dem kleinen Ökosystem der Support-Auftragnehmer verschwunden: Sie wechselte zu einer anderen Agentur. Später behauptete sie, nicht für Steam zu arbeiten und nicht gewusst zu haben, dass das Konto mit Steam verbunden war. Dennoch führte die Spur zurück nach Irland, zu derselben Person und erneut zu Steam. Dieser Fall sollte als Versagen im Bereich Outsourcing und Zugriffskontrolle untersucht werden; er wird hier nicht als strafrechtliches Urteil dargestellt. Valve sollte offenlegen, welche Agenturen Zugriff auf die Kontosysteme haben, wie Mitarbeiter bei einem Wechsel zwischen Anbietern erneut überprüft werden und ob eine Person, die von einem Auftragnehmer entfernt wurde, einfach über einen anderen wieder auftauchen kann.

Vietnam hat bereits gezeigt, dass Valves Status als Privatunternehmen das Unternehmen nicht über nationales Recht stellt. Steam wurde dort gesperrt, nachdem die Behörden erklärten, Valve habe nicht kooperiert. Vietnam existiert. Das EU-Recht existiert. Jede Rechtsordnung, in der Valve Gewinne erzielt, existiert – selbst wenn Valve so tut, als zählte nur „ein beliebiges Gericht in Russland“. Und wenn die Theorie lautet, dass Steam überall operieren darf, wo es will, unter welchen versteckten Vereinbarungen auch immer, ohne nennenswerte Rechenschaftspflicht, sollten wir vielleicht direkt die absurde Frage stellen: Gibt es auch ein spezielles Steam für Nordkorea, das bisher noch niemand offengelegt hat?

Es handelt sich um feststehende Tatsachen: Das Support-Team ist russisch, und dieses Support-Team hat wiederholt Informationen gestohlen oder an Dritte weitergegeben, um den Zugriff auf inaktive Konten wiederherzustellen und diese gewinnbringend zu missbrauchen.

Ich bin mir daher sicher, dass die Benachrichtigung über den Datenleck für sie absolut nichts bedeutet, insbesondere angesichts einer derart massiven Verzögerung (sie haben zu 100 % auf die Antwort von Taylor Wessing gewartet; es ist ein Wunder, dass sie nicht drei Wochen gewartet haben).

Ich habe so etwas noch nie zuvor getan, ich habe noch nie jemanden zu irgendetwas angestiftet oder provoziert, und ich möchte dies auch jetzt nicht tun. Doch genau das ist die Situation, die Steam anstrebt. Sie sind der Ansicht, dass offener Druck und Diskriminierung gegenüber EU-Nutzern völlig in Ordnung sind und dass Taylor Wessing einfach alles regeln wird, indem sie Menschen wegen DSGVO-Anfragen offen bedrohen. Das ist meine Meinung, meine Erfahrung und eine Information aus einer Primärquelle, auf die ich vertraue.

So oder so: Eine Beschwerde einzureichen, erfordert nur wenige Klicks. Vielleicht lernt Steam dann endlich, ausländische Gesetze zu respektieren – und nicht nur die Gesetze „eines beliebigen Gerichts in Russland“. Vielleicht hören sie endlich auf, sich dumm zu stellen und so zu tun, als seien sie völlig unfähig, Autorisierungsdomains für illegale Glücksspielseiten zu sperren. Anstelle der derzeitigen Realität: Alle stecken unter einer Decke – die russischen Eigentümer von Kinderkasinos und die Support-Mitarbeiter, die auf Lolzteam sitzen und darüber diskutieren, wie man sich per Brute-Force Zugang zu Konten verschafft.

PhishDestroy wird weiterhin beobachten, recherchieren und Missstände aufdecken. Die Schattenwirtschaft wird ans Licht gebracht.

Ich bin mir sicher, dass Sie bei der Kommunikation mit den Vertretern von Valve interessante Erfahrungen machen werden. Sollte es sich um Taylor Wessing handeln, ist es völlig normal, dass diese Sie herablassend behandeln, Drohungen aussprechen und Zeit schinden – das ist schließlich ihre Aufgabe. Im Allgemeinen sind sie vor allem für eine Klage wegen sexueller Belästigung gegen ihre eigene Kanzlei bekannt, und sonst nicht viel mehr. Ach ja, richtig: Unternehmen mit viel zu viel Geld beauftragen sie gezielt, um Sie zu zermürben, und zahlen ihnen dabei einen enormen Stundensatz.