Steam Nutzer aufgepasst: So werden Accounts gestohlen und missbraucht

Viele Steam-Nutzer werden Opfer von Betrugsmaschen, ohne es sofort zu bemerken. Dieser Beitrag klärt umfassend auf, wie Angreifer vorgehen, wie du dich schützen kannst, und was zu tun ist, wenn du betroffen bist. Neben praktischen Maßnahmen bietet der Beitrag auch Hintergründe, Recherchequellen und Fallbeispiele.

Kurz und knapp FAQ

🔍 Inhaltsverzeichnis

1. Was ist Phishing?
2. Häufige Betrugsmaschen auf Steam
3. Wie Betrüger an den Steam-Account kommen
4. Was mit gestohlenen Accounts passiert
5. Was du unbedingt vermeiden solltest
6. Maßnahmen, wenn du bereits Opfer wurdest
7. Wie du dich sicher auf Steam bewegst

❓ Was ist Phishing?

Phishing ist eine Methode des digitalen Betrugs, bei der Angreifer über gefälschte Webseiten oder Nachrichten an sensible Daten wie Benutzernamen, Passwörter oder Zwei-Faktor-Codes gelangen.

Diese Seiten sehen täuschend echt aus und verwenden teils Domains, die nur ein einzelnes Zeichen vom Original abweichen (z. B. steamcomrnunity.com). Der Nutzer bemerkt oft erst nach Tagen, dass sein Account kompromittiert wurde – dann ist es meist zu spät.

Die Motivation hinter Phishing ist fast immer finanziell: Steam-Konten mit wertvollen Skins oder Ingame-Inventaren (insbesondere in CS:2, Dota2, Rust etc.) können auf dem Schwarzmarkt gehandelt oder weiterverwendet werden.

🤔 Häufige Betrugsmaschen auf Steam

✉️ 1. Gefälschte Login-Seiten (Phishing)

Die bekannteste und am weitesten verbreitete Methode. Besonders perfide: Diese Seiten kopieren nicht nur das Design von Steam, sondern auch Fehlerseiten und Ladeanimationen. Teilweise wird sogar Steam-OpenID in Frame-Form geladen, um Vertrauen zu erwecken.

Fallbeispiel: Ein Steam-Nutzer erhält von einem Freund einen Link: „Ist das dein Account in diesem Turnier?“ – Klickt man darauf, landet man auf steam-cornmunity.ru. Nach dem Login wird man auf die echte Seite weitergeleitet – aber die Zugangsdaten wurden längst übertragen.

🎁 2. Fake-Turniere, Giveaways oder Skins

• Oft über Discord verbreitet: „Melde dich an und gewinne!“
• Gefälschte Landingpages mit Steam-Login und mobilem Authenticator
• In vielen Fällen wird sogar auf „Dringlichkeit“ gedrängt: „Nur noch 2 Minuten Teilnahme möglich!“

⛔️ 3. Middleman-Betrug

Ein „Moderator“ meldet sich über Discord oder Steam und behauptet, jemand habe dich gemeldet. Er will eine Inventarprüfung oder einen Item-Transfer durchführen. Sobald du tradest, verschwindet der Kontakt.

Achtung: Der Steam-Support schreibt niemals über den Chat oder Discord!

📱 4. App-Betrug und API-Scams

Manche gefälschte Seiten fragen nicht nur deine Login-Daten ab, sondern fangen auch deine Session oder deinen Steam-API-Key ab. Damit können sie z. B. Trades im Hintergrund durchführen, während du denkst, du seist eingeloggt.

🧑‍🤝‍🧑 5. Account-Imitationen

Gefälschte Profile geben sich als Admin, YouTuber oder Entwickler aus. Ziel: Vertrauen aufbauen und einen „Tausch“ arrangieren.

🔐 Wie Betrüger an den Steam-Account kommen

• Durch falsch eingetippte oder manipulierte Login-URLs
• Über Links von Freunden, deren Accounts bereits kompromittiert sind
• Durch nachgebaute Webseiten mit SSL-Zertifikat (!)
• Teilweise über Browser-Extensions oder Sessionsniffing
• Durch Weitergabe von Authenticator-Codes (versehentlich)

Recherche-Tipp: Auf Reddit und SteamForen finden sich Hunderte Beispiele mit Screenshots und Links zu Fake-Seiten, u. a.:

• reddit.com/r/SteamScams
• steamcommunity.com/groups/ScamReports

💥 Was mit gestohlenen Accounts passiert

• Versand von Phishing-Links an alle Kontakte
• Transfer des Ingame-Inventars an Fake-Accounts
• Weiterverkauf des Accounts auf Foren, Darknet oder Telegram
• Automatisierter Einsatz als Scam-Bot (mit Profilbild, Beschreibung, etc.)
• Teilweise auch für Kreditkartenbetrug oder Steam-API-Angriffe genutzt

Beispiel aus der Praxis: Ein CS:2-Spieler verliert sein Karambit Doppler, weil ein Fake-Turnier ihn zur Anmeldung auf einer Scamseite brachte. Innerhalb von 2 Minuten war der Skin über drei Bot-Accounts verschwunden.

🚫 Was du unbedingt vermeiden solltest

• Klick auf Steam-Login-Links außerhalb der offiziellen Domain
• Eingabe deiner Daten auf unbekannten Seiten – auch wenn sie vertraut wirken
• Gespräche mit „Support“ Accounts über Discord
• Teilnahme an „Giveaways“ ohne verifizierten Steam Login
• Adden von fremden Profilen mit dem Hinweis „Ich wurde gemeldet“ oder „Admin“

Merke: Steam wird dich niemals über Freunde oder Discord kontaktieren.

🛠 Maßnahmen, wenn du bereits Opfer wurdest

1. Passwort sofort ändern
Login über https://store.steampowered.com/ und direkt das Passwort zurücksetzen

2. Authenticator neu aktivieren
Installiere die Steam-App erneut, falls deaktiviert, und binde dein Konto neu ein.

3. Alle Sitzungen beenden
„Von allen Geräten abmelden“ im Bereich Account-Sicherheit ausführen

4. Steam-Support kontaktieren
Möglichst mit konkreter Beschreibung und Uhrzeit des Angriffs:
https://help.steampowered.com

5. Freundesliste informieren
Teile deinen Freunden mit, dass dein Account kompromittiert wurde und keine Links geöffnet werden sollen

6. Browser Cookies und Cache
Lösche alle Cookies und den Cache in deinem Browser, um alle Sessions zu beenden

🛡 Wie du dich sicher auf Steam bewegst

• Verwende 2FA via Steam Guard Mobile Authenticator
• Nutze ein starkes Passwort mit Sonderzeichen und Länge > 12 Zeichen
• Verwende nie das gleiche Passwort auf mehreren Plattformen
• Prüfe jede Steam-Login-Seite sorgfältig auf die Domain
• Halte dein Inventar und Profil privat, um keine Angriffsfläche zu bieten
• Verwende keinen öffentlichen PC für Steam-Logins
• Meistens kommen Anworten als Copy/Paste zurück, wenn man darauf reagiert
• Stelle der Person, die dir geschrieben hat eine Fangfrage, um möglichst schnell darauf zu reagieren z.B. „Wollten wir jetzt nicht XZY spielen?“, „Was soll ich genau bei dem Link machen?“
• Wenn ihr die gleichen Freunde in der Liste habt, dann sofort allen Bescheid geben über den Vorfall
• Helft betroffenen Personen, die auf die Falle hereingefallen sind

🕵️‍♂️ Was bedeutet „Browser-Extensions oder Session Sniffing“?

🔌 1. Gefährliche Browser-Erweiterungen (Extensions)

Browser-Erweiterungen wie z. B. Add-ons für „Steam Market“, „Skin-Checker“, „Preisvergleich“ oder „Trade-Optimierung“ wirken harmlos – können aber bösartigen Code enthalten.

Problem: Einige dieser Erweiterungen lesen aktiv deine Cookies, DOM-Inhalte oder manipulieren sogar die Steam-Weboberfläche.

Was kann passieren?

• Deine Steam-Login-Sitzung wird ausgelesen
• Eingabefelder auf der Loginseite werden abgefangen
• Bestätigungen oder Klicks auf „Trade-Angebote“ werden unbemerkt modifiziert

🔒 Tipp: Verwende nur Erweiterungen aus offiziellen Quellen, mit vielen Bewertungen und aktivem Support. Lieber sparsam als riskant.

🧠 2. Session Sniffing – Die unsichtbare Übernahme deiner Sitzung

Session Sniffing bezeichnet das Abgreifen deiner aktiven Login-Sitzung. Das bedeutet: Du bist bei Steam eingeloggt, aber ein Angreifer „stiehlt“ deine Session-ID (ein Cookie) und kann dich damit ohne Passwort oder 2FA imitieren.

So kann das passieren:

• Du besuchst eine manipulierte Webseite mit eingebettetem JavaScript
• Du klickst auf eine Browser-Erweiterung mit verstecktem Tracking
• Du verwendest öffentliches WLAN ohne HTTPS (selten, aber möglich)

Was kann der Angreifer dann tun?

• Er übernimmt deinen Steam-Account ohne dich auszuloggen
• Handelt in deinem Namen
• Ändert eventuell sogar E-Mail oder Telefonnummer

📌 Fazit

Scams auf Steam sind ein reales und wachsendes Problem. Mit Aufklärung, technischen Schutzmaßnahmen und kritischem Denken kannst du dich aber sehr effektiv davor schützen. Dieser Beitrag soll nicht nur informieren, sondern auch als Nachschlagewerk dienen.

Teile ihn mit deinen Freunden und Clans – je mehr aufgeklärt sind, desto schwerer haben es die Betrüger.