Valve profitiert von über 70 Millionen gestohlenen Steam-Konten

Ein exklusiver Untersuchungsbericht von PhishDestroy Research

Wer ist PhishDestroy, dass es sich mit dem Unternehmensapparat von Valve anlegt? Woher stammen unsere Daten über ihre viel gepriesenen europäischen Anwälte – genau jene, deren Ruf durch interne Klagen wegen sexueller Belästigung befleckt wurde? Sie lieben es, mit ihrem Status und ihrer „jahrhundertelangen Geschichte“ zu prahlen, doch ihr Gedächtnis versagt praktischerweise, wenn es um die Ursprünge ihrer deutschen Niederlassung geht. Sie löschen aus ihrer Unternehmenschronik geflissentlich die Tatsache aus, dass der Gründer ihrer Kanzlei ein überzeugter Nazi und Mitglied von Hitlers Reichstag war – ein Rädchen in einem System, das schwule Menschen in Konzentrationslager schickte.

Aber genug von der Geschichte. Kehren wir zur fachlichen Realität zurück. Diese „Elite-Anwälte“ legen bei der Bearbeitung von DSGVO-Anfragen absolute Inkompetenz an den Tag – sie wissen schlichtweg nicht, wie man vertrauliche Informationen ordnungsgemäß aus Dokumenten schwärzt. Das ist kein Fehler eines Praktikanten. Dies ist ein direkter Beweis dafür, dass sie sich nie an Verfahren zur Datenoffenlegung gehalten haben und es vorziehen, Anfragen mit Drohungen und rechtlicher Einschüchterung abzuwehren.

1. Die Entstehung von PhishDestroy: Zerstörung der C2-Infrastruktur statt Bug-Bounties

Zwischen 2018 und 2021 erlebte das Steam-Ökosystem einen Boom an unkontrolliertem Spam. Der Name „PhishDestroy“ existierte damals noch nicht, aber wir waren es, die den Grundstein für die Betrugsbekämpfung innerhalb von Steam legten. Wir heften uns keine Medaillen an – wir haben einfach die Drecksarbeit erledigt, die das Unternehmen nicht machen wollte. Von unseren Anfängen bis heute zerstören wir die Infrastruktur von Betrügern im industriellen Maßstab.

Damals haben wir die Zahl unserer bestätigten Meldungen bei Netcraft [1] auf 5.000 bis 10.000 erhöht. Angesichts der Besonderheiten der Plattform lag die tatsächliche Anzahl der erstellten Meldungen mindestens zehnmal höher. Netcraft verlangte hieb- und stichfeste Beweise für Phishing. Warum? Weil Valve sich kategorisch weigerte, mit Sicherheitsanbietern oder Initiativen zur Betrugsbekämpfung zusammenzuarbeiten. Einige Meldungen verhallten einfach ungehört, bevor sie bearbeitet wurden. Hartnäckige Phishing-Kampagnen – insbesondere Ressourcen, die hinter aggressiven Cloaking-Maßnahmen verborgen waren – erforderten die Aufzeichnung von Videobeweisen und eine parallele Eskalation an die Missbrauchsabteilungen von Cloudflare [2].

Wir haben den Betrug erkannt und ihn zerschlagen. Nicht, um naive Nutzer zu retten. Wir haben Ressourcen ausschließlich mit dem Ziel gesperrt, den Phishern finanziellen und infrastrukturellen Schaden zuzufügen. Falls die Unternehmenswelt glaubt, wir hätten Betrügerserver nur wegen eines iPads aus dem „Reporter Prizes“-Programm von Netcraft [1] lahmgelegt – da irrt ihr euch. Wir waren schon immer eine streng nichtkommerzielle Organisation. Unsere prinzipielle Ablehnung von Spenden und Belohnungen ist eine Erklärung unserer Unabhängigkeit und unserer ausschließlichen Loyalität gegenüber dem Prozess der Zerstörung.

2. Komplizenschaft und Monetarisierung: Wie Valve vom Phishing profitiert

In jenen Jahren beruhte die „Sicherheit“ von Steam auf 50 Freiwilligen. Wir standen mit einem von ihnen in Kontakt – einem Weißrussen, der unter dem Spitznamen Colt bekannt war. Er war der Einzige, der versuchte, die bösartigen Links zu blockieren, die die Plattform überschwemmten. Das ideale Opfer: Kinder. Der ideale Komplize: Valve.

Das Unternehmen hat bei Phishing nicht nur ein Auge zugedrückt – es hatte ein finanzielles Interesse daran. Unsere Daten belegen direkt die Umsetzung algorithmischen Zynismus: Die Wahrscheinlichkeit, dass ein Betrüger-Bot gesperrt wird, hängt direkt vom Wert des gestohlenen Inventars ab. Seit 2021, nach der Einführung von Handelssperren, garantiert der Diebstahl eines Skins im Wert von 2.000 $ oder mehr eine fast 90-prozentige Wahrscheinlichkeit, dass das Konto des Betrügers gesperrt wird.

Doch hier ist das Detail, über das niemand spricht: Die Sperre kommt dem Opfer nicht zugute. Die Vermögenswerte auf dem gesperrten Konto werden eingefroren und fließen damit faktisch zurück in Valves Wirtschaftskreislauf. Das Unternehmen eignet sich unter dem Deckmantel der Betrugsbekämpfung unerwartete Gewinne an. Und das gilt nicht nur für CS – Betrug blüht auch in „Team Fortress“ und anderen Titeln, wo Sperren nur dank der Aktivität der Community und der gezielten Bemühungen einzelner Moderatoren aggressiver durchgesetzt werden.

3. Missbrauch der Geschäftslogik: Steam als digitaler Tatort

Wir haben das Recht, Valves Komplizenschaft in der Betrugsindustrie öffentlich zu analysieren, denn wir haben ihre marode Architektur von innen gesehen. Zu Beginn unserer Arbeit haben wir versucht, mit dem Support in Kontakt zu treten. Wir haben Tickets erstellt und Domains angehängt, die direkt zu Phishing-Landingpages führten. Wisst ihr, was der russischsprachige, ausgelagerte Support geantwortet hat?

„Es ist uns untersagt, Links zu verfolgen. Wenn Sie erneut einen Link senden, werden wir Ihr Konto sperren.“

Das ist keine Sicherheitsrichtlinie. Das ist Vertuschung von Beweismitteln.

Die überwiegende Mehrheit der Phishing-Angriffe wurde innerhalb der Plattform selbst verbreitet. Steam ist ein geschlossenes Ökosystem, ideal für den Missbrauch von Geschäftslogik. Die Nutzer mussten nicht einmal den Client verlassen. Die Angreifer nutzten den integrierten Browser im Big-Picture-Modus. Die Angriffsvektoren waren primitiv, aber effektiv: persönliche Nachrichten, Kommentare, infizierte Benutzernamen, die nicht eindeutigen Spam enthielten, etwa nach dem Motto „Hallo Bro, mach mit beim Giveaway, kostenloses Messer, Link, benutze den Code GABEN.“

Der Steam-Client selbst hat das Phishing verbreitet, selbst das Konto kompromittiert und selbst den Diebstahl von Skins ermöglicht. Das Unternehmen hat ein Tool geschaffen, das seine Nutzer verschlungen hat, und sich geweigert, es zu kontrollieren.

4. Milliarden für 79 Menschen: Die Anatomie der Gier von Valve

Das Ausmaß dieses Gewinns und der Grad des unternehmerischen Zynismus wurden erst nach dem massiven Datenleck von 2024 [3] deutlich.

Die Dokumente enthüllten eine schockierende Wahrheit: Im Jahr 2021 beschäftigte das gesamte Unternehmen genau 336 Mitarbeiter [3]. Und direkt an der Steam-Plattform – einem globalen Monopol, das Milliarden von Dollar an Umsatz generiert – arbeiteten lediglich 79 Personen [3]. Valve spart nicht nur beim Personal. Interne Dokumente zeigen, dass das Unternehmen damit prahlt, dass sein Gewinn pro Mitarbeiter den von Google, Amazon und Microsoft übersteigt.

Diese Zahlen sind nicht nur ein Geschäftsargument. Sie sind der mathematische Beweis für eine absolute Missachtung der Sicherheit. Eine Plattform, die Hunderte Millionen Nutzer bedient, kann mit 79 Mitarbeitern physisch unmöglich Schutz gewährleisten.

5. Lolzteam und die Schattenwirtschaft gestohlener Profile

Valves Märchen lautet wie folgt: „Es ist die eigene Schuld des Nutzers, wenn er gehackt wurde.“ Die Realität sieht anders aus: Valve hat die Betrugsinfrastruktur selbst geschaffen, sie nie bekämpft und unterhält bewusst eine riesige Schattenwirtschaft, die sich in erster Linie an die GUS-Staaten und China richtet. Der Grund ist einfach – Nutzerbindung, Ausgleich für Piraterie und der Verkauf gestohlener Vermögenswerte.

Werfen wir einen Blick auf die Schwarzmarktzahlen, die Valve nicht sehen will. Die Plattform LZT Market (Lolzteam) ist das Epizentrum für den Verkauf gestohlener Konten. Sehen wir uns eine Echtzeit-Übersicht der Angebote an: Derzeit sind auf dem Markt 578.465 Steam-Konten gelistet [4]. Davon:

Der geschätzte Mindestschaden allein durch Konten ohne Ausgabenlimit beläuft sich zum jetzigen Zeitpunkt auf über 630.000 $. Die tatsächliche Transaktionssumme ist jedoch um ein Vielfaches höher.

Und hier taucht eine gewisse Person namens Nikita auf – jemand, der angeblich viele Jahre lang den ausgelagerten russischsprachigen Steam-Support (der nicht mit der irischen Niederlassung verbunden ist) beaufsichtigt hat. Sein Konto war direkt auf der Lolzteam-Plattform registriert. Warum? Um große Bestände zu überwachen und zu sperren? Um Analysedaten zu sammeln?

Selbst wenn dem so wäre, erfordert das Sperren gestohlener Profile keine Registrierung in Schattenforen. Der LZT Market nutzt eine öffentliche API. Valve kann die massenhaften, identischen Anfragen deutlich erkennen: Passwortänderungen, E-Mail-Entkopplungen, automatisierte Bestandsprüfer und Konto-Validatoren. All diese stammen von den IP-Adressen bekannter Proxy-Farmen.

Das Verhaltensmuster eines gestohlenen Kontos, das auf dem Marktplatz angeboten wird, leuchtet in den Protokollen von Valve wie ein Weihnachtsbaum. Doch das Unternehmen schaut lieber weg.

6. Ausmaß der Katastrophe: Dutzende Millionen Dollar unter dem Tisch

Valve veröffentlicht keine Berichte über Schwarzmärkte, doch die Zahlen sprechen eine deutliche Sprache. Item-IDs auf dem LZT-Markt (z. B. item_id 252853378 [4]) zeigen, dass über 250 Millionen Lose die Plattform durchlaufen haben. Davon entfielen in der Vergangenheit 30–40 % auf die Kategorie „Steam“.

Das bedeutet, dass im Laufe der Geschichte der Plattform zwischen 75 und 100 Millionen Steam-Konten über sie gehandelt wurden. Dasselbe gestohlene Profil kann dutzende Male weiterverkauft werden und so eine endlose Kette von Transaktionen erzeugen, bis es dauerhaft gesperrt wird.

Jeden Tag werden in der Kategorie „Steam“ konservativ geschätzt rund 25.000 Transaktionen durchgeführt – von billigen automatischen Registrierungen bis hin zu hochwertigen, durch Phishing erbeuteten Konten. Bei einem durchschnittlichen Transaktionspreis von 150–200 Rubel generiert allein diese Kategorie einen täglichen Umsatz zwischen 3,5 und 5 Millionen Rubel. Das jährliche Volumen des Schattenmarktes rund um Steam erreicht allein auf dieser einen Plattform mehrere zehn Millionen Dollar. Der Markt behält seine Provision (8–9 %), die Betrüger erzielen unerwartete Gewinne und die Nutzer verlieren Geld.

Und was unternimmt Valve? Valve zählt die Gewinne seiner 79 Mitarbeiter und tut weiterhin so, als würde nichts geschehen.

7. Die Legalisierung von Diebstahl und der Steam-Krypto-Waschsalon

Schaut euch das Ökosystem an, das sie nicht anerkennen wollen. Die Infrastruktur für den Verkauf gestohlener Konten auf Lolzteam versteckt sich nicht im Dark Web. Sie akzeptiert offen Zahlungen über Krypto-Bots (Telegram, Binance [28], Bybit [28], Gate [28]), russische Bankkarten und sogar PIX oder Alipay. Bei jeder Transaktion wird eine Provision erhoben. Eine riesige Menge vertraulicher Daten, darunter Korrespondenz und persönliche Informationen von US-amerikanischen und europäischen Bürgern, fließt durch diese Kanäle.

Und was unternimmt Steam? Sie versenden eine E-Mail über eine Änderung der Anmeldedaten. Wenn einem Kind (das die Hauptzielgruppe der Cheat-Industrie in CS:GO und PUBG ist) ein Konto gestohlen wird, sieht die Plattform einfach tatenlos zu, wie das Profil mit einem dauerhaften VAC-Bann belegt wird. Valve verfügt über alle technischen Telemetriedaten: Das Unternehmen erkennt Muster bei IP-Adressen, Hardware und Veränderungen der Verhaltensmetriken. Es könnte den Diebstahl in Echtzeit verhindern. Doch nichts zu unternehmen und darauf zu warten, dass das Opfer ein neues Konto erstellt und die Spiele erneut kauft – das ist kein Zufall; es handelt sich um ein genehmigtes Geschäftsmodell.

Übrigens ist der Schwarzmarkt selbst längst kein „Club unabhängiger Hacker“ mehr. Das Forum, auf dem diese Infrastruktur basiert, wird faktisch von Strukturen kontrolliert, die der russischen Regierung nahestehen, mit denen Steam offenbar recht gut koexistiert. Fünf Beschlüsse von Roskomnadzor [23] zur Sperrung der Ressource wurden in einem undurchsichtigen Rechtsfeld erfolgreich ignoriert oder angefochten – ziehen Sie Ihre eigenen Schlussfolgerungen.

8. Die Ökonomie der Katastrophe: Steam als Fundament des Schwarzmarkts

Man könnte sagen, dass auf solchen Märkten nicht nur Steam-Konten verkauft werden. Das stimmt – auch Profile von World of Tanks (~340.000), Fortnite (~140.000), TikTok und Discord werden dort gehandelt. Aber Steam ist historisch gesehen das Fundament und der Haupttreiber dieser Branche. Valves Bestände und Konten schaffen Nachfrage nach Infostealern. Hätte Steam strenge Maßnahmen gegen Diebstahl umgesetzt, wäre die Entwicklung von Stealern wirtschaftlich einfach unrentabel geworden.

Ein wichtiges Detail: Konten, die ausschließlich über SSFN-Dateien gestohlen wurden, werden so gut wie nie auf dem Markt angeboten. Mobile Authentifikatoren erschweren die vollständige Übernahme eines Kontos. SSFN-Dateien verschaffen Angreifern jedoch eine aktive Sitzung, eine Kontaktliste und die Möglichkeit, massenhaft Phishing-Mails zu versenden oder sich in Botnetze zu integrieren. Und wenn das Konto wirklich wertvoll ist, kommt der ausgelagerte Support von Steam ins Spiel. Betrüger erstellen gefälschte Aktivierungsschlüssel, schreiben an den Support, und inkompetente (oder bestochene) Mitarbeiter übertragen das teure Inventar auf eine neue Adresse. Dies führte zur Entstehung einer ganzen Kategorie von „wiederhergestellten Konten“ – Profile, die Valves ausgelagerter Support effektiv gestohlen und für Kriminelle „gewaschen“ hat.

9. Der Mythos der Duplizierung und der verdeckten Beschlagnahmung von Vermögenswerten

Steam versteckt sich gerne hinter dem Kampf gegen „Duping“ (das Duplizieren von Gegenständen), um die Weigerung zu rechtfertigen, gestohlene Gegenstände zurückzugeben. Das ist eine dreiste Lüge. Die Ära des „Dupings“ endete 2014. Mit der Einführung der 7-tägigen Handelssperre im Dezember 2015 [14] (und ihrer anschließenden Verschärfung) wurde der Ablauf des Diebstahls vollständig linear: Opfer -> Bot des Betrügers (7-tägige Sperre) -> Schwarzmarkt.

Wo liegt hier das „Duping“? Wenn ein Betrüger ein Opfer getäuscht und einen seltenen Skin an sich genommen hat, befindet sich dieser beim Bot. Valve sperrt diesen Bot. Und was dann? Der Gegenstand kehrt nicht zum Opfer zurück. Er ist dauerhaft im Inventar des gesperrten Bots eingefroren. Valve nimmt den Gegenstand aus dem Umlauf und schafft so eine künstliche Knappheit an seltenen Gegenständen, was die Preise auf dem Marktplatz direkt in die Höhe treibt und die Provisionserlöse des Unternehmens steigert.

Das ist keine Gerechtigkeit. Das ist eine verdeckte Beschlagnahmung. In Finanzsystemen (wie beispielsweise solchen, die mit USDT arbeiten) werden gesperrte Gelder über einen Rückbuchungsmechanismus an den rechtmäßigen Eigentümer zurückgegeben. Steam weiß ganz genau, wie eine Rückbuchung funktioniert, wenn es darum geht, das eigene Guthaben mit zweifelhaften Karten aufzuladen – solche Transaktionen werden sofort blockiert. Wenn einem Nutzer jedoch ein Gegenstand im Wert von 5.000 Dollar gestohlen wird, wäscht Steam seine Hände in Unschuld. Sie schließen Support-Tickets, drohen mit der Löschung des Kontos und weigern sich, die einzelne betrügerische Transaktion rückgängig zu machen, was beweist, dass ihr vorrangiges Ziel darin besteht, sich den Gegenstand anzueignen.

10. Eine Brutstätte für weltweite Betrugsmaschen

PhishDestroy verfolgt Betrugsfälle seit 2018. Wir kennen die inneren Abläufe. Steam ist zur wichtigsten Brutstätte für Cyberkriminelle geworden. Jugendliche im Alter von 14 bis 19 Jahren, die mit primitiven Brute-Force-Angriffen und der Verbreitung von Stealern über gefälschte TeamSpeak-Server angefangen haben, sind mittlerweile erwachsen geworden. Heute nutzen dieselben Personen die von ihnen verfeinerten Techniken, um die Web3-Branche (Uniswap) [26] und Unternehmensnetzwerke anzugreifen.

Valve hat diese Generation großgezogen. Ihre Weigerung zu bestrafen, ihre Blindheit und ihre Gier haben minderjährigen Betrügern gezeigt, dass Stehlen sicher ist. Und der russischsprachige Outsourcing-Dienst, der sich als Richter aufspielt und ohne Erklärung dauerhafte Sperren verhängt (wobei er sich hinter der Geheimhaltung der VAC-Algorithmen versteckt), verstärkt diese Straffreiheit nur noch.

11. Beweis für bequeme Blindheit

Es gibt eine unwiderlegbare Tatsache, die beweist, dass Valve Schwarzmärkte bewusst gedeckt hat. Jahrelang – wir betonen: jahrelang – wurden direkte, offene Links zu gestohlenen Steam-Profilen auf den Seiten von Schattenmärkten veröffentlicht. Valve hätte keine komplexen Ermittlungen benötigt. Ein zehnzeiliges Skript hätte die Datenbank des Marktes einmal pro Minute durchsuchen und kompromittierte Konten bis zur Überprüfung durch den rechtmäßigen Eigentümer mit einem „Red Tag“ (KT) versehen können.

Dies geschah nicht. Millionen von Transaktionen fanden unter dem Deckmantel der „bequemen Blindheit“ statt. Erst seit Kurzem haben die Märkte damit begonnen, Daten über Proxys (via „Steam-Preview“) weiterzuleiten, um Profile vor unabhängigen Forschern zu verbergen und Datenschutzeinstellungen zu umgehen. Doch die Geschichte vergisst nichts. Valve hätte diesen Markt mit einem einzigen Klick zerstören können. Stattdessen entschied man sich dafür, die Sahne abzuschöpfen.

12. Digitale Fingerabdrücke: Warum das Proxying von Märkten Valve nicht rettet

Der neueste Abwehrmechanismus der Schattenmärkte – das Umleiten von Links über Steam-Preview – wird von Valve als weitere bequeme Ausrede für ihre Untätigkeit genutzt. Das Unternehmen gibt vor, es sei nun „schwieriger“ für sie, gestohlene Profile zu identifizieren. Das ist eine absolute Lüge. Für die Sicherheitssysteme von Valve bleibt ein zum Verkauf angebotenes Konto so transparent wie Glas.

Identifizierung über den digitalen Fingerabdruck: Der Preview-Dump des Marktes veröffentlicht offen die genauen Kaufdaten und -beträge (zum Beispiel -2,85 EUR vom 15. Juni 2026), das genaue Registrierungsdatum und den Kontostand. In der Datenbank von Valve gibt es physisch keine zwei Konten mit identischem Transaktionsverlauf. Eine einfache SQL-Abfrage seitens des Supports lokalisiert dieses Profil in Millisekunden, selbst wenn ein direkter Link dazu hinter einem Proxy verborgen ist.

API-Anomalien und Abfangmuster: Um eine Vorschau zu generieren, fragt der Checker des Schattenmarktes die Steam-API ab. Auf dem Konto selbst wird in diesem Moment eine charakteristische Kettenreaktion ausgelöst: E-Mail-Änderung, Passwortzurücksetzung, erneute Verknüpfung mit Steam Guard und eine gleichzeitige Anfrage zur Bestandsbewertung – alles innerhalb weniger Minuten. All dies geschieht über die IP-Adressen bekannter Proxy-Farmen.

13. Die Entwicklung der Abfangtechniken: Von SSFN über „Pass-the-Cookie“ bis hin zu JWT

Das schwerwiegendste Vergehen von Valve ist nicht der Diebstahl von Skins. Es ist die bewusste Begünstigung der Verbreitung von Schadsoftware und die Finanzierung globaler Botnetze durch Schwachstellen in der eigenen Architektur.

Lange Zeit waren SSFN-Dateien [27] der primäre Vektor für das Abfangen von Sitzungen. Heute ist die Branche weiter fortgeschritten: Die Angriffe konzentrieren sich nun auf das Entführen von Web-Sitzungs-Cookies und JWT-Tokens (JSON Web Tokens) [21]. Die Architektur der Betrugsmaschen ist intelligenter geworden – Angreifer haben gelernt, diese Token lokal zu validieren, ohne direkte Anfragen an die Server von Steam zu stellen, wodurch solche Angriffe für die primitiven Betrugsbekämpfungssysteme von Valve unsichtbar bleiben, vorausgesetzt, diese Systeme sind nicht für eine strenge Überwachung konfiguriert (was nicht der Fall ist).

Die technische Vorgehensweise funktioniert wie folgt:

Schritt 1. Vertrauensinfrastruktur als kostenlose Fertigungsstraße: Da ein einzelnes gestohlenes Token oft nicht ausreicht, um ein geschütztes Konto vollständig zu entsperren, schöpfen Angreifer eine andere Ressource aus der erlangten Sitzung ab – Vertrauen. Ein Skript verschafft sich Zugriff auf die Chats des Opfers und versendet Phishing-Links oder Viren-Installationsprogramme an die gesamte Kontaktliste. Steam stellt Hackern großzügigerweise seine interne P2P-Infrastruktur als perfekte, kostenlose Plattform für die exponentielle Ausbreitung von Botnetzen zur Verfügung.

Schritt 2. Kriminelle Fahrlässigkeit (Ignorieren von UEBA): Ob es sich nun um ein veraltetes, an bestimmte Hardware gebundenes SSFN oder um moderne Sitzungs-Cookies handelt – Steam erkennt 100 % der Anomalien. Wenn ein Token, das rechtmäßig für einen PC beispielsweise in Moskau ausgestellt wurde, plötzlich Aktivitäten von einem deutschen dedizierten Server aus initiiert, würde jedes normale Unternehmen (nehmen wir zum Beispiel Google) die Sitzung sofort beenden und einen roten Alarm auslösen: „Sitzung kompromittiert. Ihr PC ist mit einem Infostealer infiziert.“ Steam tut dies nicht. Sie lassen zu, dass der Bot die gesamte Freundesliste durchforstet und Hunderte neuer Rechner infiziert.

Schritt 3. Globaler Schaden (Unternehmenszusammenbruch): Hier liegt die Hauptbedrohung für das gesamte Internet. Da Steam den Nutzer nicht über das Abfangen der Sitzung benachrichtigt, sitzt die Person weiterhin an ihrem kompromittierten Computer. Wäre eine Warnung eingegangen, würde sie das Betriebssystem sofort löschen. Doch Steam schweigt. Dieselbe Person meldet sich auf demselben infizierten PC weiterhin bei ihrem Unternehmens-VPN, ihrem geschäftlichen E-Mail-Konto und ihren Krypto-Wallets an.

Indem Steam Anomalien bei der Sitzungsübernahme ignoriert, ermöglicht es nicht nur den Diebstahl von Pixeln im Spiel. Es verschweigt dem Nutzer die Tatsache, dass ein Infostealer auf seinem System läuft. Diese Unternehmensblindheit führt direkt zu massiven Datenlecks und Kompromittierungen der Infrastruktur, wobei sich die Schäden auf Millionen von Dollar belaufen.

Schritt 4. Die Lüge aufdecken: Die Daten der Anwälte

Valve versteckt sich häufig hinter der Behauptung, dass sie angeblich „keine technischen Möglichkeiten“ hätten, komplexe Diebstahlsketten nachzuverfolgen, oder dass „der Nutzer selbst schuld“ an der Kompromittierung sei. Doch der Fall der unsachgemäß geschwärzten Dokumente ihrer europäischen Anwälte (Taylor Wessing) [9], den wir aufgedeckt haben, beweist das Gegenteil.

In den ungeschwärzten Daten zu DSGVO-Anfragen [10] konnten wir eindeutig erkennen: Valve protokolliert absolut alles. Sie sammeln detaillierte Telemetriedaten zu Hardware, IP-Adressen, Gerätewechselhistorien und Verhaltensmustern. Sie wissen genau, wann ein Konto gekapert wird. Sie erkennen, wenn Infostealer und Spam-Software ausgeführt werden. Sie verfügen über alle Tools zur automatischen Sperrung und zur Vergabe eines „Red Tag“. Ihre Untätigkeit ist eine bewusste unternehmerische Entscheidung.

Schritt 5. Wahre Motive: Warum dies Valve zugutekommt

Hinter der Lüge von der „technischen Unmöglichkeit“ verbirgt sich eine kalte wirtschaftliche Kalkulation.

Optimierung der Supportkosten durch Skripte: Das Blockieren einer verdächtigen Sitzung bedeutet, ein Ticket von einem Nutzer zu erhalten, das bearbeitet werden muss. Es ist profitabler, den Vorfall einfach zu ignorieren. Steam stützt sich auf primitive Skriptlogik, die Betrüger genau kennen und ausnutzen. Russischsprachige Support-Mitarbeiter lesen diese Algorithmen wahrscheinlich, aber nicht, um Schwachstellen zu beheben. Die Vergabe eines „Red Tag“ erfordert keinen Arbeitsaufwand, wenn der Algorithmus richtig konfiguriert ist. Früher konnte ein „Red Tag“ automatisch entfernt werden, indem man über ein VPN die Wiederherstellung von einer neuen IP-Adresse vortäuschte. Jetzt werden die Bearbeitungszeiten für Tickets absichtlich in die Länge gezogen, um Nutzer davon abzuhalten, den Support überhaupt zu kontaktieren. Und die Möglichkeit eines Support-Mitarbeiters, ein ungelöstes Ticket einseitig zu schließen, ist der Gipfel des unternehmerischen Zynismus.

Der Geldkreislauf: Ein gekapertes Konto, das seine Freundesliste mit Spam überflutet hat, erhält schließlich eine VAC-Sperre oder eine Community-Sperre. Das Opfer (oder seine getäuschten Kontakte) registriert ein neues Konto und kauft dieselben Spiele erneut. Das Unternehmen erzielt so doppelte Einnahmen mit einem einzigen Nutzer.

Symbiose mit dem Schwarzmarkt: Je mehr Konten gestohlen werden, desto schneller drehen sich die Räder von LZT Market und anderen Hacker-Börsen. Diese Schattenaktivitäten sorgen paradoxerweise dafür, dass ein riesiges Publikum aktiv bleibt (vor allem in Regionen, in denen die Cheat-Industrie floriert). Und jede nachfolgende Transaktion mit gestohlenen Skins bringt Valve weiterhin seinen rechtmäßigen Provisionsanteil ein.

14. Handel mit Leben: Was Steam tatsächlich für 2 Dollar verkauft

Valve behauptet, Wert auf Datenschutz zu legen. Doch was erhält ein Angreifer, der ein gekapertes Profil auf dem Markt für ein paar Dollar gekauft hat, tatsächlich? Steam zeigt ihm zwar nicht die vollständige Kreditkartennummer an, übergibt ihm aber etwas, das für Social Engineering weitaus wertvoller ist.

Mit einer aktiven Sitzung (SSFN, Cookies oder JWT) kann ein Hacker mit wenigen Klicks die gespeicherte Rechnungsadresse abrufen – den echten Vornamen, Nachnamen, den Wohnort und die Postleitzahl des Opfers. Über das integrierte Datenpanel von Steam erhält er Zugriff auf den IP-Adressverlauf und Verknüpfungen zu anderen Plattformen (Twitch, Xbox). Und wenn man den Verlauf der Support-Tickets durchsieht, findet man Archive mit ungeschwärzten Bankbelegen und Fotos von Aktivierungsschlüsseln von physischen Discs, die Nutzer zur Verifizierung eingesendet haben.

Am alarmierendsten sind jedoch die Chat-Protokolle. Wir sehen, wie Valve seit Jahren sorgfältig unverschlüsselte Archive persönlicher Korrespondenz speichert. In diesen Archiven hinterlassen Teenager Links zu ihren echten Social-Media-Konten, teilen ihre Probleme mit, senden Passwörter für lokale Server und ihre privaten IP-Adressen. Indem Steam sich weigert, gekaperte Sitzungen sofort zurückzusetzen, und Indefenstealer deckt, stellt das Unternehmen die Lebensgeschichten und die digitale Sicherheit seiner Nutzer praktisch in den Schaufenstern der Schattenmärkte zur Schau.

15. „Effizienz“, aufgebaut auf den Tränen von Kindern: Das Geschäftsmodell der totalen Gleichgültigkeit

Valve prahlt gerne mit seinen Finanzzahlen: Hunderte Millionen Dollar Gewinn pro zwei Dutzend Store-Mitarbeiter. In den Augen der Tech-Branche erscheint Gabe Newell oft als Genie der Optimierung. Aber lassen wir die rosarote Brille beiseite und nennen die Dinge beim Namen: Diese „Effizienz“ wurde um den Preis einer absoluten, zynischen Weigerung erkauft, die Sicherheit der eigenen Nutzer zu gewährleisten.

Im Gegensatz zu börsennotierten Unternehmen (wie Roblox oder Tencent), deren Marktkapitalisierung beim geringsten Skandal rund um Kindersicherheit oder Datenschutzverletzungen sofort einbricht, ist das privat geführte Unternehmen Valve niemandem Rechenschaft schuldig. Es hat keinen Vorstand. Es muss keine institutionellen Investoren beruhigen. Sie haben eine ideale Gelddruckmaschine geschaffen, bei der sich der Verzicht auf Ausgaben für die Abteilungen „Trust & Safety“ und Betrugsbekämpfung direkt in persönliche Milliardengewinne für das Management umwandelt.

Der Preis dieser „Hyperoptimierung“ sind Millionen gekaperter Konten, im Internet veröffentlichte persönliche Korrespondenz von Teenagern, ein florierender Schwarzmarkt und völlige Straffreiheit für Betrüger. Valve „übersieht“ Betrüger nicht bloß. Es ist für das Unternehmen wirtschaftlich vorteilhaft, nichts dagegen zu unternehmen.

16. Steam-API: Ein Unternehmens-Toolkit für Hacker

Lassen Sie uns Valves Lüge über ihre angebliche Unfähigkeit, Diebstahl zu kontrollieren, genauer unter die Lupe nehmen. Wenn sie wollten, könnte jeder Support-Mitarbeiter auf einen Schwarzmarkt gehen, einen Link zu einem dort angebotenen Steam-Konto nehmen und in den eigenen Server-Logs nachsehen, welcher API-Schlüssel genau und von welcher IP-Adresse aus gerade das Inventar dieses Profils auswertet, um einen Dump im Forum zu generieren.

Valve würde ein Netzwerk aus Proxys und Hunderten von API-Schlüsseln erkennen. Die meisten davon stammen wahrscheinlich von zuvor gestohlenen Konten. Was sollte das Unternehmen tun? Die kompromittierten Schlüssel widerrufen. Aber Steam tut dies nicht. Warum? Möglicherweise, weil sie befürchten, „legitime“ Dienste ins Netz zu ziehen – Roulette-Seiten, illegale Casinos zum Öffnen von Kisten oder Marktplätze von Drittanbietern, auf denen Pixel ohne AML-Verfahren gegen Kryptowährung getauscht werden. Dieses gesamte Ökosystem existiert in einer Grauzone, generiert massiven Datenverkehr und wird dabei nicht besteuert. Und Valve hat damit keinerlei Problem.

Die Nutzungsbedingungen von Steam verbieten ausdrücklich jegliche Automatisierung. Da stellt sich die berechtigte Frage: Warum enthält die offizielle Steam-API Funktionen, die sich ideal für die automatisierte Übernahme von Konten (was Millisekunden dauert) oder die Massenverknüpfung von mobilen Authentifikatoren eignen?

Warum erlaubt Steam, dass virtuelle (VoIP-)Nummern von SMS-Aktivierungsdiensten massenhaft mit Konten verknüpft werden? Die Lösung zum Herausfiltern solcher Nummern ist trivial – standardmäßige HLR-Abfragen, wie sie von jedem normalen Dienst verwendet werden. Aber Steam tut dies nicht. Vielleicht sind Bot-Farmen für sie von Vorteil, um die beeindruckenden „Online-Rekord“-Zahlen zu erreichen, mit denen sie so gerne prahlen?

Wenn ein Nutzer wegen Betrugs eine VAC-Sperre [15] erhält, betrifft diese Sperre alle Konten, die mit derselben Telefonnummer verknüpft sind. Wenn jedoch Hunderte von Konten aus einem bestimmten Pool von VoIP-Nummern gekapert werden, sperrt Valve diese Nummern nicht. Jeder normale Dienst (Telegram, Netflix, Apple, Google) blockiert unerwünschte oder kompromittierte Telefonnummern. Doch für Valve ist Sicherheit ein leeres Wort.

17. Vorsätzliche Blindheit: Ein rechtlicher Schutzschild aus Heuchelei

Valve hat ein Ökosystem geschaffen, in dem der Verstoß gegen die Regeln (Automatisierung, VPN-Nutzung, Farming, Bot-Betrieb) eine Grundvoraussetzung für das Überleben der Plattform ist. Sie liefern Hackern ein perfektes Werkzeugset (offene API), drücken bei virtuellen Nummern ein Auge zu, halten aber in den Nutzungsbedingungen sorgfältig an einem strikten Verbot all dessen fest.

Das ist keine bloße Nachlässigkeit. Das ist absichtliche Blindheit (Willful Blindness / Deliberate Ignorance), die als perfekter rechtlicher Schutzschild konstruiert ist. Wenn eine Aufsichtsbehörde zu Valve kommt, werden Anwälte wie Taylor Wessing [9] die Nutzungsbedingungen vorzeigen: „Seht her, wir verbieten alles!“ Und wenn ein ausgeraubter Teenager zu ihnen kommt, nutzen sie dieselben Nutzungsbedingungen, um ihm rechtlich Hilfe zu verweigern und Zeit für eine Untersuchung zu sparen.

18. Die Symbiose aus Geheimdiensten, Steam und Hacker-Märkten

Kehren wir zum LZT-Markt zurück. Wir haben bereits festgestellt, dass Steam sich überhaupt nicht um diese Plattform schert. Aber ein weiterer Aspekt ist interessant. Im Laufe seines Bestehens hat dieses Schattenforum mindestens drei Führungswechsel überstanden, die nach indirekten (aber sehr offensichtlichen) Anzeichen mit der Neuverteilung von Einflusssphären unter bestimmten Machtkreisen in der Russischen Föderation zusammenhängen.

In Zeiten von Führungswechseln (zum Beispiel während der Ära des Administrators Thomas) kam es im Forum zu radikalen Säuberungsaktionen. Betrugsmaschen, die sich gegen russische Einwohner richteten, wurden verboten (Avito-Betrug, Anti-Cinema), das Veröffentlichen intimer Fotos von Minderjährigen zusammen mit persönlichen Daten wurde streng unterbunden, der Verkauf von VKontakte-Konten wurde vollständig unterbunden, und derzeit ist der Verkauf von Telegram-Konten, die mit russischen Rufnummern registriert sind, verboten. Das Forum wird offensichtlich so moderiert, dass kritische Äußerungen gegenüber russischen Bürgern vermieden werden.

Bei Steam sieht die Situation jedoch anders aus. Auf dem Markt werden nach wie vor ungehindert Steam-Konten verkauft, die russischen Bürgern gehören, deren Konten durch Stealer infiziert wurden. In der Angebotsbeschreibung heißt es ausdrücklich: Herkunft – Stealer, Land – Russland, Guthaben – in Rubel. Das bedeutet, dass sich ein russischer Nutzer einen Virus eingefangen hat, der nicht nur sein Steam-Konto, sondern höchstwahrscheinlich auch seine E-Mail-Konten und Zugangsdaten für den Arbeitsplatz leergeräumt hat. Und das Forum lässt dies ohne Probleme durch.

Da stellt sich die Frage: Arbeitet Steam mit denselben Strukturen zusammen, die diesen Markt überwachen? Oder könnte Valve vielleicht seine „Partner“ in Russland dazu bewegen, die Doppelmoral zu beenden und den Verkauf gestohlener Konten russischer Staatsbürger zu verbieten? Denn derzeit arbeiten Steam und der Schwarzmarkt in perfekter Symbiose zusammen, als hätten sie sich gegenseitig ihre Politik der Doppelmoral und Heuchelei abgeschaut.

19. Die Anatomie des Betrugs: Von gefälschten Windows-Fenstern bis zu 300.000 US-Dollar Nettogewinn über Google Ads

In den letzten 5–8 Jahren hat PhishDestroy praktisch jedes Betrugsmodell im Steam-Ökosystem unter die Lupe genommen. Wir haben Infostealer gesehen, die Authentifizierungsfenster im Handumdrehen ersetzten, SMS-Nachrichten abfingen und Inventare leergeräumt haben. Wir haben die Mechanismen der Substitution von Handelsangeboten (API-Betrug) beobachtet, die von Valve jahrelang „unbemerkt“ blieben. Unbemerkt – oder zu profitabel?

Wir haben die Bots der größten Phishing-Netzwerke kontinuierlich analysiert. Hier ein Beispiel: Im Jahr 2024 verzeichneten wir einen massiven Ansturm über Google Ads [29]. Betrüger ersetzten die in den Anzeigen angezeigte URL durch die originalen Steam-Domains. Die Kaufaktivitäten waren so aggressiv, dass sie die offiziellen Anzeigen überboten und die obersten Suchergebnisse monopolisierten.

Nach unseren Berechnungen belief sich der Nettogewinn der Betrüger in nur wenigen Tagen ununterbrochenen Betriebs auf etwa 300.000 US-Dollar. Und dabei sind der Preisnachlass beim Verkauf gestohlener Skins auf Schattenmärkten sowie die geringfügigen, rein kosmetischen Sperren, die Steam gelegentlich verhängte, bereits berücksichtigt. Ja, das sind Spitzenwerte, die durch die wirtschaftlichen Gegebenheiten jener Zeit bedingt waren, aber die Tatsache bleibt: Steam ist ein riesiger Futtertrog.

Und während sich Phishing fast ausschließlich auf CS und Dota (und nicht auf andere Spiele) konzentriert, sollten Rocket League, Path of Exile, Rust und PUBG nicht vergessen werden. Doch hier kommt Valves unternehmerische Erpressung ins Spiel: strenge NDA-Bedingungen (Non-Disclosure Agreement – Geheimhaltungsvereinbarung), die alle Entwickler unterzeichnen müssen. Einem Entwickler ist es nicht gestattet, Sicherheitsprobleme, Datenlecks oder Schwachstellen bei Steam ohne die schriftliche Genehmigung von Valve öffentlich bekannt zu geben. Selbst wenn dies eine direkte Gefahr für seine Spieler darstellt. Die Münder sind vertraglich verschlossen.

20. Der Fall „BlockBlasters“: Ein Monat der Blindheit und die Lüge vom „gehackten Entwickler“

Im Fall „BlockBlasters“ geht es nicht darum, Pixel-Diebstahl zu ignorieren – es geht darum, tatsächliche Straftaten zu vertuschen.

Erinnern wir uns an den jüngsten Vorfall mit dem Spiel „BlockBlasters“ [5], der erst dank des verstorbenen Streamers Raivo Plavnieks [6] öffentliche Aufmerksamkeit erlangte. Dabei handelte es sich um einen gezielten Angriff auf Influencer: Betrüger kontaktierten Streamer, kauften Werbeanzeigen und baten sie, das Spiel direkt über Steam zu starten. Die Logik der Opfer war nachvollziehbar und verhängnisvoll: „Es ist der offizielle Valve-Store – da kann es doch keinen regelrechten Dieb geben.“ Wie sehr sie sich doch geirrt haben.

Der Steam-Support erhielt bereits am 2. September Meldungen mit stichhaltigen Beweisen. Die Tickets enthielten Beschwerden über ChainAbuse [7] wegen gestohlener Kryptowährung sowie direkte Beweise für die offene Telegram-API der Betrüger, die direkt in den Code des Spiels eingebettet war. Was tat Valve? Es wartete. Einen Monat lang. Die Spiele mit dem Diebstahlprogramm wurden ungestört aus dem Shop heruntergeladen.

Und dann brachte das Unternehmen eine Ausrede vor, die die Intelligenz jedes Sicherheitsexperten beleidigt: „Das Konto des Entwicklers wurde gehackt.“ Nennen wir dieses Märchen beim Namen – eine dreiste Lüge, um die eigene Nachlässigkeit (oder Mitschuld) zu vertuschen.

Um ein Spiel zu veröffentlichen, muss ein Entwickler das Steam-Direct-KYC-Verfahren [22] durchlaufen: 100 Dollar zahlen, seinen echten Namen, seine Adresse sowie Bank- und Steuerdaten angeben. Der Täter war kein anonymer Hacker aus dem Dark Web – seine rechtlichen Daten, einschließlich eines W-8BEN-Steuerformulars [8], befanden sich in der Datenbank von Valve.

Der Mythos eines „gehackten Entwicklers, der aus irgendeinem Grund 22 Tage lang geschwiegen hat“, bricht angesichts der Architektur von Steamworks zusammen. Wenn ein legitimer Entwickler den Zugriff auf die Publisher-Konsole verliert, erstellt er ein Ticket wegen gestohlener Zugangsdaten. Die Veröffentlichungsrechte für Updates und Builds werden innerhalb weniger Stunden gesperrt.

Es bleiben nur zwei Möglichkeiten. Entweder war der „Entwickler“ von Anfang an ein Mitverschwörer der Betrüger (was bedeuten würde, dass Valves viel gepriesenes KYC-Verfahren reine Fiktion ist). Oder Valve hat einen ganzen Monat lang bewusst die verzweifelten Versuche des Entwicklers und Dutzender betrogener Opfer ignoriert, den Support zu erreichen, während über den offiziellen Store Malware verbreitet wurde, die Kryptowährung stahl.

In beiden Fällen agiert Valve nicht als Opfer der Umstände, sondern als Hauptkomplize bei einem digitalen Raubüberfall.

21. Vernichtung von Beweismitteln: Wie Valve den Tatort bereinigte

Doch der widerlichste Teil des „BlockBlasters“-Falls ist das Ende: die Manipulation eines digitalen Tatorts.

Zur Klarstellung: Valve hat das infizierte Spiel nicht gelöscht. Unsere forensische Analyse der C2-Infrastruktur beweist das Gegenteil. Die Betrüger selbst haben die schädlichen Builds am 21. September von den Steam-Servern gelöscht – genau zu dem Zeitpunkt, als ihre Telegram-Botnetze öffentlich entlarvt wurden und strafrechtliche Anklagen zu einer realen Möglichkeit wurden. Sie wandten eine Taktik der „verbrannten Erde“ an, um ihre Spuren zu verwischen.

Valves Erklärung über „getroffene Sicherheitsmaßnahmen“ ist reine Fiktion und schamlose PR. Sie haben bewusst darauf gewartet, dass die Kriminellen die Malware von ihren eigenen Servern löschen, und erst dann gemächlich die nun leere Store-Seite entfernt, um sich selbst die Lorbeeren dafür zuzuschreiben. Das ist keine Problemlösung. Das ist Beihilfe und Behinderung der Justiz.

Valve hat die Nutzer nicht geschützt. Das Unternehmen hat den Tatort aufgeräumt, damit keine Bundesbeamten mit einem Durchsuchungsbefehl wegen der Verbreitung von Infostealern über die eigenen Rechenzentren in den Büros auftauchten.

22. Die Illusion von Maßnahmen: Beschränkungen zur Einsparung von Serverkosten

Wenn Valve tatsächlich einige Einschränkungen einführt (zum Beispiel die Senkung der Obergrenze für Freundschaftsanfragen), glauben naive Nutzer, dies geschehe aus Sicherheitsgründen. Unsinn. Bei dieser ganzen Geschichte um Obergrenzen geht es nicht um die Bekämpfung von Betrug – es geht schlicht und einfach um Einsparungen bei der Serverkapazität.

Erinnern wir uns daran, was die Spam-Apokalypse ausgelöst hat. Bevor das berühmte Skript zum Ersetzen von Handelsangeboten auftauchte, wurde die Plattform durch primitive Automatisierung missbraucht. Heerscharen von Bots mit weiblichen Avataren versendeten Phishing-Links zu Tausenden. Dieser Junk-Traffic schuf eine enorme Nachfrage nach Konten ohne Ausgabenlimit. Wir haben die Schattenmärkte beobachtet: Aufgrund dieses Spam-Booms schoss der Preis für ein gestohlenes Konto ohne Ausgabenlimit von 25 Rubel auf stabile 150 Rubel in die Höhe. Und diese wahnsinnige Nachfrage nach gestohlenen Profilen hielt bis ins Jahr 2024 an!

Glaubst du, Steam hat das Einladungslimit von 100 auf 30 gesenkt, um dich vor Phishing zu schützen? Denk noch einmal darüber nach. Valve protokolliert alles: jeden Klick, jede Einladung, jede stornierte Anfrage. Die automatisierten Betrügerfarmen generierten täglich Millionen leerer Transaktionen, die die internen Datenbanken von Steam überfluteten und die Infrastruktur überlasteten. Und was am aussagekräftigsten ist: Valve hat diese Limits nicht bei frisch registrierten Wegwerf-Konten gesenkt, sondern bei voll entwickelten Konten ohne Limits (einschließlich solcher mit einem VAC-Bann, da diese technisch gesehen als Konten gelten, die die Ausgabenschwelle überschritten haben). Valve hat die Limits ausschließlich gesenkt, um die Belastung der eigenen Server zu verringern, nicht zu deiner Sicherheit.

Einschränkungen bei Valve gibt es nur dort, wo sie ihre eigenen Server schützen müssen. Euer Geld geht sie nichts an.

23. Die inneren Abläufe: Warum Betrüger-Vorgesetzte von Sperren profitieren

Da wir Betrugsteams von innen heraus analysiert haben, werde ich ein schmutziges Geheimnis aufdecken, von dem gewöhnliche „Traffer“ noch nicht einmal geahnt haben.

In allen Betrugsteams (in denen den einfachen Mitarbeitern 90–95 % des gestohlenen Inventars versprochen werden) hatten die Betreuer (Teamkoordinatoren) einen finanziellen Anreiz, dafür zu sorgen, dass ihre Bots mit einem Handelsverbot oder einem „Red Tag“ belegt wurden. Daher ersetzten sie kompromittierte Bots absichtlich nicht. Erhielt ein Konto eine Sperre, stieg der Anteil des Leiters sprunghaft an: Statt magerer 5 % aus dem Skin-Verkauf erhielten sie zwischen 15 % und 20 % des Steam-Preises für den Bestand (nicht des Marktpreises!), indem sie einfach gesperrte Konten mit wertvollen Skins auf dem asiatischen Markt verkauften. Chinesische Käufer erwarben diese in großen Mengen, um mit teuren Gegenständen und privaten Cheats zu spielen. Aus diesem Grund weisen sehr viele Konten mit Handelssperren auch VAC-Sperren auf. Die Betrugsindustrie versorgte die Cheat-Industrie, und Steam sammelte genüsslich die Online-Zahlen ein.

24. Steam Workshop: Ein perfektes Testfeld für API-Betrug

Steams absolute Missachtung der Sicherheit wird durch den Workshop-Vorfall deutlich veranschaulicht. Irgendwann überschwemmten buchstäblich 2–5 Betrüger den Workshop vollständig mit Phishing-Anzeigen. Wie? Sie nutzten abgefangene Web-Sitzungen echter Nutzer.

Dies war kein Account-Hijacking im klassischen Sinne. Der Angreifer eröffnete einfach über die Steam-API eine parallele Sitzung auf Ihrem Konto, durchsuchte das Inventar, wartete darauf, dass Sie einen Tausch initiierten, brach diesen sofort ab und ersetzte ihn durch ein identisches Angebot (mit demselben Avatar und Freundesnamen) von einem von ihm kontrollierten Bot. All dies geschah innerhalb einer legitimen Benutzersitzung über offizielle Steam-Endpunkte.

Und was hat Valve unternommen, als der Workshop in Phishing-Anzeigen versank? Natürlich hat das Unternehmen eingegriffen. Es hat „Red Tags“ vergeben und die kompromittierten Konten gesperrt … tat dies jedoch erst, nachdem die Inventare der Opfer bereits vollständig leergeräumt worden waren.

Hervorragende Arbeit, Steam. Vielen Dank, dass ihr das Konto „gerettet“ habt, als darin nichts mehr zu retten war.

Ironischerweise ist der Preis dieser Token auf dem Schwarzmarkt eingebrochen. Galt zuvor eine gültige SSFN-Datei noch rund 3 $, so wirkt die Preisliste heute auf eben jenem LZT-Markt (auf dem der Kurator des russischsprachigen Steam-Supports, Nikita, registriert ist) wie eine Verhöhnung von Valves Sicherheitsmaßnahmen:

„Ankauf und Bearbeitung von Steam-Token (JWT). Schnelle Überprüfung mit firmeneigener Software. Preise:

CS2 Prime – 0,08 $ (keine vorübergehenden oder dauerhaften Sperren)

OpenTM – 0,04 $ (offene Handelsplattform)“

Dein Konto, dein Verlauf und deine Daten sind 8 Cent wert. Das ist alles, was du über die Wirksamkeit des Sitzungsschutzes bei Steam wissen musst.

Die Illusion der „technischen Unmöglichkeit“: Der Fall der gefälschten Spiele

Der Support behauptet, die Rückgabe gestohlener Gegenstände sei „technisch unmöglich“ oder würde „die Wirtschaft zerstören“. Der Vorfall mit den gefälschten Spielen beweist das Gegenteil.

Die Masche war dreist: Betrüger luden Scheinspiele in den Steam-Store hoch und erstellten Gegenstände mit Namen und Symbolen, die eins zu eins von teuren CS:GO- und Dota-2-Skins kopiert waren. Während eines Handels sah das Opfer einen vertrauten „Dragon Lore“, ohne zu ahnen, dass dieser zu einem gefälschten Spiel gehörte. Wir erinnern uns noch genau daran, da PhishDestroy zu dieser Zeit aktiv auf der Jagd nach diesen Betrügern war und sie blockierte.

Und was tat Valve, als die Grundlage des Vertrauens in den Community-Markt bedroht war? Es geschah ein Wunder. Das Unternehmen, das sich jahrelang geweigert hatte, Phishing-Opfern zu helfen, gab plötzlich allen betroffenen Nutzern die echten Gegenstände zurück. Die Betrüger wurden mit einer solchen Flutwelle von Maßnahmen überrollt, dass sie tagelang in Schattenforen lautstark protestierten: Valve verhängte Hardware-Sperren (HWID) und sperrte gemeinsam genutzte IP-Adressen pauschal so rigoros, dass ganze Betrügerringe tief in die roten Zahlen gerieten.

Zudem führte Steam innerhalb weniger Tage ein umfangreiches Sicherheitsupdate ein. Plötzlich fanden sie die Ressourcen, um alles umzusetzen: Handelssperren, neue Verifizierungen, Entwicklerkautionen, massive rote Warnmeldungen mit dem Hinweis „Dieses Spiel wurde noch nie von dir gespielt“ sowie Warnungen vor verdächtigen Diskrepanzen bei den Gegenstandswerten.

Es stellt sich heraus, dass sie es doch können. Sie wissen ganz genau, wie man Transaktionsketten nachverfolgt, Tauschvorgänge rückgängig macht und eine komplexe Warnarchitektur aufbaut. Aber sie tun dies nur, wenn sie eine direkte Bedrohung für ihr eigenes Geschäftsmodell und die Glaubwürdigkeit ihres Marktplatzes spüren. Wenn du von einem gewöhnlichen Dieb völlig ausgeplündert wirst, erhältst du lediglich eine Standardantwort, dass „die Steam-Richtlinien keine Wiederherstellung von Gegenständen vorsehen“.

79 Mitarbeiter: Eine Architektur aus Streichhölzern und Eicheln

Um die „Ernsthaftigkeit“ der täglichen Sicherheitsvorkehrungen der Plattform voll und ganz zu begreifen, betrachte man den jüngsten API-Fehler, der zwei ganze Tage lang in der Produktionsumgebung bestand. Jeder, der über ein einfaches Skript verfügte, konnte eine einfache Anfrage senden und Systembenachrichtigungen direkt an absolut jede Steam-ID spammen, wobei alle Datenschutzeinstellungen vollständig umgangen wurden.

Zwei Tage lang klaffte ein Loch in der API, das es jedem ermöglichte, Millionen von Nutzern anzupingen. Tatsächlich reichen 79 Mitarbeiter für eine globale Plattform im Wert von mehreren Milliarden Dollar offensichtlich völlig aus. Warum in eine funktionierende Qualitätssicherungs- und Sicherheitsabteilung investieren, wenn man einfach Nutzungsbedingungen verfassen kann, die den Nutzer für alles verantwortlich machen?

25. Infrastructure as a Service: Scam-as-a-Service (SaaS)

Um Ihnen einen Eindruck vom Ausmaß der Kommerzialisierung zu vermitteln, die durch Valves Untätigkeit entstanden ist, werfen Sie einen Blick auf ein typisches Angebot eines modernen Phishing-Teams. Das sind längst keine Teenager mit fehlerhaften Skripten mehr. Es handelt sich um ein vollwertiges SaaS-Geschäft mit hartem Wettbewerb. Während wir ihre Domains gnadenlos sperrten und sie zwangen, Geld für die Infrastruktur zu verlieren, stellten sie darauf um, ihren „Mitarbeitern“ kostenlose Domains zur Verfügung zu stellen, um das Volumen aufrechtzuerhalten:

„Unser Projekt vereint 3 in 1: Phishing (Logs gehen an Sie), MaFile (5 % Provision), Substitution (API-Betrug – 80 % für Sie). Nur wir bieten: Automatischen Verkauf von Logs auf LZT, MaFile-Entfernung mit einem einzigen Code, Browser für Substitution, kostenlose Domains und eine Vielzahl gefälschter Vorlagen.“

Valve behebt nur das, was außer Kontrolle gerät, oder das, was Standorte betrifft, die sie nicht stören wollen (USA, Japan, Südkorea). Steam konnte den Spam erkennen, die Konten ohne Beschränkungen sehen und manchmal sogar Phishing-Domains sperren (oft, wenn diese bereits inaktiv waren). Wenn das Unternehmen eine Domain erkannte, erkannte es auch das Netzwerk von Konten, das diese Domain verbreitete. Da die Botfarmen über billige Shared-Proxys betrieben wurden (nach dem Schema „1 Server und 100 IPs pro 1.000 Konten“), hätte die Sperrung des gesamten Botnetzes mit einer einzigen SQL-Abfrage erfolgen können. Aber Valve hat dies nicht getan.

26. Geopolitische Heuchelei: Die „Laundromat“-Wirtschaft von Steam

Valves Toleranz gegenüber der grauen GUS-Wirtschaft brachte ein weiteres Monster hervor – den Markt für illegale Guthabenaufladungen und Regionswechsel. Als Valve direkte Aufladungen für Russland offiziell sperrte, drückte es einfach ein Auge zu, was das florierende Geschäft der Schattenvermittler betraf. So ist es doch viel bequemer, oder?

Der Dienst zum „Regionswechsel“ (in die Türkei, nach Kasachstan oder Argentinien) wurde millionenfach verkauft. Allein auf einer Plattform (wie FunPay) [24] wurden mehr als 500.000 Transaktionen von mehreren großen Anbietern verzeichnet. Und es gibt noch Hunderte weiterer Telegram-Bots und Foren. Diese Aufladungsbranche ist mittlerweile eng mit der Geldwäsche aus Phishing- und Krypto-Betrug (dem Aufkauf von Seed-Phrasen) verflochten.

Wie sieht die Logik von Valve aus? Glauben sie wirklich an die Massenabwanderung von Millionen von Teenagern aus einem sanktionierten Land? Oder „riechen“ russische Gelder, die über einen kasachischen Proxy und gestohlene Bestände geleitet werden, einfach „anders“? Valve kümmert sich nicht um Sanktionen und Compliance. Hauptsache, eine Provision von 30 % aus jeder Transaktion fließt zuverlässig auf ihre Bankkonten, während Anwälte Standardschreiben über die „Unmöglichkeit technischer Eingriffe“ am laufenden Band verfassen.

27. Unternehmensvorteil und Verstoß gegen die eigenen Nutzungsbedingungen

Steam ist ein Ökosystem, das von der völligen Missachtung seiner eigenen Regeln lebt, und Valve weiß das ganz genau. In den Nutzungsbedingungen (ToS) heißt es eindeutig: Die Erzielung jeglichen kommerziellen Vorteils auf der Plattform ist strengstens untersagt.

Schauen wir uns nun die Realität an. Der Verkauf gestohlener Konten, der Handel mit Skins, Bot-Farmen zum Farmen von Sammelkarten, Level-Up-Dienste (Profil-Leveling), der Verkauf von Keys und natürlich Guthaben-Aufladedienste für sanktionierte Regionen. All dies stellt einen direkten kommerziellen Vorteil dar. Und das ist surreal: Eine Plattform, die den Handel offiziell verbietet, beherbergt Branchen mit Umsätzen in Millionenhöhe. Valve (oder sein zuverlässig durch eine Geheimhaltungsvereinbarung geschützter russischsprachiger Outsourcing-Partner) hat sich von seinen eigenen Regeln distanziert und wendet sie ausschließlich als Mittel an, um diejenigen zu bestrafen, die in Ungnade gefallen sind, oder um die Infrastruktur zu schützen.

28. Das Support-Syndikat: Warum Valve die Rückgabe von Gegenständen gestrichen hat

Wenn Valve seine Weigerung, gestohlene Gegenstände an Nutzer zurückzugeben, damit rechtfertigt, dass man Inflation oder „Duping“ bekämpfen wolle, lügt das Unternehmen unverhohlen. Der Grund, warum Valve Guthaben auf gesperrten Bots dauerhaft einfriert und in sein bodenloses Konto einsteckt, ist nicht der Schutz der Wirtschaft. Es ist ein Versuch, Betriebsverluste auszugleichen, die ihnen von ihren eigenen Mitarbeitern zugefügt wurden.

Historische Tatsache: Support-Mitarbeiter (einschließlich billiger ausgelagerter Arbeitskräfte, die oft fälschlicherweise für Freiwillige gehalten werden) waren direkt in die Schattenwirtschaft von Steam eingebunden. Unter Ausnutzung ihrer Systemberechtigungen verwandelten sie den technischen Support in ein korruptes Kartell.

Industrielle Vervielfältigung von High-Tier-Gegenständen: Support-Mitarbeiter erzeugten unter dem Vorwand, „gestohlenes Inventar an einen Nutzer zurückzugeben“, massenhaft Kopien der teuersten Gegenstände im Spiel (Dragon Lore in CS:GO, seltene Legacy-Kuriere in Dota 2). Dieses „zurückgegebene“ Inventar wurde anschließend auf chinesischen Börsen gegen echtes Geld weiterverkauft.

Verkauf von Sperraufhebungen: Der Support verkaufte die Aufhebung von „Red Tags“ (KTs) und Handelssperren aus den Profilen großer Betrüger. Gegen Bestechungsgelder (in Kryptowährung oder Skins) erhielten Betrüger grünes Licht, Vermögenswerte im Wert von Zehntausenden von Dollar zu veräußern.

Als das Management von Valve das Ausmaß der Korruption erfuhr, war es außer sich vor Wut. Es schaffte die Richtlinie zur Rückgabe gestohlener Gegenstände dauerhaft ab und entzog dem Support den manuellen Zugriff auf die Gegenstandsgenerierung. Doch die Bestraften waren nicht die korrupten Mitarbeiter – es waren die Nutzer. Kinder und Gamer auf der ganzen Welt zahlen mit ihrem Geld dafür, dass Valve es versäumt hat, seine eigenen Mitarbeiter zu kontrollieren.

Das „Little-Tyrant“-Syndrom und der Niedergang der freiwilligen Polizei

Neben dem offiziellen Support verfügte Steam über einen zweiten Machtzweig – eine ehrenamtliche Handelspolizei, die mit Datenbanken wie SteamRep [12] vernetzt war. Sie übte einen enormen informellen Einfluss auf die Wirtschaft der Plattform und das Schicksal der Händler aus. Und sie erwies sich als nicht besser als das ausgelagerte Personal.

Die Freiwilligen verkamen zu einer geschlossenen, korrupten Kaste „gesichtsloser Schattenautoritäten“. Sie litten unter einem klassischen „Kleiner-Tyrann“-Syndrom: Sie machten Händler fertig, die sie nicht mochten, sperrten Nutzer, die Sicherheitslücken diskutierten, und verteilten „Freikarten“ an Freunde.

Als Protokolle auftauchten, die bewiesen, dass SteamRep-Administratoren [12] Bestechungsgelder annahmen, um „Betrüger“-Kennzeichnungen zu entfernen, und massive Bot-Netzwerke deckten, die gestohlene Skins wuschen, brach das Vertrauen in Valve vollständig zusammen. Bis 2022 hatte Valve die letzten ehrenamtlichen Moderatoren entlassen und sie durch streng nach Skripten arbeitende ausgelagerte Mitarbeiter ersetzt.

29. Der Preis der „Effizienz“

Valve rühmt sich des höchsten Gewinns pro Mitarbeiter in der Branche. Doch zu welchem Preis wird dieser Gewinn erzielt?

Diese Effizienz basiert darauf, Hilfe zu verweigern. Darauf, Phishing-Opfer zu bedrohen. Darauf, Tickets zu schließen. Darauf, die Wahrheit zu verschleiern, dass Steam weniger eine Gaming-Plattform als vielmehr ein globaler Krypto-Waschsalon und Verteilknotenpunkt für Infostealer ist.

Während sich das Management von Valve als Genies der Geschäftsoptimierung betrachtet und vor Gericht um das Recht kämpft, visuelle Romane für Erwachsene zu verkaufen, verschlingt ihre Plattform täglich die Daten, das Geld und die Sicherheit echter Nutzer. Die Ära der Täuschung ist längst vorbei, doch Valve nutzt sie weiterhin als Vorwand, um sich das Eigentum betrogener Nutzer rechtlich anzueignen. Bei Steam gibt es keine Gerechtigkeit. Es gibt nur Skripte, ausgelagerte Arbeitskräfte und einen endlosen Hunger nach Profit.

30. Heuchelei auf jeder Ebene: Die Unternehmensethik von Valve und Taylor Wessing

Falls es Ihnen so vorkommt, als würde ich übertreiben, wenn ich Taylor Wessing (die Anwälte von Valve) im Zusammenhang mit ihren internen Klagen wegen Belästigung erwähne – glauben Sie mir, das ist kein Scherz. Der Rechtsstreit ging verloren, aber es geht nicht um das Urteil – es geht um die Strategie von Taylor Wessing. Sie haben keine Professionalität an den Tag gelegt, sondern ein schmutziges Spiel der Zermürbung und absichtlicher Verzögerung. Googelt mal, wie viele Jahre sich der Fall seit dem Vorfall im Elite-Skiresort hingezogen hat.

Doch wenn es um Valve selbst geht, tauchen noch mehr Fragen zu ihrer viel gepriesenen Ethik auf. Sie haben ein Unternehmens-„Welcome Book“, in dem sie sich selbst als „Familie“ bezeichnen. Alles ganz warm und gemütlich. Doch wenn diese „Familie“ von einem Skandal erschüttert wird, handelt Valve mit äußerster Rücksichtslosigkeit. Erinnern Sie sich an die Belästigung eines Transgender-Mitarbeiters im Support oder an die Geschichte von Jess Cliffe [13] (dem Mitentwickler von Counter-Strike, der fast seit der Gründung bei Valve gearbeitet hatte). Der Mann wurde ohne Gerichtsurteil allein aufgrund von Anschuldigungen aus dem Unternehmen geworfen. Valve, das Millionen damit verdient, Betrugsfälle zu vertuschen, fürchtete plötzlich um seinen Ruf? Die Logik ist absurd: Ein Unternehmen lässt zu, dass seinen Nutzern Millionen von Dollar gestohlen werden, distanziert sich aber sofort von der Person, die dieses Geschäft jahrzehntelang aufgebaut hat – nur um „sauber“ zu wirken.

Was die Anwälte von Taylor Wessing angeht – seien wir ehrlich. Ihr rühmt euch eurer „jahrhundertelangen Geschichte“, aber auf eurem Instagram-Account nehmt ihr an einem Lauf zur Unterstützung der Pride-Bewegung teil. Entscheidet euch: Ehrt ihr die Geschichte eurer Nazi-Gründer, die schwule Menschen in Konzentrationslager schickten, oder seid ihr ein modernes, progressives Unternehmen? Das ist Unternehmensbetrug. Ihr wollt als uralter Adel erscheinen, während ihr euch in Wirklichkeit in die Ekstase der zeitgenössischen Heuchelei eingefunden habt. Und ja, ihr habt die Verteidigung russischer Oligarchen übernommen – in Fällen, in denen euer Ruf lautstark schrie: „Man engagiert euch nicht, wenn Menschen unschuldig sind.“

31. Der Fahrplan für kommende Enthüllungen: Worauf sich Valve vorbereiten sollte

Dies ist weder der erste noch der letzte Beitrag von PhishDestroy über Valve. Ich werde kein Katz-und-Maus-Spiel mit ihren Anwälten spielen – deren Zeit kostet, gemessen an ihren Honoraren, 3.000 bis 5.000 Dollar, um ein paar Absätze zu lesen. Verschwendet das Geld nicht; stellt lieber anständiges Support-Personal ein, statt einen russischen Outsourcer, der nur aus Skripten vorliest.

Hier ist, was als Nächstes kommt. Mein Fahrplan für anstehende Untersuchungen:

Beweismaterial zur Unwirksamkeit der DSGVO: Ich werde die Originale der juristischen Standardschreiben und unsachgemäß geschwärzten Dokumente veröffentlichen, die belegen, dass Valve systematisch gegen Vorschriften verstößt und die vertraulichen Daten minderjähriger Nutzer preisgibt. Ich werde die gesamte Kette aufzeigen, in der ich bereits die fünfte Person war, die Zugriff auf die personenbezogenen Daten anderer Personen (einschließlich Personen mit russischen Pässen) erhalten hat. Dies ist ein direkter Beweis für ihre Lügen über die Speicherbedingungen und die mythische „Verschlüsselung“.

Verletzung der Geheimhaltungsvereinbarung und die schmutzige Kehrseite von Steamworks: Wir verfügen über Daten von mindestens zwei Entwicklern, deren Geheimhaltungsvereinbarungen (NDAs) wir gerne verletzen werden (wir haben sie nie unterzeichnet). Wir werden das offen zügellose Chaos bei der Moderation von Updates und Fälle im Zusammenhang mit Schrankinhalten aufdecken, deren Veröffentlichung Valve unter Androhung der Spielentfernung untersagt.

Krypto-Pannen und Geldwäsche: Wie Valves „Genies“ ihre Millionen verlieren: Da Valve gerne mit den Milliarden-Dollar-Gewinnen seiner Mitarbeiter prahlt, werden wir als PhishDestroy uns auf Krypto-Territorium wagen. Wir werden eine forensische Finanzanalyse der Wallets von Elite-Supportmitarbeitern (frühe Bitcoin-Investoren) durchführen und aufzeigen, wie diese „Profis“, die Valve Milliarden auf Kosten der Tränen ausgeraubter Kinder einbringen, selbst in Betrugsmaschen investiert haben und deren Adressen mit 100-prozentigen AML-Risikobewertungen gekennzeichnet wurden.

Die seltsame Liebe zu Russland und wer „Nikita“ ist: Wir werden das Phänomen der Toleranz von Valve gegenüber der GUS-Region untersuchen. Wie kann jemand ohne formelle Anstellung zum Support-Supervisor werden, nur weil er einst eine Fan-Community für „Half-Life“ gegründet hat? Wir werden die Schlupflöcher und Mechanismen zur Umgehung von Sanktionen für Entwickler aus einem Terrorstaat aufdecken sowie direkte Guthabenaufladungen aus der DNR/LNR und der Krim, die seit 2021 funktionieren und bis heute andauern.

32. Fazit

Ich habe keinerlei Lust, mein Leben dem Verfassen von Texten über Steam zu widmen. Die Plattform wird von einer Zielgruppe aus Kindern, Betrügern und Putin-Anhängern betrieben (in Form des russischen Outsourcing-Teams). Die Freiwilligen stecken bis über beide Ohren in Korruption verstrickt. Wenn Gabe Newell sich selbst als Genie der Gaming-Branche betrachtet, dann ist es vielleicht mein Schicksal, der Mistkerl zu sein, der die Wahrheit in die Geschichte schreibt:

Gabe ist ein überaus kleinlicher und gieriger Monopolist, der den Diebstahl von Geld von Kindern legalisiert hat. Und die im Mitarbeiterhandbuch versprochenen Privatjets und Urlaube sind nur bunte Bilder, die dazu dienen, die Mitarbeiter in unternehmerischer Knechtschaft zu halten.

All dies ist für die Geschichte geschrieben. Für das Webarchiv. Und für jene Regulierungsbehörden, die irgendwann kommen werden, um dieses Imperium der Straffreiheit zu zerschlagen.

33. Anatomie der Nutzungsbedingungen: Unternehmensschizophrenie und juristischer Zynismus

Lassen Sie uns die Nutzungsbedingungen (ToS) von Steam unter die Lupe nehmen. Wir werden mindestens 25 % dieses Dokuments behandeln, um zu zeigen, dass es sich hierbei nicht um einen rechtsgültigen Vertrag handelt – es ist eine Lüge, die konstruiert wurde, um der Plattform zu ermöglichen, Kinder zu bestehlen und gleichzeitig jegliche Rechenschaftspflicht zu umgehen.

Hier ein Zitat aus ihren Regeln: „Sie dürfen keine Skripte, Bots, Makros oder andere automatisierte Systeme („Automatisierung“) verwenden, um mit Inhalten und Diensten auf Steam zu interagieren …“

Wir werden diese Klausel im nächsten Teil im Detail analysieren. Spoiler: Steam selbst hat eine API entwickelt, die ausschließlich dazu dient, Diebstahl zu automatisieren, Beschränkungen zu umgehen und Bot-Farmen zu verwalten. Die Plattform hat eine Regel aufgestellt, deren Verletzung sie gleichzeitig in industriellem Maßstab zulässt.

Und hier ist ein weiteres Juwel unter den Beispielen für unternehmerischen Zynismus: „Sie erkennen an, dass Valve nicht verpflichtet ist, Sie vor der Kündigung Ihres Abonnements und/oder Ihres Kontos zu benachrichtigen.“

Das ist eine Lüge. Nach normaler Rechtslage funktioniert das so nicht. Aber die Plattform schützt sich vor allem. Valves Position lautet wie folgt: „Wir bestehlen Kinder, wir verstoßen gegen Sanktionen, wir lassen zu, dass Infostealer eure PCs infizieren, aber wenn überhaupt – dann seid ihr schuld, und wir werden euch euren Account ohne Erklärung wegnehmen.“

Sie behaupten gerne, dass „die Community über alles entscheidet“. Doch aus irgendeinem Grund wird die Community, sobald es um rechtliche Verantwortlichkeit geht, plötzlich zu einem machtlosen Stück Fleisch.

34. Sanktionen, Terrorismus und Doppelmoral

Eine lustige Frage an diesen heuchlerischen Konzern. In den Regeln heißt es: „Wenn Sie ein in Russland ansässiger Verbraucher sind, können Sie auch vor lokalen russischen staatlichen Gerichten Rechtsschutz einklagen.“

Zählt das Gericht der annektierten Krim als russisches Gericht? Oder sollen wir auf die Antwort von Roskomnadzor warten – mit dem Steam so eng zusammenarbeitet?

Und hier ist eine Klausel, die einen schallenden Lacher hervorruft: „Sie erklären sich damit einverstanden, alle geltenden Ein- und Ausfuhrgesetze und -vorschriften einzuhalten. Sie erklären sich damit einverstanden, keine Inhalte … in Länder zu exportieren, die Terroristen unterstützen … Sie versichern, dass Sie sich nicht in einem solchen verbotenen Land befinden.“

Wenn Valve also Geld direkt von Konten entgegennimmt, die in Gebieten registriert sind, gegen die internationale Sanktionen verhängt wurden (und wir verfügen über Gigabytes an Screenshots und direkten Belegen für Transaktionen aus der Krim, der DNR und der LNR, die bis ins Jahr 2021 zurückreichen) – dann verstößt nicht Valve gegen die Sanktionen. Es ist die Schuld des Nutzers! Die Plattform hat ihre Nutzungsbedingungen in den letzten sechs Monaten stillschweigend überarbeitet und damit die gesamte Verantwortung auf die Nutzer verlagert.

Valve, wurdet ihr gezwungen, Erwähnungen von Russlands Verbündeten (Kuba, Iran, Syrien) zu entfernen und dürftet nicht schlecht über sie sprechen, oder habt ihr das Ausmaß und die Summe berechnet, die direkt aus diesen Ländern stammte? Wenn ein Terrorstaat euch zu irgendwelchen Handlungen zwingt – sagt es jemandem, habt keine Angst. Es gibt keinen Grund, gegen geltendes US-Recht zu verstoßen, nur weil man damit droht, eure Inhalte zu raubkopieren; dieses Risiko ist es nicht wert. Das sind Terroristen, und ihr seid ein US-Unternehmen. Falls Sie verfolgt oder erpresst werden, wenden Sie sich bitte an die FBI-Außenstelle in Seattle unter +1 (206) 622-0460 [16] oder an das IC3 [17]. Ich bin auch zuversichtlich, dass Spezialisten der CISA [18] Ihnen helfen könnten: Angesichts des Ausmaßes und der Reichweite Ihres Einflussbereichs ist dieser selbst nach US-Maßstäben von erheblicher Bedeutung.

Da Sie direkte Sanktionsvorschriften aufheben und den Text ändern – ist dies ein sehr alarmierendes Signal. Ich mache keine Witze: Wenn Sie den oben genannten Behörden nicht vertrauen, dann erhalten Sie hier mit Sicherheit Hilfe auf höchster Ebene – beim DOJ NSD [19]. Wir unsererseits werden zusätzliche Analysen durchführen und kostenlose Beratungen mit bestimmten Fachleuten anbieten und könnten zudem gezwungen sein, dies gegebenenfalls (oder gar nicht) zu melden. Aber das ist keineswegs ein Scherz – es ist ernst.

Sie haben ausdrücklich aufgeführte Länder aus den Regeln gestrichen und die Verantwortung auf die Nutzer verlagert. Gleichzeitig führen Sie Analysen durch: Auf der Registrierungsseite befindet sich ein Tracking-Pixel, und Sie sehen die tatsächliche Anzahl der Klicks, die zur Nutzungsvereinbarung führen. Niemand liest sie, weil Sie sie gezielt als Frage getarnt haben, mit der bestätigt wird, dass der Nutzer über 13 Jahre alt ist (der Link zur Vereinbarung ist dort ebenfalls eingebettet). Die moderne Gesellschaft – Kinder und Jugendliche – leidet unter ADHS, und das ist eine wissenschaftlich belegte Tatsache: Schauen Sie sich die Daten an. Sie lesen Texte nicht bis zum Ende. Ich zum Beispiel habe die Klausel über das Mindestalter von 13 Jahren gesehen, und das war’s – weiter habe ich nicht geschaut. Das ist direkte Manipulation Ihrerseits, ebenso wie die Neufassung der Vereinbarung in Bezug auf Länder, die regelmäßig auf Sanktionslisten stehen.

Ihre Überarbeitung deutet direkt darauf hin, dass sich die Haltung Ihres Unternehmens gegenüber diesen Ländern (oder Geld aus diesen Ländern) geändert hat. Das ist eine sehr merkwürdige Änderung. Höchstwahrscheinlich gibt es bereits ein Problem, oder ihr kommt den Anordnungen russischer Gerichte nach, und dies ist eine ihrer nicht öffentlichen Forderungen – wie zum Beispiel das Sperren bestimmter Nutzer usw., was das Vertrauen in die Rechtmäßigkeit ihrer terroristischen Handlungen auf dem Territorium eines anderen Landes untergraben könnte. Oder beugen Sie sich einfach der russischen Regierung und kommen deren direkten Aufforderungen nach, unerwünschte Nutzer zu sperren? Ich werde Ihnen frühere Versionen Ihrer Nutzungsbedingungen zeigen. Sie können diese nach Belieben ändern, doch diese Papierstücke sind wertlos, wenn es um den direkten Verstoß gegen US-Gesetze und die Unterstützung terroristischer Wirtschaftssysteme geht.

35. Erpressung und die Strategie der verbrannten Erde

Eine faire Vorwarnung: Jegliche Versuche von Valve oder deren Kampfhunden von Taylor Wessing [9], Kontakt aufzunehmen, werden als Druckausübung und Behinderung der Ermittlungen gewertet.

Versucht nicht, uns eine Vertraulichkeitsvereinbarung (NDA) zu schicken. PhishDestroy ist nicht in eurem Müllhaufen registriert. Wir haben das Kästchen in eurer raffinierten Vereinbarung nicht angekreuzt (die ihr ausschließlich als Bestätigung dafür behandelt, dass ein Kind über 13 Jahre alt ist, damit ihr es legal ausrauben könnt).

Sollten Ihre Anwälte versuchen, uns vorzuwerfen, wir würden „Milliarden Rubel erpressen“ oder „den heiligen Ruf im Interesse eines nordkoreanischen Konkurrenten, Steam 2.0, diffamieren“ – viel Glück dabei. Alle unsere Ermittlungen, Beweise und Belege sind auf unabhängigen Knoten (einschließlich Servern einer amerikanischen Universität) und im Webarchiv dupliziert. Das ist kein Konflikt. Das ist eine Tatsachenfeststellung.

36. Die Betrugsfabrik: Carding, gefälschte Dokumente und Datendiebstahl

Glaubt ihr, bei Betrug auf Steam geht es nur um gestohlene Passwörter? Ihr habt keine Ahnung vom tatsächlichen Ausmaß.

Gefälschte Unterlagen (Social Engineering): Wenn ein Konto gestohlen wird, verlangt der Support den ersten CD-Key von vor 10 Jahren. Das Kind hat ihn nicht. Aber der Betrüger aus einem russischen Outsourcing-Unternehmen schon. Betrüger geben in Schattenforen die Fälschung von Quittungen und Schlüsseln in Auftrag. Wir haben über 200 nachgewiesene Fälle erfolgreicher Fälschungen gesammelt, die Valves Support-Mitarbeiter bereitwillig „geschluckt“ haben und dadurch das Konto an Kriminelle weitergegeben haben.

Datendiebstahl: Mehr als eine halbe Million Konten (darunter auch EU-Bürger) sind über den Schattenmarkt LZT gelaufen. Steam hat die Tatsache verschleiert, dass ihre PCs mit Stealer-Programmen infiziert waren. Die Plattform hat de facto persönliche Daten, Korrespondenz, IP-Adressen und Informationen zum Heimnetzwerk an Hacker weitergegeben.

Industrielles Carding: Wenn Valves Anwälte verstehen würden, wie Carding auf ihrer Plattform funktioniert, würden ihnen die Haare zu Berge stehen. Ein „Red Tag“ wegen Cardings zu vergeben, während mit gestohlenen Kreditkarten gekaufte Gegenstände auf dem Konto verbleiben, ist eine bemerkenswerte Praxis der Geldwäsche. Wissen Sie, wer tatsächlich mit dem Prinzen von Saudi-Arabien um das höchste Compendium-Level in Dota 2 konkurrierte? Auch darüber werden wir Ihnen berichten.

36a. Die Glücksspielmaschine: Wie Valve das weltweit größte unregulierte Casino für Kinder baute

Skin Gambling ist kein Nebeneffekt von Steam. es ist ein vorhersehbar und profitabel Konsequenz der bewussten Architektur von Valve: offene Handels-API, kein KYC, virtuelle Gegenstände mit stabilem Sekundärmarktwert und völlige Regulierungsblindheit. Das Ergebnis: eine Branche mit einem Jahresumsatz von über 1 Milliarde US-Dollar, in der CS2-Skins für Kinder als Casino-Chips fungieren – ohne Altersverifizierung, ohne Zustimmung der Eltern und ohne dass Valve jemals eine einzige Verdachtsmeldung einreicht.

Das Bot-Verbot 2023: Keine Strafe. Ein Gewinnmechanismus.

Im Jahr 2023 verbot Valve Zehntausende Bot-Konten, die von Glücksspielseiten betrieben wurden – CSGOFast, CSGORoll, Stake.com (für Skins) und andere. Die Gaming-Presse feierte dies als „hartes Vorgehen“ von Valve gegen Glücksspiele. Diese Interpretation ist faktisch falsch.

37. Epilog: Ein Übungsfeld für Cyberkriminalität

Da virtuelle Gegenstände nach Valves perverse Logik „keinen realen Wert haben“, ist der Diebstahl von Skins im Wert von 10.000 Dollar rechtlich gesehen kein Diebstahl. Das ist eine perfekte Grauzone.

Doch Steam ignoriert nicht nur Diebstahl. Steam hat eine ganze Generation von Cyberkriminellen herangezogen. Die heutigen Entwickler von Infostealern und Krypto-Betrügern haben damit angefangen, Inventare in CS:GO zu stehlen. Gabe Newells Plattform wurde zum wichtigsten Brutkasten für globale Cyberkriminalität und lehrte minderjährige Hacker die wichtigste Regel: Man kann im Internet ungestraft stehlen, solange man die Provision des Unternehmens zahlt.

Jeder wird für seine Taten zur Rechenschaft gezogen werden. Selbst wenn er sich hinter Nutzungsbedingungen versteckt, die er selbst verfasst hat. Freut euch auf Teil zwei.

38. Sanktionen, Zensur und das Stockholm-Syndrom von Steam

Die Heuchelei von Steam erreicht ihren Höhepunkt, wenn es um Geopolitik geht. Man mag darüber lachen, dass ein Unternehmensgigant, der Milliarden erwirtschaftet, sich einfach in seinen eigenen Algorithmen verheddert hat. Aber schauen wir uns die Fakten an.

Im Jahr 2022, als sich die Schlinge der Sanktionen zuziehen begann, versuchten Entwickler aus Russland massenhaft, die Sperren zu umgehen. Und wo fanden sie die ausführlichsten Anleitungen zur Umgehung internationaler OFAC-Sanktionen? Genau innerhalb von Steam selbst. In der offiziellen Community gibt es Schritt-für-Schritt-Anleitungen, wie man ein VPN (das laut Nutzungsbedingungen eigentlich verboten ist) nutzt, um die Region zu wechseln und Geld auf sanktionierte Banken (wie die Tinkoff Bank) zu überweisen [25].

Hier ein Zitat aus einer offiziellen (oder zumindest von Valve moderierten) Anleitung, das ihre Haltung perfekt beschreibt: „Wir bitten euch höflich, Professionalität zu wahren und euch mit Kommentaren zu politischen Themen zurückzuhalten … Solche Äußerungen werden entfernt, und die aktivsten Verstöße verlieren die Möglichkeit, Kommentare zu hinterlassen …“

Übersetzt man das aus der Unternehmenssprache in klare Worte: Valve verbietet es, den Krieg als Krieg zu bezeichnen. Valve verbietet es, das Aggressorland als terroristisch zu bezeichnen. Aggressive Moderation (Hallo, russischsprachige Outsourcing-Mitarbeiter) löscht jegliche Kritik und schützt so ein Publikum, das Menschen in einem Nachbarland tötet, vor „politischen Auseinandersetzungen“. Das ist nicht bloße Nachlässigkeit. Das ist Mittäterschaft bei der Zensur, getrieben von der Angst, Einnahmen aus dem GUS-Markt zu verlieren.

Ich lade die Geschäftsführung von Valve und ihre hochgelobten Anwälte hiermit offiziell ein, nach Mariupol oder Melitopol zu kommen, um mit eigenen Augen zu sehen, vor welchen „politischen Auseinandersetzungen“ genau sie ihre russischsprachige Community so sorgfältig abschirmen.

39. Umgehung von Sanktionen als Plattformdienst

Steam erklärt, dass Nutzer verpflichtet sind, die US-Exportgesetze einzuhalten. Gleichzeitig dient die Plattform jedoch als zentrale Anlaufstelle für die Veröffentlichung von Anleitungen, wie man diese umgehen kann. Die Anleitungen sind seit Jahren online. Die Umstellung der Region auf Kasachstan oder die Türkei, um Sperren zu umgehen, ist nicht nur ein weit verbreitetes Phänomen geworden, sondern ein Industriestandard, den Valve stillschweigend billigt.

Warum? Weil die Richtlinie von Steam wie folgt lautet: „Der Nutzer hat das Kästchen angekreuzt, in dem er bestätigt, dass er kein Terrorist ist und nicht unter Sanktionen steht, daher gibt es keine Ansprüche gegen uns.“

Aber wir gehen noch einen Schritt weiter. Falls jemand über unbearbeitete analytische Nutzerdatenbanken von Steam verfügt, sind wir bereit, diese auszuwerten. Wir werden Listen von Konten finden, die Sperren umgangen haben, um Spiele von Herausgebern zu kaufen, die sich offiziell aus Russland zurückgezogen haben (wie beispielsweise die Entwickler von STALKER 2 [30] oder GTA [30]). Wir werden diese Daten direkt an diese Publisher weiterleiten, zusammen mit der Frage: „Ist Ihnen bewusst, dass Steam Ihren Marktaustritt sabotiert und den Nutzern offen Schlupflöcher bietet, um Ihre Spiele über eine Kette von Zwischenhändlern in Rubel zu kaufen?“

Wir verfügen bereits über Kontakte zu Insidern, die an eine Geheimhaltungsvereinbarung gebunden sind. Uns ist ein Fall bekannt, in dem Valve die Zusammenarbeit mit einem Entwickler einseitig beendet und sich dessen Geld einfach angeeignet hat, wobei dies durch eine Geheimhaltungsvereinbarung vertuscht wurde. Wir haben jedoch keine solche Vereinbarung unterzeichnet. Wir werden alles offenlegen.

40. Worauf richten die US-Aufsichtsbehörden ihr Augenmerk?

Die wichtigste Frage: Versteht Valve überhaupt, was das OFAC [20] (das US-Amt für die Kontrolle ausländischer Vermögenswerte) ist?

Wenn eine Plattform die massenhafte Umgehung von Sanktionen über VPN zulässt (von kleinen Käufen bis hin zu Geldabhebungen durch Entwickler); wenn sie Geldwäsche über Schattenmärkte für Skins zulässt und dabei die Augen verschließt; wenn die Moderation der Plattform die Beschränkungen von Roskomnadzor [23] umsetzt und „unerwünschte“ Beiträge entfernt – dann fällt dies nicht mehr in den Geltungsbereich einer Nutzungsvereinbarung. Dies ist der Bereich eines direkten Verstoßes gegen die Souveränität und die Gesetze der USA.

Rechnet mit einer Fortsetzung. PhishDestroy wird nicht aufhören, bis diese Lügenkonstruktion zusammenbricht. Alle Beweise und Links sind gesichert. Und kein Taylor Wessing [9] wird uns einschüchtern.

For Valve, geopolitical differences are not just a matter of regional pricing (where Valve decides who is wealthier and who is "Russia"). It is also about laws, rules, and control. Here is a perfect example — the VPN geolocation is visible at the top. So the New York prosecutor simply doesn't use a VPN. But I think she could have never imagined that Valve is such a hypocritical rat, operating completely different rules and controls depending on where you are accessing the platform from.

Angesichts all dieser Faktoren lautet unsere Empfehlung ganz einfach: Gebt dem rechtlichen Rahmen von Steam nicht nach. Wenn ein Nutzer tatsächlich ein Terrorist ist, ist er nicht verpflichtet, gegen sich selbst auszusagen. Es ist die absolute rechtliche Pflicht von Steam, die Herkunft dieser Gelder zu überprüfen, anstatt dem Nutzer das absurde Privileg zu gewähren, selbst zu bestätigen, ob er ein Terrorist ist oder nicht. Diese Logik lässt sich direkt auf Valves territoriale Aktivitäten übertragen. Falls Valve plötzlich vergessen haben sollte, wie das Internet funktioniert – und seine direkten Verbote von VPNs –, folgen wir doch einmal seiner Logik: Ein Terrorist aus der Krim, aus Kuba oder aus Syrien geht online, um Geld zu waschen. Dieser Nutzer versteht kein Englisch und hat keinerlei Absicht, den verworrenen juristischen Unsinn in den Nutzungsbedingungen zu lesen. Aber er ist definitiv älter als 13 Jahre (tatsächlich könnte er sogar schon 13 Menschen getötet haben). Glaubt die Plattform ernsthaft, sie könne die rechtliche Haftung auf den Terroristen abwälzen, damit dieser über seinen eigenen Status entscheidet? Durch diese Verlagerung der Verantwortung gibt Valve eine direkte rechtliche Erklärung ab: Das Unternehmen erkennt von seiner Seite aus automatisch jeden als „Nicht-Terroristen“ an. Unterdessen wäscht der eigentliche Terrorist, der den als einfache Altersüberprüfung getarnten Standardtext völlig ignoriert, sein Geld einfach mithilfe einer Anleitung zur Umgehung von Sanktionen, die direkt auf Steams eigener Community-Plattform gehostet wird. Hervorragende Compliance, nicht wahr?

Seid ihr völlig verrückt geworden? Ihr habt die persönlichen Daten von Minderjährigen an eine Person mit einem Groll weitergegeben und damit im Grunde gesagt: „Hier ist die Ursache deiner Probleme, bediene dich.“ Sollte diese Person jemals auf der Grundlage dieser Daten handeln, liegen das Blut und die rechtliche Verantwortung vollständig in den Händen von Valve und Taylor Wessing.

Der IPFS-Dead-Man-Switch

Wir verfügen über weitaus mehr Informationen, als hier veröffentlicht wird. Sollte Steam, Taylor Wessing oder eine verbundene Einrichtung versuchen, aggressive Maßnahmen gegen unser Projekt zu ergreifen, werden wir keine Zeit vor Gericht verschwenden. Wir werden einen vollständigen Rohdaten-Dump auf dem InterPlanetary File System (IPFS) veröffentlichen.

Ja, die Veröffentlichung ungeschwärzter Daten wird Konsequenzen haben. Ja, das wird den endgültigen Tod der Domain phishdestroy.io und ihres enormen Datenverkehrs bedeuten. Lasst uns euren Anwälten etwas Zeit sparen: Das ist uns egal. Die Domain wurde als Scherz ins Leben gerufen, um uns über die Steam-Betrüger lustig zu machen, die behaupteten, wir hätten „nicht einmal eine Website“. Wir streben keinen Ruf an, wir versuchen nicht, Unternehmenshelden zu sein, und wir haben keine Angst davor, eine URL zu verlieren.

Sollte die Domain verschwinden, findet ihr die Antworten unter: steamdestroy.eth

Wer wir sind

PhishDestroy ist eine nichtkommerzielle Initiative zur Betrugsbekämpfung. Wir sind zu viert – zertifizierte Cybersicherheitsexperten, die in mehreren Ländern tätig sind. Eines unserer ursprünglich fünf Mitglieder ist verstorben; deshalb werdet ihr niemals alle von uns finden.

40a. Open Disclosure Protocol: Formelle Mitteilung an Valve Corporation

41. Das Ultimatum

Eine Frage erfordert eine öffentliche, für das Protokoll festgehaltene Antwort: Gilt gemäß den Nutzungsbedingungen von Valve ein Gericht im annektierten Gebiet der Krim als „jedes lokale russische Staatsgericht“? Ohne eine direkte, öffentliche Antwort auf diese Frage kontaktieren Sie uns bitte nicht.

Wenn Sie eine „friedliche Einigung“ anstreben, setzen Sie Ihre eigenen Regeln durch:

Sperren Sie jeden Account, der jemals ein VPN für den Zugriff auf Steam genutzt hat (Sie verfügen über die Datenbank).

Sperren Sie jeden Account, der Automatisierung auf der Plattform genutzt hat, einschließlich CSGOFast.

Geben Sie zu, dass Valve oder seine Beauftragten einen Cyberangriff auf Source 1 durchgeführt haben.

Der Mindeststandard an Fairness: Gebt alle durch Handelssubstitution (API-Betrug) gestohlenen Vermögenswerte zurück. Beginnt mit jedem Konto, das jemals auf dem Lolzteam Market gelistet war. Wir verstehen eure Architektur – wir haben eure interne Logik zur Geräteidentifizierung in jenen ungeschwärzten DSGVO-Dokumenten gesehen. „Technisch unmöglich“ ist keine Antwort. Wenn eure Mitarbeiter dazu nicht in der Lage sind, ersetzt sie. Das Ergebnis ändert sich nicht, egal was ihr versucht. Wir haben kein Geld, das ihr beschlagnahmen könnt, keine Namen, die ihr bloßstellen könnt, und keinen Unternehmensruf, den ihr ruinieren könnt. Wir sind nur mit der Wahrheit bewaffnet.

Eine weltweite Warnung: Die Epidemie der Datendiebe und unternehmensweite Kollateralschäden

Ich wende mich an jedes Land auf diesem Planeten – mit Ausnahme der Terrorstaaten, da Steam sich mit diesen bereits bestens versteht.

Wenn es euch auch nur im Geringsten wichtig ist, dass ein nicht rechenschaftspflichtiges Unternehmen beschlossen hat, es habe das Recht, das digitale Eigentum eurer Kinder zu stehlen, dann hört gut zu. Wenn es euch wichtig ist, dass sie Nutzer absichtlich nicht über infizierte Geräte informieren – und dadurch weltweit kritische Unternehmensnetzwerke gefährden –, dann passt gut auf.

In Teil 2 unserer Untersuchung werden wir ein perfektes Beispiel dafür präsentieren, was die Nachlässigkeit von Steam tatsächlich hervorgebracht hat. Wir werden handfeste Beweise vorlegen, die belegen, dass Steam der wichtigste wirtschaftliche Motor für die globale Infostealer-Industrie ist. Steam-Konten sind das meistgesuchte Ziel von Malware-Betreibern. Ohne die finanziellen Erträge, die Steams florierender Schwarzmarkt bietet, wären diese massiven, wahllosen Infostealer-Verbreitungskampagnen wirtschaftlich schlichtweg unrentabel.

Es gibt bereits einen öffentlich dokumentierten Fall, in dem ein gestohlenes Log im Wert von 2 US-Dollar zu einer Unternehmenssperre, einer Lösegeldzahlung in Höhe von 17 Millionen US-Dollar und einem Gesamtschaden von über 100 Millionen US-Dollar führte. Vielen Dank, Valve, für euer beispielloses Engagement für die globale „Sicherheit“.

Wir werden diese Erkenntnisse nicht verheimlichen. Informationen gelangen ganz natürlich zu uns, und wir werden sie alle veröffentlichen. Und dies sei unsere offizielle Erklärung: Sollte sich – Gott bewahre – herausstellen, dass Valve oder seine Stellvertreter gezielte Cyberangriffe gegen bestimmte Nutzer durchgeführt haben, um diese zum Schweigen zu bringen, wird die internationale Gemeinschaft nicht mitspielen. Der Rest der Welt wird sich nicht auf eure niedlichen kleinen juristischen Spielchen bezüglich der ausschließlichen Zuständigkeit der Gerichte des Staates Washington einlassen.

42. Fazit

Der Bot steht ohnehin nicht mehr unter unserer Verwaltung. Ich schäme mich nicht, und ich glaube nicht, dass ich etwas Falsches tue. Ich bin mir sicher, dass wir keine andere Wahl haben. Quelle 1 hat sich rechtzeitig gestoppt, aber was uns betrifft, habt ihr die Kinder getötet, deren Daten ihr an ihn weitergegeben habt. Deshalb werden wir nicht verhandeln. Steam ist hier der Terrorist.

Überdenkt noch einmal, was ihr getan habt und was Quelle 1 getan hat, nachdem eure Anwälte ihm diese Daten übergeben hatten. Woher kam eure „Nikita“? Und was ist mit den vier externen Support-Mitarbeitern, die in Russland sitzen? Ich bin mir sicher, dass Sie glauben, dies sei ein Einzelfall, aber wir wissen von vielen Ihrer Fälle und Ihren „Entscheidungen“.

Wir sind nicht wie ihr. Wir vertuschen keine potenziellen Straftaten. Wir werden nach und nach alles mit Belegen veröffentlichen und mit jeder Aufsichtsbehörde zusammenarbeiten – außer mit denen, die ihr offenbar bevorzugt. Die russischen Behörden schreiben uns regelmäßig; normalerweise schicken wir sie zum Teufel, aber vielleicht fangen wir an, zu antworten. Wir lassen uns nicht auf dumme Spielchen mit unverständlichen Unternehmensantworten ein, die darauf abzielen, Verwirrung zu stiften – ganz ähnlich wie eure Nutzungsbedingungen.

Ich hoffe, unsere Position ist absolut klar:

Steam hat die Kinder umgebracht, die es selbst durchgesickert hat.

Steam bestiehlt Kinder unter dem Vorwand, gegen „Duplikate“ vorzugehen, die ausschließlich von seinen eigenen Support-Mitarbeitern generiert wurden.

Steam lügt bezüglich der Vorenthaltung von Sperrgründen unter dem Deckmantel von „Anti-Cheat“ ausschließlich deshalb, weil es rechtlich gesehen praktisch ist. (Was zum Teufel hat Anti-Cheat mit einer Community-Sperre zu tun?)

Seid ihr wirklich so zuversichtlich, dass eure Gerichte oder Europa einfach ein Auge zudrücken werden? Wir werden sehen.

---

Referenzen & Quellen

ZUSÄTZLICHER KONTEXT: REGULATORISCHER UND RECHTLICHER RAHMEN

HINWEIS ZU DEN QUELLEN