Ein unbefugter Zugriff auf die Systeme des Logistikdienstleisters CEVA Logistics hat im Sommer 2026 persönliche Bestelldaten von europäischen Kunden, die Steam-Hardware wie das Steam Deck, den Steam Controller oder eine Steam Machine bestellt haben, offengelegt. Während Passwörter, Zahlungsinformationen und Steam-Guard-Codes unberührt blieben, ermöglichen die erbeuteten Namen, Adressen, Telefonnummern, E-Mail-Adressen sowie Produkt- und Preisangaben hochgradig personalisierte Betrugsversuche per E-Mail, SMS und Telefon. Valve hat den Vorfall öffentlich gemacht und informiert betroffene Nutzer, damit diese gezielt ihr Risiko einschätzen können.
Zeitlicher Ablauf und Relevanz für Käufer der letzten 90 Tage
- Unbefugter Systemzugriff bei CEVA Logistics: 29. Juli – 1. August 2026
- Valve wird am 7. August über den Vorfall informiert
- Benachrichtigung betroffener europäischer Kunden beginnt am 10. August 2026
- CEVA speichert Lieferdaten bis zu 90 Tage nach Auftragsabwicklung
Durch die 90-Tage-Speicherfrist sind alle Bestellungen, die in diesem Zeitraum getätigt wurden, potenziell betroffen. Nutzer, die zwischen Ende Juli und Anfang August 2026 Steam-Hardware bestellt haben, sollten ihr Bestelldatum prüfen und die folgenden Informationen aufmerksam lesen.
Ausmaß des Vorfalls und betroffene Datenarten
Der Angriff betraf laut Berichten von FreightWaves acht von rund 1.000 CEVA-Lagerhäusern weltweit. Folgende Daten wurden kompromittiert:
- Klarnamen
- Postadressen
- E-Mail-Adressen
- Telefonnummern
- Produktbezeichnung (z. B. Steam Deck, Steam Controller, Steam Machine)
- Kaufpreis der jeweiligen Hardware
Steam-Kontodaten, Passwörter und Zahlungsinformationen sind nicht betroffen. Der Datenabfluss erstreckte sich ausschließlich über den genannten Zeitraum vom 29. Juli bis zum 1. August 2026.
Rechtliche Verantwortung und DSGVO-Meldepflichten
Als Datenverantwortlicher (Data Controller) nach der europäischen Datenschutz-Grundverordnung (DSGVO) trägt Valve die primäre Verantwortung für den Schutz der Kundendaten, auch wenn der Verstoß bei einem Subunternehmer – in diesem Fall CEVA Logistics – aufgetreten ist. Valve hat die zuständigen Aufsichtsbehörden in den betroffenen Ländern unverzüglich informiert und fordert eine vollständige Aufklärung durch den Logistikpartner.
Hohes Risiko für zielgerichtetes Phishing, Smishing und Vishing
Die Kombination aus Namen, genauer Lieferadresse, Telefonnummer und dem exakten Kaufpreis ermöglicht Kriminellen, äußerst glaubwürdige Phishing-Nachrichten zu erstellen. Typische Betrugsmaschen beinhalten gefälschte E-Mails, SMS oder Anrufe, in denen angebliche Zoll- oder Nachgebühren genannt werden. Durch die Angabe konkreter Bestelldetails wirkt die Täuschung besonders überzeugend.
Wie Kriminelle die erbeuteten Daten nutzen
Ein Angreifer kann beispielsweise eine E-Mail im Namen von Valve oder CEVA versenden, in der er den Käufer mit seinem vollständigen Namen, der bestellten Hardware und dem Preis anspricht. Anschließend wird ein Link zu einer gefälschten Zahlungsseite oder die Bitte um Rückruf unter Angabe einer gefälschten Telefonnummer gestellt. Ähnliche Vorgehensweisen finden sich bei SMS-Phishing (Smishing) und Telefonbetrug (Vishing), wo die Täter direkt nach einer Überweisung oder sensiblen Informationen fragen.
Praktische Schutzmaßnahmen für betroffene Steam-Nutzer
Valve gibt klare Empfehlungen, wie sich Nutzer vor den genannten Betrugsversuchen schützen können:
- Ignorieren Sie jede Aufforderung zur Zahlung von Nachgebühren, Zoll oder anderen Gebühren per E-Mail, SMS oder Telefon.
- Nutzen Sie ausschließlich die offiziellen Support-Seiten von Steam unter
https://help.steampowered.com. Echte Support-Nachrichten fragen niemals nach Passwörtern oder Steam-Guard-Codes. - Geben Sie Webadressen manuell in den Browser ein, anstatt auf Links in Nachrichten zu klicken.
- Verifizieren Sie die Echtheit von Anrufen, indem Sie die offizielle Telefonnummer von Steam oder CEVA selbst recherchieren.
- Ändern Sie Ihr Steam-Passwort nicht aus Anlass dieses Vorfalls, da Passwörter nicht kompromittiert wurden.
Weitere Informationen finden Sie in der von Valve veröffentlichten E-Mail, die alle betroffenen Kunden erhalten haben. Die E-Mail enthält zudem Hinweise zu den offiziellen Kommunikationskanälen und zu typischen Merkmalen betrügerischer Nachrichten.
Fazit
Der Cyberangriff auf CEVA Logistics hat die persönlichen Bestelldaten von europäischen Steam-Hardware-Käufern offengelegt, ohne jedoch Passwörter oder Zahlungsinformationen zu gefährden. Durch die genaue Kenntnis von Namen, Adressen, Telefonnummern und Kaufpreisen entsteht ein hohes Risiko für gezielte Phishing-, Smishing- und Vishing-Angriffe. Valve erfüllt seine DSGVO-Pflichten, informiert betroffene Kunden und gibt klare Handlungsanweisungen, um weitere Schäden zu verhindern. Nutzer sollten die empfohlenen Schutzmaßnahmen konsequent umsetzen und bei verdächtigen Nachrichten stets skeptisch bleiben.
