# Das Steam-Dossier: Regeln, Wege und Verantwortlichkeit

Canonical: https://phishdestroy.io/steam_dossier/de/index
Language: de
Author: PhishDestroy Team
Publisher: PhishDestroy

> Valve legt die Einschränkungen fest. Steam stellt die Infrastruktur bereit.

PhishDestroy II · Abschnitt 1 – Fallzusammenfassung Steam / Case File 001

# Ihre Regeln. *Ihr System.*

Valve legt die Einschränkungen fest. Steam stellt die Infrastruktur bereit.

Sechs Feststellungen, die jeweils mit einem datierten öffentlichen Dokument verknüpft sind. Die einzelnen Abschnitte folgen derselben Reihenfolge: Technische Unterlagen (Teil A), Vorschriften und Durchsetzungsmaßnahmen (Teil B), rechtliche Rahmenbedingungen (Teil C) sowie die Anhänge mit den wichtigsten Anlagen.

[Zusammenfassung lesen →](https://phishdestroy.io/steam_dossier/de/index#briefing-section)[Belege · EN ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive)

Untersuchung / Belege 03 · Belege

[01 Die zentrale Frage / selektive Durchsetzung ## Ein Regelwerk. Ungleiche Durchsetzung. Das Register listet kommerzielle Dienste auf, die Steam-Identitäten, Bestände, Bots und Übertragungen als Betriebsinfrastruktur nutzen. Die SSA verbietet die kommerzielle Nutzung und Automatisierung ohne Genehmigung. Read the rule & 2016 record ↗](https://phishdestroy.io/steam_dossier/de/index#enforcement-standard) [02 Teil A – Technische Unterlagen · Abschnitt 3 ## Die Website ist gesperrt. Die Anmeldeseite ist es nicht. 26 gesperrte Hauptdomains. Der Authentifizierungs-Proxy hinter jeder einzelnen Domain und wie lange dieser bereits aktiv ist. Authentifizierungshosts mit separaten Domänen: die Erkenntnisse aus dem Link-Filter ↗](https://phishdestroy.io/steam_dossier/de/index#proxy-bypass-explainer) [03 Abschnitt 2 – Offener Brief ## Offener Brief an die Glücksspielkommission des Bundesstaates Washington Aus zehn Tagen wurden zehn Jahre. Die Anfrage der Kommission aus dem Jahr 2016 an Valve wurde nicht mit einer Aufstellung nach einzelnen Betreibern beantwortet; in diesem Schreiben wird die Kommission gebeten, die Akte wieder aufzunehmen. Offener Brief an die Glücksspielkommission des Bundesstaates Washington ↗](https://phishdestroy.io/steam_dossier/de/index#wsgc-public-address)

[01 / UNTERSUCHUNG **Inhaltsverzeichnis →**](https://phishdestroy.io/steam_dossier/de/index#briefing-section)[02 / BELEGE **Belege · EN ↗**](https://phishdestroy.io/steam_dossier/steam_evidence_archive)[03 / ENTDECKEN **Entdecken · EN ↗**](https://phishdestroy.io/steam_dossier/output_steam_network/index.html)

DAS STEAM-DOSSIER / II

## Authentifizierung durch Dritte, Durchsetzung & *Datenzugriff*

Die maßgebliche forensische Untersuchung der strukturellen Lücken, Mechanismen zur Umgehung von Proxy-Servern, der selektiven Durchsetzung sowie der regulatorischen Herausforderungen im Zusammenhang mit dem Steam-Web-API-Ökosystem.

[Open account access subsection](https://phishdestroy.io/steam_dossier/de/investigation_part2)

Abschnitt 1 – Fallzusammenfassung 

## Die Regel. Der Rekord. Die offenen Fragen.

Kontext und Quellenbeschränkungen

Sechs Feststellungen, die jeweils mit einem datierten öffentlichen Dokument verknüpft sind. Die einzelnen Abschnitte folgen derselben Reihenfolge: Technische Unterlagen (Teil A), Vorschriften und Durchsetzungsmaßnahmen (Teil B), rechtliche Rahmenbedingungen (Teil C) sowie die Anhänge mit den wichtigsten Anlagen.

Sechs Erkenntnisse. Jede davon verknüpft eine schriftliche Regel mit einer datierten Aufzeichnung und einer Frage, die anhand der Beweislage überprüft werden kann.

1. Authentifizierungshosts mit separaten Domänen – 44 Routen · 26 geteilte Paare 

Die Aufzeichnungen im Live-Register **44 Plattformen, die sich über eine separate, registrierbare Domain authentifizieren**. Fünf weitere Routen befinden sich in der ausstehenden Überprüfung und warten auf einen RDAP-Termin; würden diese hinzugefügt, würde sich die Gesamtzahl auf 47 erhöhen. Sie sind in der Zahl 44 und in der Altersübersicht nicht enthalten. — **27 mit einer veröffentlichten Nachweisdatei pro Route** sowie 17 aus der manuellen Erfassung hinzugefügte, die separat aufgeführt sind. In **26 Filter-Split-Paare** Die Hauptdomain lautet **GESPERRT** im Steam-Linkfilter, während der Proxy, der diese Anmeldedaten überträgt, nicht blockiert ist. Es handelt sich hierbei nicht um Wegwerf-Domains: csgogem.com ist blockiert, während `api.csgem.com`, der Host mit der Kennung Steam, ist seit März 2014 registriert — **12 Jahre und 6 Monate**. Valve empfängt diesen Hostnamen bei jeder OpenID-Anfrage und zeigt ihn dem Nutzer auf seiner eigenen Anmeldeseite an. Die vollständige Tabelle mit den Altersangaben pro Route und den Herkunftsangaben findet sich in Abschnitt 3.

[Der Route folgen →](https://phishdestroy.io/steam_dossier/de/index#proxy-bypass-explainer)

2. 2016: Der Mechanismus wurde benannt, die Frist festgelegt 

Am 13. Juli 2016 beschrieb Valve öffentlich, wie Glücksspielseiten Steam OpenID und automatisierte Handelskonten nutzten, und in den Mitteilungen seines Rechtsbeistands vom 20. Juli 2016 wurde eine Frist von zehn Tagen gesetzt. Seitdem wurde keine Aufstellung der Durchsetzungsmaßnahmen nach Betreibern veröffentlicht. Zehn Jahre nach Ablauf dieser Frist wird derselbe benannte Mechanismus auf Authentifizierungs-Hosts mit separaten Domains verwendet, die am 2026-09-21 keine Blockierung durch den Link-Filter zurückgaben.

[Lesen Sie den offenen Brief an die WSGC →](https://phishdestroy.io/steam_dossier/de/index#wsgc-public-address)

3. Geräteabgleich, auf Briefpapier der Kanzlei 

In dem hier wiedergegebenen Schriftwechsel beschrieb der Rechtsbeistand von Valve eine Korrelation auf Geräteebene, bei der ein Gerät mit mehreren Konten verknüpft wird – eine Funktion, von der der Steam-Support den Nutzern zuvor mitgeteilt hatte, dass sie technisch nicht möglich sei. Die offene Frage ist, welche Daten auf Geräteebene Valve besitzt und auf welcher Grundlage den Kontoinhabern der Zugriff darauf verweigert wird.

[Lesen Sie das Memorandum →](https://phishdestroy.io/steam_dossier/de/index#official-memorandum)

4. Zwei Reaktionen auf die Zugangsanfrage. In einem Fall wurden die Daten zurückgehalten, im anderen wurden sie weitergegeben. 

**Oktober 2025:** Der Anwalt von Valve antwortete auf ein Ersuchen gemäß § 15 mit einem 830-seitigen Anhang, in dem die Schwärzungen über den Text gemalt wurden, anstatt ihn zu entfernen — **902,270 Zeichen** mit einem Standard-Extraktionswerkzeug wiederherzustellen, einschließlich der Identifikatoren von Drittanbietern, die durch die Sperrstriche verborgen werden sollten. Art. 15 Abs. 4 ist der Grund für das Vorhandensein dieser Sperrstriche. **September 2026:** Das Ticket HT-2YBP-F7JP-D4VB wurde nach drei Tagen mit einem Link zur Self-Service-Seite „Kontodaten“ geschlossen – ohne Angaben zu den Daten und ohne Angabe einer Rechtsgrundlage. Die einmonatige Frist gemäß Art. 12 Abs. 3 war zum Zeitpunkt der Veröffentlichung noch nicht abgelaufen; der Einspruch bezieht sich auf den Sachverhalt.

[Lesen Sie die Überprüfung der Redaktion →](https://phishdestroy.io/steam_dossier/de/index#academic-response)[Ticket-Eintrag lesen →](https://phishdestroy.io/steam_dossier/de/index#gdpr-live-case)

5. Der Markt oberhalb der Obergrenze von Steam 

Steam begrenzt die Marktkapitalisierung auf etwa **$1,800**. Auf fünf Marktplätzen in einer veralteten Momentaufnahme (23. September 2026), **248 CS2-Artikelkategorien** von zwei oder mehr von ihnen unabhängig voneinander über dieser Obergrenze angeboten werden, und **Alle 248 fehlen in Steam**; ein fabrikneues „Dragon Lore“-Exemplar kostet ab **$10,941** über 389 Exemplare, die in allen fünf Listen aufgeführt sind (die Zahl für „CSFloat“ allein in Abschnitt 13, basierend auf dem Snapshot vom 20. September, beträgt $10,623.95 bei 62 Angeboten). Der Verkauf zu diesen Preisen erfordert eine externe Handelsplattform, während die Artikelübertragung weiterhin über Steam läuft.

[Preisentwicklung verfolgen und Überweisung vornehmen →](https://phishdestroy.io/steam_dossier/de/index#market-gap-section)

6. Die Regel ist eindeutig; der Prüfpfad ist es nicht. 

Die Nutzungsvereinbarung behält Steam für den persönlichen, nichtkommerziellen Gebrauch vor, untersagt die kommerzielle Nutzung, sofern dies nicht ausdrücklich gestattet ist, verbietet Skripte und Bots und erlaubt die Kündigung des Kontos. Valve hat diese Bestimmungen im Jahr 2016 auf Glücksspielanbieter angewendet. Unabhängig davon wurde laut dem Entwickler-Account von CSFloat Valve geschlossen `IEconItems_730/GetPlayerItems` im Jahr 2017, wodurch der öffentliche Zugriff auf die IDs der Originalelemente aufgehoben wurde (kein Valve-Änderungsprotokoll gefunden).

[Lege die Regel neben das Netzwerk →](https://phishdestroy.io/steam_dossier/de/index#enforcement-standard)

[2016 / Schriftliche Aufforderung **10 Tage** Frist gemäß den Mitteilungen der Valve-Anwälte an Glücksspielseiten vom Juli 2016. Offener Brief an die WSGC: Abschnitt 2.](https://phishdestroy.io/steam_dossier/de/index#wsgc-public-address) [2017 / Öffentlicher Prüfpfad **Zugang per Ausweis gesperrt** CSFloat protokolliert den Verlust von ursprünglichen Artikel-IDs.](https://phishdestroy.io/steam_dossier/de/index#evidence-blackout) [Korrespondenz mit dem Rechtsbeistand **Gerätekorrelation** Ein Gerät, das mit Dutzenden gestohlener Konten in Verbindung steht.](https://phishdestroy.io/steam_dossier/de/index#official-memorandum) [Streckenverzeichnis **Gesperrt, aber weiterhin beim Einloggen** **Die Regel:** Die Erklärung von Valve aus dem Jahr 2016 verbietet den Betrieb eines Glücksspielunternehmens auf Steam OpenID. **Die Bilanz:** Im Link-Filter sind 26 Hauptdomains hinterlegt, während der Host, auf dem jeweils die Steam-Anmeldung läuft, bereits seit — im Fall von csgogem.com seit 12 Jahren und 6 Monaten – in Betrieb ist.](https://phishdestroy.io/steam_dossier/de/index#proxy-bypass-explainer)

Abschnitt 2 – Offener Brief 

## Offener Brief an die Glücksspielkommission des Bundesstaates Washington

Aus zehn Tagen wurden zehn Jahre. Die Anfrage der Kommission aus dem Jahr 2016 an Valve wurde nicht mit einer Aufstellung nach einzelnen Betreibern beantwortet; in diesem Schreiben wird die Kommission gebeten, die Akte wieder aufzunehmen.

ÖFFENTLICHE MITTEILUNG · GLÜCKSSPIELKOMMISSION DES BUNDESSTAATES WASHINGTON

### Aus zehn Tagen wurden zehn Jahre. *Öffnen Sie den Datensatz erneut.*

An die Glücksspielkommission des Bundesstaates Washington:

Im Jahr 2016 forderte Direktor David Trujillo Valve auf, darzulegen, welche Maßnahmen das Unternehmen ergriffen hatte, um die Nutzung von Steam-Skins für Glücksspiele zu unterbinden. Der damalige Vorsitzende Chris Stearns und die Kommission sahen sich einer Branche gegenüber, die auf von Valve ausgegebenen Gegenständen und Steam-Transfers basierte. Beide Männer haben inzwischen ihre Ämter in der Kommission niedergelegt. Die Frage, die sie an Valve gerichtet hatten, ist noch nicht hinfällig.

Der Justiziar von Valve, Karl Quackenbush, räumte den Glücksspielanbietern eine Frist von zehn Tagen ein, um die kommerzielle Nutzung von Steam-Konten einzustellen. In seiner Antwort an Ihre Kommission vom Oktober bestritt Valve, Glücksspiele zu ermöglichen, gab an, Unterlassungsaufforderungen an mehr als vierzig Websites verschickt zu haben, und erklärte, die damit verbundenen Konten deaktiviert zu haben. Das Unternehmen verteidigte zudem die Beibehaltung von Steam-Handel und OpenID, da diese Dienste Kunden und Spieleentwicklern zugutekämen. **Das war ein Machtbeweis. Das verdient eine Überprüfung, keine Unterwürfigkeit.**

Unserer Einschätzung nach hat die Antwort von Valve nicht gezeigt, dass die gewählten Durchsetzungsmaßnahmen dem Umfang des beschriebenen Netzwerks angemessen waren. Ein Drohbrief an einen Betreiber ist nicht dasselbe wie eine dauerhafte Sperrung der Steam-Konten, der Handelsinfrastruktur und der Authentifizierungswege, die das Geschäft erst möglich machen. Gemäß den gemeldeten Schätzungen belaufen sich [Allein die CS:GO Lounge verzeichnete im Jahr 2016 ein Wettvolumen von über $1 Milliarden](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896); dabei handelt es sich um eine externe Schätzung der Einsätze, nicht um Einnahmen in Höhe von Valve, und der ursprüngliche „Skin-Betting“-Betrieb der Website wurde später eingestellt. Das Ausmaß machte eine nachprüfbare Durchsetzung unerlässlich.

Heute, Valves eigene [Abonnentenvertrag](https://store.steampowered.com/agreement/?l=english) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) schränkt die kommerzielle Nutzung ein, sofern dies nicht ausdrücklich gestattet ist, und verbietet darüber hinaus ausdrücklich bestimmte Formen der Automatisierung. Unsere [veraltetes Streckenverzeichnis](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) Einträge, die OpenID-Return-Hosts für externe Dienste angeben; `openid.realm` und `openid.return_to` sind Felder, die an Steam gesendet werden, und keine Geheimnisse, die vor ihm verborgen bleiben. Unsere [Link-Filter-Prüfungen](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) zeigt Fälle, in denen vor einer Hauptadresse gewarnt wurde, ein zugehöriger Anmeldehost jedoch nicht. Ein Filterergebnis allein kann nicht beweisen, dass Valve eine Anmeldung zugelassen hat oder dass ein bestimmter Bot eine Kontosperre umgangen hat. **Dies beweist, dass eine Warnung auf der Startseite nicht als vollständige Antwort in Bezug auf den Zugang herangezogen werden kann.**

Auch die Existenz nützlicher, rechtmäßiger Steam-Handels- und OpenID-Funktionen gibt keinen Aufschluss darüber, ob verbotene Betreiber tatsächlich ausgeschlossen wurden. Die eigenen Regeln von Valve lassen ausdrückliche Ausnahmen zu. Sollte sich Valve auf diese Unterscheidung stützen, sollte die Kommission das Unternehmen auffordern, die für kommerzielle Skin-Unternehmen geltenden Genehmigungs-, Kontokontroll- und Durchsetzungskriterien sowie die spezifischen, nicht dem Glücksspiel dienenden Verwendungszwecke anzugeben, auf die es sich im Jahr 2016 berufen hat. Die bloße Möglichkeit einer rechtmäßigen Nutzung ist keine Antwort auf nachgewiesene verbotene Nutzung.

Wir bitten die Kommission, ihre Akte aus dem Jahr 2016 erneut zu prüfen und eine Aufstellung nach einzelnen Betreibern anzufordern: Welche Steam-Konten und Trading-Bots wurden nach den zehntägigen Fristsetzungen deaktiviert; ob verbundene Konten oder Return-Hosts überwacht wurden; welche Betreiber später wieder Zugang erhielten; welche Ausnahmegenehmigungen erteilt wurden; und welche Unterlagen die Aussage von Valve gegenüber der Kommission stützen. Veröffentlichen Sie alles, was nach geltendem Recht der Öffentlichkeit zur Einsichtnahme zusteht. Vergleichen Sie diese Unterlagen mit den aktuellen Routen und mit den späteren Eingriffen von Valve, einschließlich [OPSkins im Jahr 2018](https://blog.counter-strike.net/expresstrade/) [archiviert 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/).

**In der Mitteilung wurde im Juli 2016 eine Frist von zehn Tagen gesetzt; zehn Jahre sind lang genug, um festzustellen, ob dies umgesetzt wurde.** Die Kommission sollte den Bericht von Valve aus dem Jahr 2016 anhand der Infrastruktur überprüfen, die heute noch nachweisbar ist.

Die Steam-Dossier-Untersuchung · Öffentliche Erklärung, 20. September 2026

[Bekanntmachung der Kommission von 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [archiviert 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Antwort von Valve aus dem Jahr 2016 (Kopie des Dokuments) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Valves OpenID-Erklärung aus dem Jahr 2016 ↗](https://store.steampowered.com/oldnews/22883) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [Aktuelle Steam Vereinbarung ↗](https://store.steampowered.com/agreement/?l=english) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · Zeitachse des Austauschs im Jahr 2016: [Abschnitt 11 →](https://phishdestroy.io/steam_dossier/de/index#case-study-section)

Teil A – Technische Unterlagen · Abschnitt 3 

## Die Website ist gesperrt. Die Anmeldeseite ist es nicht.

**26 gesperrte Hauptdomains. Der Authentifizierungs-Proxy hinter jeder einzelnen Domain und wie lange dieser bereits aktiv ist.** Diese separaten Auth-Hosts sind keine zufälligen Zweitadressen – jeder einzelne ist ein **Authentifizierungs-Proxy für Steam**, der zwischen dem Plattform-Endpunkt und dem OpenID-Endpunkt von Valve steht und die Anmeldung übernimmt, die die gesperrte Domain nicht mehr offen durchführen kann. Valve hat den Link-Filter als „Haustür“ eingerichtet. Die Anmeldung lief weiterhin über den Proxy: csgogem.com ist gesperrt, und `api.csgem.com` ist seit März 2014 registriert — **zwölfeinhalb Jahre**. An jedem dieser Tage sendete der jeweilige Host seinen eigenen Hostnamen an den OpenID-Endpunkt von Valve, und Steam zeigte ihn dem Nutzer auf der Anmeldeseite direkt wieder an. **Valve ist der Stamm, durch den jede dieser Routen verläuft; er muss sie nicht finden.** Genau das wird in diesem Abschnitt gemessen: nicht, ob eine Warnung vorliegt, sondern wie viele Jahre die Strecke hinter der Warnung befahrbar bleibt. Im Register sind 44 Strecken mit getrennten Domänen verzeichnet, von denen für 27 eine nach Strecken aufgeschlüsselte Belegdatei veröffentlicht wurde – siehe die Tabelle unten. Schauen Sie sich zunächst ein Beispiel an und messen Sie dann alle.

### Abbildung 3.1 – Die beiden Routen, grafisch dargestellt.

Eine Plattform, ein Nutzer, zwei Anfragen, die denselben Browser verlassen. Der Link-Filter von Valve greift bei beiden an. Er blockiert die Anfrage, die einen Link enthält, und lässt die Anfrage durch, die die Anmeldedaten enthält. Alle in diesem Abschnitt gemessenen Werte geben an, wie lange die untere Route offen bleibt.

Wische seitlich über das Diagramm →

Link gepostet am Steam — beendet Anmeldeanfrage – Pässe Aufbewahrte Schecks vom 19. und 21. September 2026

**Beide Anfragen sind für Valve sichtbar, und es wird nur eine davon bearbeitet.** Der Link-Filter ist eine Valve-Liste, die von einem Valve-Dienst überprüft wird. Die OpenID-Anfrage übermittelt den eigenen Namen des Authentifizierungshosts an den Endpunkt von Valve, der ihn direkt auf der Anmeldeseite anzeigt. Der Hostname ist in jedem Fall in der Anfrage enthalten – der Unterschied besteht darin, ob damit etwas unternommen wird.

**Ein Bahnsteig. Zwei verschiedene Strecken.** ROLLBIT / GESPEICHERTE BEOBACHTUNGEN

**01** DIE PRÜFUNG DES LINKFILTERS

REISEZIEL**rollbit.com** Die Hauptdomain der Plattform

DAMPF-VERBINDUNGSFILTER**Überprüft den Link** Ein eigenständiges Zielwarnsystem

GESPEICHERTES ERGEBNIS**Link gesperrt** 19. und 21. September 2026

**02** DER BEOBACHTETE ANMELDEABLAUF

AUF DEM PERRON**Mit Steam anmelden** Die Plattform initiiert eine OpenID-Anfrage

SEPARATER AUTH-HOST**rbsnin.com** Kein „Link-Filter“-Block in der gespeicherten Prüfung

STEAM**Anmeldeformular wurde bereitgestellt** Der angeforderte Host erscheint in der Meldung von Steam

**Beginnen Sie mit dem Zielort.** rollbit.com ist die Hauptdomain der Plattform. Diese erste Spur zeigt die gespeicherte Überprüfung des Linkfilters und nicht eine abgeschlossene Benutzerreise.

**Ein sichtbarer Block.** Der Link-Filter von Steam hat für die Hauptdomain die Meldung „Link gesperrt!“ zurückgegeben. Die Rohantwort wurde gespeichert.

**Die Authentifizierung erfolgt über einen anderen Weg.** Die Aktion „Mit Steam anmelden“ der Plattform löst eine OpenID-Anfrage über einen separaten Authentifizierungshost aus.

**Ein anderer Hostname.** rbsnin.com gab am 21. September 2026 keinen Link-Filter-Block zurück – am selben Tag und bei derselben nicht authentifizierten Überprüfung, bei der rollbit.com einen zurückgab. Registriert wurde die Domain drei Tage zuvor, am 18. September 2026.

**Die Anfrage erreicht Steam.** Der beobachtete Pfad führte zum Anmeldeformular von Steam. Die Autoren haben die Anmeldung nicht abgeschlossen. Das Blockieren des Links zur Hauptdomain hat diesen beobachteten Pfad zum Formular nicht blockiert.

Überprüfen Sie die ursprünglichen Erfassungsnotizen, das Registrierungsdatum und die Protokolldaten

So sieht die Durchsetzung von Valve aus

Hauptdomain: gesperrt

Benutzer

→ 

rollbit.com
(Hauptdomain)

↓

STEAM-LINK-FILTER – GESPERRT 

„Link gesperrt!“ – als potenziell schädlich gekennzeichnet

rollbit.com hat bei 2026-09-19 und 2026-09-21 eine Blockierung durch den Link-Filter zurückgegeben (Prüfung ohne Authentifizierung; Roh-HTML und SHA-256 gespeichert). Ein sichtbarer, nachvollziehbarer Datensatz.

Was tatsächlich passiert – Authentifizierung

Auth-Host: nicht gesperrt

Benutzer

→ 

rollbit.com
„Mit Steam anmelden“

↓

Weiterleitung über einen separaten Authentifizierungshost: 
`rbsnin.com` Link-Filter: CLEAN 

registriert 2026-09-18T09:34:52Z (Verisign RDAP)

↓

Steam Hinweis auf der Anmeldeseite (2026-09-20): 
`"Note that rbsnin.com is not affiliated with Steam or Valve"`

Steam gibt diesen Hinweis aus dem „openid.realm“ der empfangenen Anfrage aus.

↓

Steam Anmeldeformular, das für den separaten Host bereitgestellt wird 
Die Autoren haben die Anmeldung nicht abgeschlossen; der Ablauf wurde bis zum Formular „Steam“ beobachtet.

Valve erhält bei jeder solchen Anfrage den Hostnamen „return_to / realm“. rbsnin.com hat bei 2026-09-21 keine Sperre durch den Link-Filter zurückgegeben.

Auf Anfrage

Als OpenID-Anbieter erhält Steam bei jeder Authentifizierungsanfrage den Auth-Hostnamen: Dieser trifft auf den eigenen Servern von Valve in der `openid.return_to` und `openid.realm` Parameter.

Von der Website gesendet

Der Authentifizierungshost wird beim Scan nicht ermittelt – die Plattform übermittelt ihn in jeder Anfrage an Steam. Gemäß OpenID 2.0 §9.1 `return_to` ist formal optional, aber ohne diese Angabe kann Steam das Anmeldeergebnis nicht ausgeben; für eine funktionierende Steam-Anmeldung ist sie daher faktisch erforderlich. Steam zeigt dem Benutzer sogar den Hostnamen an („*<host> steht in keiner Verbindung zu Steam oder Valve*").

14 Jahre

ist das Alter des ältesten Auth-Hosts, der bei der 2026-09-21-Prüfung noch Steam Anmeldungen aufweist (dota2.net, registriert am 2011-10-29); der jüngste ist drei Tage alt (rbsnin.com). **Die Zahl „0 gesperrte Authentifizierungshosts“ sollte nicht als Ergebnis gewertet werden.** Ein gesperrter Authentifizierungshost würde die Funktion „Anmelden mit Steam“ der Plattform vollständig lahmlegen, daher kann ein aus funktionierenden Anmeldungen erstelltes Verzeichnis nur Hosts enthalten, die nie gesperrt wurden. Die aussagekräftige Zahl ist nicht die Anzahl der Sperrungen – es geht darum, wie viele Jahre die Hauptdomain im Link-Filter verbleibt, während die daneben liegende Anmeldung weiterhin funktioniert.

Authentifizierungshosts mit separaten Domänen: Registrierungsdatum im Vergleich zur Hauptdomäne (30 Routen: die 25, die im Browser-Audit 2026-09-21 aufgelöst wurden, sowie 5, die am 2026-09-22 hinzugefügt wurden)

| Plattform | Link-Filter: Hauptseite | Auth-Host | Link-Filter: Authentifizierungshost | Auth-Host registriert | Beobachtungsquelle | Beweismittelakte |
| --- | --- | --- | --- | --- | --- | --- |
| Rollbit rollbit.com · Reg. 2014-11-08 | GESPERRT 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (kein Wayback-Snapshot) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam Hinweis auf der Anmeldeseite, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) |
| Skin.Club skin.club · Registrieren 2017-09-04 | GESPERRT 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | SAUBER 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam Hinweis auf der Anmeldeseite | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) |
| Howl.GG howl.gg · Registrieren 2017-03-16 | GESPERRT 2026-09-18, 19.09., 21.09. · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | SAUBER 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) |
| Duelbits duelbits.com · registriert 2020-02-03 | GESPERRT 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | SAUBER 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | Angegebene OpenID-URL | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) |
| CSGOFast csgofast.com · registriert 2015-03-27 | GESPERRT 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | SAUBER authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| Farmskins farmskins.com · Reg. 2016-03-23 | GESPERRT 2026-09-19, 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | SAUBER 2026-09-19, 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) |
| CobaltLab cobaltlab.tech | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | Angegebene OpenID-URL | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) |
| CSGO.NET csgo.net · registriert 2012-07-22 | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Live-Aufzeichnung im Browser | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) |
| GGDrop ggdrop.com | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | Angegebene OpenID-URL | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) |
| RustChance rustchance.com | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | Angegebene OpenID-URL | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) |
| Skin.Fans skin.fans | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | Angegebene OpenID-URL | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) |
| Skinport skinport.com · Registrieren 2018-09-05 | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) |
| Skins.Cash skins.cash | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | Angegebene OpenID-URL | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) |
| TF2Hunt tf2hunt.com · Registriert 2018-01-13 | GESPERRT 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) |
| CSGOGem csgogem.com · registriert 2016-10-16 | GESPERRT 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com – separate, registrierbare Domain | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP – ältester Eintrag im Register | Manuelle Erfassung + Erfassung über den Link-Filter | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Gamdom gamdom.com · Registrieren 2016-07-29 | GESPERRT 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com – nur ein Buchstabe anders als die Marke | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Manuelle Erfassung + Erfassung über den Link-Filter | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| 12CS 12cs.fail · reg. 2026-03-24 | GESPERRT 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Manuelle Erfassung + Erfassung über den Link-Filter | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| CSGOEmpire csgoempire.com · registriert 2015-06-10 | SAUBER 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` eine von zehn nummerierten Domänen login1–10 | SAUBER 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Live-Aufzeichnung im Browser | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) |
| CS.MONEY cs.money | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam Hinweis auf der Anmeldeseite | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) |
| CSFloat csfloat.com · Reg. 2021-07-11 | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` Ehemalige Markendomain des Betreibers; eigenständige, registrierbare Domain, kein Hinweis auf eine Umgehung | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Live-Aufzeichnung im Browser | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) |
| G4Skins g4skins.com | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | Angegebene OpenID-URL | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) |
| Juice.GG juice.gg | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | Angegebene OpenID-URL | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) |
| Markt.CSGO market.csgo.com | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) |
| Rust.TM rust.tm | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Angegebene OpenID-URL | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) |
| CSGOLounge csgolounge.com · Registriert 2013-08-14 | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` drittes Frontend auf diesem Authentifizierungshost | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Manuelle Erfassung + Erfassung über den Link-Filter | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Dota2Lounge dota2lounge.com · Registriert 2012-08-10 | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` viertes Frontend auf diesem Authentifizierungshost | SAUBER 2026-09-22 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Manuelle Erfassung + Erfassung über den Link-Filter | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| SkinBaron skinbaron.de | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` gleiche Marke, andere TLD | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | Angegebene OpenID-URL | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) |
| TF2Royal tf2royal.com · Registriert 2022-08-17 | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Live-Browser-Aufzeichnung + bereitgestellte OpenID-URL | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) |
| Tradeit tradeit.gg | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | Angegebene OpenID-URL | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) |
| Upgrader upgrader.pro | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | SAUBER 2026-09-21 · [reines HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | Angegebene OpenID-URL | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) |

Quelle: steamcommunity.com/linkfilter, GET ohne Authentifizierung, 2026-09-21, 53 Hosts, 3 s Abstand; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); reines HTML in `steam_tos_assets/linkfilter-raw/`. Anmeldefristen: RDAP, [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · Frühere Überprüfung von 2026-09-19 in [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · Routendaten in [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · Wayback-Machine-Momentaufnahmen der Link-Filter-Seiten, 2026-09-21, aufgeführt unter [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (Für rbsnin.com liegt kein Snapshot vor; die lokale Raw-Datei ist der einzige Datensatz).

Anmeldefristen: RDAP (`steam_tos_assets/domain-registry/`). Die „bereitgestellte OpenID-URL“ legt lediglich die Anfrageparameter fest, stellt jedoch keine abgeschlossene Anmeldung dar. Die Autoren haben auf keiner Plattform eine Anmeldung abgeschlossen. Eine separate Domain ist für sich genommen kein Beweis für eine Umgehung. Auch „0 gesperrte Authentifizierungshosts“ ist kein eigenständiger Befund: Das Sperren eines solchen Hosts würde die Anmeldung auf dieser Plattform unterbrechen, sodass ein aus funktionierenden Anmeldungen zusammengestelltes Verzeichnis keinen gesperrten Authentifizierungshost enthalten kann. Aussagekräftig ist die Paarung und deren Dauer – eine Hauptdomain im Link-Filter neben einer Anmeldedomain, die seit Jahren besteht. Diese Tabelle umfasst 30 Zeilen: 25 der 27 Routen mit einer nach Routen geordneten Beweisdatei sowie fünf, die unter 2026-09-22 hinzugefügt wurden, deren Aufteilung im Link-Filter in [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) obwohl die Daten selbst manuell erfasst wurden – das geht aus den Einträgen in der Spalte „Quelle“ hervor. Die beiden nicht dargestellten Pfade der Evidenzdateien sind skinsnipe.com (Authentifizierungshost `pricing.tradeupspy.com`, registriert unter 2020-03-11) und csgobig.com (Auth-Host `letmeinbig.com`, registriert 2023-01-20); beide lieferten bei der Überprüfung von 2026-09-22 das Ergebnis „BLOCKED main / CLEAN auth host“, aufgezeichnet mit SHA-256 in [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), doch der Roh-HTML-Code für diesen Stapel ist nicht im veröffentlichten Datensatz enthalten, weshalb sie hier namentlich aufgeführt werden, anstatt eine Zeile zu erhalten, wie es bei jeder anderen Zeile in dieser Tabelle der Fall ist. Die verbleibenden 12 manuell erfassten Routen im Register sind als solche gekennzeichnet in [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) unter `realm_src: user`.

Primäre empirische Prüfung · Mehrjähriger Zeitraum 

### Die „Big Picture“-Falle: Der Link-Filter ist bloßes Compliance-Theater, kein Schutzschild

In Desktop-Browsern werden Nutzer durch externe Schutzmaßnahmen geschützt: Google Safe Browsing und Microsoft SmartScreen wehren bekannte Phishing-Angriffe mit roten Vollbild-Warnungen ab. **Im „Big Picture“-Modus von Steam, im Overlay im Spiel (Umschalt+Tab) und im Steam-Deck (SteamOS) gibt es diese Schutzmaßnahmen nicht.** Der integrierte Browser unterstützt keinerlei Erweiterungen, deaktiviert externe „Safe Browsing“-Engines und lässt dem Nutzer genau eine Schutzbarriere: die von Valve. `linkfilter` Zwischenraum.

Wischen, um alle vier Ergebnisse zu vergleichen →

92.5%

2025–2026: Modernes Edge-Phishing **ohne Beanstandungen bestanden** (37/40)

77.5%

Phishing in der CS2-Ära 2023–2024 **ohne Beanstandungen bestanden** (31/40)

70.0%

Phishing-Angriffe aus den Jahren 2021–2022 **ohne Beanstandungen bestanden** (28/40)

7 / 7

Glücksspiel-Hauptleitungen gesperrt (Positivkontrolle)

Mehrjährige Langzeituntersuchung: 120 reine Steam-Phishing-Domains live getestet (24. September 2026)

Um zu prüfen, ob der Filter von Valve neue Bedrohungen lediglich langsam erfasst oder ihnen grundsätzlich blind gegenüber ist, haben wir eine Überprüfung durchgeführt **120 bestätigte Steam-spezifische Phishing-Domains** über drei historische Kohorten hinweg im Vergleich zu `steamcommunity.com/linkfilter`:

- **Kohorte 1: 2021–2022 (Klassisches Tauschangebot & Item-Drops) — 70.0% Clean Pass (28/40).** Selbst 4 bis 5 Jahre, nachdem sie von Community-Überwachungsinitiativen erfasst wurden, lassen sich 7 von 10 älteren Phishing-Hosts immer noch ungehindert aufrufen.

- **Kohorte 2: 2023–2024 (CS2-Beta-Hype & gefälschte Support-Anfragen) — 77.5% Clean Pass (31/40).** Kampagnen, die sich als Veröffentlichungen von „Counter-Strike 2“ ausgeben, sowie gefälschte Aufrufe der Community (z. B. `cs2-steam.com`, `appealsteamcommunity.help`) gehen direkt hindurch.

- **Kohorte 3: 2025–2026 (Serverlose Edge-Bereitstellungen & Favicon-Klone) — 92.5% Voller Erfolg (37/40).** Moderne Phishing-Kits, die auf EdgeOne, Vercel und Cloudflare Pages bereitgestellt werden (z. B. `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) praktisch ungehindert passieren.

**Telemetrie und Haftungsschutz – kein Schutz.** Warum gibt es den Link-Filter, wenn er von 70% bis 92.5% reines Steam-Phishing durchlässt? Er dient als Haftungsausschluss für Unternehmen und als Sensor zur Erfassung ausgehender Klicks. Durch die höfliche Darstellung *„Du verlässt Steam“* Hinweis mit einer anklickbaren grünen Schaltfläche „Weiter“; Valve verlagert die rechtliche Verantwortung gemäß dem Steam Abonnentenvertrag auf das Opfer (*„Der Nutzer hat Steam freiwillig verlassen“*). Valve erfasst die Telemetriedaten des Klicks, verhindert den Diebstahl jedoch nicht.

**Der Favicon-Hash-Nachweis: Keine Erfassung von Bedrohungs-Feeds.** Unabhängige Plattformen für Bedrohungsinformationen (urlscan.io, Shodan, Censys) identifizieren aktive Steam-Phishing-Kits durch eine einfache Suche nach dem offiziellen Favicon-Hash von Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). Diese automatisierte Grundprüfung deckt aktive Phishing-Cluster innerhalb von Sekunden auf. Valve synchronisiert sich nicht mit externen Feeds, führt keine hashbasierte Bedrohungssuche durch und greift nur dann manuell ein, wenn dies von Aufsichtsbehörden vorgeschrieben wird (die WSGC-Verfügung zum Glücksspiel aus dem Jahr 2016) oder um seine markenrechtlich geschützten Domain-Strings zu schützen.

**Primäre Prüfungsnachweise:** Mehrjährige Längsschnittstudie mit 120 Domänen: [longitudinal-steam-phishing-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 spezifische Steam-Phishing-Beispiele: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · Umfassende Futtermittelprüfung (n = 250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json).

CSGOEmpire – Sammelregistrierung von zehn nummerierten Auth-Domains 

Am **2020-07-20** zehn nummerierte Domänen, `csgoempirelogin1.com` durch `csgoempirelogin10.com`, wurden registriert. Für alle zehn liegen Verisign-RDAP-Zeitstempel vor: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **neun Domains in 22 Sekunden** — und „login10“ um 05:56:03Z, sieben Minuten später. Der zeitliche Abstand passt zu einem einzigen Massenvorgang eines Registrars.

Das Muster stimmt mit vorab bereitgestellten Fallback-Hosts überein; nur `login4` Dies wurde bei einer Live-OpenID-Anfrage festgestellt. Sowohl csgoempire.com als auch csgoempirelogin4.com lieferten im Link-Filter den Status „CLEAN“ bei 2026-09-21; CSGOEmpire gehörte nicht zu den Websites, die in den Presseberichten zu den Mitteilungen vom Juli 2016 genannt wurden.

# DNS – alle 10 aktiv (September 2026)

OK csgoempirelogin1.com 172,67,129,43

OK csgoempirelogin2.com 172,67,175,168

OK csgoempirelogin3.com 188.114.96.3

OK csgoempirelogin4.com 188.114.96.11 ← im OpenID-Datenverkehr

OK csgoempirelogin5.com 172,67,160,194

OK csgoempirelogin6–10.com Cloudflare-IP-Adressen

NXDOMAIN: csgoempirelogin11.com

Alle 10 registriert 2020-07-20; alle 10 mit RDAP-Zeitstempel versehen (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)

Schlussfolgerung für die Regulierungsbehörden 

### Eine gesperrte Hauptdomain in Verbindung mit einem nicht gesperrten Auth-Host lässt die Anmelderoute offen – und diese bleibt über Jahre hinweg offen.

Der Link-Filter-Block auf der Hauptdomäne ist ein überprüfbarer, öffentlicher Datensatz. Der Auth-Host überträgt den Datenverkehr „Anmelden mit Steam“ und erscheint in den OpenID-Anfrageparametern von Valve. Bei Überprüfungen von 2026-09-21 und 2026-09-22 gab die Hauptdomain in 26 Filter-Split-Paaren eine „Link Filter“-Sperre zurück, während der Proxy, der die Anmeldung übertrug, keine zurückgab. Die obige Auflistung erfasst die andere Hälfte davon: Bei diesen Hosts handelt es sich nicht um kurzlebige Wegwerf-Domains. Einige waren zum Zeitpunkt der Überprüfung bereits seit mehr als einem Jahrzehnt registriert, und jeder dieser Tage ist ein Tag, an dem Valve den Hostnamen in seinen eigenen Anfrageparametern erhalten hat. Valve hat keine Aufzeichnungen über die Durchsetzung pro Betreiber veröffentlicht, sodass anhand öffentlicher Daten nicht festgestellt werden kann, ob gegenüber diesen Hosts weitere Maßnahmen ergriffen wurden.

12 Jahre und 6 Monate

csgogem.com wird im Linkfilter blockiert.
Sein Anmeldehost `api.csgem.com` war
ist seit 2014-03-08 registriert und ist es nicht.

Zusammenfassung in einfacher Sprache – Für Aufsichtsbehörden und Gerichte (erweitern)

Zusammenfassung in einfacher Sprache – für Aufsichtsbehörden

### Hintergrund: Was Steam ist und warum es hier von Bedeutung ist

Steam ist eine Softwareplattform, die von der Valve Corporation (Bellevue, Washington, USA) betrieben wird. Steam fungiert als Anbieter digitaler Identitäten: Glücksspiel- und Gaming-Websites im Internet nutzen ein System namens „Anmelden mit Steam“ – eine Schaltfläche, über die eine Website überprüfen kann, ob ein Besucher über ein echtes Steam-Konto verfügt. Dies ähnelt der Funktion „Mit Google anmelden“ oder einer Überprüfung anhand eines amtlichen Ausweises: Die Website leitet den Nutzer zu den Servern von Steam weiter, Steam bestätigt dessen Identität und Steam leitet ihn zurück zur Website. **Valve betreibt das Authentifizierungssystem. Jede einzelne Anmeldung über „Mit Steam anmelden“ läuft über die eigenen Server von Valve.**

### Was Valve getan hat: Die Domain-Sperre

Im Juli 2016 sandte der Rechtsbeistand von Valve infolge des medialen und rechtlichen Drucks im Zusammenhang mit „Skin-Glücksspielen“ Mahnungen an etwa 23 namentlich genannte Glücksspiel-Websites (laut Presseberichten vom 21. Juli 2016); im Oktober 2016 teilte Valve der Glücksspielkommission des Staates Washington mit, dass es mehr als vierzig Seiten kontaktiert habe. Einige Glücksspiel-Domains tauchen in der **Steam Linkfilter** — eine Liste, die bewirkt, dass bei jedem Link zu diesen Seiten, der innerhalb von Steam gepostet wird (im Chat, auf einer Profilseite, im Shop), eine Warnseite angezeigt wird: *„Link gesperrt!“* Der Link-Filter ist die einzige Durchsetzungsmaßnahme, deren Wirkung von außerhalb von Valve beobachtet werden kann.

**Beispiel:** Ein Link zu `rollbit.com` Im Bereich Steam wird die Warnseite des Link-Filters angezeigt (2026-09-19 und 2026-09-21 sind markiert). Theoretisch ist die Glücksspiel-Website gesperrt.

### Was ist eine Proxy-Domain?

A **Ein Auth-Host mit separater Domäne ist ein Authentifizierungsproxy.**: eine zweite Website-Adresse auf einer anderen registrierbaren Domain, die derselbe Betreiber zwischen seine Nutzer und Steam schaltet, ausschließlich zu dem Zweck, den Schritt „Mit Steam anmelden“ durchzuführen. Sie fungiert als Proxy für die Anmeldung. Der Nutzer glaubt, sich bei der Plattform anzumelden; die Anfrage, die bei Valve eintrifft, enthält jedoch den Hostnamen des Proxys und nicht den der Plattform. In der Regel besteht keine öffentlich sichtbare Verbindung zur Glücksspiel-Website, und es ist diese Adresse, an die die Nutzer zurückgeleitet werden, nachdem Steam ihre Identität bestätigt hat.

**Beispiel:** Rollbit wird betrieben unter `rollbit.com`, die vom Link-Filter blockiert wird. Bei der Authentifizierung auf Steam verwendete der auf 2026-09-20 beobachtete Datenfluss eine separate Adresse: `rbsnin.com`, registriert unter 2026-09-18. Diese Adresse wurde zurückgegeben **kein Link-Filter-Block** am 2026-09-21. Die Glücksspiel-Website war weiterhin in Betrieb, und ihr Steam-Anmeldeprozess lief über den nicht gesperrten Host.

### Der kritische Punkt: Der Auth-Host wird bei jeder Anfrage an Steam gesendet

Valve muss weder scannen noch crawlen, um zu ermitteln, welche Authentifizierungshosts verwendet werden. Steam ist der **OpenID-Identitätsanbieter** für diese Websites, und jeder Klick auf „Mit Steam anmelden“ sendet eine GET-Anfrage an die eigenen Server von Valve, die den Authentifizierungs-Hostnamen im Klartext enthält. Gemäß OpenID 2.0 §9.1 gilt die `return_to` Das Feld ist formal optional, aber ohne dieses Feld kann Steam das Anmeldeergebnis nicht ausgeben; für eine funktionierende Steam-Anmeldung ist es daher praktisch erforderlich. Steam selbst zeigt den Hostnamen auf der Anmeldeseite an („*<host> steht in keiner Verbindung zu Steam oder Valve*").

— Form der Anfrage, die Steam empfängt (Host, wie bei Rollbit unter 2026-09-20 beobachtet): —

GET steamcommunity.com/openid/login

&openid.mode= checkid_setup

&openid.return_to= https://rbsnin.com/… ← wird praktisch benötigt; erscheint im Logbuch von Valve

&openid.realm= https://rbsnin.com ← von der Website selbst angegeben; wird auf der Anmeldeseite von Steam angezeigt

Wenn die Website eine Server-zu-Server-Überprüfung (check_authentication) verwendet, werden im Protokoll von Valve auch die Server-IP-Adresse der Plattform und das Hosting-Netzwerk erfasst.

Das Extrahieren des Hostnamens aus dieser Anfrage ist ein Standardvorgang. Die Aufzeichnung der Durchsetzungsmaßnahmen – welche Hosts betroffen waren, welche nicht und nach welchen Kriterien – existiert ausschließlich in der Infrastruktur von Valve und wurde nicht veröffentlicht.

### Was dies beweist

**1. Der Block „Link-Filter“ wirkt sich auf Links aus, nicht auf Anmeldungen.** Die Hauptdomain sperren (zum Beispiel `rollbit.com`) zeigt Nutzern, die innerhalb von Steam auf Links dazu klicken, eine Warnung an. Dies beeinträchtigt weder den Betrieb der Website noch die Nutzung des eigenen OpenID-Dienstes von Valve über eine andere Adresse.

**2. Die getesteten Authentifizierungshosts wurden nicht blockiert.** Die obige Tabelle zeigt Authentifizierungshosts mit separaten Domänen, die zwischen 2011 und September 2026 registriert wurden, einige davon noch Jahre nach den Benachrichtigungen vom Juli 2016. Bei 26 Paaren gab die Hauptdomain eine „Link Filter“-Sperre zurück, der Proxy, der die Anmeldung übertrug, jedoch nicht (nicht authentifizierte Prüfungen, 2026-09-21 und 2026-09-22; Rohantworten und SHA-256 gespeichert). Dieser Proxy würde an dem Tag nicht mehr funktionieren, an dem Valve ihn ablehnte; daher ist das Kriterium hier, wie lange er gelaufen ist, und nicht, ob er aufgeführt ist. Valve erhält diese Hostnamen in seinen eigenen OpenID-Anfragen. Ob neben dem Link-Filter noch andere Maßnahmen angewendet wurden, lässt sich anhand öffentlicher Daten nicht feststellen, da Valve keine Aufzeichnungen über die Durchsetzung pro Betreiber veröffentlicht hat.

**3. Die Websites führten die Authentifizierung weiterhin über die Infrastruktur von Valve durch.** „Mit Steam anmelden“ ist ein Dienst von Valve; jede Authentifizierung über diesen Dienst ist eine Anfrage, die Valve empfängt und verarbeitet. Valve erzielt ebenfalls Einnahmen aus Case-Keys, und der Steam Community Market erhebt eine kombinierte Gebühr von etwa 15% auf Transaktionen, die innerhalb des Marktes abgeschlossen werden (nicht auf externe Handelsgeschäfte). Die Aktion „Link Filter“ hat einen öffentlichen Datensatz erstellt; sie hat die Authentifizierungsbeziehung nicht unterbrochen.

Hätte eine Blockade funktioniert?

Analog dazu: Als der kostenlose Domain-Registrar Freenom im Jahr 2023 seinen Betrieb einstellte, wurden Phishing-Kampagnen, die auf dessen Domains basierten, unterbrochen. Die Betriebskontinuität hängt von der Stabilität der Infrastruktur ab.

Hier gilt dieselbe Logik. Würde ein Authentifizierungshost bei der OpenID-Verarbeitung von Steam abgelehnt, würde die Funktion „Mit Steam anmelden“ der Plattform so lange nicht funktionieren, bis ein neuer Host registriert, Zertifikate ausgestellt und die DNS-Änderungen übernommen sind. Während dieses Zeitraums käme es zu Ausfallzeiten.

**Durch die Rotation wird das Blocken nicht sinnlos.** Dadurch wird das Blockieren zu einem Betriebskostenfaktor. Da neue Hosts bei ihrer ersten Nutzung in den eigenen Anfrageprotokollen von Valve erscheinen, könnte eine Antwort mit der Geschwindigkeit dieser ersten Nutzung erfolgen.

**Die Sammelregistrierung ist an sich schon ein Signal:** Die Einträge „login1–login10“ von CSGOEmpire wurden am 2020-07-20 registriert, neun davon innerhalb von 22 Sekunden (Verisign RDAP). Eine Antwort muss nicht domänenweise erfolgen; eine fortlaufende Reihe aus einer Registrarsitzung kann als Serie identifiziert werden.

Aus den öffentlich zugänglichen Aufzeichnungen geht kein Versuch hervor, authentifizierte Hosts zu blockieren, der durch die Rotation vereitelt wurde.
Es zeigt die gesperrten Hauptdomains, während der Proxy, über den die jeweilige Anmeldung erfolgte, weiterlief – 26 Paare (Stand: 2026-09-22), wobei der älteste Authentifizierungshost vor 12 Jahren und 6 Monaten registriert wurde – und es gibt für keinen Betreiber einen veröffentlichten Durchsetzungsnachweis.
Die Frage an die Regulierungsbehörde lautet daher: Welche Durchsetzungsmaßnahmen hat Valve gegebenenfalls auf die Authentifizierungshosts angewendet, die sie in ihren eigenen OpenID-Anfragen erhält?

Was Valve tat – und warum es den Auth-Pfad nicht unterbrach

Die folgende Tabelle ordnet jede öffentlich dokumentierte Valve-Maßnahme dem Kriterium zu, ob sie den OpenID-Authentifizierungszugangspunkt betraf. Das Ergebnis lautet nicht „Valve hat nichts unternommen“ – vielmehr hat keine der öffentlich dokumentierten Maßnahmen den Punkt berührt, an dem Anmeldungen bei Glücksspielplattformen über die Server von Valve laufen.

| Datum | Valve Aktion | Betroffen `openid.return_to` Pfad? |
| --- | --- | --- |
| Juli 2016 | Öffentliche Erklärung vom 13. Juli 2016; Mitteilungen des Anwalts an ~23 namentlich genannte Standorte (Presse, 21. Juli 2016); >40 Standorte wurden gemäß dem Schreiben von Valve vom Oktober 2016 an die WSGC kontaktiert | Nein. Benachrichtigungen und der Link-Filter wirken sich auf Operatoren und Links aus; der OpenID-Anforderungspfad wurde nicht geändert. |
| 2017 | Schließung von `IEconItems_730/GetPlayerItems` (laut dem Entwicklerkonto von CSFloat; es wurde kein Valve-Changelog gefunden) | Nein. Betroffen war die Sichtbarkeit des Verlaufs öffentlicher Einträge. Die OpenID-Authentifizierung wurde nicht geändert. |
| 2018-03-29 | CS:GO: 7-tägige Handelssperre angekündigt (blog.counter-strike.net) | Nein. Die Datenübertragung wurde verlangsamt; der OpenID-Anforderungspfad wurde nicht geändert. |
| 2022-05-10 | Endpunkte für die Stornierung von Handelsvorgängen wurden aus der öffentlichen Web-API entfernt (vom Benutzer entdeckt; kein Valve-Changelog – node-steam-tradeoffer-manager #325) | Nein. Das Tool für den Angebotsaustausch wurde geschlossen; die OpenID-Authentifizierung wurde nicht geändert. |
| 2023-12-04 | Für die Erstellung eines API-Schlüssels ist nun eine Bestätigung per Handy erforderlich (steamcommunity.com/dev/apikey; kein Changelog) | Nein. Der wichtige Endpunkt wurde geschützt; die hier dokumentierten Authentifizierungshosts waren nicht betroffen. |
| 2026-09-19 / 21.09. | Steam Link: Filterzustand, wie er von den Autoren beobachtet wurde | Nr. 14 der Hauptdomänen lieferte bei der gespeicherten 2026-09-21-Nachprüfung einen Block zurück – 26 geteilte Paare im Register durch 2026-09-22 –, während der Proxy, der die jeweilige Anmeldung übertrug, weiterlief. |

Quellen: Valve Erklärung vom 13. Juli 2016 ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [archiviert 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · Technischer Bericht von CSFloat zur Schließung im Jahr 2017 ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [archiviert 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Status des Linkfilters: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json).

Diese Erkenntnis lässt sich durch einen einzigen veröffentlichten Fall widerlegen, in dem Valve eine OpenID-Anfrage abgelehnt hat, weil `openid.return_to` verwies auf einen Host mit Glücksspiel-Zulassung. In den öffentlich zugänglichen Unterlagen konnte keine solche Instanz gefunden werden.

Die beiden zuletzt vorgenommenen Registrierungen von Auth-Hosts

**howl.uno** wurde am 2026-08-11 (RDAP) registriert, 41 Tage vor 2026-09-21; howl.gg gab am 2026-09-18, 2026-09-19 und 2026-09-21 eine Sperre durch den Link-Filter zurück. Ob die Sperre vor der Registrierung erfolgte, ist nicht geklärt.

**rbsnin.com** wurde unter 2026-09-18T09:34:52Z (Verisign RDAP) registriert und wurde am 2026-09-20 im Anmeldeablauf von Rollbit unter Steam über einen Hinweis auf der eigenen Anmeldeseite von Steam festgestellt; rollbit.com gab am 2026-09-19 und 2026-09-21 eine Blockierung durch den Link-Filter zurück, rbsnin.com hingegen nicht.

Jeder Host in der obigen Tabelle wird an die Authentifizierungsserver von Valve gesendet als `openid.realm` bei jedem Anmeldeversuch.

Vollständige Daten pro Route und Ergebnisse des Link-Filters: die Tabelle in Abschnitt 3 oben; Rohdaten in [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) und [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Methodik – Wie die Zahlen für Routen- und Verbindungsfilter ermittelt wurden

1. Domain-Auflösung

Im Rahmen des 2026-09-21-Audits wurden 78 der 189 angeforderten Plattformen abgearbeitet: **33 authentifizieren sich über ihren eigenen Hostnamen und 20 über ihre eigene Subdomain – direkte Authentifizierung, und keine davon wird als Route einer separaten Domäne gezählt.** Die übrigen **25 Authentifizierung über eine separate, registrierbare Domain**, verteilt auf 24 verschiedene Hostnamen (dota2.net wird von market.csgo.com und rust.tm gemeinsam genutzt): 10 wurden durch Live-Browser-Erfassung ermittelt, 3 durch einen Hinweis auf der Anmeldeseite von Steam und 12 durch eine bereitgestellte OpenID-URL. Das Live-Register ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) erweitert dies auf **44 Routen mit separaten Domänen**: 26 Filter-Split-Paare (Hauptdomain BLOCKED, Authentifizierungshost CLEAN) sowie 18 weitere Routen ohne Aufteilung nach Hauptdomain. Von den 44, **27. Eine Nachweisdatei pro Route führen**; die übrigen 17 wurden von Hand gesammelt und sind gekennzeichnet `realm_src: user` im Register. Fünf dieser siebzehn – csgogem.com, gamdom.com, 12cs.fail, csgolounge.com und dota2lounge.com – wurden am 2026-09-22 hinzugefügt, wobei für beide Hosts eine Link-Filter-Erfassung vorlag (Raw-HTML + SHA-256 in [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), sodass die Aufteilung selbst belegt ist, obwohl der Bereich manuell erfasst wurde; sie erscheinen in der obigen Tabelle neben den Routen aus den Belegdateien. `tfauth.com` (tf2easy.com) wurde um 2026-09-22 aus dem Register gestrichen: Wie bei arena.fragnet.net gibt es keine nachprüfbaren Hinweise auf eine Verbindung zur Ursprungsseite. Die Zahl lässt sich aus den veröffentlichten Daten erneut ableiten. [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (Lauf von 2026-09-21) nach einer Regel: Eine Plattform zählt nur dann, wenn ihr beobachteter Steam OpenID-Host auf einer anderen registrierbaren Domain liegt als die Plattform selbst.

2. Steam Status des Linkfilters

Getestet über `steamcommunity.com/linkfilter/?url=https://[domain]`, nicht authentifiziert, auf 2026-09-19 und 2026-09-21; Roh-HTML mit SHA-256 gespeichert. Der Status wird für die Hauptdomain und den Authentifizierungshost separat erfasst. Ein Klassifikator unterscheidet den allgemeinen Hinweis „Sie verlassen Steam“ (CLEAN) von der Seite „Link gesperrt! … als potenziell bösartig markiert“ (BLOCKED); eine google.com-Kontrollseite bestätigt, dass die beiden nicht verwechselt werden. Eine frühere, authentifizierte Variante dieses Tests wurde verworfen, nachdem sie für jede Domain – einschließlich dieser Kontrollinstanz – den Status „blockiert“ zurückgab; dies wurde auf ein ungültiges Sitzungs-Cookie im Testskript zurückgeführt und stellte kein echtes Ergebnis dar.

3. Überprüfung des Authentifizierungshosts

Live-Aufzeichnung: Ein Playwright-Browser rief den Anmeldeprozess der jeweiligen Plattform auf und der `openid.return_to` Der Hostname wurde aus der abgefangenen Anfrage ausgelesen. Hinweis zur Anmeldeseite: Der Hostname wurde aus Steams eigener „*<host> steht in keiner Verbindung zu Steam oder Valve*" Text, der Steam aus `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). Übermittelte URL: a Steam – den Autoren wurde eine Login-Formular-URL bereitgestellt; diese legt die Anfrageparameter fest, stellt jedoch keinen abgeschlossenen Anmeldevorgang dar. Auf keiner Plattform wurde eine Anmeldung abgeschlossen.

4. Berichterstattung – Was wurde nicht geklärt, und warum ist das von Bedeutung?

Von den 189 Plattformen, **110 ergab keine festgelegte Route** und einer war nicht zutreffend (189 − 78 − 1). In diesem Dossier wurde keiner davon berücksichtigt. Die Aufschlüsselung der 110 Fälle aus der Prüfungsdatei: 22 Bot-Prüfungen, 14 Timeouts, 12 HTTP-Fehler und 10 Navigationsfehler – der Beobachter konnte den Anmeldeablauf nicht erreichen, obwohl sich die meisten dieser Websites in einem normalen Browser wie gewohnt öffnen lassen; 20 wiesen auf der Landingpage keine Steam-Anmeldekontrolle auf; 16 gelangten zu einem Anmeldeablauf, der nicht auf einen Host aufgelöst werden konnte; 11 Domains konnten im DNS nicht aufgelöst werden; 5 blieben an einer Einwilligungsabfrage hängen. Die nachstehende Tabelle unterteilt dieselben 110 Fälle anders: Die 11, die im DNS nicht aufgelöst werden konnten, sind separat aufgeführt als *Entfernt · NXDOMAIN*, und der eine Eintrag, auf den dies nicht zutrifft, reiht sich in die übrigen ein. 189 Plattformen wurden geprüft, 11 wurden aufgrund eines endgültigen NXDOMAIN-Ergebnisses von beiden Resolvern entfernt, **178 beibehalten** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **137 Authentifizierungsdomänen, die das Ledger anhand des Namensmusters erraten hatte, wurden aus den Daten auf 2026-09-19 gelöscht – sie wurden nie beobachtet und stellten daher auch keinen Beweis dar.** Drei der Vermutungen wurden durch die angegebenen OpenID-URLs widerlegt: buff.163.com, gamerpay.gg und csgoluck.com führen die Authentifizierung direkt durch, während die Vermutungen auf buffauthproxy.163.com, gamerpayredirect.io und lucklogin.app lauteten. Die entfernten Einträge sind in der veröffentlichten Audit-Datei aufgeführt.

Die Zahl 25 ist ein Mindestwert, keine Obergrenze. Von den 78 Plattformen, bei denen eine Authentifizierung erfolgreich war, nutzten 25 eine separate Domain und 53 nicht. Aus diesem Verhältnis lassen sich keine Rückschlüsse auf die 110 nicht authentifizierten Plattformen ziehen, und an keiner Stelle dieses Dossiers findet sich eine Hochrechnung auf deren Grundlage. Jede einzelne lässt sich auflösen, indem man die Seite öffnet und auf „Mit Steam anmelden“ klickt: Der Hostname für die Authentifizierung befindet sich in der URL der Steam-Seite, die geladen wird.

**Der Kernpunkt dieses Abschnitts:** Ein unabhängiger Beobachter benötigt einen Browser und viel Geduld, um 189 Plattformen zu ermitteln, und hat 78 gefunden. Valve erfordert eine Datenbankabfrage. Jede Plattform, die „Mit Steam anmelden“ verwendet – sowohl ermittelte als auch nicht ermittelte –, sendet `openid.realm` bei jeder Anmeldung an den Authentifizierungsendpunkt von Valve. Die Lücke in dieser Tabelle ist darauf zurückzuführen, dass sich die Autoren außerhalb des Systems befinden. Bei Valve besteht diese Lücke nicht.

Die beobachteten Proxy-Hostnamen befinden sich in [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). Domain-Registrierungsdaten von RDAP (Verisign) / IP2WHOIS. Die Ergebnisse des Link-Filters lauten [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Eine Analogie zur Verdeutlichung

Stellen Sie sich vor, ein zugelassenes Taxiunternehmen erhält von den Aufsichtsbehörden die Anweisung, dass es seinen Betrieb nicht mehr von seiner registrierten Adresse in der Main Street aus führen darf. Das Unternehmen entfernt das Schild an der Main Street. Diese Entfernung des Schildes wird dokumentiert. Das gleiche Unternehmen eröffnet jedoch eine Niederlassung in der Side Street – registriert unter einem anderen Namen – und setzt seinen Betrieb von dort aus fort. Die Aufsichtsbehörden betreiben das zentrale Dispatch-System, das jedes Taxi von beiden Adressen aus nutzt. Bei jeder Fahrtanfrage wird „Abholung in der Side Street“ angezeigt. Die Aufsichtsbehörden entziehen die Lizenz für die Side Street zu keinem Zeitpunkt. **Die Entfernung des „Main Street“-Schilds war die einzige Durchsetzungsmaßnahme, die ergriffen wurde. Das Taxiunternehmen hat seinen Betrieb nie eingestellt.**

Teil A – Technische Unterlagen · Abschnitt 3.1 

### In Steam ist die Liste von Valve die einzige Liste.

Ein Link, auf den im Steam-Client, im In-Game-Overlay oder im Big-Picture-Modus geklickt wird, wird nicht im Browser des Benutzers geöffnet. Er wird im eigenen, eingebetteten Browser von Steam gerendert – wo die Warnebenen, die ein Browser anzeigen würde, nicht vorhanden sind. **Der Link-Filter ist nicht nur eine von mehreren Sicherheitsvorkehrungen. Er ist die einzige.**

**In einem normalen Browser** Drei unabhängige Schichten

- **Google Safe Browsing** Eine ganzseitige Zwischenseite für Hosts, die auf den Phishing- und Malware-Listen von Google aufgeführt sind; diese wird kontinuierlich aktualisiert und ist unabhängig von der besuchten Website.

- **Die Antiviren-Browsererweiterung** Die meisten Endpunktprodukte für Privatanwender enthalten ein Browser-Add-on, das die Zieladresse anhand der herstellereigenen Reputationsliste überprüft.

- **HTTPS-Prüfung an Endgeräten** Wenn das Produkt eine TLS-Prüfung durchführt, wird der Seiteninhalt gescannt, bevor er den Nutzer erreicht.

**Im Steam-Client: Overlay und Big Picture** Eine Schicht

- **Google Safe Browsing** Nicht vorhanden. Für die Überprüfung sind Google-API-Schlüssel erforderlich, die in eingebetteten Chromium-Builds nicht bereitgestellt werden; falls diese fehlen, wird laut der Chromium-Entwicklungsdokumentation der „Safe Browsing“-Handler schlichtweg nie in die Anforderungskette aufgenommen.

- **Die Antiviren-Browsererweiterung** Nicht vorhanden. Der Renderer von Steam ist nicht der Browser des Benutzers und lädt keine Erweiterung aus dem Browserprofil des Benutzers, sodass auf der Seite kein Add-on ausgeführt wird.

- **HTTPS-Prüfung an Endpunkten** Produktabhängig. Der Datenverkehr endet innerhalb eines codesignierten Valve-Prozesses und nicht in einem erkannten Browser, und eine Reihe von Endpunktprodukten nimmt signierte Anwendungen von der TLS-Prüfung aus.

- **Der Steam-Link-Filter** Die eigene Blockliste von Valve, die abgefragt wird, wenn ein Link das Steam-Ökosystem verlässt. Dies ist die einzige Überprüfung, die durchgeführt wird – und die obige Tabelle zeigt, welche Ergebnisse sie für die in diesem Abschnitt dokumentierten Authentifizierungshosts liefert.

Ein Test, den jeder Leser durchführen kann, und wenn er fehlschlägt, ist das Ergebnis hinfällig

Öffnen Sie eine der von Google veröffentlichten Test-URLs für „Safe Browsing“ (`testsafebrowsing.appspot.com`) in Chrome: Es erscheint eine ganzseitige rote Zwischenseite. Öffnen Sie dieselbe URL über eine Steam-Chatnachricht, sodass sie im Steam-Client oder im Overlay dargestellt wird: Es erscheint keine Zwischenseite. Die einzige Warnung, die Steam ausgeben kann, ist die eigene Link-Filter-Seite, und zwar nur für Hosts auf der Liste von Valve.

Valves eigene Bug-Bounty-Bilanz **Diese eine Ebene wurde bereits zuvor umgangen – auf Valves eigener Platte**

Wenn der Link-Filter die einzige Überprüfung ist, die auf dem Client ausgeführt wird, sind seine eigenen Fehlerquellen kein Nebenaspekt. Zwei Meldungen im Rahmen des HackerOne-Programms von Valve, die beide angenommen, behoben und inzwischen vollständig offengelegt wurden:

- [#291750](https://hackerone.com/reports/291750) [archiviert 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) Open Redirect · medium

### Umgehung des Link-Filterschutzes

Gemeldet am 19. November 2017, behoben, veröffentlicht am 9. Mai 2018. Der im Bericht enthaltene Proof-of-Concept: Ersetzen des ideografischen Punktes `。` (`%E3%80%82`) für den Punkt in einem Hostnamen — Es ist möglich, die Sperre zu umgehen. Der Zwischentext, um den es in diesem Abschnitt geht, wurde nicht angezeigt.

- [#1079561](https://hackerone.com/reports/1079561) [archiviert 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) Offenlegung von Informationen · hoch

### Der Webbrowser „Big Picture“ gibt Login-Cookies preis und legt sensible Informationen offen (kann zur Übernahme des Kontos führen)

Gemeldet am 15. Januar 2021, behoben, veröffentlicht am 21. September 2021. Die von Valve selbst festgelegte Schweregrad-Einstufung ist hoch, und der Titel gibt die Auswirkung an. Der veröffentlichte Datensatz enthält den Titel, die Einstufung und die Daten; die technische Beschreibung ist nicht Teil der veröffentlichten Daten, daher wird hier nichts Weiteres daraus zitiert.

**Die Interpretation der Autoren, nicht eine Feststellung aus einem der beiden Berichte:** Beide liegen auf beiden Seiten desselben Tors. Das eine ist die Warnung, die nicht erscheint, bevor sich das Ziel öffnet; das andere ist die Sitzung, die den Client verlässt, sobald eine Seite darin geöffnet ist. Die Abfolge, die auf eine gestohlene Sitzung folgt – Schlüsselregistrierung ohne Aufforderung, Stornierung des eigentlichen Handels, Versand eines Duplikats an einen Klon – ist das Muster, das in [Abschnitt 5](https://phishdestroy.io/steam_dossier/de/index#vulnerability-profile) zu [Abschnitt 8](https://phishdestroy.io/steam_dossier/de/index#consent-analysis). Beide Berichte sind abgeschlossen; keiner der beiden wird als aktuelle Sicherheitslücke aufgeführt. Was sie belegen, ist zwar enger gefasst, reicht aber aus: Die einzige verbleibende Schutzebene wurde nachweislich bereits umgangen, wie aus den eigenen Aufzeichnungen von Valve hervorgeht.

Quelle: Der HackerOne-Offenlegungsdatensatz für jeden Bericht, abgerufen am 2026-09-22 – Nummer, Titel, Team, Schwachstelle, Schweregrad, Datum der Meldung und der Offenlegung sowie Status, wie von HackerOne veröffentlicht. Abrufdatensatz: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). Hier wird kein Kopfgeldbetrag genannt; in den abgerufenen, veröffentlichten Unterlagen taucht auch keiner auf.

Feldbeobachtung · PhishDestroy **Erkennungen, die normalerweise eine Kampagne beenden, haben diese nicht beendet**

Wir haben beobachtet, wie Phishing-Hosts weiterhin Datenverkehr generierten, während sie **20 oder mehr Erkennungen von Anbietern**. Wird eine Kampagne in diesem Zustand über das Web oder per E-Mail versendet, ist sie innerhalb weniger Tage zum Scheitern verurteilt – sowohl der Browser als auch das Antivirenprogramm reagieren auf diese Bewertungen. Innerhalb von Steam ist dies jedoch nicht der Fall. Die Bewertungen waren die ganze Zeit über vorhanden. Auf dem Client wurde nie danach gefragt.

### Was das für einen Minderjährigen bedeutet, auf dessen Computer ein Antivirenprogramm installiert ist

Er ignoriert keine Warnung und deaktiviert nichts. In Steam geht eine Nachricht ein – ein kostenloses Messer, eine Stimme für das Team eines Freundes – und die Seite öffnet sich in Steam. Er öffnet nie einen Browser, daher schützt ihn der Browser auch nie. Sein Antivirenprogramm läuft und stuft diese Domain möglicherweise bereits als bösartig ein; es wird jedoch nie dazu aufgefordert. **Jede Warnung, die ihn hätte aufhalten können, gibt es bereits. Keine davon dringt zu ihm durch.** Er glaubt, dass er Steam nie verlassen hat, und das hat er auch nicht.

Das Werbegeschenk ist keine Erfindung des Phishers – mit kostenlosen Valve-Artikeln werben Skin- und Glücksspiel-Websites, und genau deshalb wirkt die Nachricht ganz normal. Beschwerden: [das Vollstreckungsarchiv](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#support-records). Angaben zu Alter und Kindern: [§ 17](https://phishdestroy.io/steam_dossier/de/index#minors-protection).

Quellen: Steam stellt Webinhalte über das Chromium Embedded Framework im `steamwebhelper` Prozess — siehe [Die technische Analyse von DARKNAVY vom 27. Juni 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) und Valves eigenes [Steam Client-Beta-Forum ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [archiviert 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). Es wird keine CEF-Version verwendet: Das eingebettete Chromium ist nicht Chrome und enthält keine der Google-Dienste von Chrome. „Safe Browsing“ ohne API-Schlüssel: [Chromium-Design-Dokument ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [archiviert 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [Chromium-API-Schlüssel ↗](https://www.chromium.org/developers/how-tos/api-keys/) [archiviert 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) („Viele der von Chrome verwendeten Google-APIs sind Google-spezifisch und nicht für die Verwendung in abgeleiteten Produkten vorgesehen“), und derselbe Effekt tritt auch in anderen Builds ohne Schlüssel auf — [Homebrew-Fass Nr. 193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). Test-URLs: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/).

Teil A – Technische Unterlagen · Abschnitt 4 

## Ein Endpunkt wurde geschlossen. Bei der öffentlichen Rückverfolgung ging ein Schlüssel verloren.

Kontext und Quellenbeschränkungen

Steam wurden Änderungen eingeführt, durch die die öffentliche Sichtbarkeit von Asset-IDs entfernt und der API-Zugriff auf den Bestand eingeschränkt wurde. Die Folge: Es wurde unmöglich, einen bestimmten Artikel anhand seiner ursprünglichen Asset-ID anhand öffentlicher Daten zurückzuverfolgen. Im Folgenden wird dargelegt, was zuvor möglich war, was danach nicht mehr möglich war und welche Kosten einem Opfer entstehen, das nachweisen möchte, wohin sein Eigentum gelangt ist. Laut dem Entwicklerkonto von CSFloat ist das Datum 2017; ein Valve-Changelog wurde nicht gefunden. Der zeitliche Ablauf – etwa ein Jahr nach der Erklärung zum Glücksspiel vom Juli 2016 – ist Gegenstand der Untersuchung, keine Feststellung. Die Gegenstanddatensätze selbst verbleiben in den Systemen von Valve; externe Ermittler haben den Zugriff auf die ursprüngliche ID-Kette verloren, während Float-, Seed- und Paint-Identifikatoren nur einen teilweisen Abgleich ermöglichen.

**Es gilt die Regel Valve:** Steam Der Support stellt keine Elemente wieder her, die Ihr Konto verlassen haben, und die Beweislast dafür, was geschehen ist, liegt bei Ihnen. **Die Bilanz:** Im Jahr 2017 schloss Valve den Endpunkt, über den die ursprünglichen Artikel-IDs übertragen wurden. Vorher konnte jeder einen gestohlenen Skin vom Konto des Opfers bis zu einem Marktplatz-Bot zurückverfolgen. Seitdem ist dies niemandem außerhalb von Valve mehr möglich. **Der Nachweis, um den das Opfer gebeten wird, ist der Nachweis, der ausgetauscht wurde.** — und es existiert immer noch, innerhalb von Valve.

### Die Zeit vor dem Stromausfall

In der Vergangenheit verfügte jeder auf Steam generierte virtuelle Gegenstand über eine global eindeutige, unveränderliche Asset-ID . OSINT-Datenbanken von Drittanbietern könnten diese IDs indexieren. Wenn einem Nutzer ein Gegenstand entwendet wurde, könnten Ermittler den Weg dieses bestimmten Gegenstands nachverfolgen, während er vom Zwischenkonto des Entführers in die Lagerkonten einer Handelsplattform oder einer Glücksspielseite gelangt.

VORHER: Jeder konnte anhand öffentlich zugänglicher Daten den Weg eines Gegenstands vom Konto des Opfers über Zwischenkonten bis hin zu einem Marktplatz oder einem Casino-Speicherbot verfolgen.

### Nach der Änderung

Laut dem technischen Bericht von CSFloat hat Valve den Endpunkt im Jahr 2017 geschlossen, und die ursprünglichen Artikel-IDs standen externen Parteien nicht mehr zur Verfügung. Es wurde keine Erklärung von Valve zum Grund für diese Änderung gefunden. Im gleichen Zeitraum wurden auch keine veröffentlichten Maßnahmen gegen die kommerziellen Bot-Konten gefunden, die Artikel in großem Umfang verschoben haben.

Was auch immer der Grund dafür sein mag, diese Änderung hat die öffentliche Nachverfolgungskette unterbrochen. Ein Geschädigter kann die ursprüngliche ID-Kette nicht mehr anhand öffentlicher Daten rekonstruieren, um nachzuweisen, dass ein bestimmter gestohlener Gegenstand über einen bestimmten Marktplatz oder ein bestimmtes Casino veräußert wurde. Die Datensätze zu den Gegenständen existieren zwar weiterhin in den Systemen von Valve, doch die Öffentlichkeit, Forscher und Strafverfolgungsbehörden, die mit öffentlichen Daten arbeiten, haben keinen Zugriff darauf.

NACHHER: Die Rückverfolgung eines bestimmten Objekts anhand seiner ursprünglichen Asset-ID ist anhand öffentlicher Daten nicht mehr möglich. Die ursprüngliche ID-Nachverfolgungskette für ein nach 2017 verlegtes Objekt existiert nur innerhalb der Infrastruktur von Valve; öffentlich wurden keine entsprechenden Aufzeichnungen veröffentlicht. Float-, Seed- und Paint-Identifikatoren ermöglichen nur einen teilweisen, probabilistischen Abgleich.

IEconItems_730

GET `/IEconItems_730/GetPlayerItems/v1/`

Nachverfolgbare Nutzlast (vor dem Patch)

`"id": "14892281934" ,`

`"original_id": "11829910211" ,`

Status: Das Opfer kann die Herkunft des Gegenstands über verschiedene Bot-Konten hinweg nachverfolgen.

Verschleierte Nutzlast (nach dem Patch)

Aktuell

`"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,`

`"original_id": "NULL" ,`

Status: Externe Parteien können die Herkunft eines Artikels anhand der ursprünglichen Asset-ID nicht mehr aus öffentlich zugänglichen Daten zurückverfolgen.

**Auswirkungen auf die Beweisführung:** Nach der Änderung standen die öffentlichen Daten, die erforderlich waren, um einen bestimmten Gegenstand anhand seiner ursprünglichen Asset-ID vom Konto eines Opfers bis hin zu einem Marktplatz oder Casino-Bot zu verfolgen, nicht mehr zur Verfügung. Die internen Aufzeichnungen existieren weiterhin unter Valve; ein Opfer, Forscher oder Ermittler, der auf der Grundlage öffentlicher Daten arbeitet, kann die ursprüngliche ID-Kette nicht rekonstruieren (Float-, Seed- und Paint-Identifikatoren ermöglichen nur einen teilweisen Abgleich).

Quelle: Bericht von CSFloat Engineering über die Schließung im Jahr 2017 von `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/how-floatdb-tracks-items](https://blog.csfloat.com/how-floatdb-tracks-items/) ([archiviert 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Die dargestellten Payloads dienen lediglich zur Veranschaulichung der Feldstruktur und stellen keine erfassten Antworten dar. · Es wurde kein Änderungsprotokoll (Valve) für die Closure gefunden.

Teil A – Technische Unterlagen · Abschnitt 5 

## Eine Sitzung. Mehr Zugriff, als der Benutzer sieht.

Kontext und Quellenbeschränkungen

Die API-Schlüssel-Architektur von Valve, wie sie vor den Änderungen im Jahr 2023 bestand, wich von den grundlegenden Branchenstandards ab (OWASP ASVS, NIST SP 800-63B) und entspricht dem Mechanismus, der in den automatisierten Beschwerden über Inventardiebstahl beschrieben wird, die im Beweisarchiv aufbewahrt sind (Abschnitte 6–8).

**Es galt die Regel Valve:** Der Kontoinhaber hat den Schlüssel erstellt, die Bedingungen akzeptiert und trägt den Verlust – so lautet die Antwort in den archivierten Ablehnungen. **Die Aufzeichnung:** Bis Dezember 2023 reichte ein gestohlenes Session-Cookie allein aus, um diesen Schlüssel zu registrieren. Kein Passwort. Kein Steam Guard. Keine Benachrichtigung an den Inhaber des Kontos. **Der Benutzer hat den Schlüssel nicht erstellt, konnte ihn nicht sehen und erhielt die Auskunft, er habe dies getan.** Die mobile Bestätigung wurde am 2023-12-04 hinzugefügt – etwa sieben Jahre nach der Erklärung von 2016 und rund sechs Jahre nach den Betrugsfällen, die im Archiv dokumentiert sind. Diese Jahre wurden nicht von Valve bezahlt. Sie wurden durch die Konten finanziert, die in der Zwischenzeit leergeräumt worden waren, darunter auch einige Kinderkonten.

OWASP ASVS 2.8 / NIST SP 800-63B SCHWERIGKEITSGRAD: KRITISCH

### 1. Unzureichende mehrstufige Authentifizierung

Steam ermöglichte die Generierung von API-Schlüsseln mit weitreichenden Berechtigungen und langer Gültigkeitsdauer, wobei lediglich ein Sitzungscookie verwendet wurde. Bei der Einrichtung oder Änderung eines Entwickler-API-Schlüssels war weder eine 2FA (Steam Guard) noch eine Step-up-Authentifizierung erforderlich, sodass die mobile Bestätigung Steam Guard – der einzige zweite Faktor, den Steam anbietet – diesen Schritt nicht schützte. (Ein zweiter Faktor in Form einer Hardware wurde 2016 im eigenen Tracker von Valve gefordert, und das Problem ist nach wie vor offen: Anhang D, GH-01.)

Status: Vor 2023 nicht behoben. Ein Skript, das ein gestohlenes Cookie enthielt, konnte ohne jegliche Benutzerinteraktion einen Schlüssel registrieren.

OWASP A01:2021 / Prinzip der geringsten Berechtigungen SCHWERWIEGENDKEIT: KRITISCH

### 2. Fehlen des Prinzips der geringsten Berechtigungen

Der Steam-Web-API fehlten jegliche rollenbasierten Autorisierungsbereiche. Ein für den „schreibgeschützten“ Bestandsstatus ausgestellter Entwickler-API-Schlüssel verfügte über vollständige „Schreib“-Berechtigungen – einschließlich der Möglichkeit, bestehende Transaktionen zu bearbeiten, neue zu initiieren, Webhooks zu registrieren und gültige, ausstehende Umtauschvorgänge abzulehnen.

Status: Systemweiter Konstruktionsfehler. Ein Schlüssel = vollständige Lese- und Schreibrechte über den Bestand und die Transaktionen des Kontos.

OWASP A07:2021 / Vorträge SCHWERWIEGENDKEIT: HOCH

### 3. Fehlerhafte Sitzungsverwaltung

Nutzer berichteten, dass entführte Web-Sitzungen, die von IP-Bereichen von Server-Hosting-Anbietern ausgingen, weiterhin bestanden. Üblicherweise werden Sitzungen bei geografischen Anomalien und bei einer Passwortänderung beendet; die im Archiv gesammelten Nutzerberichte beschreiben jedoch Sitzungen, die auch nach einer Passwortänderung weiterhin aktiv blieben.

Status: Gemeldetes Verhalten (Benutzerbeschwerden im Archiv). In bestimmten Sitzungen konnten API-Schlüssel ohne erneute Authentifizierung generiert werden.

Eine Sperrung auf Domain-Ebene war technisch machbar DURCHSETZBARKEIT

### 4. Eine Sperrung von Auth-Hosts auf Domain-Ebene war technisch machbar

Valve betreibt bereits eine Domänenliste (den Link-Filter) und erhält bereits jeden Auth-Hostnamen in seinen eigenen OpenID-Anfragen. Die beiden Mechanismen sind in keiner von außen sichtbaren Weise miteinander verbunden: Stand 2026-09-22 befand sich in 26 Fällen die Hauptdomain im Filter, während der Proxy, der die Anmeldung übermittelte, nicht darin enthalten war.

Sie miteinander zu verbinden, ist eine kleine technische Herausforderung: Lesen Sie die `openid.realm` Den Hostnamen jeder eingehenden Anfrage ermitteln, ihn mit einer Liste abgleichen und die Anfrage ablehnen oder markieren. Die Abbildung rechts veranschaulicht den Ablauf einer solchen Routine. Die Ablehnung des Authentifizierungshosts – und nicht nur der öffentlichen Startseite – würde den Schritt „Anmelden mit Steam“ unterbrechen, auf den diese Plattformen angewiesen sind.

Es gibt keine öffentlich zugänglichen Belege dafür, dass Valve eine solche Überprüfung durchführt. Die kombinierte Gebühr des Steam Community Market in Höhe von etwa 15% gilt für Verkäufe, die innerhalb des Marktes abgeschlossen werden; sie wird nicht auf externe Transaktionen dieser Plattformen erhoben.

block_auth_hosts.py ABBILDUNG

// Den Host Steam auslesen, der bereits Signale empfängt – kein Scannen

def on_openid_request(request):

host = parse_openid_realm(request)

falls Gastgeber in blockierte_Domains:

ablehnen (Antrag)

**Hinweis:** Pseudocode dient nur zur Veranschaulichung. Beide Teile sind bereits bei Valve vorhanden – der Hostname des Authentifizierers ist in der Anfrage enthalten, und die Domänenliste ist der Link-Filter. Es gibt keinen öffentlichen Eintrag, der erklärt, warum sie nicht miteinander verbunden sind.

Abschnitt 5.1 – Die Normen wurden nicht veröffentlicht 

### Valve wird jeden Tag nach diesen Regeln kompiliert. Hier ist die Kompilierung nach diesen Regeln jedoch fehlgeschlagen.

Steam ist im App Store und bei Google Play erhältlich, wickelt Zahlungen über die großen Zahlungsdienstleister ab und nutzt wie jede andere große Plattform APIs von Drittanbietern. Für jede dieser Beziehungen gelten veröffentlichte, datierte Sicherheitsanforderungen, die Valve erfüllen muss, um den Betrieb aufrechtzuerhalten. Vergleichen Sie die Daten dieser Anforderungen mit den Daten, an denen die eigene Web-API von Steam die gleichen Schutzmaßnahmen erhalten hat. **Bei den folgenden Angaben handelt es sich weder um einen internen Standard, noch um ein internes Memo oder ein Geschäftsgeheimnis: Jede Zeile ist ein öffentliches Dokument mit einem Veröffentlichungsdatum.**

Veröffentlichte externe Sicherheitsanforderungen mit ihren jeweiligen Daten im Vergleich zu dem Zeitpunkt, zu dem die Steam-Web-API die entsprechende Kontrollmaßnahme eingeführt hat

| Die veröffentlichte Norm und das Datum ihres Inkrafttretens | Die Steam-Web-API zur gleichen Frage |
| --- | --- |
| **Bereichsbezogene Berechtigung** OAuth 2.0 – RFC 6749, Oktober 2012. In Abschnitt 3.3 wird definiert `scope` So erhält ein Client nur die Zugriffsrechte, um die er bittet. Dies ist seitdem die Standardeinstellung jeder wichtigen Plattform-API. | **Granulare Gültigkeitsbereiche wurden eingeführt am 16. Januar 2026.** Zuvor gewährte ein einziger Steam-Web-API-Schlüssel uneingeschränkte Lese- und Schreibrechte für alle Transaktionen des Kontos, unabhängig davon, zu welchem Zweck er ausgestellt worden war. **Dreizehn Jahre und drei Monate** nach der Spezifikation, die das Steuerelement definiert. |
| **Ein Schlüssel ist keine Berechtigung.** Googles eigene Cloud-Dokumentation: Ein Standard-API-Schlüssel dient nicht zur Authentifizierung eines Prinzipals., und für APIs, die Ressourcen erstellen oder verwalten, Verwenden Sie in der Produktionsumgebung keine Autorisierungsschlüssel. | **Der Web-API-Schlüssel „Steam“ war genau das.** Eine Inhaberstring, die für ein Konto ausgestellt wurde und für sich allein ausreicht, um den Bestand abzurufen, einen ausstehenden Handel zu stornieren und einen neuen zu senden. Zum Zeitpunkt der Nutzung wurde kein Auftraggeber authentifiziert. |
| **Mehrfaktor-Authentifizierung bei privilegiertem Zugriff** PCI DSS 3.2, Anforderung 8.3 – verbindlich ab 1. Februar 2018 für alle nicht über die Konsole erfolgenden administrativen Zugriffe sowie für alle Fernzugriffe auf die Umgebung mit Karteninhaberdaten. Apple schrieb daraufhin eine Zwei-Faktor-Authentifizierung für jeden Inhaber eines Entwicklerprogramm-Kontos ab 27. Februar 2019: Entwickler mit der Rolle „Kontoinhaber“ in einem Entwicklerprogramm müssen die Zwei-Faktor-Authentifizierung aktivieren, um sich anzumelden. | **Es war ein zweiter Faktor erforderlich, um einen API-Schlüssel aus 4. Dezember 2023.** Bis dahin reichte ein gestohlenes Sitzungs-Cookie aus, ohne dass auf dem Smartphone des Kontoinhabers eine Abfrage erschien und ohne dass anschließend eine Benachrichtigung erfolgte. **Vier Jahre und neun Monate** Nachdem Apple selbst Valve dazu veranlasst hatte, einen zweiten Authentifizierungsfaktor zu verwenden, nur um sich bei einem Entwicklerportal anzumelden. |
| **Lebenszyklus und Sperrung von Berechtigungsnachweisen** Twitch stellt an jede Drittanbieter-Anwendung folgende Anforderungen: Ihre App muss das OAuth-Token beim Start und danach stündlich überprüfen., und gibt an, dass es Anwendungen überprüft, bei denen dies nicht der Fall ist. Seine veraltete v5-API wurde am 28. Februar 2022 gemäß einem veröffentlichten Fahrplan. | **Es gibt keine veröffentlichten Aufzeichnungen zum Schlüssel-Lebenszyklus.** Die Änderung im Jahr 2023 sicherte den Endpunkt für die Erstellung. Es wurde keine Valve-Anweisung gefunden, die sich auf bereits registrierte Schlüssel bezieht, und der Änderung lag überhaupt kein Änderungsprotokoll bei. Ob zuvor erstellte Schlüssel ungültig wurden, lässt sich anhand öffentlicher Daten nicht feststellen – und genau diese Frage müsste eine betroffene Person beantwortet bekommen, um zu wissen, ob ein vor Jahren auf ihrem Konto erstellter Schlüssel noch aktiv ist. |

Architektur-Benchmark // Token Architecture 

#### Fein abgestufte Gültigkeitsbereiche bei GitHub im Vergleich zur Web-API Valve Steam

Valve Entwickler verwalten täglich Open-Source-Software auf GitHub mithilfe von detaillierten Tokens mit minimalen Berechtigungen. Vergleichen Sie das mit dem monolithischen Schlüssel, der an 130 Millionen Steam Spieler ausgegeben wurde.

GitHub-Token mit hoher Granularität

Wird von Valve auf GitHub verwendet

Feinkörniges Token mit bereichsbezogener Isolation und zwingender Durchsetzung des Lebenszyklus.

Zugriff auf das Repository: Nur ausgewählte Repos (1 Repo)

Berechtigungen erteilen: Nur-Lese-Zugriff [✓]

Code & Geheimnisse: Kein Zugriff [✕]

Gültigkeitsdauer: 30 Tage (vorgeschriebene TTL)

Protokollierung von Prüfungen: IP, User-Agent und Zeitstempel

**Sicherheitslage:** Ein Token mit minimalen Berechtigungen begrenzt den Schaden auf eine einzige schreibgeschützte Ressource.

! Valve Steam Web-API-Schlüssel

An 130 Millionen Nutzer ausgegeben

Eine einzige, 32 Zeichen lange Master-Zeichenkette, die die Handels- und Lagerbestandsbefugnisse nach dem „Alles-oder-nichts“-Prinzip enthält.

Zugriff auf das Konto: VOLLSTÄNDIGES KONTO (monolithisch)

Handelsmanagement: Lesen, Stornieren, Ablehnen [!]

Granulare Geltungsbereiche: KEINE (Ankunft 2026, 13 Jahre zu spät)

Gültigkeitsende: NIEMALS (unbefristet gültig)

Protokollierung von Prüfvorgängen: KEINE (Der Nutzer hat noch keine IP-Historie)

**Sicherheitslücke:** Ein gestohlener Schlüssel ermöglicht das unbemerkte Abfangen aller ausgehenden Handelsangebote.

Der in einer Richtung angewandte Standard 

Angenommen, ein Anbieter Valve – sei es ein Cloud-Anbieter, ein Zahlungsdienstleister oder ein CDN – hat einen Endpunkt für Anmeldedaten ohne zweite Authentifizierungsstufe offen gelassen, und Monate später gelangten die Unternehmensdaten von Valve über einen an diesem Endpunkt generierten Schlüssel nach außen. Würde Valve akzeptieren, dass die Schuld bei demjenigen liegt, der auf den Link geklickt hat? Die in diesem Dossier archivierten Ablehnungen beantworten die spiegelbildliche Frage für den Nutzer: Man vertritt den Standpunkt, dass der Kontoinhaber den Schlüssel erstellt hat und den Verlust zu tragen hat. **Diese Architektur wird so beschrieben, dass in der einen Richtung der Anbieter versagt und in der anderen Richtung der Nutzer die Verantwortung trägt.** Ob dies der Fall ist, ist keine technische Frage, und es ist auch keine Frage, die im Rahmen dieser Untersuchung geklärt werden kann – darüber entscheidet ein Gericht oder eine Aufsichtsbehörde.

Veranschaulichung, kein Beweis – der Standard, umgekehrt gelesen 

- Ein Zahlungsabwickler, der es einem Skript eines Drittanbieters ermöglichte, allein anhand eines Browser-Cookies eine Transaktionsberechtigung mit uneingeschränkten Rechten zu generieren, ohne dass der Kontoinhaber dazu aufgefordert wurde.

- Ein Identitätsanbieter, der die Sicherheitslücke geschlossen hat, über die seine Token generiert wurden, und keine Informationen über die bereits generierten Token veröffentlicht hat.

- Eine Bank, die auf eine beanstandete Überweisung mit dem Hinweis reagierte, dass die verwendeten Zugangsdaten auf dem eigenen Konto des Kunden registriert seien, und den Vorgang abschloss.

Keine dieser Feststellungen bezieht sich auf ein konkret genanntes Unternehmen. Es handelt sich um dieselben gestalterischen Entscheidungen, übertragen auf einen Kontext, in dem die Reaktion der Aufsichtsbehörde gut dokumentiert ist – und genau diesen Vergleich soll eine Aufsichtsbehörde anstellen.

**Was aus den Akten hervorgeht:** Die in der Steam-Web-API fehlenden Kontrollen waren öffentlich, veraltet und stellten in mehreren Fällen Bedingungen dar, Valve die erfüllt werden mussten, damit das Unternehmen seine eigenen Produkte weiterhin ausliefern konnte. Der Zeitraum zwischen den einzelnen Standards und der entsprechenden Steam-Änderung ist messbar und wurde oben dargelegt. **Was damit jedoch nicht geklärt wird, ist der Grund dafür.** Es wurde keine Begründung für eines dieser Intervalle gefunden, und es wird hier auch keine angenommen; diese Aufzeichnung befindet sich in Valve und wurde nicht veröffentlicht.

Quellen, jeweils ein öffentlich zugängliches Dokument: OAuth 2.0 — [RFC 6749, Oktober 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [Dokumentation zu API-Schlüsseln ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · PCI DSS 3.2, Anforderung 8.3 — [PCI SSC-Leitfaden ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · Apple — [Bevorstehende Verpflichtung zur Zwei-Faktor-Authentifizierung für Kontoinhaber, 20. Februar 2019 ↗](https://developer.apple.com/news/?id=02202019a) [archiviert 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · Twitch — [Anforderung zur Token-Validierung ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) und die [Hinweis zur Einstellung von v5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [archiviert 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). Die Daten von Steam entsprechen denen im Aktualisierungsdatensatz in diesem Abschnitt; die Einträge für 2023 und 2026 sind diejenigen, die Valve ohne Änderungsprotokoll veröffentlicht hat. Abgerufen am 2026-09-22.

Valves eigene Aktualisierungsaufzeichnung – datiert, aus öffentlichen Quellen

| Datum | Valve ändern | Angekündigt? | Was wurde geschlossen? | Verzögerung: Mechanismus öffentlich → behoben | Quelle |
| --- | --- | --- | --- | --- | --- |
| 2026-09-01 | Automatische Kennzeichnung verdächtiger Chats | Ja | Gefährliche Links / Muster in Gruppenchats | — | [Nachrichten ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) |
| 2026-01-16 | Detaillierte Geltungsbereiche der Steamworks-Web-API | Ja | Bereiche mit minimalen Berechtigungen für Entwicklerschlüssel | — | [Ankündigung ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) |
| 2025-07-15 | CS2-Handelsschutz und Rückabwicklungsfenster | Ja | **Nichts.** Dies ist keine Sicherheitsmaßnahme, die das Grundproblem behebt. Der Zugriff auf die Kontowiederherstellung durch den Support bleibt davon unberührt. Das Auslösen einer Rückabwicklung führt zu einer automatischen 30-tägigen Handelssperre ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), während ein Schock im Kassahandel zu einem Einbruch der Marktkapitalisierung um $104M (-25%) innerhalb von 24 Stunden führte ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). Im Jahr 2026 wurden die Zeitmesser auf Einzelartikel umgestellt ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [FAQ ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2025-05-14 | Mitteilung zur Kontosicherheit | Ja | Leitfaden zu Stealer / Session-Hijacking | — | [Ankündigung ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) |
| 2024-10-02 | CS2 „The Armory“ – 7-tägige Sperre | Ja | Handel/Markt für Rüstungsgegenstände vorübergehend ausgesetzt | — | [Ankündigung ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) |
| 2024-09-18 | Handelsbeschränkung bei der Anmeldung auf einem neuen Gerät | Ja | 2–7-tägige Handelssperre bei neuen Geräten | — | [FAQ ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2024-02-14 | Änderung des Profilnamens und des Avatars zurückgestellt | Ja | 2–4 Stunden Wartezeit für Trades nach einer Umbenennung | — | [Beitrag ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) |
| 2023-12-04 | Bestätigung per Handy für API-Schlüssel | Kein Änderungsprotokoll | Stille Schlüsselregistrierung ausschließlich über Cookies | ≈6 Jahre nach den Panels aus der Zeit um 2017 | [Entwicklerseite ↗](https://steamcommunity.com/dev/apikey) |
| 2023-10-24 | SMS-MFA für die Veröffentlichung von Spiel-Builds | Ja | Veröffentlichung von Builds über Steamworks | — | [Ankündigung ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) |
| 2023-07-12 | Warnhinweis zu benutzerdefinierten Biografieinhalten | Ja | Phishing-Links in Biografien | — | [Forum ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) |
| 2023-01-25 | Profil {LINK ENTFERNT} & Abklingzeit | Ja | Links im Profiltext | — | [FAQ ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) |
| 2022-10-24 | Überarbeitung des Anmeldeprozesses und Kürzung von Cookies | Kein Änderungsprotokoll | Unbegrenzte Anzahl gestohlener Sitzungen | — (Token-Migration des IAuthenticationService) | [Nachrichten ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-10-12 | Mobile App 3.0 – Anmeldung per QR-Code | Ja | Fenster zur Aufhebung der Sitzungsautorisierung | — | [Nachrichten ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-05-10 | Endpunkte für die Stornierung von Transaktionen entfernt | Kein Änderungsprotokoll | Angebotsaustausch (stornieren und erneut senden) | ≈5 Jahre nach den Panels aus der Zeit um 2017 | [Ausgabe Nr. 325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) |
| 2020-05-25 | Dota 2: 7-tägige Handelssperre | Ja | Schnelles Weiterverkaufen von Artikeln | — | [Blog ↗](https://blog.dota2.com/2020/05/trading-cooldown/) |
| 2018-03-29 | CS:GO – 7-tägige Handelssperre | Ja | Sofortige Bot-Geldwäsche | ≈20 Monate nach der Erklärung vom Juli 2016 | [Blog ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [archiviert 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) |

Quellen: die verlinkten Valve-Beiträge, Hilfeseiten und GitHub-Issues, jeweils mit Datumsangabe. Drei entscheidende Korrekturen wurden ohne Changelog veröffentlicht (Mai 2022, Oktober 2022, Dezember 2023) und von Nutzern entdeckt, nicht von Valve angekündigt – diese Asymmetrie ist Teil der Durchsetzungshistorie. Verzögerungen werden nur dort berechnet, wo die datierungsbezogenen Angaben des Dossiers selbst (Erklärung vom Juli 2016; Betrugsforen aus dem Jahr 2017) den Ausgangspunkt liefern; „—“ bedeutet, dass hier kein solcher Ausgangspunkt festgelegt ist.

Teil A – Technische Unterlagen · Abschnitt 6 

## Interaktiver Exploit- und Hijack-Simulator

Kontext und Quellenbeschränkungen

Eine Rekonstruktion des Ablaufs von der Phishing-Nachricht bis zur serverseitigen Schlüsselregistrierung und dem Handelstausch. Vor 2023 konnte ein auf einem Konto registrierter Web-API-Schlüssel den Bestand des Kontos einsehen, ein ausstehendes Handelsangebot stornieren und ein neues erstellen, ohne dass dem Kontoinhaber bei einer dieser Aktionen ein Bestätigungsbildschirm angezeigt wurde. Dies stellt einen Verstoß gegen das Prinzip der geringsten Berechtigungen dar (OWASP A01:2021). Die Zeitangaben in dieser Simulation dienen lediglich der Veranschaulichung und sind keine Echtzeitmessungen der aktuellen Plattform.

Gehen Sie die rekonstruierte Entführung Schritt für Schritt durch. In jeder Phase wird gezeigt, was der Kontoinhaber sieht, und daneben der Anruf, den Steam im selben Moment erhält. **Jeder einzelne dieser Anrufe wird ordnungsgemäß authentifiziert.** Nichts in diesem Ablauf erfordert, dass die Authentifizierung von Steam fehlschlägt – vielmehr darf der von Steam ausgestellte Schlüssel keinen Geltungsbereich haben (OWASP A01:2021).

**Was der Spieler sieht. Was sich dahinter verändert.** WALKTHROUGH-SIMULATOR

01 / DER CHAT-KÖDER**Ein Freund bittet mich, meine Stimme abzugeben** Das Opfer erhält eine Nachricht mit einem Link.

02 / DIE ANMELDUNG**Ein Portal für Doppelgänger** Das Opfer gibt seine Anmeldedaten ein.

03 / DER ZUGANG**Erstellung einer „Silent Web“-API** Der Angreifer registriert einen Entwicklerschlüssel.

04 / DER WECHSEL**Legitimer Handel ausgetauscht** Der „Clone Bot“ dupliziert den Zielempfänger.

05 / BESTÄTIGUNG**Fälschung genehmigt** Falsches Angebot auf dem Handy genehmigt.

**Phase A: Phishing-Angriff.** Der Angreifer hackt sich in das Konto eines Freundes ein und nutzt es, um einen betrügerischen Link zu versenden, in dem das Opfer dazu aufgefordert wird, abzustimmen oder einem Turnierteam beizutreten.

**Die Phishing-Falle.** In der Annahme, sich sicher bei Steam anzumelden, gibt das Opfer seine Anmeldedaten und die Steam Guard-Codes ein. Der Phishing-Server erfasst diese Angaben und die aktive `steamLoginSecure` Sitzungs-Cookie.

**Phase B: Registrierung von „Silent Keys“.** Mithilfe des gestohlenen Sitzungs-Cookies sendet der Server des Angreifers eine POST-Anfrage an den Endpunkt für die Schlüsselregistrierung, um einen Master-Entwickler-Web-API-Schlüssel zu registrieren. In der Vergangenheit (vor 2023) war hierfür keine sekundäre Steam Guard-Genehmigung oder Benachrichtigung erforderlich.

**Phase C: Automatisierter Handels-Swap.** Das Skript des Angreifers führt Abfragen durch `IEconService/GetTradeOffers`. Wenn das Opfer einen legitimen Handel initiiert, bricht das Skript diesen sofort ab und sendet mithilfe eines Klon-Bots ein identisches Angebot mit demselben Namen und Avatar an den Empfänger.

**Der Exploit wurde erfolgreich ausgeführt.** Da das Opfer eine Benachrichtigung auf seinem Mobilgerät bezüglich seines ursprünglichen Handelsgeschäfts erwartet, genehmigt es das Ersatzgeschäft. Dies ist eine integrierte forensische Schritt-für-Schritt-Anleitung, die zeigt, wie das Fehlen des Prinzips der geringsten Berechtigungen (OWASP A01:2021) eine automatisierte, in Bruchteilen von Sekunden erfolgende Übernahme von Vermögenswerten ermöglicht.

Derselbe Schritt, aus der Perspektive des Netzwerks betrachtet Rekonstruktion des Musters vor 2023 · veranschaulichende Anrufmuster

**Angreifer** Der Link wird von einem Konto gesendet, dem das Opfer bereits vertraut.

**Opfer** Liest eine Nachricht von einem Freund, nicht von einem Fremden.

**Steam sieht** Eine Chat-Nachricht zwischen zwei befreundeten Konten.

```
Channel Steam chat / Steam group invite
Payload a link to an external host
No Steam API call is made at this stage. Nothing in this step is anomalous to the platform.
```

**Warum es funktioniert:** Das verwendete Guthaben gehört dem kompromittierten Konto des Freundes, nicht dem Angreifer.

**Opfer** Gibt das Passwort und den Code „Steam Guard“ auf einer gefälschten Seite ein.

**Angreifer-Server** Erfasst die Anmeldedaten und das daraus resultierende Sitzungs-Cookie.

**Steam sieht** Eine erfolgreiche Anmeldung, bei der die Zwei-Faktor-Authentifizierung erfolgreich durchgeführt wurde.

```
Captured steamLoginSecure = <session cookie>
Captured Steam Guard code (single use, already spent)
From this point the attacker holds an authenticated session. The second factor has been used, not bypassed.
```

**Warum es funktioniert:** Die Zwei-Faktor-Authentifizierung schützt den Moment der Anmeldung. Sie schützt jedoch nicht davor, was in der daraus resultierenden Sitzung anschließend geschehen kann.

**Angreifer-Server** Registriert einen Entwickler-Web-API-Schlüssel im Konto des Opfers.

**Opfer** Es erscheint weder eine Eingabeaufforderung noch eine Benachrichtigung.

**Steam sieht** Eine authentifizierte Sitzung über einen dokumentierten Endpunkt.

```
POST steamcommunity.com/dev/ajaxregisterkey
Cookie: steamLoginSecure=<stolen session>
Body: agreeToTerms=agreed&domain=localhost
A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog.
```

**Dies ist der strukturelle Schritt.** Ein Session-Cookie wird in einen dauerhaften Zugangsnachweis mit uneingeschränkten Berechtigungen umgewandelt – der in Abschnitt 5 als OWASP ASVS 2.8 und A01:2021 dokumentierte Fehler.

**Angreifer-Skript** Fragt nach Handelsangeboten ab, storniert das eigentliche Angebot und sendet ein Duplikat.

**Opfer** Hat gerade einen regulären Handel initiiert und wartet auf dessen Bestätigung.

**Steam sieht** Gültige API-Aufrufe, die einen gültigen, für dieses Konto ausgestellten Schlüssel enthalten.

```
GET IEconService/GetTradeOffers/v1 ← polled
POST IEconService/CancelTradeOffer/v1 ← voids the real offer
POST new offer from a clone bot (matching name and avatar)
Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed.
```

**Warum es funktioniert:** Da der Schlüssel keinen Lesezugriffsbereich hatte, konnte ein Zugangsnachweis zum Abrufen des Bestands auch Transaktionen stornieren und erstellen.

**Opfer** Bestätigt die mobile Benachrichtigung, die für das ursprüngliche Geschäft erwartet wurde.

**Angreifer** Nimmt die Artikel auf dem Klonkonto entgegen.

**Steam sieht** Eine Überweisung, die vom Kontoinhaber auf einem registrierten Gerät bestätigt wurde.

```
Confirmation genuine — made by the account holder
Recipient the clone bot, not the intended counterparty
The confirmation is authentic. The offer it confirms is not the one the user initiated.
```

**Die hinterlassenen Spuren:** ein Handel, den der Nutzer genehmigt hat. Das ist der Datensatz, den der Support bei Eingang der Beschwerde ausliest (Steam), und der Grund, warum die archivierten Beschwerden als „Benutzerfehler“ abgeschlossen wurden. Die Beschwerden befinden sich in [das Vollstreckungsarchiv](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#support-records).

Teil A – Technische Unterlagen · Abschnitt 7 

## Die Endpunkte, die hinter der Sequenz stehen.

Kontext und Quellenbeschränkungen

Dies sind die Steam Web-API-Endpunkte, über die die gemeldeten Hijack-Skripte Transaktionen abgefangen haben, ohne die bestätigungsschritte auf der Browserseite zu durchlaufen.

Vier dokumentierte Endpunkte erledigen die gesamte Aufgabe. Keiner davon weist einen Fehler auf, keiner musste ausgenutzt werden – ein gültiger Schlüssel ruft sie auf, und Steam antwortet. **Der Schlüssel ist das Einzige, was der Angreifer stehlen musste.**

IEconService / GetTradeOffers / v1 UMFRAGE

Dient zur Überwachung der Handelsangebote des Kontos. Skripte fragen diesen Endpunkt wiederholt mit dem kompromittierten API-Schlüssel ab; er gibt die Details neu erstellter, ausstehender oder geänderter Handelsangebote zurück. Die Abfrageintervalle werden hier nicht gemessen.

**Angriffsvektor:** Zeigt die IDs ausstehender Handelsangebote sowie die Profildetails des Empfängers an.

IEconService / CancelTradeOffer / v1 INTERAKTION

Wurde verwendet, um das rechtmäßige Handelsangebot des Nutzers programmgesteuert für ungültig zu erklären. Vor 2023 war der Schlüssel nicht durch eine mehrstufige Authentifizierung geschützt, sodass ein automatisierter Server ein Angebot sofort nach dessen Erkennung stornieren konnte, ohne dass der Kontoinhaber dazu aufgefordert wurde.

**Angriffsvektor:** Der Handel wird storniert, bevor der Kontoinhaber die Bestätigung per Handy abgeschlossen hat.

ISteamUser / GetPlayerSummaries / v2 RECON

Abfrage zum Abrufen des Profilnamens, der URL des Avatar-Bildes und der Stufe des legitimen Handelsempfängers. Dadurch kann das Skript ein vorbereitetes Klonkonto entsprechend anpassen. Hier wird keine Zeit gemessen.

**Angriffsvektor:** Stellt die Daten bereit, die erforderlich sind, um sich als der beabsichtigte Empfänger auszugeben.

/dev/ajaxregisterkey ENTSTEHUNG

Der Registrierungsendpunkt von Steam für Schlüssel. In der Vergangenheit konnte jede aktive Browser-Cookie-Sitzung (`steamLoginSecure`) einen Schlüssel registrieren, ohne dass eine Bestätigung durch Steam Guard auf dem Mobilgerät erforderlich war und ohne dass der Kontoinhaber darüber benachrichtigt wurde.

**Angriffsvektor:** Eine dauerhafte Zugangsberechtigung, die von einem Skript erstellt wurde, ohne dass der Kontoinhaber davon Kenntnis hat.

Teil A – Technische Dokumentation · Abschnitt 8 · Artikel 7 der DSGVO 

## Ein angekreuztes Kästchen. Wessen Handlung?

Kontext und Quellenbeschränkungen

Bei der Ablehnung der Erstattung vertreten die im Archiv gespeicherten Support-Antworten die Auffassung, dass der Kontoinhaber den API-Schlüssel erstellt und durch Anklicken des Kästchens die Bedingungen akzeptiert hat.

In der Antwort des Supports wird der Schlüssel dem Kontoinhaber zugeordnet. Die Frage ist, ob aus dem Datensatz hervorgeht, wer ihn tatsächlich angelegt hat.

Bei dem beobachteten Muster des API-Schlüssel-Missbrauchs hat das Opfer jedoch die Seite zur Erstellung des API-Schlüssels weder gesehen noch aufgerufen. Das Einwilligungsfeld wird von einem Skript übermittelt, das mit dem gestohlenen Sitzungs-Cookie einen „Headless“-POST-Aufruf ausführt.

Gemäß Artikel 7 und Artikel 4 Absatz 11 der DSGVO muss die Einwilligung eine freiwillige, spezifische, informierte und eindeutige Willensbekundung der betroffenen Person sein. Die Autoren vertreten die Auffassung, dass ein Feld zur Zustimmung zu den Nutzungsbedingungen, das von einem bösartigen Skript unter Verwendung eines gestohlenen Cookies übermittelt wird, ohne dass dem Kontoinhaber eine Seite angezeigt wird, dieser Definition nicht entsprechen kann. Ob dies der Fall ist, muss die Aufsichtsbehörde entscheiden.

Forensische Payload-Analyse: Schlüsselregistrierung

BEITRAG https://steamcommunity.com/dev/ajaxregisterkey

// Anfrage-Payload (über ein Hijacking-Skript eingefügt)

{

"agreeToTerms": „einverstanden“ , <-- maschinell eingegeben, ohne menschliches Zutun

"domain": „localhost“ , ← nicht validiert – jeder Wert wird akzeptiert, einschließlich „localhost“

„sessionid“: "8f0d8ef763ab2140bf89de2a"

}

**Die Frage an die Aufsichtsbehörde:** Wenn der Kontoinhaber das Zustimmungsfeld nie angeklickt hat, stellt sich die Frage, ob die für das Konto erfasste Zustimmung zu den Nutzungsbedingungen die Anforderungen von Artikel 7 an eine freiwillige, konkrete, informierte und eindeutige Willensbekundung der betroffenen Person erfüllt und ob sich der Kundendienst Steam darauf berufen kann, um einen Anspruch abzulehnen.

Quelle: Abfrage der Form der Schlüsselregistrierung, wie sie anhand des öffentlichen Endpunkts und der im Beweismittelarchiv gespeicherten Hijack-Meldungen rekonstruiert wurde ([durchsuchbare Version von 2026-09-17](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive)) · Die angezeigte Sitzungskennung ist ein Platzhalter und kein erfasster Wert.

Forensische Autopsie · Der Handelssubstitutionsvektor 

### Wie Valve schließlich die „Handelssubstitution“ neutralisierte – und warum es sieben Jahre voller Umgehungslösungen dauerte

Seit fast einem Jahrzehnt ist die **„API-Schlüssel-Substitution“ (oder API-MitM-Betrug)** war das lukrativste Modell für Kontodiebstahl auf Steam, bei dem Skins im Wert von Hunderten Millionen Dollar von ahnungslosen Spielern abgezweigt wurden. Valve hat den Exploit nicht durch eine Korrektur der anfälligen API-Architektur beseitigt; stattdessen hat Valve sieben Jahre damit verbracht, vier plattformweite Reibungsbarrieren zu errichten, die die Liquidität des Handels innerhalb der Community stark beeinträchtigten, während die eigentliche Ursache ungelöst blieb.

1. Der Tod durch Mimikry

#### Abklingzeit für Avatar und Namen (Februar 2024)

Der Angriff erforderte eine Nachahmung im Bruchteil einer Sekunde: Der Betrugsbot fing eine ausgehende Transaktion ab und extrahierte den Avatar bzw. den Namen des Empfängers über `ISteamUser`, und klonte das Profil in 200 ms. Am 14. Februar 2024 führte Valve stillschweigend eine verbindliche **2- bis 4-stündige Abklingzeit für den Handel (Fehler 34)** unmittelbar nach jeder Änderung des Profilnamens oder des Avatars. Ein Bot kann einen Empfänger nicht mehr spontan klonen, ohne sich selbst vom Handel auszuschließen.

2. Der wirtschaftliche Niedergang

#### 7-Tage-CS2-Handelsumkehr (Juli 2025)

Valve einseitig eingeführt **Handelsumkehrungen** für Counter-Strike-Gegenstände. Jeder getauschte Skin wird sieben Tage lang als „Tauschgeschützt“ gekennzeichnet. Entdeckt ein Opfer einen Austausch, klickt es im Steam-Support auf „Tausch rückgängig machen“, woraufhin der Skin sofort in sein Inventar zurückgeführt und der Empfänger gesperrt wird. Da die 7-tägige Tausch-Sperre Betrüger daran hindert, den Gegenstand auf eine Auszahlungsseite zu übertragen, wird der Diebstahl unrentabel.

3. Der Tod des „Silent Key“

#### Obligatorischer mobiler Push für die API (Dezember 2023)

In der Vergangenheit ermöglichte ein gestohlenes Session-Cookie bösartigen Skripten, einen „Headless“-POST-Aufruf im Hintergrund an `/dev/ajaxregisterkey` ohne das Opfer darüber zu informieren. Am 4. Dezember 2023 schrieb Valve eine ausdrückliche Push-Bestätigung in der Steam-App vor, um einen Web-API-Schlüssel zu generieren, wodurch die stillschweigende Schlüsselvergabe im Hintergrund unterbunden wurde.

4. Mobile Warnmeldungen in der App

#### Banner mit Kontodauer und Namen (2022–2024)

Valve hat das Bestätigungsfenster für Mobilgeräte überarbeitet, um die Daten des Handelspartners anzuzeigen **Steam Kontoalter (Erstellungsdatum)**, Stufe Steam und eine ausdrückliche gelbe Warnung: *„Dieser Nutzer hat kürzlich seinen Profilnamen geändert.“*, wodurch die optische Täuschung für aufmerksame Opfer durchbrochen wird.

Die drei Schwachstellen in Valves Patchwork: Warum Betrüger einfach ihre Ziele gewechselt haben

**1. Die Lücke beim Ausschluss von Spielen (Dota 2 & TF2)** 

„Trade Reversals“ wurden ausschließlich für Counter-Strike 2 eingesetzt. **Gegenstände in „Dota 2“ und „Team Fortress 2“ sind nach wie vor völlig ungeschützt** aufgrund der Komplexität beim Herstellen und Besetzen. Hochwertige Gegenstände im Wert von Tausenden von Dollar (Drachenklauenhaken, Goldene Baby-Roshans, ungewöhnliche TF2-Brennflammen) unterliegen keinerlei Rückgaberecht. Betrüger haben die automatisierte API-Abfangtechnik einfach auf „Dota 2“- und „TF2“-Händler umgeleitet, wo der Steam-Support seine Richtlinie aus dem Jahr 2016, wonach keine Gegenstände wiederhergestellt werden, strikt durchsetzt.

**2. Der „Zombie-Key“-Speicher (ohne Ablaufdatum)** 

Während Valve die mobile Push-2FA hinzugefügt hat, um *neu* Schlüssel im Dezember 2023, **Valve Bestehende API-Schlüssel aus früheren Versionen wurden nie widerrufen, sind nie abgelaufen und wurden nie gelöscht.**. Millionen aktiver Konten, die Schlüssel generiert haben (oder bei denen vor Dezember 2023 durch Phishing oder Malware unbemerkt Schlüssel erstellt wurden), verfügen nach wie vor über aktive Anmeldedaten mit **keine Ablaufzeit (keine TTL) und kein Zeitlimit für Inaktivität**. Angreifer unterhalten riesige historische Datenbanken mit diesen persistenten Schlüsseln und fragen diese weiterhin ab `IEconService` ungestört.

**3. Die Strafe für das Opfer: 30-tägiges Handelsverbot** 

Selbst in CS2 wird der betrogene Spieler in Valve bestraft: Ein Klick auf „Reverse Trade“ im Steam-Support führt automatisch zu einer **zwingendes 30-tägiges Handels- und Community-Markt-Verbot für das Konto des Opfers**. Valve bestraft den Nutzer mit einem einmonatigen Plattformverbot, um von „unbegründeten“ Rückabwicklungen abzuschrecken und Opfer davon abzuhalten, Transaktionen mit liquiden Artikeln von geringem Wert rückgängig zu machen.

Der zentrale Regulierungsskandal: Sieben Jahre Umgehungsmaßnahmen gegen einen einzigen API-Gültigkeitsbereich 

Warum hat Valve sieben Jahre damit verbracht, Handelssperren, Konto-Abklingzeiten und reversible Handelssperren zu entwickeln – wodurch die gesamte Spielwirtschaft durcheinandergebracht und eine Marktkapitalisierung von $104M zunichte gemacht wurde –, anstatt die branchenübliche Lösung umzusetzen?

Wie die offizielle Steamworks-Veröffentlichung von Valve am 16. Januar 2026 belegt (Ankündigung [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve bereits gebaut **Detaillierte Berechtigungsgruppen (Allgemein, Mikrotransaktionen, Wirtschaft, Verkaufsdaten)** und **IP-Whitelisting** für Publisher-Schlüssel von Unternehmen. Valve verfügte bereits seit Jahren über die technische Lösung. Ein einziges Kontrollkästchen für den Benutzer –*„Verhindern Sie, dass dieser Web-API-Schlüssel auf IEconService (Trade Management) zugreift.“* oder eine Whitelist für private IP-Adressen – hätte den Betrug mit Handelssubstitutionen im Jahr 2018 ohne jegliche wirtschaftlichen Kollateralschäden beseitigt. Valve weigerte sich, regulären Spielern denselben Schutz zu gewähren, den es für seine Unternehmenspartner entwickelt hatte.

Teil B – Vorschriften und Durchsetzungsbilanz · § 9 

## Ihr Regelwerk. Die aufgezeichneten Plattformen.

Kontext und Quellenbeschränkungen

Dieses Hauptbuch ordnet explizite Klauseln aus dem **Steam Abonnentenvertrag (SSA)** und **Steam Online-Verhalten (SOC)** Richtlinien, die sich direkt gegen aktive, groß angelegte kommerzielle Unternehmen richten.

**Die Regel:** Keine kommerzielle Nutzung, kein Glücksspiel, keine Bots – und Steam Der Kundendienst beruft sich auf diese Klauseln, wenn er sich weigert, die Gegenstände eines Opfers zurückzugeben. **Die Bilanz:** Diese Bestimmungen gelten auf den ersten Blick für die kommerziellen Plattformen in diesem Register, die auf Steam Identitäten, Steam Bots und Steam Übertragungen basieren. **Die Klausel wird gegenüber der Person durchgesetzt, die die Häute verloren hat, und nicht – soweit aus den veröffentlichten Unterlagen hervorgeht – gegenüber den Unternehmen, die sie transportiert haben.**

In den archivierten Beschwerden führt Steam Support Folgendes an: „Keine kommerzielle Nutzung“ und „Keine Automatisierung/Bots“ Klauseln bei der Verweigerung der Rückgabe von Gegenständen an Opfer von API-Key-Betrug. Dieselben Klauseln gelten dem Wortlaut nach auch für die in diesem Dossier aufgeführten kommerziellen Plattformen, die sich über Steam OpenID authentifizieren und Gegenstände über automatisierte Steam-Konten bewegen. Es wird hier keine marktweite Umsatzschätzung vorgenommen (siehe die Durchsetzungsstatistiken weiter unten). Die Aufzeichnungen zeigen lediglich die Anwendung der Regelung auf einzelne Konten in den archivierten Fällen, jedoch keine veröffentlichten Durchsetzungsdaten pro Betreiber für die Plattformen. Diese Asymmetrie wird in diesem Abschnitt dokumentiert.

Die zentrale Frage / selektive Durchsetzung Regeln → Umfang → Rechenschaftspflicht

### Ein Regelwerk. Ungleiche Durchsetzung.

Das Register listet kommerzielle Dienste auf, die Steam-Identitäten, Bestände, Bots und Übertragungen als Betriebsinfrastruktur nutzen. Die SSA verbietet die kommerzielle Nutzung und Automatisierung ohne Genehmigung. Aus den archivierten Beschwerden geht hervor, dass diese Regel auf einzelne Konten angewendet wurde, während die öffentlichen Aufzeichnungen keine entsprechenden, nach Betreibern gegliederten Angaben für die hier dokumentierten Plattformen enthalten. Veröffentlichen Sie die Vorschrift, die Beweise und die Durchsetzungsentscheidung für jeden einzelnen Fall.

**189** Websites, die in den Prüfungsumfang fallen

**44** Routen mit separaten Domains im Live-Register – 27 mit einer veröffentlichten Nachweisdatei, 17 manuell erfasst. Allein durch das Browser-Audit der 189 Websites konnten 25 davon behoben werden; das Register ergänzt diese um die manuell erfassten Routen.

**12 Jahre und 6 Monate** csgogem.com wurde im Link-Filter blockiert; `api.csgem.com` registriert am 2014-03-08 und nie gesperrt – eines von 26 solchen Paaren (Stand: 2026-09-22)

**Keine verifizierte Gesamtsumme** Schätzung des marktweiten Umsatzes nicht berücksichtigt

Steam Verhalten im Internet 

> „…Sie dürfen auf Steam keine der folgenden Handlungen vornehmen oder versuchen, diese vorzunehmen: […] Kommerzielle Aktivitäten ausüben. Beispiele für solche verbotenen Verhaltensweisen sind unter anderem: das Veröffentlichen von Anzeigen; das Durchführen von Gewinnspielen; **Glücksspiel**; der Kauf oder Verkauf von Steam-Konten; der Verkauf von Inhalten, Geschenkkarten oder anderen Artikeln; sowie Betteln."

[store.steampowered.com/online_conduct ↗](https://store.steampowered.com/online_conduct) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct)

SSA § 2.G – Kommerzielle Nutzung 

> „…[Sie dürfen] die Inhalte und Dienste oder Teile davon nicht für kommerzielle Zwecke nutzen, es sei denn, dies ist an anderer Stelle in dieser Vereinbarung ausdrücklich gestattet…“

Wie berichtet, wurde in den Bescheiden von Valve aus dem Jahr 2016 die persönliche, nichtkommerzielle Lizenz geltend gemacht. Bislang hat kein Betreiber eine Valve-Genehmigung vorgelegt. [store.steampowered.com/subscriber_agreement ↗](https://store.steampowered.com/subscriber_agreement/) [archiviert 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

Steam Nutzungsbedingungen für die Web-API 

> „Sie dürfen die Steam Web-API oder die Steam Daten nicht in einer Weise nutzen, die gegen die Steam Abonnentenvereinbarung verstößt.“

Skin-Marktplätze von Drittanbietern werden über automatisierte Konten betrieben, die die Steam-API nutzen. Der Regeltext sieht keine Ausnahme für den gewerblichen Betrieb vor. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms)

SSA § 4.C 

#### Automatisierung

Skripte, Bots und nicht-menschliche Interaktionen sind eingeschränkt. Das Ledger erfasst Bot-Handel, Account-Farmen und automatisierte Weiterleitungen im kommerziellen Maßstab.

[Prüfen die Datensätze, die unter dieser Klausel gekennzeichnet sind](https://phishdestroy.io/steam_dossier/de/index#legal-ledger-workspace-section)

SSA § 2.G 

#### Kommerzielle Nutzung

Die kommerzielle Nutzung bedarf einer ausdrücklichen Genehmigung. Vergleichen Sie die dokumentierten Geschäftsmodelle, deren Umfang sowie etwaige offengelegte Genehmigungen oder Durchsetzungsmaßnahmen.

[Prüfen die Datensätze, die unter dieser Klausel gekennzeichnet sind](https://phishdestroy.io/steam_dossier/de/index#legal-ledger-workspace-section)

SSA § 3.A 

#### VPN & Standortverschleierung

Die Verschleierung des Standorts durch IP-Proxying kann zur Kündigung führen. Authentifizierungshosts mit separaten Domänen erfordern eine gesonderte Analyse: Es muss festgestellt werden, was verschleiert wird und welche Regel gilt.

[Überprüfen Sie die Nachweise für den Auth-Host](https://phishdestroy.io/steam_dossier/de/index#proxy-bypass-explainer)

Steam Hilfe / URL-Richtlinie 

#### Link-Verschleierung

Steam verbietet Linkverkürzer und Tools, die das Ziel von Links verschleiern. Eine separate Authentifizierungsdomäne — `rbsnin.com` im Anmeldeablauf von Rollbit, `auth.dota.trade` in CS.MONEY – wirft die vergleichbare Frage auf, ob die dem OpenID-Verifizierer von Steam angezeigte Zieladresse die Betriebsstätte identifiziert.

[Die URL-Richtlinie von Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36)

Verweise auf Vorschriften: [Steam Abonnentenvertrag, Fassung vom 10. September 2026](https://store.steampowered.com/subscriber_agreement/) [archiviert 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam Nutzungsbedingungen für die Web-API](https://steamcommunity.com/dev/apiterms) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam URL-Richtlinie (Verschleierung von Links)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). Die Zahlen beziehen sich auf die Einträge und Tags in diesem Dossier; es handelt sich nicht um die Anzahl der rechtskräftig festgestellten Verstöße.

Das Vertrauensdefizit 

#### Wer überprüft die Entscheidung, wenn die Fälligkeitsstelle den Fall abschließt?

Die aufbewahrten Beschwerden beschreiben dauerhafte Sanktionen, unbeantwortete Einsprüche und die Weigerung, gestohlene Gegenstände zurückzugeben. Vergleichen Sie diese Berichte mit dem tatsächlichen Ticketverlauf, den verfügbaren Abhilfemaßnahmen und den Zugriffsprotokollen für die Konten. Eine allgemeine Erklärung im Zusammenhang mit Phishing reicht nicht aus, um festzustellen, wer eine Zurücksetzung veranlasst oder einen API-Schlüssel erstellt hat.

[Lesen Sie die erfassten Beschwerden ↗](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#support-records)[Die zugrunde liegenden Unterlagen anfordern →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook)[Beziehungsdiagramm des Moderators →](https://phishdestroy.io/steam_dossier/de/social_graph)

Teil B – Vorschriften und Durchsetzungsbilanz · § 10 

## Eine API zur Automatisierung. Eine Regel gegen Automatisierung.

Kontext und Quellenbeschränkungen

Die Frage, die in diesem Abschnitt gestellt wird, lautet, wie sich beides miteinander vereinbaren lässt: Welche Nutzungen der API sind zulässig, durch wen und nach welchen veröffentlichten Kriterien? Eine Schätzung der Anzahl der autorisierten kommerziellen API-Nutzer wird hier nicht vorgenommen, und das Fehlen einer veröffentlichten Liste lässt auch keine solche Zahl vermuten – das Fehlen selbst ist die Feststellung, nicht eine dahinterstehende Zahl. Die oben zitierten Steam Support-Nachrichten werden vom ArchiSteamFarm-Projekt in seinen eigenen FAQ wiedergegeben (wortgetreu überprüft 2026-09-22); es handelt sich dabei nicht um Valve Veröffentlichungen, und die Konten, an die sie gesendet wurden, sind nicht identifiziert.

**Die Vorschrift (SSA § 4.C):** Keine Skripte, keine Bots, keine nicht-menschlichen Systeme auf Steam. **Die Bilanz:** Valve stellt eine Headless-REST-API bereit, deren einziger Zweck die Server-zu-Server-Automatisierung ist, und übergibt den Schlüssel an jedes beliebige Konto. **Nutzer werden wegen Automatisierung gesperrt; die Automatisierungsschnittstelle ist ein eigenes Produkt von Valve.** Welche kommerziellen Verwendungszwecke zulässig sind, wurde nie veröffentlicht.

### Der Irrtum des „Spieleentwicklers“

Steamworks SDK (Original) 

Wird von seriösen Spielestudios genutzt, um Erfolge, Matchmaking und Bestenlisten in ihre Spiel-Clients zu integrieren. Erfordert eine komplexe C++-Integration und die Aufnahme als offizieller Partner.

Steam Web-API (Die Lücke) 

Eine „headless“ JSON/REST-Architektur, die für externe Webserver konzipiert ist. Im hier dokumentierten „Hijack“-Muster wird sie zum Auslesen von Bestandslisten und zur Manipulation von Peer-to-Peer-Transaktionen von Remote-Servern verwendet; ihre legitimen Anwendungsfälle werden in diesem Dossier nicht aufgeführt.

Für wen der Schlüssel bestimmt ist Ein gewöhnlicher Steam-Nutzer benötigt innerhalb der App keinen Web-API-Schlüssel; die Schlüsselseite ist unter einer Entwickler-URL zu finden und dient laut Dokumentation dem externen, serverseitigen Zugriff. Die archivierten Beschwerden über Kontoübernahmen beschreiben Opfer, die nichts von der Existenz dieser Seite wussten, bis ein Schlüssel für ihr Konto registriert worden war.

#### Der Widerspruch der Automatisierung

SSA § 4.C sieht vor: „Es ist Ihnen untersagt, in irgendeiner Weise Skripte, Bots, Makros oder andere nicht von Menschen gesteuerte Systeme („Automatisierung“) zu verwenden, um mit den Inhalten und Diensten auf Steam zu interagieren.“ Allerdings sind die Web-API-Endpunkte (wie `CancelTradeOffer`) erfordern weder eine Benutzeroberfläche noch ein Captcha und umgehen den Steam-Client vollständig. Die API ist für die Server-zu-Server-Automatisierung konzipiert; die Regel verbietet die Automatisierung durch Benutzer; die Grenze zwischen beiden ist nicht veröffentlicht.

#### Eine serverseitige Position im Handelsablauf

Mit einem Web-API-Schlüssel kann ein Server eines Drittanbieters ohne den Steam-Client Transaktionen auf dem Konto ausführen. Beim „Hijack“-Muster befindet sich dieser Server zwischen dem Kontoinhaber und dem Handelsserver.

- → Für die Aktionen der Taste wird kein Bestätigungsbildschirm angezeigt.

- → Ermöglicht die Abfrage im Hintergrund (GetTradeOffers).

- → Storniert Angebote und gibt sie erneut aus, ohne dass ein Eingreifen des Benutzers erforderlich ist.

Valve hat die Benutzeroberfläche entwickelt, in seinen Regeln die Automatisierung durch Nutzer untersagt und keine Kriterien veröffentlicht, nach denen kommerzielle Nutzungen zulässig sind.

Teil B – Vorschriften und Durchsetzungsbilanz · § 11 

## Zehn Tage wurden gefordert. Zehn Jahre müssen abgerechnet werden.

Kontext und Quellenbeschränkungen

Am 20. Juli 2016 setzte der Leiter der Rechtsabteilung von Valve den Glücksspielanbietern eine Frist von 10 Tagen. Zehn Jahre später (Stand der Dossier-Momentaufnahme, 2026-09-21) ist mindestens eine Plattform, die in Presseberichten zu dieser Mitteilung namentlich genannt wurde – CSGOFast –, weiterhin mit einem Auth-Host unter einer separaten Domain in Betrieb. Der Wortlaut wurde im Folgenden anhand von Presseberichten vom 21. Juli 2016 rekonstruiert; es handelt sich nicht um einen Scan. Das in der Mitteilung angedeutete Durchsetzungsprotokoll wurde nicht veröffentlicht. Der offene Brief an die Kommission lautet [Abschnitt 2](https://phishdestroy.io/steam_dossier/de/index#wsgc-public-address).

Lesen Sie die Mitteilung vom Juli 2016 neben den späteren Bemerkungen. Was noch aussteht, ist eine Aufstellung der Durchsetzungsmaßnahmen nach einzelnen Betreibern.

Eine Woche zuvor – am 13. Juli 2016, in der Öffentlichkeit 

Am [13. Juli 2016](https://store.steampowered.com/oldnews/22883) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883), Valve beschrieb, wie Glücksspielseiten Steam nutzten: OpenID zur Kontoidentifizierung und automatisierte Konten für den Handel. Valve erklärte, dass die Nutzung dieser Mechanismen zum Betreiben eines Glücksspielunternehmens gegen die API- und Nutzungsbedingungen verstoße. **Sowohl die Beschreibung des Mechanismus als auch das Verbot sind in der datierten Erklärung von Valve selbst enthalten.** Am 2026-09-21 haben die getesteten Auth-Hosts mit separaten Domänen keine Blockierung durch den Link-Filter zurückgegeben, und Valve hat keinen betreiberspezifischen Durchsetzungsdatensatz veröffentlicht.

### VALVE CORPORATION

Bellevue, WA

**DATUM:** Juli 2016 (Pressemeldung vom 21. Juli 2016)

**VON:** Karl Quackenbush, Leiter der Rechtsabteilung

**Betreff:** Unterlassungsaufforderung – kommerzielle Nutzung von Steam-Konten

**HINWEIS:** Rekonstruktion des gemeldeten Textes; kein Scan

„Uns ist bekannt, dass Sie eine der unten aufgeführten Glücksspiel-Websites betreiben. Sie nutzen Steam Konten, um dieses Geschäft zu betreiben. Gemäß der Steam Nutzungsvereinbarung sind die Dienste Steam und Steam ausschließlich für den persönlichen, nicht kommerziellen Gebrauch lizenziert.“

„Sie sollten die weitere Nutzung Ihrer Steam-Konten für kommerzielle Zwecke unverzüglich einstellen. Sollten Sie dies nicht tun, innerhalb von zehn (10) Tagen , Valve wird alle verfügbaren Rechtsmittel ausschöpfen, einschließlich, aber nicht beschränkt auf die Kündigung Ihrer Konten."

Rekonstruktion des Wortlauts der Bekanntmachung vom Juli 2016, von den Autoren anhand von Presseberichten vom 21. Juli 2016 zusammengestellt 

Karl Quackenbush

Leiter der Rechtsabteilung, Valve Corp.

Zeitleiste Juli 2016 – September 2026

Frist in der Bekanntmachung:

10 Tage

Juli 2016

Seit der Mitteilung verstrichene Zeit:

3,715 Tage

Feste Zahl vom 20. Juli 2016 bis zur Momentaufnahme der Akte vom 21. September 2026, keine Echtzeitzahl

Veröffentlichte Vollstreckungsakte:

Keine

Es wurde keine nach Betreibern aufgeschlüsselte Aufstellung der Kündigungen oder Sperrungen gefunden

◀ **Tage 0–10** — die Frist, skalierbar **Tag 3715** — der Schnappschuss ▶

- 20. Juli 2016**Zehntägige Aufforderung erlassen***Tag 0*

- 17. Februar 2024**Es gelten die DSA-Verpflichtungen***Tag 2,768*

- 25. Februar 2026**Klage des Generalstaatsanwalts von New York angekündigt***Tag 3,507*

- 21. September 2026**Übersicht über das Dossier***Tag 3715*

Zehn Jahre später, **CSGOFast** — das in Presseberichten zu den Meldungen aus dem Jahr 2016 genannt wurde — ist in Betrieb: csgofast.com löste bei 2026-09-19 und 2026-09-21 eine Blockierung durch den Link-Filter aus, während sein Auth-Host `steam-login.authtofast.com` (registriert 2026-06-30) tat dies nicht.

Vollständige, datierte Aufzeichnung der Sicherheitsänderungen von Valve: [Sicherheitszeitleiste →](https://phishdestroy.io/steam_dossier/de/security_timeline) · Die Rechtsprechung in Washington und der Maßstab für die Durchsetzung: [unten](https://phishdestroy.io/steam_dossier/de/index#washington-record-heading)

**Was aus den Akten hervorgeht:** In der Mitteilung von 2016 wurde eine Frist von 10 Tagen festgelegt; Valve betrieb bereits eine Domain-Liste (den „Link Filter“) und erhielt die autorisierten Hostnamen in seinen eigenen OpenID-Anfragen; es wurde kein Durchsetzungsbericht pro Betreiber veröffentlicht. Berichte aus der Community beschreiben eine Maßnahme aus dem Jahr 2018 gegen einen Marktplatz (SkinJar), doch diese Berichte sind unbestätigt und werden hier nicht herangezogen.

CSGOFAST / DER SPEICHERTE AUTHENTIFIZIERUNGSPROZESS 

### Folgen Sie dem angegebenen Rückgaberechner.

Die Links zu den gespeicherten Routenaufzeichnungen `csgofast.com` zu `steam-login.authtofast.com`. Der separate Hostname wird in der OpenID-Anfrage Steam übermittelt. Er liefert den Ermittlern eine konkrete Adresse, die sie mit den Filter- und Durchsetzungsaufzeichnungen von Valve abgleichen können.

[Sehen Sie sich die CSGOFast-Route und deren Quelle an ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [Gespeicherte Ergebnisse vergleichen Steam Linkfilter-Ergebnisse ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json)

ÖFFENTLICHES REGISTER / WASHINGTON · 2016 → 2026 

### Zwei Fristen. Ein ungeklärter Durchsetzungsmaßstab.

**20. Juli**

#### Valve räumt Glücksspielseiten eine Frist von 10 Tagen ein

In der Aufforderung des Anwalts des Unternehmens wurde darauf hingewiesen, dass eine fortgesetzte gewerbliche Nutzung von Steam-Konten zur Kündigung führen könnte.

**27. SEP**

#### Washington drängt Valve

Die staatliche Glücksspielkommission forderte Nachweise für Maßnahmen zur Unterbindung von Skin-Transfers für Glücksspielzwecke und setzte eine Antwortfrist bis zum 14. Oktober fest.

**17. OKT.**

#### Valve weist den Vorwurf zurück

Valve antwortete nach Ablauf der Frist, bestritt, Glücksspiele zu ermöglichen, gab an, die betreffenden Konten deaktiviert zu haben, und erklärte, man wolle den Handel und OpenID nicht für alle Nutzer deaktivieren. Mindestens eine Plattform, die in Presseberichten über die Mitteilungen vom Juli genannt wurde (CSGOFast), war ein Jahrzehnt später noch in Betrieb. Beide Tatsachen können nur zutreffen, wenn der Betreiber die deaktivierten Konten ersetzt hat; die Aufzeichnungen, die dies belegen würden, wurden nicht veröffentlicht. Die WSGC sollte Valve auffordern, diese beiden Sachverhalte in Einklang zu bringen.

**2026**

#### Die im September 2026 beobachteten Routen

Das Routenregister verzeichnet 44 Plattformen, die sich über Authentifizierungsserver in separaten Domänen, darunter CSGOFast, authentifizieren und dabei die 2016 beschriebenen OpenID- und Handelsmechanismen Valve nutzen. Der Durchsetzungsbericht, aus dem hervorgehen würde, welche Betreiber gesperrt wurden, wurde nicht vorgelegt.

EIGENE INFORMATION DER KOMMISSION · 30. JANUAR 2018 

#### Achtzehn Monate nach der Antwort von Valve bezeichnete die Aufsichtsbehörde dies immer noch als Absichtserklärung.

Bei der öffentlichen Anhörung zu HB 2881 beschrieb die Kommission vor dem eigenen Landtag die Erklärung vom Juli 2016 mit eigenen Worten: Valve **„kündigte an, entschlossen gegen die Nutzung seiner Plattform zur Ermöglichung von Glücksspielen mit Skins vorzugehen.“** Auf derselben Seite wird beschrieben, wie sich diese Ankündigung auf die Branchenprognose ausgewirkt hat — *„infolgedessen“,* Die Prognose für den Skin-Gambling-Markt im Jahr 2020 wurde von **$19.7 Milliarden** zu **$670 Millionen**, ein Rückgang um etwa 97 Prozent, allein aufgrund der Ankündigung. Die Prognose wurde angepasst. Der Durchschnittswert pro Betreiber, der dies rechtfertigen würde, wurde noch immer nicht veröffentlicht.

Bei den Marktzahlen handelt es sich um Schätzungen von Narus Advisors / Eilers & Krejcik Gaming, die im Briefing der Kommission wiedergegeben wurden, nicht um Erkenntnisse der Kommission; demselben Dokument zufolge beliefen sich die Einsätze bei „Skin-Wetten“ im Jahr 2016 auf etwa $5 Milliarden, davon etwa $3 Milliarden auf Websites im Casino-Stil. Abgerufen am 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`.

Die öffentliche Stellungnahme von Valve aus dem Jahr 2016 lässt sich mit der heute sichtbaren Infrastruktur vergleichen. Die Frage ist, ob die Durchsetzungsmaßnahmen auch die Konten und Routen der verbotenen Betreiber erfasst haben. **Eine zehntägige Frist ist kein Beweis dafür, dass die Benachrichtigung bei allen darin genannten Betreibern erfolgt ist.** Die OPSkins-Maßnahme aus dem Jahr 2018 ist die einzige dokumentierte Intervention gegen einen namentlich genannten Betreiber; vor dem Hintergrund von 189 überprüften Plattformen und keiner veröffentlichten Aufschlüsselung nach Betreibern lässt eine einzige dokumentierte Maßnahme kein Muster der Durchsetzung erkennen.

[Bekanntmachung der Glücksspielkommission von Washington aus dem Jahr 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [archiviert 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Antwort von Valve vom 17. Oktober 2016 (Kopie des Dokuments) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [WSGC-Informationsveranstaltung vor dem Landtag, 30. Januar 2018 (lokale Kopie, 4 Seiten) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [die gleiche Datei auf wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [Abrufdatensatz & Hash ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [Valves OPSkins-Aktion 2018 ↗](https://blog.counter-strike.net/expresstrade/) [archiviert 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [Aktuelle Routenprüfung ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json)

Forensische Längsschnittprüfung · Adressaten der Unterlassungsaufforderungen aus dem Jahr 2016 

### Das Jahrzehnt der 10-Tage-Frist: Forensische Überlebensprüfung der 23 genannten Standorte

Am 19. und 20. Juli 2016 erließ Valve General Counsel Karl Quackenbush formelle Unterlassungsaufforderungen an 23 Skin-Glücksspielplattformen und wies diese an, die kommerzielle Nutzung von Steam-Konten innerhalb von **10 Tage** unter Androhung der Kontosperrung und rechtlicher Schritte. Mehr als 3,700 Tage später deckt eine empirische Überprüfung das tatsächliche Durchsetzungsmuster auf: Zahlreiche Betreiber haben ihren Betrieb nie eingestellt, andere waren auch nach Ablauf der Frist noch bis zu sechs Jahre lang aktiv, und das milliardenschwere Ökosystem nutzte weiterhin die OpenID-Architektur von Valve.

5+ LIVE

Wird 2026 definitiv in Betrieb sein (CSGOBig, CSGO500, CSGOFast usw.)

6 JAHRE

Längster Betrieb nach Bekanntgabe vor der Schließung (CSGOatse war bis 2022 aktiv)

$5.01B

Wettvolumen im Bereich „Skin“ im Jahr 2016 (Narus / Eilers & Krejcik)

200+

Aktive Glücksspiel-Websites, die auf dem Höhepunkt des Marktes tätig sind

Die „Surviving Titans“ · Finanz- und Besucherzahlenplan 2024–2026 

#### Von 10-Tage-Warnungen bis hin zu Offshore-Konzernen: Der Umsatz in Milliardenhöhe

Anstatt das „Skin-Glücksspiel“ zu unterbinden, haben die Bekanntmachungen von Valve aus dem Jahr 2016 eine industrielle Entwicklung vorangetrieben. Die überlebenden Betreiber strukturierten sich als Offshore-Unternehmen (Curaçao, Belize, Zypern) um, leisteten Pionierarbeit beim Peer-to-Peer-Handel (P2P), um Bot-Verbote zu umgehen, und wickeln mittlerweile über **10 Millionen Webbesuche pro Monat** und **Milliarden Dollar an jährlichem Wettumsatz** wobei die Authentifizierung weiterhin über Steam erfolgt:

| Plattform / Domain | Mitteilung vom Juli 2016 | Ergebnis der Vollstreckung und Überlebensstatus | Protokollierte Überprüfung / Primäre Links |
| --- | --- | --- | --- |
| CSGOBig csgobig.com | 10-Tage-Frist (Juli 2016) | IM JAHR 2026 NOCH IMMER AM LEBEN Vorübergehend ausgesetzt, wieder aufgenommen; Authentifizierung über letmeinbig.com und csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) |
| CSGO500 csgo500.com / 500.casino | 10-Tage-Frist (Juli 2016) | IM JAHR 2026 NOCH IMMER AM LEBEN Umbenannt in 500 Casino (Curaçao-Lizenz Nr. 8048/JAZ2014-037), monatlicher Umsatz in Millionenhöhe | [Live-Plattform (500.casino) ↗](https://500.casino) |
| CSGOFast csgofast.com | 10-Tage-Frist (Juli 2016) | IM JAHR 2026 NOCH IMMER AM LEBEN Aktiver Betrieb von Roulette, Crash und Jackpot über steam-login.authtofast.com | [Dossier-Authentifizierungsprüfung ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | 10-Tage-Frist (Juli 2016) | IM JAHR 2026 NOCH IMMER AM LEBEN Fokus auf Wetten mit E-Sport-Coins und Krypto-Wetten; Aufrechterhaltung des kontinuierlichen Betriebs | [Live-Plattform ↗](https://csgolounge.com) |
| CSGOCasino csgocasino.net / csgocasino.gg | 10-Tage-Frist (Juli 2016) | LIVE VIA SUCCESSOR (2026) Die Domain wurde umgeleitet; das aktive Nachfolgeportal ist unter csgocasino.gg erreichbar. | [Nachfolgende Domäne ↗](https://csgocasino.gg/) |
| CSGOatse csgoatse.com | 10-Tage-Frist (Juli 2016) | 6 JAHRE ÜBERLEBT (AKTIV BIS 2022) Der Glücksspielbetrieb wurde nach dem 10-tägigen Ultimatum von Valve sechs Jahre lang uneingeschränkt fortgeführt | [X: @CSGOatsecom (aktiv bis 2022) ↗](https://x.com/CSGOatsecom) |
| CSGOSweep csgosweep.com | 10-Tage-Frist (Juli 2016) | BIS DEZEMBER 2017 ÜBERLEBT Wurde nach Ablauf der Frist noch 17 Monate lang öffentlich betrieben | [X: CSGOSweep-Status Dez. 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) |
| CSGOWild csgowild.com | 10-Tage-Frist (Juli 2016) | BIS DEZEMBER 2017 ÜBERLEBT Von bedeutenden Influencern beworben; lief nach der Unterlassungsaufforderung noch 1,5 Jahre weiter, bevor die Umstellung auf Kryptowährung erfolgte | [X: @Wild (aktiv seit Dez. 2017) ↗](https://x.com/Wild) |
| CSGOPot csgopot.com | 10-Tage-Frist (Juli 2016) | BIS SEPTEMBER 2017 ÜBERLEBT 14 Monate nach der Bekanntgabe wurden weiterhin Jackpot-Wetten mit hohen Einsätzen angeboten | [X: @csgopot (aktiv im September 2017) ↗](https://x.com/csgopot) |
| CSGODiamonds csgodiamonds.com | 10-Tage-Frist (Juli 2016) | HAT BIS MITTE 2017 ÜBERLEBT Lief bis 2017 weiter, obwohl zugegeben wurde, dass die Ergebnisse für gesponserte Streamer manipuliert wurden | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) |
| CSGOLotto csgolotto.com | 10-Tage-Frist (Juli 2016) | GESCHLOSSEN IM JULI 2016 Wegen eines öffentlichen Skandals geschlossen; Gegenstand einer Einverständniserklärung der US-Kartellbehörde FTC | [Einverständniserklärung der FTC (Aktenzeichen C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) |
| CSGODouble csgodouble.com | 10-Tage-Frist (Juli 2016) | GESCHLOSSEN IM JULI 2016 Sofortige freiwillige Einstellung des Betriebs nach Veröffentlichung der Unterlassungsaufforderung | [X: @CSGODouble (im Juli 2016 geschlossen) ↗](https://x.com/CSGODouble) |
| CSGOMassive csgomassive.com | 10-Tage-Frist (Juli 2016) | GESCHLOSSEN 2016 Der öffentliche Betrieb wurde Ende 2016 eingestellt | [X: @csgo_massive ↗](https://x.com/csgo_massive) |
| CSGOStrong csgostrong.com | 10-Tage-Frist (Juli 2016) | GESCHLOSSEN 2016 Hat den öffentlichen Betrieb im Jahr 2016 eingestellt | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) |
| Skins2 skins2.com | 10-Tage-Frist (Juli 2016) | GESCHLOSSEN 2016 Hat den öffentlichen Betrieb im Jahr 2016 eingestellt | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) |

| Plattform | Monatliche Besucherzahlen (Besuche) | Geschätzter Umsatz / Volumen | Rechtsform und Gerichtsbarkeit | Wichtige regulatorische Maßnahmen und Modell |
| --- | --- | --- | --- | --- |
| CSGOEmpire csgoempire.com | 2,3 Mio. – 9,0 Mio. / Monat Durchschnittliche Dauer: 6+ Minuten; 80% direkt | $1.5B — $2.5B Jährlicher Umsatz >1,000,000 P2P-Skin-Trades pro Monat; $6.4M aktiver Liquiditätspool | Moonrail Limited B.V. (Curaçao Nr. 148182) Zahlungen: JHOLT LTD (Zypern); Gründer: „Monarch“ (Ossi Ketola) | Pionier des gebührenfreien P2P-Handels mit Gegenständen; lizenziert in Curaçao unter der Nummer OGL/2024/1183/0869 |
| CSGORoll csgoroll.com | 2,74 Mio. – 3,5 Mio. / Monat Durchschnittliche Dauer: 9 Minuten 23 Sekunden; Absprungrate: 16% | $1.0B — $2.0B Jährlicher Umsatz Geschätzter Jahresumsatz des Unternehmens aus dem Hausvorteil: $100M–$200M | Feral Holdings Limited Mit Hauptsitz in Belize City, Belize (Reg.-Nr. 171519) | Von der australischen ACMA gesperrt (Mai 2023); sponserte das Tier-1-Team G2 Esports mit minderjährigen Spielern |
| 500 Casino (CSGO500) 500.casino / csgo500.com | 220.000 – 425.000 / Monat ~105.000 einzelne Besucher pro Monat | $100k / Woche ($5.2M/Jahr) in Royales Umsatzanforderung für High-Roller: $400 Einsatz pro $1 Rakeback | Perfect Storm B.V. (Curaçao Nr. 150536) Lizenz der Glücksspielaufsichtsbehörde von Curaçao OGL/2024/1354/0882 | Von der schwedischen Spelinspektionen (Nov. 2023) wegen nicht genehmigter Werbung für schwedische Spieler gesperrt |
| CSGOBig csgobig.com | ~169,600 / Monat Durchschnittliche Dauer: 19 Min. 12 Sek.; US-Vorwahlen | Jährliches Umsatzvolumen in Millionenhöhe Überraschungskisten, Roulette und Kistenkämpfe | Funktioniert über zusätzliches Proxy-Routing letmeinbig.com (registriert 2023) & csgobiglogin.com | Ziel des C&D vom Juli 2016; mit Proxy-Authentifizierungsarchitektur neu gestartet |
| CSGOFast csgofast.com | ca. 150.000 – 250.000 / Monat Ein weltweites, mehrsprachiges Publikum | Jährliches Umsatzvolumen in Millionenhöhe Hochgeschwindigkeits-Roulette und Crash-Spiele | Offshore-Betriebsgesellschaften Routen Steam Authentifizierung über steam-login.authtofast.com | Zielobjekt der Unterlassungsklage vom Juli 2016; Betrieb wurde nie eingestellt; im Jahr 2026 noch aktiv |
| CSGOPolygon csgopolygon.com / plg.bet | ~300.000 – 500.000 / Monat Die Vorherrschaft der GUS-Staaten und Osteuropas | Jährliches Umsatzvolumen in Höhe von mehreren Millionen Krypto- und Skin-Roulette, Match-Wetten | Ziel der zweiten Welle (Okt. 2016) Umstellung auf Kryptowährung mit der Spiegeldomain plg.bet | Hat ein ganzes Jahrzehnt überstanden; setzt die Skin-Liquidation über APIs von Drittanbietern fort |

Die zweite Welle: Warum die Unterlassungsaufforderungen von Valve insgesamt mehr als 43 Websites betrafen

Am 17. Oktober 2016 teilte der Rechtsbeistand von Valve der Glücksspielkommission des Bundesstaates Washington offiziell mit, dass Valve nach den ersten 23 Mitteilungen vom 19. Juli Unterlassungsaufforderungen an **mehr als 20 weitere Skin-Glücksspielseiten** (wodurch die offizielle Gesamtzahl auf über 43 stieg). Diese zweite Runde war notwendig geworden, da in der ursprünglichen Liste aus unerklärlichen Gründen die größten und berüchtigtsten Glücksspielzentren der Welt nicht aufgeführt waren:

- **CSGOJackpot.com:** Der historische Pionier der „Skin-Jackpots“, der ein Volumen von mehreren hundert Millionen abwickelte, bevor er unter Androhung einer Anklage durch die Bundesbehörden den Betrieb einstellte.

- **CSGOShuffle.com:** Die Plattform, die im Mittelpunkt des Streaming-Skandals vom Juli 2016 stand, bei dem der Twitch-Streamer PhantomL0rd heimlich 33% des Unternehmens besaß und dabei überführt wurde, mit firmeneigenen Mitteln die Gewinnchancen manipuliert zu haben.

- **Das Makro-Ökosystem (über 200 Betreiber):** Laut einer Branchenstudie von Narus Advisors und Eilers & Krejcik Gaming waren im Jahr 2016 über 200 verschiedene Skin-Glücksspielseiten in Betrieb, die mit 3,03 Millionen aktiven Spielern ein Wettvolumen von $5.01 Milliarden erzielten. Die 43 Schreiben von Valve richteten sich an weniger als 20% des aktiven Marktes.

Offizielle behördliche und aufsichtsrechtliche Ermittlungen zu Steam Skin Gambling

Das Phänomen des „Skin Gambling“ ist in zahlreichen offiziellen behördlichen Untersuchungen, Durchsetzungsmaßnahmen und Stellungnahmen der Regierung dokumentiert:

**1. Glücksspielkommission des Bundesstaates Washington (WSGC) (2016–2018)** 

Am 5. Oktober 2016 wurde eine formelle Unterlassungsaufforderung erlassen; am 30. Januar 2018 wurde ein Gesetzgebungsbericht veröffentlicht, in dem dokumentiert wird, dass „Skins“ als Zahlungsmitteläquivalente gelten, und in dem das Wettvolumen von $5.0B „Skins“ ausgewiesen wird.

[WSGC-Gesetzgebungsbericht als PDF (lokale Kopie) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf)

**2. US-Bundeswettbewerbsbehörde (Federal Trade Commission, FTC) (Sept. 2017, Aktenzeichen C-4632)** 

Erste behördliche Durchsetzungsmaßnahme auf Bundesebene im Zusammenhang mit „Skin Gambling“ gegen die CSGOLotto-Eigentümer Trevor Martin und Thomas Cassell wegen irreführender Praktiken und nicht offengelegter Kontrolle über die Plattform.

[Entscheidung und Vergleichsvereinbarung der FTC ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter)

**3. Positionspapier der britischen Glücksspielkommission (UKGC) und Jugendprüfungen** 

Die Erhebung der Glücksspielkommission von 2018 ergab, dass 3% der 11- bis 16-Jährigen angaben, jemals mit In-Game-Gegenständen (Skins) gewettet zu haben.

[UKGC-Forschungsarchiv ↗](https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends)
[UKGC policy on virtual currencies ↗](https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies)

**4. Untersuchung des australischen Senats zu Umwelt und Kommunikation (2018)** 

Bericht des Bundesparlaments über *„Mikrotransaktionen in Spielen für zufällig generierte Gegenstände“*, wobei die Loot-Box-Mechanismen von Valve, Auszahlungen auf dem Sekundärmarkt und die Umgehung von Vorschriften untersucht werden.

[Untersuchung des australischen Parlaments ↗](https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report)

Die ausstehende Forderung 

**Veröffentlichung des Durchsetzungsberichts: Welche Glücksspielkonten und Bots wurden gesperrt, welche Return-Hosts wurden eingeschränkt und welche kommerziellen Dienste erhielten eine Genehmigung? Ein öffentliches Verbot und ein Warnhinweis auf der Startseite bedeuten nicht, dass der zugrunde liegende Betrieb eingestellt wurde.**

Teil B – Vorschriften und Durchsetzungsbilanz · § 12 

## Der Hostname ist bereits in der Anfrage enthalten.

Kontext und Quellenbeschränkungen

Valve verfügt bereits über eine Domänenliste (den Link-Filter) und erhält bei jeder OpenID-Anfrage den Auth-Hostnamen. Der folgende Pseudocode veranschaulicht den logischen Aufbau der Verknüpfung beider Elemente. Es gibt keine öffentlichen Hinweise darauf, dass Valve dies tut.

Valve betreibt bereits eine Domain-Blockliste. Valve erhält bereits bei jeder OpenID-Anfrage den Anmelde-Host. **Es muss nichts gebaut werden – die beiden müssen nur miteinander verbunden werden.** Das ist eine Hostnamenabfrage anhand einer Liste, die Valve selbst verwaltet. Der folgende Pseudocode dient lediglich zur Veranschaulichung und stellt nicht die Implementierung von Valve dar.

forensic_autoban.py

# VERANSCHAULICHENDER PSEUDOCODE — Valve.block_domain() und flag_session_as_mitm() sind keine echten API-Aufrufe. Dies veranschaulicht die logische Struktur einer Schutzmaßnahme, die Valve gegen Proxy-Authentifizierungsdomänen implementieren könnte, und nicht die tatsächlichen Valve-Interna.

# Abbildung: Der logische Aufbau einer Überprüfung der eingehenden OpenID-Anfrage

def audit_openid_request (Anfrage):

blocked_origins = database. get_blacklisted_platforms ()

proxy_domain = request.params. erhalten ( „openid.realm“ )

target_redirect = request.params. erhalten ( 'openid.return_to' )

# Logik: Wenn der Proxy zu einer gesperrten Website weiterleitet, wird der Proxy gesperrt.

für Website in blocked_origins:

falls Website in target_redirect:

Valve. block_domain (proxy_domain)

Valve. flag_session_as_mitm (request.session)

# Ergebnis: Die Anmeldeanfrage für diesen Host wird abgelehnt.

Anmerkung: 
Wenn eine Hauptdomain bereits im Link-Filter enthalten ist (z. B. howl.gg, gesperrt 2026-09-18/19/21) und ihr Authentifizierungshost (howl.uno) in der OpenID-Anfrage über den Anmeldebutton dieser Website erscheint, ist die Zuordnung für Valve anhand der eigenen Anfragedaten erkennbar. Die Überprüfung lässt sich automatisieren; ob sie durchgeführt wird, ist jedoch nicht automatisierbar.

### Dokumentierte und gemeldete Präzedenzfälle

Valve ist nachweislich mindestens einmal gegen einen Drittanbieter vorgegangen: Im Jahr 2018 entzog es OPSkins den Zugang zum ExpressTrade-System ([Valves Ankündigung ↗](https://blog.counter-strike.net/expresstrade/) [archiviert 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). In Community-Berichten aus dem Jahr 2018 wird ebenfalls beschrieben, dass ein Marktplatz (SkinJar) den Zugriff verloren hat; diese Berichte sind unbestätigt, und der Mechanismus wird aus dem Ergebnis abgeleitet, nicht aus einem offengelegten Ablauf.

Was dieser Präzedenzfall festlegt: 

Valve kann den Zugang eines Drittanbieters nach eigenem Ermessen sperren. CSGOFast, das in Presseberichten zu den Mitteilungen vom Juli 2016 genannt wurde, war auf 2026-09-21 aktiv und verfügte über einen unter 2026-06-30 registrierten Auth-Host, der keine Sperre durch den Link-Filter auslöste. Warum ein Betreiber gesperrt wurde und andere nicht, wird durch keine veröffentlichten Kriterien erklärt.

### Was ein Eintragungsdatum aussagt und was nicht

Das Registrierungsdatum eines Auth-Hosts stellt eine Untergrenze dafür dar, wann der Host erstmals in einer OpenID-Anfrage aufgetaucht sein könnte; es belegt jedoch keine kontinuierliche Nutzung. `sc-auth.net`… wurde beispielsweise unter der Kennung 2019-04-02 (RDAP) registriert und im September 2026 im Anmeldeablauf Steam von Skin.Club beobachtet; was zwischen diesen beiden Zeitpunkten geschah, ist nicht öffentlich bekannt.

### Vergleichsprüfung: API-Konformitätsstandards

| Durchsetzungsaspekt | Regeln für die GitHub-API | Steam Web-API (Valve) |
| --- | --- | --- |
| 1. Compliance-Neutralität | Veröffentlichte, einheitliche Regeln. Dokumentierte Ratenbeschränkungen (z. B. 5,000 Aufrufe/Stunde für authentifizierte Benutzer, 15,000/Stunde für GitHub Enterprise Cloud-Organisationen) und veröffentlichte Richtlinien zur zulässigen Nutzung gelten für jedes Konto. | Es wurden keine Kriterien veröffentlicht. Einzelne Konten werden aufgrund der Klauseln zur Automatisierung und zur kommerziellen Nutzung (archivierte Beschwerden) gekündigt, während keine Aufzeichnungen über die Durchsetzungsmaßnahmen pro Betreiber für kommerzielle Plattformen veröffentlicht wurden. |
| 2. Missbrauch von OpenID / Auth-Proxy | Die von GitHub veröffentlichten Richtlinien sehen vor, dass OAuth-Apps und -Token bei Missbrauch gesperrt oder widerrufen werden können, und in der Dokumentation wird der automatische Widerruf offengelegter Token beschrieben (Zusammenfassung der GitHub-Dokumentation durch die Autoren). | Bei Authentifizierungs-Hosts mit separaten Domänen, die in Steam OpenID-Abläufen beobachtet wurden (z. B. rbsnin.com, howl.uno, sc-auth.net), wurde bei 2026-09-21 kein Block durch den Link-Filter ausgelöst, während dies bei ihren Hauptdomänen der Fall war. |
| 3. Monetarisierung von Missbrauch | GitHub erhebt keine Transaktionsgebühren für Artikel, die über Automatisierungslösungen von Drittanbietern verkauft werden; sein Erlösmodell basiert auf Abonnements und Marktplatzangeboten. | Valve verkauft die Kisten-Schlüssel, mit denen die Gegenstände hergestellt werden, und der Community-Markt erhebt eine Gesamtgebühr von etwa 15% auf Verkäufe, die innerhalb des Marktes getätigt werden. Hier werden keine Schätzungen zu den Einnahmen aus Drittplattformen vorgenommen. |
| 4. Lebensdauer von Ausweichschleifen | Gesperrte OAuth-Client-IDs funktionieren ab dem Zeitpunkt der Sperrung plattformweit nicht mehr; in der Dokumentation wird kein Zeitraum für die Umsetzung genannt, und auch hier wird kein solcher angenommen. | Bei den Authentifizierungshosts mit separaten Domänen und Registrierungsdaten zwischen 2011 und September 2026 wurde bei den Prüfungen von 2026-09-19 und 2026-09-21 keine Sperrung durch den Link-Filter festgestellt. Das Registrierungsdatum stellt eine Untergrenze für die mögliche Nutzung dar, ist jedoch kein Nachweis für eine kontinuierliche Nutzung. |

Quellen: GitHub-Kolumne – Von GitHub veröffentlichte Dokumentation zu API-Ratenbeschränkungen und Plattformrichtlinien (Zusammenfassung der Autoren, nicht wörtlich zitiert) · Steam-Kolumne – Linkfilter-Prüfungen von 2026-09-19 und 2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), RDAP-Register ([domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) und die archivierten Support-Anfragen ([Beweisarchiv](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive)).

Teil B – Vorschriften und Durchsetzungshistorie · § 13 

## Die Preisdifferenz zwischen „Off-0“ und „0“

Der Artikel befindet sich in einem Steam-Inventar; der Verkauf findet an anderer Stelle statt. Ein fabrikneues AWP Dragon Lore hatte **62 aktuelle Angebote bei CSFloat**; der günstigste Preis **$10,623.95**. Auf dem eigenen Markt von Steam kann kein Angebotspreis über etwa $1,800 angezeigt werden. Um zu dem beobachteten höheren Preis zu verkaufen, benötigt ein Eigentümer einen Käufer oder Marktplatz außerhalb von Steam. Der Artikel und seine Übertragung hängen weiterhin von Steam ab.

Kontext und Quellenbeschränkungen

In diesem Abschnitt werden drei verschiedene Zählweisen aufgeführt, die nicht miteinander austauschbar sind. **245** ist die Anzahl der CS2-Artikelkategorien, deren günstigstes aktives Angebot allein auf CSFloat am 20. September 2026 den Wert $1,800 überschritten hat. **241** Das ist dieselbe Menge abzüglich der vier Kategorien, die an der Obergrenze $100,000 von CSFloat fixiert sind – das ist das Feld, auf dessen Grundlage die Untergrenze $13.63M berechnet wird. **248** ist eine andere Momentaufnahme: Kategorien, deren Preis am 23. September 2026 auf zwei oder mehr von fünf Marktplätzen über der Obergrenze lag. Da sich die Marktplätze überschneiden, dürfen die Zahlen verschiedener Plattformen keinesfalls addiert werden. Jede hier angegebene Zahl ist ein Angebotspreis, kein abgeschlossener Verkauf, und nichts davon stellt Umsatz, Erlös oder Gewinn dar – weder für Valve noch für irgendjemanden sonst. Die von PriceEmpire aufgeführten Werte sind gerundete Schätzungen, die von dieser Website veröffentlicht wurden, und die Steam-Karte umfasst Gegenstände aus anderen Steam-Spielen, sodass die Vergleichsgrundlagen nicht identisch sind.

**Ein Artikel. Zwei Preissysteme.** FOLGEN SIE DER ENTWICKLUNG

STEAM**Über $1,800** Veröffentlichte Obergrenze für Notierungen am Community-Markt

GESPEICHERTER KATALOG**$10,623.95** AWP „Dragon Lore“ – brandneu, Preis auf Anfrage

DIE ABHÄNGIGKEIT**Immer noch ein Steam-Artikel** Der Bestand und die Übertragung bleiben bei Steam

Steam begrenzt den Angebotspreis. Ein Verkäufer kann zwar einen niedrigeren Preis akzeptieren, darf aber den festgestellten fünfstelligen Angebotspreis auf diesem Markt nicht ausschreiben.

Der gespeicherte CSFloat-Katalog enthält 62 Angebote. Dabei handelt es sich um Angebotspreise, nicht um Hinweise auf einen abgeschlossenen Verkauf.

Bei diesem Angebot benötigt der Verkäufer eine alternative Plattform oder einen Käufer. Der Artikel hängt weiterhin vom Lagerbestand und vom Transfersystem von Steam ab.

01 / ARTIKEL **Valve Spielbestand**CS2- oder Dota 2-Gegenstand, der in Steam aufbewahrt wird

02 / DECKE **Über $1,800 am Steam**Höchstpreis für einen Markt-Eintrag

03 / EXTERNE ANFRAGE **$10,623.95 für „Dragon Lore“**Das günstigste CSFloat-Angebot in der Momentaufnahme vom [Datum]

04 / LIEFERUNG **Steam bleibt in der Kette erhalten**Eigentumsverhältnisse und die Übertragung von Gegenständen basieren auf diesem System

**245 CS2-Kategorien auf CSFloat.****166 CS2- und 3 Dota 2-Kategorien auf Skinport.**

Jede Abbildung erfasst Kategorien von Artikelnamen, deren günstigstes aktives Angebot am 20. September 2026 streng genommen über $1,800 lag. Die Marktplätze überschneiden sich; ihre Zahlen dürfen nicht addiert werden. Ein Angebot ist kein abgeschlossener Verkauf.

[Das Register auf Artikelebene überprüfen →](https://phishdestroy.io/steam_dossier/de/elite_skins#register)

DIRECT CSFLOAT API / DATUMSBEZOGENE MOMENTAUFNAHME **$13.63M**

Mindestgesamtschlusspreis in **241 Artikelkategorien** und **3,395 aktive Angebote**. Berechnet als das günstigste Verkaufsangebot jeder Kategorie multipliziert mit der Anzahl der Angebote. Vier Kategorien, die an die Obergrenze von CSFloat $100,000 gebunden sind, werden aus dieser konservativen Auswertung ausgeschlossen.

### Was die Dollarbeträge aussagen

Diese Angebote entsprechen mindestens **$13,631,888.25** in den angegebenen Angebotspreisen für diese begrenzte CSFloat-Teilmenge. Bezieht man die vier Kategorien mit Höchstpreisen mit ein, ergibt sich **$14,231,888.25**. Dies ist ein *Mindestpreis bei aktiven Kaufaufträgen*, nicht der abgeschlossene Umsatz, der Barumsatz, der Gewinn oder der gesamte CS2-Markt.

[Neuberechnung anhand des CSFloat-Snapshots mit 245 Zeilen ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)

PRICEEMPIRE / ANGEGEBENER WERT **Steam: Nr. 15 von 39**

### Viele Veranstaltungsorte geben einen höheren Dollarwert als Steam an.

UUSkins 

**$133.8M**

YouPin898 

**$127.5M**

Buff.163 

**$104M**

Moon.Market 

**$100.3M**

White.Market 

**$89.6M**

Buff.Market 

**$86.7M**

Steam 

**$31M**

Die sechs größten angezeigten Werte und Steam. PriceEmpire rundet diese Zahlen; Steam zeigt **$31M**. Vierzehn der aufgeführten Veranstaltungsorte liegen gemessen an den angegebenen Dollarbeträgen vor diesem.

PRICEEMPIRE / ANZAHL DER ANGEBOTE **Steam: Platz 1 von 39**

### Steam liegt bei der Anzahl der Angebote weiterhin an der Spitze.

Steam 

**32,2 Mio.**

YouPin898 

**5,9 Mio.**

C5Game 

**4,6 Mio.**

HaloSkins 

**4,4 Mio.**

Skinport 

**3,8 Mio.**

Steam zeigt **32,2 Mio.** Angebote. Die Anzahl der Angebote und der Gesamtverkaufspreis geben Aufschluss über unterschiedliche Aspekte; viele preisgünstige Angebote können die Gesamtzahl dominieren.

Quelle: [Öffentlicher Vergleich von PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), erfasst am 2026-09-20 um 19:03 UTC; [veraltete 39-zeilige Extraktion ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). Bei den Zahlen handelt es sich um gerundete Schätzwerte, und Bestände können sich standortübergreifend überschneiden. Auf der Karte von Steam sind auch Gegenstände aus anderen Steam-Spielen aufgeführt, sodass die Umfangsangaben nicht identisch sind. Die angegebenen Werte beziehen sich auf die Angebotspreise, nicht auf Verkäufe oder Umsätze.

**42**

EINE WEITERE QUELLE / STEAMANALYST 

### Das kommerzielle Ökosystem liegt auf der Hand.

[Das Marktplatzverzeichnis von SteamAnalyst](https://www.steamanalyst.com/marketplace) [archiviert 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) listet 42 CS2-Marktplätze von Drittanbietern neben Steam auf, wobei für 32 der 43 Einträge aktuelle Preisdaten vorliegen. PriceEmpire listet 39 Marktplätze nach seinen eigenen Aufnahmekriterien auf. Namentlich genannte Unternehmen, öffentliche Angebote, sichtbare Preise: Diese Wirtschaft ist für jedermann einsehbar.

DIE OBERGRENZE IST DER MECHANISMUS: DER VERKAUF VERLOR AN DYNAMIK, DER ARTIKEL JEDOCH NICHT. 

Über fünf Marktplätze hinweg, die in einer lizenzierten Momentaufnahme erfasst wurden, **248 Artikelkategorien der CS2 liegen preislich unabhängig voneinander um zwei oder mehr über der von Steam festgelegten Obergrenze von etwa $1,800 – und jede einzelne davon fehlt bei Steam**. Derselbe Momentaufnahme unterteilte den gesamten Katalog nach Preis: Der Markt von Valve führt 95.3% der Artikelkategorien unterhalb seiner Obergrenze und 1.9% derjenigen oberhalb davon. Der Einbruch ist nicht auf eine sinkende Nachfrage zurückzuführen; er entspricht genau der veröffentlichten Regel. Der Verkauf zu diesen Preisen erfordert einen externen Käufer oder Marktplatz, während Steam weiterhin die Kontrolle über den Lagerbestand und den Transfer behält – der Geschäftsvorgang verlässt die Kasse von Valve und die Lieferung erfolgt weiterhin über die Infrastruktur von Valve.

[Steam Häufig gestellte Fragen zum Markt ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam Abonnentenvertrag ↗](https://store.steampowered.com/agreement/?l=english)[archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[Datensatz „Five-Marketplace-Atlas“ ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[Herkunftsnachweis ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[Früherer CSFloat-Snapshot ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Skinport-Übersicht ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [archiviert 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[Preisunterschiedsregister ↗](https://phishdestroy.io/steam_dossier/de/elite_skins)[Preisleiter-Atlas ↗](https://phishdestroy.io/steam_dossier/de/skin_atlas)

Teil C – Rechtliche Rahmenbedingungen

Teil C – Rechtliche Rahmenbedingungen · Abschnitt 14 · Zugang für Mitarbeiter 

## Wer kann die Sicherheitsvorkehrungen zurücksetzen?

Kontext und Quellenbeschränkungen

Die Kontosicherheit hängt auch von den Personen ab, die ein Konto wiederherstellen, private Daten einsehen oder dessen Sicherheitsmaßnahmen zurücksetzen können. Die Untersuchung muss diese privilegierten Aktionen ebenso genau verfolgen wie den Missbrauch der API.

Die Kontowiederherstellung gibt einem Support-Mitarbeiter die Befugnis, ein Konto seinem Inhaber zu entziehen. **Valve hat zweimal – im Februar 2023 und im November 2025 – schriftlich bestätigt, dass diese Befugnis dazu genutzt wurde, Konten an die falschen Personen zu übertragen.** Im Abstand von dreiunddreißig Monaten, über denselben Kanal. Nachstehend: Was dieser Zugang wert ist, sechs belegte Fälle und das Protokoll Valve, das für jeden einzelnen davon gilt und das niemandem zur Verfügung gestellt wurde.

Gespeicherte Zeugenaussage / 9. Mai 2025 

### Ein Wiederherstellungsticket, durch das die Sicherheit des Kontos außer Kraft gesetzt wurde, sowie ein gemeldeter Verlust in Höhe von $10,000

Ein Nutzer im Support-Archiv berichtet, dass Steam der Support das Passwort zurückgesetzt und den Kontoschutz deaktiviert habe, nachdem eine andere Person ein Ticket zur Kontowiederherstellung eingereicht hatte. Der Verfasser gibt an, dass das Konto seit Jahren inaktiv war, Elemente aus den Jahren 2016–2017 enthielt und über Steam Guard, eine verknüpfte Telefonnummer sowie gespeicherte Wiederherstellungscodes verfügte.

> "Steam Der Support hat dennoch einer anderen Person Zugriff auf mein Konto gewährt."

Aussage aus erster Hand, überliefert in `steam_support_tickets_MEGA.json`, Eintrag 110. [Den vollständigen Beitrag lesen ↗](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#case-support-recovery)

Das ist nicht das Pech eines einzelnen Nutzers. Dieselbe Vorgehensweise – eine Hilfeanfrage, durch die ein Konto an denjenigen übertragen wird, der die älteren Daten bereitstellt – ist in allen Fällen in der untenstehenden Aufstellung als dokumentierter Weg festgehalten, und Valve hat dies zweimal schriftlich festgehalten.

**Der Eigentümer kann diese Auseinandersetzung nicht gewinnen.** Die Wiederherstellung fragt nach dem ersten CD-Key, der ersten E-Mail-Adresse, der ersten Kreditkarte und der ersten Telefonnummer. Diese Angaben befinden sich in der Datenbank von Valve, und der Support-Zugang liest sie aus – angeblich reichen sie bis zu fünfzehn Jahre zurück. Eine Person, die eine Kopie Ihrer Datei besitzt, kann immer mehr Details aus Ihrer Vergangenheit vorweisen, als Sie selbst. Die Ziele wurden passend ausgewählt: seit Jahren inaktiv, von hohem Wert und oft aus zweiter Hand erworben, sodass der Besitzer den ursprünglichen Schlüssel nie kannte. Anschließend wurden die Konten vollständig gelöscht, wodurch die Spur der Artikelhistorie unterbrochen wurde, die die Community nutzt, um einen Skin zurückzuverfolgen – eine Löschung, die ein gewöhnlicher Nutzer ohne die übliche Wartezeit nicht vornehmen kann.

Prinzip der geringsten Berechtigungen / OWASP A01 

Die Berechtigungen zur Datenwiederherstellung sollten auf die jeweilige Aufgabe beschränkt, unabhängig überprüft und protokolliert werden. Überprüfen Sie, wer Anmeldedaten zurücksetzen, Steam Guard entfernen, Abrechnungsunterlagen einsehen oder Kontodaten exportieren darf. [OWASP-Leitfaden zur Zugriffskontrolle ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [archiviert 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)

Umfassender Support-Zugang Risiko im Zusammenhang mit Zugriffsrechten

### Über das Inventar hinaus.

Wird der umfassende Zugriff missbraucht, kann private Telemetrie zu einem Instrument für Profiling, gezieltes Phishing und Überwachung werden. Zu den potenziellen Opfern zählen normale Nutzer, Militärangehörige, Personen des öffentlichen Lebens und deren Familien. Hierbei handelt es sich um ein Bedrohungsmodell; die genauen Berechtigungen erfordern Zugriffskontrollprotokolle.

01 IP-Verlauf und Standort

IP-Protokolle können Aufschluss über den Netzwerkverlauf und den ungefähren Standort geben. Sie lassen jedoch für sich genommen keine genauen physischen Bewegungen erkennen.

02 Geräte-Fingerprinting

Gerätekennungen können, sofern sie erfasst wurden und zugänglich sind, Sitzungen und Konten miteinander verknüpfen.

03 Aktivitäts-Telemetrie

Anmeldezeitstempel und Sitzungsprotokolle können Gewohnheiten offenbaren, darunter auch Aktivitäten, die in einem öffentlichen Profil nicht sichtbar sind.

04 Kommunikation und Kontakte

Der Zugriff auf gespeicherte Nachrichten oder Kontaktdaten würde die Möglichkeiten für Profiling und Social Engineering erweitern.

05 Enttarnung der Identität

Anhand der ursprünglichen E-Mail-, Telefon- und Zahlungsdaten lässt sich ein pseudonymes Konto einer bestimmten Person zuordnen.

06 Weiterverkauf von Daten und Rechenschaftspflicht

Exportierte Ziellisten könnten gezielte Betrugsversuche begünstigen. Ermitteln Sie den Akteur, den Zugriffsort, die Empfänger und die Überweisungen; der Standort allein begründet weder einen Zugriff noch rechtliche Immunität.

Valve beschreibt in seinem Bericht die Protokollierung von IP-Adressen, Geräteinformationen, Zahlungsdaten und externe Support-Anbieter [Datenschutzerklärung §§ 3, 5.2](https://store.steampowered.com/privacy_agreement/) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). Die Richtlinie gestattet den Zugriff durch Dritte – der Prüfpfad, aus dem hervorgeht, welcher Auftragnehmer wann und mit welcher Berechtigung auf welche Kategorie zugegriffen hat, wurde jedoch nicht offengelegt.

Abschnitt 14.1 · Das Register · Juni 2022 → November 2025 · Alle Zahlen mit Quellenangabe 

### Valve öffnete die Tür zweimal im Abstand von dreiunddreißig Monaten. Sie schloss sich nie.

Sechs gemeldete Fälle, in denen Konten über den eigenen Hilfeanfrage-Kanal von Steam oder über die von diesem Kanal geschützten Zugangsdaten kompromittiert wurden. Die jeweiligen Beträge entsprechen den von den genannten Quellen veröffentlichten Zahlen, und jede Quelle wird namentlich genannt. Zwei der sechs Fälle konnten vollständig wiederhergestellt werden. Der Unterschied zwischen diesen Fällen und den übrigen lag nicht darin, was passiert war – sondern darin, wer zuschaute.

Valve, schriftlich – Februar 2023 „Die betreffenden Gegenstände wurden aus deinem Konto entfernt, da sie von einem Konto stammten, das im Zuge einer Support-Anfrage kompromittiert wurde – wofür das CS:GO-Team die Verantwortung übernimmt. Wir haben die Tauschgeschäfte rückgängig gemacht und die Gegenstände aus allen Konten entfernt, auf denen sie eingegangen sind.“Steam Antwort an einen Empfänger von HFB-Artikeln, wiedergegeben von [Dexerto, 21. Februar 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [archiviert 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

Valve, wieder schriftlich – November 2025 · 33 Monate später „Ein Support-Mitarbeiter, der die Supportanfrage bearbeitet hat, hat unseren Prozess nicht eingehalten, was dazu führte, dass Ihr Konto einer anderen Person zugewiesen wurde. Ich entschuldige mich für diesen Fehler.“Steam Antwort des Supports an Hawkeye337, zitiert in [Dexerto, 14. November 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/)

Filterfälle:

Restitution: 100% viral vs. 0% nicht-viral

- 21. Juni 2022 

**HFB – das größte Sortiment im Spiel** $2,000,000+ *· wurde im Follow-up vom Februar 2023 auf $3,000,000+ angehoben* 

Sieben „AWP Dragon Lores“-Souvenirs und das „#1 Blue Gem Karambit“ – allein dieses Messer hat einen Wert von etwa **$1.26 Millionen**. Das Konto war seit drei Jahren inaktiv, wobei der mobile Authentifikator weiterhin aktiv war; E-Mail-Adresse und Passwort wurden dennoch über den Support-Wiederherstellungsweg geändert.

**Das Geld war schon weg, bevor die Sachen weg waren.** Ein gemeldeter **$200,000+** Ein Teil des Verkaufserlöses wurde bereits über market.csgo.com abgehoben – einen Marktplatz, auf dem Transaktionen in Bargeld und Kryptowährung abgewickelt werden. Bei der Rückabwicklung eines Handels wird die Skin zurückgegeben. Das bereits auf das Konto eingezahlte Bargeld wird jedoch nicht zurückerstattet.

**Und die Korrektur hat nicht funktioniert.** Ein Käufer hat seinen „Souvenir Dragon Lore“ in einen Lagerraum im Spiel verschoben. Das Rollback-Skript von Valve konnte nicht in den eigenen Container hineinsehen, daher stellte es dem Besitzer eine neue Kopie aus und ließ die versteckte Kopie bestehen – Valve duplizierte einen **$130,000** Artikel, als versucht wurde, einen Diebstahl rückgängig zu machen. Der Vorfall wurde durch den Abgleich von Artikel-IDs und Meldungen aus der Community aufgedeckt und der Artikel wurde einen Monat später, im Juli 2022, gelöscht. Der Käufer erhielt eine Rückerstattung von BUFF, nicht von Valve. Eine so kurzfristige Notfallmaßnahme ist keine Kontrolle; es ist das, was eine Plattform tut, wenn sie keine Kontrolle hat.

[Dexerto, 21. Juni 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [archiviert 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [Kaspersky ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · Auszahlungsbetrag pro [Esportfire, 22. Juni 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [archiviert 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), dort mehreren Twitter-Quellen zugeschrieben · Duplikate und Löschungen gemäß [Esportsbetting, 14. Juli 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/)

**Restauriert***Die Geschäfte wurden rückgängig gemacht. Die Artikel wurden aus den Beständen derjenigen zurückgezogen, die den vollen Preis dafür bezahlt hatten.*

- 14. August 2022 

**CS.Money – die plattformeigenen Bots** $6,300,000 *· 19,000+ Skins · erste Schätzung $1.6M* 

Die Angreifer erbeuteten die Dateien des mobilen Authentifikators der Handelsbots des Marktplatzes und leerten diese; anschließend schickten sie einen Teil der Beute an bekannte Händler, um die Spuren zu verwischen. Forscher aus der Community haben dies nachverfolgt **55 Angreifer-Konten innerhalb weniger Stunden** und veröffentlichte sie.

Valve hat nichts rückgängig gemacht. Als Grund wurde angegeben, dass sich eine Website eines Drittanbieters außerhalb von Steam befindet – desselben Steam, dessen Bestandsdaten, Handels-API und Kontensystem durch den Diebstahl durchgängig betroffen waren.

[Esportfire, 14. August 2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [archiviert 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022)

**Abgelehnt***Keine Rückabwicklung. Der Verlust blieb bei der Plattform und ihren Nutzern.*

- Gemeldet
21. Februar 2023 

**Qkss – dieselbe Tür, derselbe Schauspieler** $1,000,000+ 

Es wurde berichtet, dass dies auf dieselbe Weise wie bei HFB erfolgte – durch denselben Schauspieler und über dieselbe Support-Anfrage. HFB wurde bereits acht Monate zuvor vollständig behoben. Bei Qkss war dies nicht der Fall.

**Ein Weg. Zwei Antworten.** In den veröffentlichten Unterlagen gibt es keinen Unterschied zwischen den beiden Fällen, abgesehen von der Größe des Publikums.

[Dexerto, 21. Februar 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [archiviert 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Abgelehnt***Nicht restauriert.*

- Gemeldet
Februar 2023 

**Der Insiderhandel an sich – ein Jahr lang** ≈ $320,000 *· Erlöse über einen Zeitraum von etwa einem Jahr, keine Bestandsbewertung* 

Der Zugriff über den Support ermöglichte den Zugriff auf den Kontoverlauf bis zum **15 Jahre alt** — der erste CD-Key, die erste E-Mail, die erste Karte. Genau das sind die Nachweise, die im Wiederherstellungsprozess verlangt werden, weshalb derjenige, der die Datenbank besitzt, im Streit mit dem Kontoinhaber immer die Oberhand behält.

Der Blogger Mzkshow deckte auf, wie der Insider-Betreiber „Steam Help“ und sein Komplize „Alexander“ inaktive Konten ins Visier nahmen, auf denen Skins im Wert von über $100k lagen. Eine gestohlene M4A4 Howl mit den Holos „iBUYPOWER“ und „Titan Katowice 2014“ wurde für **$35,000** und landete schließlich bei Valerii „b1t“ Vakhovskyi von NAVI, der davon nichts ahnen konnte. Nachdem Valve eingeschritten war, entließ der Auftragnehmer sein gesamtes Steam-Supportteam.

[VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (EN) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Kein Register***Valve hat nie veröffentlicht, wie viele Konten davon betroffen waren, und hat auch die Betroffenen nicht darüber informiert.*

- Gemeldet
2. Dezember 2024 

**„Matvey“ – nach den Entlassungen** $13,000 

Die Wiederherstellung wurde jemandem gewährt, der Kontodaten vorlegte, die der Eigentümer selbst nicht zuordnen konnte. Zwei Jahre, nachdem der Auftragnehmer seinen Steam-Support-Desk aufgelöst hatte, führte derselbe Weg zum gleichen Ergebnis.

[Archivierter Beitrag, 2. Dezember 2024 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [archiviert 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [Quellzeilen und Hashes ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json)

**Abgelehnt***Nicht restauriert.*

- 13. November 2025 

**Hawkeye337 (Mark Spurlock) – und das zweite Geständnis** ≈ $300,000–$500,000 *· Die komplette Holo-Kollektion „Katowice 2014“* 

Der Angreifer forderte **1 Bitcoin** und begann, die Sammlung auf Negevs zu kopieren, um sie zu vernichten. Steam Die schriftliche Antwort des Supports ist das zweite Eingeständnis oben: Ein Techniker hat die Supportanfrage bearbeitet, sich nicht an den vorgegebenen Ablauf gehalten und das Konto an jemand anderen weitergegeben.

**Der Grund für die Korrektur war der Feed.** Nur wenige Stunden, nachdem die Beiträge mit dem Tag Valve auf X veröffentlicht worden waren, wurde der Account wieder freigeschaltet und alle Sticker wiederhergestellt. Qkss hatte nicht so viele Follower.

[Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [archiviert 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked)

**Restauriert***Innerhalb weniger Stunden, nachdem die Meldung zum Trend geworden war, wurde sie zurückgenommen.*

#### Was die Bilanz aussagt, was kein Einzelfall tut.

**Die Strecke wurde nie gesperrt.** Die erste Aufnahme erfolgte im Februar 2023, die zweite im November 2025 — **im Abstand von dreiunddreißig Monaten**, dazwischen kam es zu einer Massenentlassung bei dem Auftragnehmer, einem dokumentierten erneuten Vorfall und einem Plattformverstoß in Höhe von $6.3 Millionen. Gerechnet ab dem ersten Diebstahl in diesem Verzeichnis blieb der Kanal offen für **drei Jahre und fünf Monate**. Was auch immer im Jahr 2023 behoben wurde, im November 2025 wurde die Hilfeanfrage dennoch an die falsche Person weitergeleitet – so der eigene Satz von Valve.

**Bei der Wiedergutmachung ging es um die Aufmerksamkeit, nicht um den Schaden.** Wiederhergestellt: das größte Inventar im Spiel und der Sammler, dessen Thread zum Trend wurde. Abgelehnt: $1,000,000, $6,300,000, $13,000. Valve hat die zugrunde liegende Regel nie veröffentlicht, da eine veröffentlichte Regel diese drei erklären müsste.

**Niemand wurde darüber informiert.** Weder die Nutzer, deren Kontodaten aus der Datenbank ausgelesen wurden, noch eine Aufsichtsbehörde, noch der Markt, der die Artikel in gutem Glauben gekauft hatte und sie zurückfordern musste. Es gibt keine Benachrichtigung über eine Datenschutzverletzung, keinen Vorfallbericht, keine Aufstellung der betroffenen Konten — **und die Erlöse, die als Geld übrig blieben**, über Marktplätze, die in Bargeld und Kryptowährung auszahlen. Eine Handelsumkehr kann nicht dem Geldfluss aus Steam folgen.

Valve enthält den Support-Prüfpfad, das Protokoll der Wiederherstellungstickets und die Transaktionsaufzeichnungen für jede der oben genannten Zeilen. Nichts davon wurde vorgelegt. [Fordern Sie Ihr eigenes Exemplar an →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook)

Die Frage zur Geheimhaltungsvereinbarung 

### Vertraulichkeit muss mit technischer Rechenschaftspflicht einhergehen.

Vergleichen Sie Vertraulichkeitsvereinbarungen mit den tatsächlichen Berechtigungen, Exportkontrollen, Genehmigungen für das Zurücksetzen und Zugriffsprotokollen. Eine vorgefertigte Antwort reicht nicht aus, um den Vorwurf auszuräumen, dass der Wiederherstellungsprozess selbst missbraucht wurde.

Artikel 28, 32–34 der DSGVO 

Gemäß Art. 33 hat ein Verantwortlicher 72 Stunden Zeit, um die Aufsichtsbehörde über eine Verletzung des Schutzes personenbezogener Daten zu informieren; Art. 34 schreibt vor, die betroffenen Personen zu benachrichtigen, wenn das Risiko für sie hoch ist. Valve hat zweimal schriftlich bestätigt, dass sein Support-Kanal Konten – einschließlich Kontoverlauf, Abrechnungsunterlagen und allem anderen – an die falschen Personen weitergegeben hat. **Es wurde keine Mitteilung gemäß einem der beiden Artikel veröffentlicht, und kein betroffener Nutzer hat berichtet, eine solche erhalten zu haben.** [Lesen Sie die Verordnung ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [archiviert 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

[Fügen Sie Ihrer Anfrage den Support-Zugang hinzu →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook)

Teil C – Rechtliche Rahmenbedingungen · Abschnitt 15 · Kommerzieller Maßstab 

## Folgen Sie dem Geld. Trennen Sie die Transaktionen.

Kontext und Quellenbeschränkungen

Die Frage nach der gewerblichen Nutzung stellt sich umso deutlicher, wenn die Geldströme voneinander getrennt werden. Die Übertragung von Gegenständen an Dritte, die Hauptverkäufe von Valve und externe Auszahlungen sind unterschiedliche Transaktionen.

Der Artikel gehört Valve. Der Bestand beträgt Valve. Die Übertragung läuft auf den Servern von Valve. **Nur die Zahlung erfolgt an einem anderen Ort** — das ist der Schritt, der darüber entscheidet, ob jemand als Geldtransferdienstleister gilt, und genau diesen Schritt Valve führt das Unternehmen nicht durch.

Der Einnahmemechanismus 

### Wo das Geld tatsächlich fließt.

Drei Pfade / Ein-Gegenstand-Wirtschaft

- 01 / Konto **Benutzerverzeichnis**

Artikel im Bestand: Steam

- 02 / Transfer **P2P-Handel**

Benutzer ↔ Bot oder Benutzer ↔ Benutzer

- 03 / Abrechnung **Externe Plattform**

Saldo oder Restzahlung Steam

**AuflageDer wirtschaftliche Motor geht über die Ablösesumme hinaus**

Steam stellt die von externen Märkten genutzte Infrastruktur für Bestandsführung und Transfers bereit. Das wirtschaftliche Argument der Untersuchung lautet, dass die Liquidität beim Weiterverkauf und die wiederkehrende Nachfrage die Ausgaben für Koffer, Schlüssel und Ersatzartikel aufrechterhalten, wobei Gebühren auf nachfolgende Verkäufe auf dem Community-Markt anfallen. Bei einem direkten P2P-Transfer fällt keine Provision des Community-Marktes an; diese buchhalterische Tatsache sagt jedoch nichts über den umfassenderen Nutzen aus. Valve behält durchgehend die Kontrolle über den Kontozugang und die Handelsbeschränkungen.

- 01 / Sekundärnachfrage **Liquidität und Wiederverkaufswert**

Nachfrage im Außenhandel und im Glücksspielbereich

- 02 / Primäre Ausgaben **Schlüssel, Etuis und Kapseln**

Einkäufe bei Valve, sofern angeboten

- 03 / Umsatz **Erlöse aus Erstverkäufen**

Zuzüglich Gebühren auf tatsächliche Marktverkäufe

**5% + 10%Steam + CS2-Gebühr auf Verkäufe im Community-Markt**

Die wirtschaftliche Schlussfolgerung der Untersuchung: Flüssige Wiederverkaufsmärkte können den Kauf neuer Artikel fördern. Das bekannte 15% umfasst Marktgebühren, die Mindestbeträgen und Rundungen unterliegen; es handelt sich nicht um eine Abgabe auf jeden Außenhandel.

[Gebührenordnung des Community Market von Valve ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). Am 25. Februar 2026 [Der Generalstaatsanwalt von New York hat Klage eingereicht](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [archiviert 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) mit der Behauptung, dass kostenpflichtige Lootboxen mit dem Weiterverkauf gegen Bargeld und Glücksspielschäden in Verbindung stehen – genau dieser Zusammenhang wird in diesem Dossier aus Sicht der technischen Infrastruktur dokumentiert. Diese Beschwerde ist eine Behauptung, keine Feststellung; sie wird hier angeführt, weil eine staatliche Strafverfolgungsbehörde eine Frage aufgeworfen hat, die eng mit der in diesem Dossier gestellten zusammenhängt: Wo sind die Durchsetzungsergebnisse, die den öffentlichen Erklärungen entsprechen?

- 01 / Eintrag **Krypto-Einzahlung**

Externe Dienst- und Wallet-Datensätze

- 02 / Umwandlung **Balance → Skins**

Artikel, die über Steam-Transaktionen geliefert wurden

- 03 / Ausgang **Externer Fiat-Verkauf**

Verkäufer, Käufer und Auszahlungsdienstleister

**KYC?Bei jeder Übergabe die Kontrollinstanz ermitteln**

Dies ist der Weg, den es zu prüfen gilt, und nicht ein nativer Steam-API-Dienst zur Bargeldumwandlung. Dokumentieren Sie Identitätsprüfungen, Verwahrung, Transaktions-IDs und Auszahlungsempfänger bei jedem externen Betreiber, bevor Sie eine Auszahlung ohne KYC-Prüfung genehmigen.

Vereinigte Staaten / Bankgeheimnisgesetz 

### Ordnen Sie zunächst die Tätigkeit und anschließend die Verpflichtung zu.

FinCEN bewertet den Geldtransfer anhand der Geschäftstätigkeit eines Unternehmens. Die Annahme und der Transfer konvertierbarer virtueller Währungen können Verpflichtungen im Rahmen des Gelddienstleistungsgesetzes auslösen, vorbehaltlich der geltenden Definitionen und Ausnahmen. Die Steam-Wallet von Valve nimmt Gelder entgegen und wandelt sie in Gegenstände im Spiel um; diese Gegenstände werden anschließend über Drittanbieter gegen echte Währung veräußert. Der Gegenstand und dessen Übertragung laufen über die Infrastruktur von Valve; die Auszahlung erfolgt jedoch nicht darüber, und ob ein Teil dieses Zyklus den Definitionen für Geldtransfers entspricht, ist eine Einstufungsfrage für FinCEN und wird hier nicht abschließend beurteilt.

[FinCEN FIN-2019-G001, §§ 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [archiviert 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf)

Europäische Union / Geldwäsche 

### Erlöse, Wissen und Unterstützung nachverfolgen.

Die Richtlinie (EU) 2018/1673 betrifft vorsätzliche Geldwäsche und die Beteiligung an Straftaten im Zusammenhang mit Erträgen aus Straftaten. Die ermittlungsrelevante Frage lautet, was Valve über die Betreiber wusste, die seine Handels- und OpenID-Infrastruktur nach dem 13. Juli 2016 nutzten – als das Unternehmen diese Nutzung öffentlich beschrieb –, und welche Maßnahmen es in diesem Zusammenhang ergriffen hat. Valve hat keine Aufzeichnungen über die Durchsetzungsmaßnahmen pro Betreiber veröffentlicht; diese Aufzeichnungen, nicht das vorliegende Dossier, würden die Frage beantworten.

[Strafrechtlicher Rahmen der EU ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673)

**Begriffe der AMLD6:** Die oben genannte strafrechtliche Richtlinie unterscheidet sich von der Richtlinie (EU) 2024/1640, auch bekannt als AMLD6. Für Letztere gilt eine allgemeine Umsetzungsfrist bis zum 10. Juli 2027, wobei bestimmte Ausnahmen vorgesehen sind. [Artikel 78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [archiviert 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng)

Teil C – Rechtliche Rahmenbedingungen · § 16 · Mitteilung, Antwort, Haftung 

## Das Gesetz über digitale Dienste: Wissen dokumentieren

Kontext und Quellenbeschränkungen

Zwei Elemente einer Mitteilung gemäß Artikel 16 liegen beim Einreicher und nicht in diesem Dossier vor: die Angaben des Einreichers selbst und eine Erklärung in gutem Glauben, dass die Informationen korrekt sind. Alles andere, was der Artikel vorschreibt – die begründete Erklärung und der genaue elektronische Speicherort –, ist in Abschnitt 3 und im Routenregister mit gespeicherten Antworten und Hashwerten festgelegt, sodass jede Partei die Meldung einreichen kann. Zwei weitere Einschränkungen des Gesetzes selbst: Der Verlust der Hosting-Ausnahme begründet für sich genommen keine Haftung nach anderen Gesetzen, und der Betrag „0“ in Artikel 52 Absatz 3 ist eine gesetzliche Obergrenze, keine festgesetzte Strafe in Höhe von „1“.

Gemäß dem DSA genießt ein Hosting-Anbieter nur so lange Haftungsschutz, bis er konkrete Kenntnis erlangt und es versäumt, entsprechend zu handeln. **Dieses Dossier stellt diese Mitteilung dar.** Darin werden die Hosts, die Daten, die gespeicherten Antworten und die Hashes genannt. Seit der Veröffentlichung stellt sich nicht mehr die Frage, ob Valve davon wusste – sondern vielmehr, was Valve als Nächstes tat.

01 Juli 2016 / die Dossier-Ausstellung 

### Eine zehntägige Frist.

Die oben wiedergegebene Bekanntmachung bildet den historischen Ausgangspunkt für den Vergleich der Durchsetzungsmaßnahmen im Rahmen der Untersuchung.

02 17. Februar 2024 / Allgemeine Bewerbung 

### Das DSA-Zeitfenster.

Trennen Sie das Verhalten in der Vergangenheit von dem Verhalten während des Zeitraums, in dem die einschlägigen DSA-Verpflichtungen gelten.

03 Zehn Jahre / Momentaufnahme der ursprünglichen Akte 

### Für die Dauer ist ein Nachverfolgungspfad erforderlich.

Die seit Juli 2016 verstrichene Zeit (siehe Abschnitt 11) ist eine Kennzahl aus den Akten. Es handelt sich nicht um zehn Jahre nachgewiesener Verstöße gegen das DSA. Verknüpfen Sie jede Mitteilung mit einem konkreten Sachverhalt, dem anwendbaren Recht, dem Zustellnachweis und der Antwort.

Artikel 52 Absatz 3 / gesetzliche Obergrenze **6 %**

### des weltweiten Jahresumsatzes

Höchststrafe bei Verstößen gegen die Verpflichtungen gemäß dem DSA, bezogen auf das vorangegangene Geschäftsjahr des Anbieters. Hierbei handelt es sich um eine gesetzliche Obergrenze, nicht um eine gegen Valve verhängte Strafe.

Artikel 6, 8 und 16 / die rechtliche Prüfung 

Bei den betreffenden Hosting-Diensten können spezifische Kenntnisse und das Versäumnis, unverzüglich zu handeln, zum Verlust der Hosting-Ausnahme führen. Eine hinreichend präzise Mitteilung kann die Kenntnis des konkreten Inhalts begründen. Das DSA sieht keine allgemeine Überwachungspflicht vor; der Verlust der Ausnahme begründet für sich genommen keine Haftung nach einem anderen Gesetz.

[DSA: Artikel 6, 8, 16, 52, 53, 93 und Erwägungsgrund 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [archiviert 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng)

[Gespeicherte Beschwerden anzeigen ↗](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#support-records)[Die Zeitleiste des Kontos erstellen →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook)[Umfassende rechtliche und wirtschaftliche Analyse →](https://phishdestroy.io/steam_dossier/de/legal_analysis)

Teil C – Rechtliche Rahmenbedingungen · Abschnitt 17 · Identität, Alter, Zugang zu kommerziellen Diensten 

## Minderjährige: Eine Anmeldung mit „0“ gilt nicht als Altersüberprüfung.

Kontext und Quellenbeschränkungen

In dieser Akte tauchen an keiner Stelle Daten von Minderjährigen auf, und es wurden auch keine erhoben: Die Autoren haben sich auf keiner der genannten Plattformen registriert, dort Daten hinterlegt oder sich dort angemeldet. Wer auf diesem Abschnitt aufbaut, sollte Beweismittel, die ein Kind betreffen, vertraulich behandeln und identifizierende Angaben aus öffentlichen Unterlagen schwärzen. COPPA wird hier als Datenschutzgesetz für Kinder mit eigenen Anwendungsbedingungen – Zielgruppe, tatsächliche Kenntnis, erhobene personenbezogene Daten – zitiert und nicht als allgemeine Regel zum Mindestalter für Glücksspiele; die Klage aus New York aus dem Jahr 2026 ist eine Behauptung einer staatlichen Behörde, keine festgestellte Tatsache.

„Mit Steam anmelden“ bestätigt, dass ein Konto vorhanden ist. **Das sagt nichts über das Alter aus** — und auf diesen Seiten ist es das einzige Hindernis zwischen einem Kind und einer Einzahlung. Lies es mit [Abschnitt 3.1](https://phishdestroy.io/steam_dossier/de/index#inside-steam-filter): Innerhalb des Steam-Clients wird die Warnung, die ein Browser anzeigen würde, niemals ausgelöst, sodass das Kind sie nie zu sehen bekommt.

Was Steam OpenID bietet **Kontoidentität**

Eine verifizierte Steam-ID, die zum Einloggen oder zum Verknüpfen eines Kontos verwendet wird.

Was der Betreiber nachweisen muss **Teilnahmeberechtigung**

Alter, zuständiges Gericht und etwaige erforderliche Identitätsprüfungen.

Technische Grundlagen: [Steamworks OpenID-Dokumentation ↗](https://partner.steamgames.com/doc/features/auth#website) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). Die dokumentierte Identitätsbestätigung stellt keine Bescheinigung dar, dass der Nutzer rechtmäßig Glücksspiele betreiben darf.

COPPA / Kinder unter 13 Jahren 

### Bestimmen Sie den Operator und die Daten.

COPPA gilt für betroffene, an Kinder gerichtete Dienste sowie für Dienste, denen tatsächlich bekannt ist, dass sie personenbezogene Daten von Kindern unter 13 Jahren erheben. Es handelt sich um ein Datenschutzgesetz für Kinder und nicht um eine allgemeine Regelung zum Mindestalter für Glücksspiele. Legen Sie die Zielgruppe, die erhobenen personenbezogenen Daten, die Kenntnislage sowie das Verfahren zur Einholung der elterlichen Einwilligung fest.

[FTC: COPPA-Vorschriften ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa)

Die zu sichernden Beweismittel 

### Erfassen Sie den Ablauf vom Einloggen bis zur Einzahlung.

Behalten Sie die Altersbeschränkung der Website, den Wortlaut der Registrierungsbedingungen, die Teilnahmebedingungen, den Zahlungsablauf und die Beschwerdehistorie bei. Bewerten Sie jeden Betreiber separat. Behandeln Sie alle Beweismittel, die ein Kind betreffen, vertraulich und schwärzen Sie identifizierende Angaben in öffentlichen Unterlagen.

Ein damit zusammenhängender öffentlicher Vollstreckungsbescheid ist der [Bekanntmachung zur Klage in New York 2026](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [archiviert 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), in der behauptet wird, dass kostenpflichtige Lootboxen jungen Nutzern Schaden zufügen. Es handelt sich dabei nicht um eine Feststellung im Rahmen des COPPA.

Teil C – Rechtliche Rahmenbedingungen · Abschnitt 18 · Antrag gemäß Artikel 15 der DSGVO 

## Die Anfrage. Die Antwort. Der fehlende Vergleich.

Er bat um vier Dinge, darunter das Protokoll, aus dem hervorgehen würde, wer einen API-Schlüssel in seinem Konto hinterlegt hatte. **Drei Tage später wurde das Ticket mit einem Link zu einer Seite geschlossen, auf der keine davon zu finden ist.** — und der Satz, mit dem der Text abgeschlossen wird, wird von Valves eigenen Anwälten widerlegt.

Wem dieser Bericht gehört · Herkunft und Einschränkungen

**Diese Screenshots stammen nicht von PhishDestroy.** Sie stammen von einem gewöhnlichen Steam-Kontoinhaber – einem Teilnehmer einer kurzen Umfrage im Rahmen dieses Projekts, der die Anfrage selbst gestellt und die Screenshots bereitgestellt hat. Das Konto gehört ihm, das Ticket gehört ihm, und der Schriftverkehr findet zwischen ihm und dem Steam-Support statt. Dieses Projekt hat den Antrag nicht gestellt, unterhält kein Konto auf der Plattform und ist nicht Partei dieses Tickets.

Am 16. September 2026 reichte er einen Antrag auf Auskunft gemäß Artikel 15 der DSGVO/des CCPA ein, in dem er ausdrücklich um die Bereitstellung von Protokollen zur Registrierung von API-Schlüsseln, den Anmeldeverlauf mit IP-Adressen, den Verlauf der Geräteautorisierungen und den Handelsverlauf bat. Am 17. September verwies ihn der Mitarbeiter „Logen“ auf die Self-Service-Seite „Kontodaten“. Am 18. September wies er darauf hin, dass die angeforderten Kategorien auf dieser Seite nicht zu finden seien, und bat um Weiterleitung an das Datenschutzteam oder den Datenschutzbeauftragten. Am 19. September schloss der Mitarbeiter „Kal“ das Ticket mit demselben Verweis. Beide Screenshots sind unten zu sehen (E-Mail-Adresse des Antragstellers unkenntlich gemacht; SHA-256 in `steam_tos_assets/screenshot-manifest.json`).

Er ist aus einem ganz gewöhnlichen Grund der richtige Anfragende: **Sein Konto verfügt über einen Steam Web-API-Schlüssel, den er nicht erstellt hat und der registriert ist unter `localhost`**. **Wann es entstanden ist, ist nicht bekannt** — nicht für ihn und auch nicht aus irgendetwas, das Valve ihm zur Verfügung gestellt hat, denn die einzige Aufzeichnung, die eine Datierung ermöglichen würde, ist das Registrierungsprotokoll für den API-Schlüssel, und genau diese Kategorie hat die Schließung zurückgehalten. Der Schlüssel ist nicht neu: Er existierte bereits vor dem Zeitpunkt, zu dem er davon Kenntnis erlangte, und zwar um einen Zeitraum, den er aus demselben Grund nicht beziffern kann.

Andere Kontoinhaber reichen denselben Antrag ein. Jede eingehende Antwort wird hier unter denselben Bedingungen wie bei diesen beiden hinzugefügt – Ticketnummer, Erfassungsdatum, SHA-256, Antragsteller unkenntlich gemacht –, unabhängig davon, ob darin die Kategorien genehmigt oder abgelehnt werden.

Dieses Projekt nimmt keine Stellung dazu, warum das Ticket geschlossen wurde. Es wurde kein Grund dafür angegeben, und auch hier wird kein Grund vermutet.

**Die Anfrage. Die Antwort. Der Vergleich.** FOLGE DEM VERLAUF

DIE ANFRAGE**Bestimmte Kategorien** API-Schlüssel, Anmeldedaten, Geräte- und Handelsdaten

DIE ANTWORT**Verweis auf Kontodaten** Den Austausch der Halterung überprüfen

DER TEST**Was wurde geliefert?** Vergleiche die einzelnen angeforderten Kategorien

Lesen Sie die gespeicherte Anfrage, um zu erfahren, welche Kategorien der Kontoinhaber angefordert hat.

Die gespeicherte Antwort verweist auf die Kontodaten. Die Screenshots zeigen den Wortlaut und das Ergebnis des Tickets.

Er fragte nach vier namentlich genannten Kategorien. Die Seite „Kontodaten“, auf die er verwiesen wurde, ist der Selbstbedienungs-Export von Valve selbst, und dieses Projekt kann deren Inhalt für das Konto einer anderen Person nicht auflisten – daher wird hier kein vollständiger Vergleich nach einzelnen Kategorien veröffentlicht. Dokumentiert sind lediglich seine Aussage vom 18. September, dass die Kategorien nicht vorhanden waren, sowie der Abschluss vom 19. September, in dem der Verweis wiederholt wurde, ohne auf diese einzugehen.

Bildschirm 1/2 – Anfrage (16. September) und erste Antwort, Mitarbeiter „Logen“ (17. September)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — request and first response](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png)

Quelle: help.steampowered.com, Ticket HT-2YBP-F7JP-D4VB · erfasst am 16.–17. September 2026 · E-Mail-Adresse des Anfragenden unkenntlich gemacht 2026-09-21 · Datei: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Bildschirm 2/2 – Eskalationsanfrage (18. September) und Abschluss, Mitarbeiter „Kal“ (19. September)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png)

Quelle: help.steampowered.com, Ticket HT-2YBP-F7JP-D4VB · erfasst am 18.–19. September 2026 · Datei: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Abschließende Stellungnahme, 19. September (wörtliches Zitat):

„Die von Steam gespeicherten Daten finden Sie bereits auf der Seite ‚Kontodaten‘. Da der Support keine weiteren Informationen Steam bereitstellen kann, **Diese Anfrage wird geschlossen.**"

Keine Daten angegeben · keine Rechtsgrundlage für die Ablehnung angegeben · kein Ergebnis der Eskalation angegeben

**Dieser Satz ist falsch, und die Anwälte von Valve selbst beweisen dies.** Im Schreiben des Rechtsbeistands vom 1. Oktober 2025 wird in Absatz 1.9 eine Korrelation auf Geräteebene beschrieben, die ein Gerät mit Dutzenden von Konten verknüpft ([Anhang A](https://phishdestroy.io/steam_dossier/de/index#official-memorandum)). Diese Antwort umfasste 830 Seiten an aufbewahrten Unterlagen ([Anhang B](https://phishdestroy.io/steam_dossier/de/index#academic-response)). Auf der Seite „Kontodaten“ ist davon nichts zu finden.

Warum hat dieses Konto das API-Schlüssel-Protokoll angefordert?

Er hat diese vier Kategorien nicht zufällig ausgewählt. Die `localhost` Der Schlüssel zu seinem Konto ist **ein Hinweis auf ein Skript, nicht auf eine Person, die eine echte Domain auf der Entwicklerseite eingibt** ([Abschnitt 5](https://phishdestroy.io/steam_dossier/de/index#vulnerability-profile), [Abschnitt 6](https://phishdestroy.io/steam_dossier/de/index#hijack-simulation)). Der einzige Eintrag, aus dem hervorgeht, wer ihn erstellt hat und woher er stammt, ist das Protokoll zur Registrierung des API-Schlüssels. Das war das Erste, wonach er gefragt hatte. Genau das hat die geschlossene Gesellschaft zurückgehalten.

Quelle: Der Kontoinhaber im Rahmen der Umfrage zu diesem Projekt. Die oben gezeigten Screenshots der Tickets sind mit einem Hash versehen; die Schlüsselseite wurde nicht veröffentlicht.

Bewertung · PhishDestroy

Ein Ticket zu schließen, obwohl die Frage noch offen ist, ist hier kein Zufall. Es ist das normale Ergebnis. Wir halten [16,319 aufbewahrte Beschwerde- und Unterstützungsunterlagen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive) und [354 deduplizierte Support-Anfragen](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#support-records) die daraus entnommen wurden. Diese Fahrkarte ist ein datiertes, vollständig dokumentiertes Beispiel für ihre Form.

Support-Ticket – Aufbewahrt HT-2YBP-F7JP-D4VB

Anfragetyp DSGVO Artikel 15 – Recht auf Auskunft (DSAR)

Ticketstatus GESCHLOSSEN AM 19. SEPT. 2026 — KEINE DATEN VERFÜGBAR

Handelsvertreter an der Börse „Logen“ (17. September), „Kal“ (19. September)

Abgelegt 16. September 2026

Angeforderte Daten Wer hat den mit diesem Konto verknüpften Web-API-Schlüssel registriert, und von welcher IP-Adresse / welchem Gerät / zu welchem Zeitpunkt?

Angeführte Rechtsgrundlage DSGVO Art. 15 – Recht auf Auskunft über personenbezogene Daten

**Der rechtliche Rahmen:** Artikel 12 Absatz 3 räumt dem für die Verarbeitung Verantwortlichen eine Frist von einem Monat ab Erhalt ein (die unter Angabe von Gründen verlängert werden kann). Diese Frist war zum Zeitpunkt der Veröffentlichung noch nicht abgelaufen, und in dieser Akte wird kein Verstoß gegen die Frist geltend gemacht. Der Einwand bezieht sich auf den Inhalt: Die abschließende Antwort verweist auf eine Selbstbedienungsseite, zeigt jedoch nicht, dass die vier genannten Datenkategorien bereitgestellt wurden, und sollte der Verantwortliche ein Tätigwerden ablehnen, ist er gemäß Artikel 12 Absatz 4 verpflichtet, die Gründe dafür anzugeben und die Beschwerdewege darzulegen. Beides ist in der abschließenden Antwort nicht enthalten.

Warum gerade diese Daten wichtig sind 

Das Ereignisprotokoll der Web-API-Schlüssel ist die Aufzeichnung, aus der hervorgeht, ob ein Dritter einen Schlüssel unter Verwendung eines gestohlenen Sitzungs-Cookies registriert hat – der Mechanismus, der in den Beschwerden über Inventardiebstahl beschrieben wird, die im Archiv dieses Dossiers aufbewahrt werden. Die Offenlegung, wer einen API-Schlüssel registriert hat, von welcher IP-Adresse aus und zu welchem Zeitpunkt, würde:

- Geben Sie dem Opfer die Möglichkeit, die IP-Adresse, von der aus die API erstellt wurde, mit seinem eigenen Anmeldeverlauf zu vergleichen.

- Aufdeckung von IP-Adressen von Rechenzentren, die mit bekannter Phishing- bzw. Glücksspiel-Bot-Infrastruktur in Verbindung stehen

- Beweismittel vorlegen, die in Zivil- oder Strafverfahren gegen den Täter verwertbar sind

- Anzeigen, ob der Kontoinhaber bei der Erstellung des Schlüssels benachrichtigt wurde

**Was aus den Unterlagen hervorgeht:** Valve bewahrt Datensätze auf Geräteebene sowie zur Kontenverknüpfung auf – diese werden im Schreiben des Rechtsbeistands vom 1. Oktober 2025 beschrieben (siehe Anhang A, Beweisverzeichnis – Quelle 1). Im Ticket HT-2YBP-F7JP-D4VB wurden dieselbe Art von Datensätzen von der betroffenen Person angefordert, und das Ticket wurde mit einem Verweis auf eine Selbstbedienungsseite geschlossen, die nach Angaben der betroffenen Person diese Datensätze nicht enthielt. Ob diese Verweigerung rechtmäßig ist, ist eine Frage für die Aufsichtsbehörde; die Folge ist, dass die betroffene Person die Daten nicht erhält.

Der Austausch – vier Nachrichten, drei Tage

Zwei Support-Mitarbeiter von Steam antworteten unter den im Ticket angegebenen Vornamen: „Logen“ am 17. September und „Kal“ am 19. September. Beide verwiesen den Anfragenden auf die Seite „Kontodaten“. Aus dem Ticket geht nicht hervor, ob die Anfrage das Datenschutzteam oder den Datenschutzbeauftragten von Valve erreicht hat, und aus den Unterlagen geht nicht hervor, wer die Mitarbeiter sind, welche Funktionen sie ausüben oder wie das Ticket weitergeleitet wurde.

16. SEP

Art. 15: Antrag mit Angabe von vier Datenkategorien

17.–18. SEP

Verweis auf Kontodaten; der Antragsteller bittet um Eskalation an den Datenschutzbeauftragten

19. SEP

Der Fall wurde mit demselben Verweis abgeschlossen; keine Daten, keine angegebene Begründung

Wozu ist die betroffene Person gemäß Artikel 15 DSGVO ausdrücklich berechtigt? 

Art. 15 Abs. 1 Buchstabe a Verarbeitungszwecke – warum Valve die Daten speichert

Art. 15 Abs. 1 Buchstabe b Datenkategorien – was Valve beinhaltet

Art. 15 Abs. 1 Buchstabe c Empfänger oder Empfängergruppen — **wer die Daten erhalten hat (z. B. der Inhaber des API-Schlüssels)**

Art. 15 Abs. 1 Buchstabe d Aufbewahrungsfrist bzw. Kriterien für deren Festlegung

Art. 15 Abs. 3 Eine Kopie der personenbezogenen Daten, die verarbeitet werden – d. h. das API-Schlüssel-Protokoll selbst

Art. 12 Abs. 3 Antwort bitte bis zum **ein Monat** ab Erhalt; eine Verlängerung muss innerhalb dieses Monats mitgeteilt werden. Die Frist war zum Zeitpunkt der Veröffentlichung noch nicht abgelaufen. **§ 12 Abs. 4:** Wenn der Verantwortliche keine Maßnahmen ergreift, muss er die Gründe dafür darlegen und die betroffene Person über die Beschwerdemöglichkeiten informieren.

Verfahren zur Einreichung von Beschwerden bei der Aufsichtsbehörde – für alle Nutzer 

Jeder Nutzer, der einen Antrag gemäß Artikel 15 DSGVO an Valve gestellt und keine konforme Antwort (oder eine vorformulierte Ablehnung ohne Datenangaben) erhalten hat, kann eine Beschwerde bei der Aufsichtsbehörde seines EU-/EWR-Mitgliedstaats einreichen. Die EU-Niederlassung von Valve ist die Valve GmbH in Hamburg, daher ist die federführende Aufsichtsbehörde für grenzüberschreitende Beschwerden die **Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)**. (Der gemäß Artikel 27 benannte Vertreter von Valve hat seinen Sitz ebenfalls in Hamburg; die Anschrift eines Vertreters ist für sich genommen nicht ausschlaggebend für die Bestimmung der zuständigen Behörde.) Eine Beschwerde kann gemäß Artikel 77 auch bei der Behörde des Mitgliedstaats des Beschwerdeführers eingereicht werden.

[HmbBfDI-Beschwerdeformular ↗](https://datenschutz.hamburg.de/beschwerde) [Text der DSGVO (Art. 12, 15, 77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [archiviert 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Leitlinien des EDPB ↗](https://edpb.europa.eu)

Ticket-Nummer für jede Reklamation: **HT-2YBP-F7JP-D4VB** — in dieser Akte als dokumentierter Fall festgehalten.

Ein dokumentierter Fall 

### Die Unterlagen sind vorhanden; die betroffene Person hat sie nicht erhalten.

Der Rechtsbeistand von Valve beschrieb in einem Schreiben vom 1. Oktober 2025 Korrelationsdatensätze auf Geräteebene. Am 19. September 2026 wurde ein Antrag gemäß Artikel 15 auf dieselbe Art von Aufzeichnungen mit einem Verweis auf eine Selbstbedienungsseite abgeschlossen, die nach Angaben des Antragstellers diese Aufzeichnungen nicht enthielt, ohne dass eine Rechtsgrundlage angegeben wurde. Das Ticket HT-2YBP-F7JP-D4VB ist ein dokumentierter Einzelfall; ob dies eine weit verbreitete Praxis widerspiegelt, ist eine Frage an die Aufsichtsbehörde, die Valve um Einsicht in dessen Bearbeitungsunterlagen ersuchen kann.

Artikel 12, 15 und 77 der DSGVO / Aufsichtsbehörde 

Eine Beschwerde gemäß den Artikeln 12 und 15 kann kostenlos direkt bei der zuständigen Aufsichtsbehörde eingereicht werden (Artikel 77). Die Behörde kann Abhilfemaßnahmen verhängen, darunter Anordnungen zur Erfüllung des Auskunftsersuchens, sowie Geldbußen gemäß Artikel 83 Absatz 5 Buchstabe b bei Verstößen gegen die Rechte der betroffenen Person. Die Aufbewahrung der ursprünglichen Ticket-Referenznummer und einer etwaigen Valve-Antwort (oder deren Ausbleiben) stärkt die Beschwerde.

[Zur DSAR-Vorlage →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook)

Teil C – Rechtliche Rahmenbedingungen · Abschnitt 19 · Vertragsrecht 

## Die Nutzungsvereinbarung im Widerspruch zur eigenen Architektur der Plattform

Kontext und Quellenbeschränkungen

Die Autoren sind keine Juristen, und der vorliegende Text stellt keine Rechtsberatung dar. Die SSA wird in der Fassung vom 10. September 2026 zitiert; eine andere Fassung kann abweichende Formulierungen enthalten, und die Nummerierung der Paragraphen hat sich im Laufe der verschiedenen Fassungen geändert – vergleichen Sie den betreffenden Paragrafen mit der Fassung, die für das fragliche Verhalten maßgeblich war. Die Argumente zu den Artikeln 25 und 32 legen dar, was die Verordnung vorschreibt, und nicht, dass eine Aufsichtsbehörde einen Verstoß festgestellt hat. Die Zahlen in Argument 1 enthalten die in Abschnitt 13 festgelegten Anwendungsgrenzen.

Drei der zentralen Bestimmungen der SSA stehen in einem Widerspruch zur Art und Weise, wie die Plattform aufgebaut ist: das Verbot der kommerziellen Nutzung in Verbindung mit einer Preisobergrenze auf dem Marktplatz, die hochpreisige Verkäufe von der Plattform verdrängt; die Haftungsklausel für Nutzer in Bezug auf API-Schlüssel im Gegensatz zu einem Schlüssel-Endpunkt, für den vor 2023 keine Zwei-Faktor-Authentifizierung erforderlich war; und die Formulierungen zur Durchsetzung im Gegensatz zu einem öffentlichen Verzeichnis, aus dem hervorgeht, dass keine betreiberspezifische Durchsetzung erfolgt. Ob diese Widersprüche die Durchsetzbarkeit beeinträchtigen, ist eine Frage für ein Gericht; in diesem Abschnitt werden die Sachverhalte dargelegt, die einem Gericht vorliegen würden.

Argument 1 / Architektur der Marktkapitalisierung 

### Die Markt-Obergrenze und das Verbot der gewerblichen Nutzung

Der Steam Community Market hat eine Preisobergrenze von etwa $1,800. In einer veralteten Momentaufnahme (23. September 2026) liegen die Preise für 248 CS2-Artikelkategorien auf fünf Marktplätzen bei zwei oder mehr dieser Marktplätze unabhängig voneinander über dieser Obergrenze; solche Artikel **können auf der eigenen Plattform von Valve nicht zu diesen Preisen verkauft werden**. Eigentümer, die diese Preise nutzen möchten, greifen auf Drittanbieter-Marktplätze zurück, die über Steam-Konten und die Steam-API betrieben werden – die SSA stuft diese als kommerziell ein, sofern nicht ausdrücklich anders genehmigt.

Artikel überschreiten die Obergrenze des Marktes → Drittanbieter-Märkte füllen die Lücke → diese Märkte nutzen Steam-Konten und die Steam-API → die SSA verbietet die kommerzielle Nutzung ohne Genehmigung → es wurde kein Verzeichnis der Genehmigungen veröffentlicht. Die kombinierte Gebühr des Community-Marktes in Höhe von etwa 15% gilt nur für Verkäufe, die innerhalb des Marktes abgeschlossen werden, nicht für diese externen Transaktionen.

Argument 2 / Sicherheitsarchitektur für API-Schlüssel 

### Die Sicherheitslücke beim API-Schlüssel ist eher ein Problem des Plattformdesigns als auf Nachlässigkeit der Nutzer zurückzuführen

Vor 2023 akzeptierte der Endpunkt zur Erstellung von API-Schlüsseln bei Steam einen POST-Aufruf mit einer gestohlenen Session-ID und generierte Zugangsdaten mit hohen Berechtigungen. **ohne E-Mail-Bestätigung, ohne zweistufige Authentifizierung oder Geräteüberprüfung**. Die im Rahmen dieser Untersuchung gesammelten Beschwerden über API-Hijacking folgen einem einheitlichen Muster: Angreiferskript, gestohlenes Sitzungs-Cookie, heimliche Schlüsselgenerierung, Abfangen von Transaktionen (die Nutzdaten der Anfrage sind in Abschnitt 8 dargestellt).

Artikel 25 (Datenschutz durch Technikgestaltung) und Artikel 32 (Sicherheit der Verarbeitung) der DSGVO verlangen risikogerechte technische Maßnahmen. Die Ausstellung eines Zugangsnachweises, der ohne einen zweiten Authentifizierungsfaktor oder eine Benachrichtigung des Inhabers abgefangen werden kann, ist eine Frage der Konzeption seitens des Verantwortlichen. Ob vor diesem Hintergrund auf die SSA-Klausel, die die Haftung dem Nutzer auferlegt, zurückgegriffen werden kann, ist eine Frage, die von einem Gericht und der Aufsichtsbehörde zu klären ist.

Argument 3 / Echtzeit-Transparenz 

### Valve erhält bei jeder Anmeldung den Authentifizierungs-Hostnamen

Der Authentifizierungs-Hostname wird im Klartext an den OpenID-Endpunkt von Valve gesendet in `openid.return_to` und `openid.realm` (Die Form der Anfrage ist in Abschnitt 3 dargestellt). Das Extrahieren dieser Informationen ist ein Standardvorgang. Zum Zeitpunkt von 2026-09-22 befand sich bei 26 Paaren die Hauptdomain im Link-Filter, während der Host, der die Steam-Anmeldung trug, nicht darin enthalten war. Valve hat keine Aufzeichnungen über die Durchsetzung pro Betreiber veröffentlicht, sodass anhand öffentlicher Daten nicht festgestellt werden kann, ob auf diese Hosts andere Maßnahmen als der Link-Filter angewendet wurden.

Wer trägt die Kosten? 

### Das Muster in den archivierten Beschwerden

In den untersuchten Beschwerden folgt die Antwort des Steam-Supports auf die Behauptung einer API-Schlüssel-Entwendung stets einem festen Muster: Ablehnung der Wiederherstellung, Hinweis auf die Verantwortung des Nutzers für das Konto und dessen API-Schlüssel sowie Schließung des Tickets. In dieser Akte wird keine Gesamtzahl der betroffenen Konten oder des entstandenen Schadens geschätzt; eine Quelle für eine solche Zahl wurde nicht gefunden.

Die Frage ist nicht, ob einzelne Nutzer Fehler gemacht haben. Die Frage ist, wer für eine Architektur verantwortlich ist, die es bis 2023 ermöglichte, dass eine POST-Anfrage mit einem gestohlenen Cookie ohne Benachrichtigung und ohne Zwei-Faktor-Authentifizierung Zugangsdaten mit hohen Berechtigungen für den Handel erstellte.

Die SSA als Dokument im Vergleich zur SSA als Vertrag 

### Ein Gericht, das diese Aktenlage prüft, würde die SSA nicht isoliert betrachten.

Es würde dies im Zusammenhang mit dem Schreiben des Rechtsbeistands vom Oktober 2025 betrachten, in dem die Korrelation auf Geräteebene, die Registrierungsdaten der Authentifizierungshosts, die Zeitstempel der Batch-Registrierung, die Nutzdaten der API-Schlüsselanforderung sowie die zehn Jahre zwischen den Mitteilungen vom Juli 2016 und den im September 2026 noch in Betrieb befindlichen Plattformen beschrieben werden. Das ist der Sachverhalt, auf den sich Valve beziehen müsste.

SSA im Vergleich zur Aktenlage / Kernpunkte 

- „Keine kommerzielle Nutzung“ – die Obergrenze des Marktplatzes verlagert hochpreisige Verkäufe auf kommerzielle Drittmärkte

- „Nutzer haften für API-Schlüssel“ – vor 2023 keine Zwei-Faktor-Authentifizierung am Schlüssel-Endpunkt

- „Wir gehen gegen Verstöße vor“ – seit Juli 2016 wurden keine Aufzeichnungen über die Ahndungsmaßnahmen pro Betreiber veröffentlicht

- „Sie haben den Bedingungen zugestimmt“ – beim Hijack-Muster wird die Zustimmung von einem Skript übermittelt, nicht vom Kontoinhaber

Fazit · Was aus den Akten hervorgeht und was wir beantragen 

## Die Ergebnisse. Die Unterlagen, um die wir bitten.

Kontext und Quellenbeschränkungen

Jede der nachstehenden Feststellungen bezieht sich auf eine datierte öffentliche Aufzeichnung in den vorangegangenen Abschnitten. Die Anfragen richten sich an die Behörden, die das erzwingen können, was diese Untersuchung nicht erreichen kann: die eigenen Aufzeichnungen von Valve über die Durchsetzung, den Zugriff und die Verarbeitung.

Jeder Antrag folgt auf eine datierte Feststellung. Die Behörden können Unterlagen anfordern, zu deren Herausgabe diese Untersuchung auf der Grundlage öffentlich zugänglicher Quellen nicht zwingen kann.

Was aus den öffentlich zugänglichen Unterlagen hervorgeht 

- 44 Live-Plattformen authentifizieren sich über eine separate, registrierbare Domain – 27 davon mit einer veröffentlichten Nachweisdatei pro Route, 17 stammen aus manueller Erfassung und werden separat aufgeführt. Stand 2026-09-22 war bei 26 Paaren die Hauptdomain im Steam-Linkfilter gesperrt, während der Host, auf dem sich die Anmeldung befand, nicht gesperrt war – csgogem.com gesperrt, `api.csgem.com` seit März 2014 registriert. Steam erhält diesen Hostnamen in `openid.realm` und `openid.return_to` bei jeder Anmeldung. [Abschnitt 3](https://phishdestroy.io/steam_dossier/de/index#proxy-bypass-explainer)

- Am 13. Juli 2016 Valve benannte die Behörde den Mechanismus öffentlich und verbot ihn; in den Mitteilungen ihres Rechtsbeistands vom 20. Juli 2016 wurde eine Frist von zehn Tagen gesetzt. In den zehn Jahren seit Ablauf dieser Frist wurden keine Durchsetzungsdaten pro Betreiber veröffentlicht. [Abschnitt 11](https://phishdestroy.io/steam_dossier/de/index#case-study-section)

- Der Endpunkt „Steam“ für Web-API-Schlüssel stellte bis 2023 allein anhand eines Sitzungs-Cookies Zugangsdaten mit hohen Berechtigungen und Handelsberechtigung aus, ohne dass eine zweite Authentifizierungsstufe erforderlich war. [Abschnitt 5](https://phishdestroy.io/steam_dossier/de/index#vulnerability-profile)

- Ein Antrag gemäß Artikel 15 der DSGVO (Ticket HT-2YBP-F7JP-D4VB) wurde nach drei Tagen mit einem Link zum Self-Service und ohne Daten geschlossen. [§ 18](https://phishdestroy.io/steam_dossier/de/index#gdpr-live-case)

Was wir von jeder Behörde verlangen 

Glücksspielkommission des Bundesstaates Washington

Öffnen Sie die Datei aus dem Jahr 2016 erneut. Fordern Sie eine Aufstellung nach einzelnen Betreibern an, aus der hervorgeht, welche Konten, Bots und Return-Hosts nach den zehntägigen Benachrichtigungen deaktiviert wurden und welche Betreiber später wieder Zugriff erhielten. [Abschnitt 2](https://phishdestroy.io/steam_dossier/de/index#wsgc-public-address)

HmbBfDI (Hamburg; Valve GmbH)

Prüfen Sie, ob die Antwort gemäß Artikel 15 der Pflicht des für die Verarbeitung Verantwortlichen entsprach, und verlangen Sie die Offenlegung der API-Schlüssel-Registrierungs- und Zugriffsprotokolle, die für die Identifizierung des Handelnden relevant sind. [§ 18](https://phishdestroy.io/steam_dossier/de/index#gdpr-live-case)

DSA-Koordinatoren für digitale Dienste

Fügen Sie das „auth-host“-Routing als Hinweis in den Datensatz ein und prüfen Sie anschließend, ob die Antwort von Valve den Anforderungen entspricht, sobald die Informationen dokumentiert sind. [§ 16](https://phishdestroy.io/steam_dossier/de/index#dsa-accountability)

Jede betroffene Person

Verwenden Sie die Vorlage gemäß Artikel 15, um dieselben Aufzeichnungen für Ihr eigenes Konto anzufordern; anhand einer aufbewahrten Aufzeichnung lässt sich feststellen, wer eine Zurücksetzung veranlasst oder einen Schlüssel erstellt hat. [Anhang G](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook)

Die einzige Forderung, die hinter allen vier Fällen steht, ist dieselbe: die Veröffentlichung der Aufzeichnungen über Durchsetzungsmaßnahmen, Datenzugriffe und Datenverarbeitungen, über die ausschließlich Valve verfügt. Ein Warnhinweis auf der Startseite, ein zehntägiges Schreiben und eine Selbstbedienungsseite sind Ausdruck von Kontrolle. Ob diese Kontrolle tatsächlich ausgeübt wurde, ist eine Frage, die anhand der öffentlich zugänglichen Unterlagen nicht beantwortet werden kann, wohl aber von einer Aufsichtsbehörde.

Anhänge – Primärdokumente und Arbeitsunterlagen

Anhang A – Korrespondenz mit den Rechtsbeiständen 

## Beweismemorandum – von Quelle 1 bereitgestelltes Material

Evidenzgrundlage und Quellenangaben für die in den Abschnitten 1, 18 und 19 herangezogene Korrespondenz mit den Rechtsbeiständen.

**Evidenzbasis und Status der Quelle — von Quelle 1 bereitgestellte Dokumente**
Der Nutzer, dessen dauerhafte Sperre diese Überprüfung ausgelöst hat, ist nicht Gegenstand dieser Untersuchung. Ob diese Sperre gerechtfertigt war, wird hier nicht geprüft, und diese Akte verteidigt sie weder noch stellt sie sie in Frage. Es geht nicht um das Konto. Was zählt, ist das Material: **Quelle 1** — Der Inhaber des gesperrten Kontos, der als betroffene Person im Rahmen seines eigenen DSGVO-Antrags die nachstehende Korrespondenz vom Rechtsbeistand von Valve erhalten hatte, hat diese Korrespondenz und die dazugehörigen Akten weitergeleitet, zusammen mit dem Recht auf öffentliche Einsichtnahme. Der Name wird zurückgehalten; die Dokumente sind nach Datum, Metadaten des Erstellers und Hash-Wert beschrieben.

Diese Korrespondenz wurde als Antwort auf eine Anfrage gemäß DSGVO/DSAR versandt. Im Rahmen dieser Korrespondenz gab der Rechtsbeistand von Valve eine unterschriebene Erklärung zu Protokoll, in der eine Funktion beschrieben wurde, von der der Steam-Support den Nutzern zuvor mitgeteilt hatte, dass sie technisch nicht möglich sei. Der unten zitierte Absatz ist diese Erklärung.

Die weitere Analyse des erstellten Protokollauszugs durch die Autoren lautet wie folgt: **in diesem Dossier nicht enthalten** vorbehaltlich einer unabhängigen Überprüfung. In keinem anderen Teil dieser Untersuchung wird darauf Bezug genommen.

Das zu Protokoll genommene Eingeständnis: fortlaufende Telemetrie auf Geräteebene 

In Absatz 1.9 des Schreibens, das dem Rechtsbeistand von Valve zugeschrieben wird, führen die Anwälte von Valve aus: *„Zwischen 2019 und 2023 wurde dieses Konto hauptsächlich von einem Gerät aus genutzt, das auch dazu diente, sich bei Dutzenden gestohlener Steam-Konten anzumelden.“*

**Die Tatsache:** Der Anwalt von Valve beschreibt hier eine gerätebezogene Korrelation über verschiedene Konten hinweg, die sich über vier Jahre erstreckt. Der Support von Steam hat Diebstahlopfern mitgeteilt, dass die Nachverfolgung gestohlener Gegenstände oder die Verknüpfung von Konten mit Geräten technisch nicht möglich sei. Steam Guard Die Geräteautorisierung ist öffentlich dokumentiert, sodass die Existenz von Aufzeichnungen auf Geräteebene an sich nichts Neues ist; neu ist jedoch die schriftliche Bestätigung des Anwalts, dass diese Aufzeichnungen über mehrere Jahre hinweg aufbewahrt und kontoübergreifend miteinander verknüpft werden.

**Warum das wichtig ist:** Die Korrelation, die ein Gerät über einen Zeitraum von vier Jahren mit Dutzenden von gekaperten Konten in Verbindung bringen kann, gehört zu derselben Kategorie von Aufzeichnungen, die der Support nach eigenen Angaben nicht zugunsten der Betroffenen nutzen konnte. Datensätze dieser Art würden es ermöglichen, Konten und Geräte in einer Kette von Diebstahl und Weiterverkauf zu identifizieren. Welche Datensätze existieren, wie lange sie aufbewahrt werden und auf welcher Grundlage sie den betroffenen Personen vorenthalten werden, sind Fragen, die an die Aufsichtsbehörde zu richten sind.

Quelle: Schreiben des Rechtsbeistands von Valve vom 1. Oktober 2025, Absatz 1.9, sowie dessen 830-seitiger PDF-Anhang · eingegangen bei Quelle 1 als Antwort auf ein Ersuchen gemäß Art. 15 DSGVO · SHA-256 des Anhangs gespeichert in [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · Der Brief selbst wird nicht wiedergegeben; Kontonamen und Daten Dritter wurden weggelassen.

Status: öffnen

Die Quellenmaterialien sind über das Evidenzarchiv verfügbar.

Anhang B – Die erstellte PDF-Datei · Redaktionsprüfung 

## Die Schwärzung in der bereitgestellten PDF-Datei ist rein kosmetischer Natur: Der verdeckte Text lässt sich weiterhin extrahieren.

Der Anwalt von Valve beantwortete einen Auskunftsantrag gemäß DSGVO mit einem 830-seitigen Anhang, in dem die Schwärzungen über den Text gemalt wurden, anstatt ihn zu entfernen. **902,270 Zeichen befinden sich unter den schwarzen Balken und werden mit einem Text-Extraktions-Tool direkt angezeigt** — einschließlich der Identifikatoren von Drittanbietern, die durch die Balken verborgen werden sollten. Hier werden lediglich aggregierte Zahlen veröffentlicht; es werden keine geschützten Inhalte wiedergegeben, und der Anhang selbst wird nicht veröffentlicht.

1. Was die Geometrieprüfung ergeben hat 

Die Antwort gemäß Art. 15 der DSGVO vom **1. Oktober 2025** Es lag ein 830-seitiger PDF-Anhang bei (Metadaten des Erstellers: Aspose.PDF für .NET, erstellt und geändert am selben Tag). Die Autoren führten eine Geometrieprüfung auf Seitenebene durch: Für jede Seite wurden undurchsichtige, fast schwarze Rechtecke, die über die Textebene gelegt worden waren, lokalisiert und die darunter liegenden extrahierbaren Zeichen gezählt.

Gemessen anhand der erstellten Datei

902,270

Zeichen, die noch unter den schwarzen Balken hervorgeholt werden können

Zählen, nicht schätzen. Hierbei handelt es sich um eine Zählung der erfassten Personen – nicht der Opfer, der erneuten Identifizierungen oder der Vorfälle.

830 / 830

Betroffene Seiten – jede Seite

986

Rechtecke über extrahierbarem Text

1,329

Gesamtzahl der undurchsichtigen schwarzen Rechtecke

Die schwarzen Balken werden über die Textebene gelegt; sie entfernen den Text nicht. Der unter den Balken liegende Text kann mit gängigen PDF-Tools extrahiert werden. Es werden lediglich Gesamtzahlen veröffentlicht; der verdeckte Inhalt wird hier nicht wiedergegeben.

Forensische Demonstration: Schichttrennung

ASPOSE.PDF FÜR .NET – VEKTOR-OVERLAY-MOCKUP (ANHANG, S. 412)

Meldung zu diesem Konto: [LOGIN: redacted_user_667]

Vom Nutzer angegebener Grund: [TEXT: „Nutzer meldet doppelte Gegenstände im Inventar und missbräuchliches Handelsverhalten...“]

Vordergrund: <path fill="#000" /> Fehler: Der zugrunde liegende UTF-8-Stream bleibt unverändert

Quelle: PDF-Anhang zum Anwaltsschreiben vom 1. Oktober 2025 (830 Seiten, Metadaten des Erstellers gemäß Aspose.PDF für .NET) · von den Autoren ermittelt, Methode und Seitenanzahl in [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · SHA-256 des im selben Dateianhang enthaltenen Anhangs · Der Anhang selbst wird nicht veröffentlicht.

2. Warum dies für die Reaktion einer betroffenen Person von Bedeutung ist 

**Der Anwalt von Valve hat diese Akte als Antwort auf einen Antrag einer betroffenen Person auf Einsicht in ihre eigenen Unterlagen an diese gesendet.** Die Schwärzungen dienen lediglich der optischen Maskierung: Der darunterliegende Text wurde nie entfernt, sodass die Identifikationsmerkmale Dritter, die durch die Schwärzungen verborgen werden sollten, zusammen mit der Datei an den Empfänger gelangten. Eine Schwärzung, die sich mit einem Text-Extraktions-Tool entfernen lässt, verbergen nichts und macht es dem Empfänger zudem unmöglich festzustellen, welche Informationen offengelegt wurden und welche nicht.

Artikel 15 Absatz 4 ist der Grund, warum diese Sperren überhaupt bestehen: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer nicht beeinträchtigen. Diese Verpflichtung hat diese Produktion nicht erfüllt. Ob dies als Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Abs. 12 einzustufen ist, obliegt der Aufsichtsbehörde; die Offenlegung selbst ist in der Datei messbar und von jedem reproduzierbar, der über dieselben Bytes verfügt – der SHA-256-Hash ist veröffentlicht, der Anhang hingegen nicht.

**Was sich unter den Strichen befand, waren keine Kontonummern.** Es handelte sich um die Sammlung der gegen den Antragsteller eingereichten Nutzerberichte, zusammen mit den Namen ihrer Verfasser: Steam Anmeldungen, die – da eine Anmeldung selten nur auf Steam verwendet wird – die dahinter stehende Person identifizieren — **Nach Angaben der Autoren sind über 60% der in dem Dokument genannten Nutzer vollständig identifizierbar** — zusammen mit dem unbearbeiteten, ungeschwärzten Wortlaut ihrer Beiträge. Dieser Text enthält Todeswünsche und Beleidigungen, die sich gegen die Nationalität des Anfragenden richten. Einige der so identifizierten Personen sind minderjährig. **Die Produktion übergab der Person, über die sie berichtet hatten, eine namentliche Liste von Reportern.**, was genau der Schaden ist, den Art. 15 Abs. 4 verhindern soll.

**Die Reihenfolge der Zeichen in der Datei ist genauso wichtig wie ihr Inhalt.** Auf die Anfrage hin wurde zunächst ein weiterer Identitätsnachweis verlangt, mit der Begründung, dass die Alias-E-Mail-Adresse des Anfragenden nicht seinen Namen enthielt; während der darauf folgenden Verzögerung wurde das Konto dauerhaft gesperrt. In dem Schreiben, mit dem die Daten schließlich über sechs Wochen nach Ablauf der in Art. 12 Abs. 3 festgelegten Frist übermittelt wurden, wurde dem Empfänger mit strafrechtlicher Verfolgung gedroht und die Herausgabe der restlichen Daten zurückgehalten, bis er seine Kontoaktivitäten gegenüber dem Rechtsbeistand erläutert hatte. Die Offenlegung klärt zudem zwei Fragen, die Valve öffentlich nicht beantwortet hat: Die vorgelegten Unterlagen zeigen, dass die Verknüpfung von Konten bis ins Jahr 2019 zurückreicht, und es gibt interne Telemetriedaten in einem Umfang, den Valve noch nie beschrieben hat.

**Geltungsbereich dieses Abschnitts:** Die hier vorgebrachte Feststellung beschränkt sich auf die technischen Aspekte der Bearbeitung, die anhand der vorgelegten Datei ermittelt wurden. Die weitere Analyse der vorgelegten Protokolle durch die Autoren wird bis zum Vorliegen einer unabhängigen Überprüfung zurückgehalten und an keiner anderen Stelle dieses Dossiers herangezogen.

Beweismittel: Schreiben des Rechtsbeistands vom 1. Oktober 2025 und dessen PDF-Anhang (SHA-256 in der Prüfungsdatei gespeichert); [PDF-Messungen auf Seitenebene und Methode ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). Der Ablauf der Anfrage, die Ablehnung auf Seite 8 und die Beschreibung der offengelegten Datensätze sind in der Schilderung von PhishDestroy ausführlich dargelegt, [„Mein Hund gegen Elite-DSG-Anwälte“, 17. August 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [archiviert 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). Kontonamen und Daten von Dritten wurden hier weggelassen; nichts, was von den Balken verdeckt wird, wird wiedergegeben.

> **Auf Seite 8 des Begleitschreibens wird ein Teil des Antrags abgelehnt und der Grund dafür schriftlich dargelegt:** Eine genauere Auskunft ist aufgrund des Schutzes der personenbezogenen Daten anderer Nutzer der Steam-Plattform… nicht möglich. — Eine detailliertere Antwort ist nicht möglich, da die personenbezogenen Daten anderer Steam-Nutzer geschützt werden müssen. Der 830-seitige Anhang befand sich im selben Paket. Was die Schwärzungen verdeckten, waren keine Kontonummern: Es handelte sich um die gegen den Antragsteller eingereichten Berichte, in denen die Verfasser namentlich genannt wurden und denen die unbearbeiteten, ungeschwärzten Nachrichten beigefügt waren. Der Kontoinhaber hatte über seinen Anwalt Valve um seine eigene Akte gebeten; was er daraus entnehmen konnte, betraf jedoch andere Personen. Nichts in diesem Anhang hängt davon ab, wer die Markierungen gesetzt hat. Es wird lediglich festgestellt, dass der Schutz Valve, der als Begründung für die Zurückhaltung angeführt wurde, genau der Schutz ist, den diese gleiche Herausgabe – im selben Umschlag, am selben Tag – nicht gewährleistet hat.

Anhang C – Anlagen 

## Unterlagen zu Unterhaltsangelegenheiten und Rechtskorrespondenz

Das Format der Archivdatensätze sowie Verweise auf die beiden Exponate, die an anderer Stelle in diesem Dossier ausführlich erläutert werden und daher hier nicht erneut aufgeführt werden. Jede Bildunterschrift gibt an, was das Bild darstellt und was nicht.

Wo über die anderen Beweisstücke verhandelt wird 

Anlage A: Bekanntmachung vom Juli 2016 (Rekonstruktion) Gerendert

Live gerendert, nicht als Screenshot, in [Abschnitt 11 – die Bekanntmachung vom Juli 2016](https://phishdestroy.io/steam_dossier/de/index#valve-demand-letter). Rekonstruktion anhand des Wortlauts, wie er am 21. Juli 2016 in der Presse wiedergegeben wurde; kein Scan des Originals.

Anlage B: DSGVO-Ticket HT-2YBP-F7JP-D4VB Geschlossen am 19. September 2026

Die beiden gespeicherten Screenshots, ihre SHA-256-Hashes und die vollständige Analyse finden Sie unter [Abschnitt 18 – der aktuelle DSGVO-Fall](https://phishdestroy.io/steam_dossier/de/index#gdpr-live-case). Eingereicht am 16. September 2026; abgeschlossen mit einem Link zur Seite „Kontodaten“, ohne Angaben und ohne Angabe einer Rechtsgrundlage für die Ablehnung.

Anlage C: Beweismittelarchiv (Beispieldatensatz) Abgebildet

Beispiel für einen gespeicherten Eintrag aus dem durchsuchbaren Archiv öffentlicher GitHub-, Reddit- und Review-Beiträge; jede Behauptung im Archiv ist mit einer eigenen Quellenangabe versehen und muss einer eigenen Beweisprüfung unterzogen werden.

Image: [Exhibit C: Example of a saved archive record](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png)

Anlage C · Beispiel für einen im Beweisarchiv gespeicherten Datensatz (ein öffentliches GitHub-Issue, wie es in der Version 2026-09-17 erhalten ist). Dient lediglich zur Veranschaulichung des Datensatzformats. · Datei: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Anhang D – Quellenerhebung 

## Ausgewählte Primärquellen

Sechs Einträge aus dem Archiv – drei GitHub-Issues in den Trackern von Valve und drei Reddit-Beiträge zu umstrittenen Support-Ergebnissen. Jede Quelle bleibt mit der Behauptung, dem gespeicherten Text und der damit verbundenen Frage verknüpft.

1 / 6

Wählen Sie einen Quelldatensatz aus 

GH-01 / GITHUB In gespeicherter Version öffnen

### Hardware-Schlüssel, angefordert im Jahr 2016

ValveSoftware / steam-for-linux · #4521 · 2016-06-27

Ein Nutzer hat Valve gebeten, U2F-Hardware-Schlüssel als alternative zweite Authentifizierungsstufe zu unterstützen. Das gespeicherte Ticket trägt sowohl das Label „Feature Request“ als auch das Label „reviewed“, und sein Status ist als „offen“ vermerkt.

> Ich bitte darum, dass U2F-USB-Dongles in Steam als Alternative unterstützt werden.
> 
> [Auszug aus dem GitHub-Issue ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

Dokumentierte Aufzeichnung

Eine veraltete Anfrage bezüglich einer zusätzlichen Kontosicherung, die im eigenen Issue-Tracker von Valve veröffentlicht und als „geprüft“ gekennzeichnet wurde.

Forderung nach Rechenschaftspflicht

Veröffentlichen Sie die Produktentscheidung, das Antwortdatum und den nach der Prüfung gewährten Schutz.

[Gespeicherten Datensatz lesen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive?source=GitHub&record=484)[GitHub öffnen ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

[Im Dossier: Kontosicherheitsmaßnahmen →](https://phishdestroy.io/steam_dossier/de/index#consent-analysis) Archiv Nr. 484 · Build 2026-09-17

GH-02 / GITHUB In gespeicherter Version öffnen

### Absturzberichte ohne wirksame Opt-out-Möglichkeit

ValveSoftware / steam-for-linux · #6459 · 2019-08-18

Der Verfasser beschreibt einen Steam-Client vom 12. August 2019 unter Ubuntu 16. Er berichtet, dass die Deaktivierung des „crash-upload“-Ziels nach einem Neustart nicht beibehalten wurde, und fügt die entsprechende Konfiguration bei.

> Wenn ich die `ServerURL` deaktiviere, wird sie nach jedem Neustart überschrieben.
> 
> [Auszug aus dem GitHub-Issue ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archiviert 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

Dokumentierte Aufzeichnung

Eine konkrete Datenschutzbeschwerde mit Angabe des Kundendatums, des Betriebssystems und eines Auszugs aus der Konfiguration. Das gespeicherte Problem ist noch offen.

Forderung nach Rechenschaftspflicht

Ermitteln Sie die Untersuchung, die betroffenen Builds und die Änderung, durch die das Opt-out wirksam wurde.

[Gespeicherten Datensatz lesen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive?source=GitHub&record=467)[GitHub öffnen ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archiviert 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

[Im Dossier: Die zugrunde liegenden Unterlagen anfordern →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook) Archiv Nr. 467 · Build 2026-09-17

GH-03 / GITHUB In gespeicherter Version öffnen

### Missbrauch von Auth-Tickets an Valve gemeldet

ValveSoftware / Source-1-Games · #3857 · 2022-02-26

Der Autor behauptet, dass ein Serverbetreiber Steam Authentifizierungstickets beibehalten habe, nachdem Spieler die Verbindung getrennt hatten, und irreführende Serverlisten verwendet habe. In dem Beitrag wird Valve gebeten, sich mit diesem Verhalten auseinanderzusetzen.

> So sieht es aus, als wären ihre Server voll ausgelastet.
> 
> [Auszug aus dem GitHub-Issue ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

Dokumentierte Aufzeichnung

Eine Meldung wegen Missbrauchs, die am 26. Februar 2022 im Tracker von Valve eingereicht wurde. Der gespeicherte Status lautet „offen“; die Meldung enthält Links zu Screenshots.

Forderung nach Rechenschaftspflicht

Legen Sie das Untersuchungsergebnis und die Aufzeichnungen zu den Abhilfemaßnahmen für den gemeldeten Missbrauch von Authentifizierungstickets vor.

[Gespeicherten Datensatz lesen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive?source=GitHub&record=768)[GitHub öffnen ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

[Im Dossier: Umfang des Datensatzes →](https://phishdestroy.io/steam_dossier/de/index#evidence-base) Archiv Nr. 768 · Build 2026-09-17

RD-01 / REDDIT Angaben zum Autor

### 44 umstrittene Marktkäufe

r/DotA2 · Name des Autors nicht angegeben · 2022-07-07

Der Autor berichtet von 44 unbefugten Käufen im Market am 6. Juli 2022 und Verlusten in Höhe von etwa $500+. Er gibt an, dass die Zwei-Faktor-Authentifizierung aktiviert war, und beschreibt wiederholte Standardantworten des Supports.

> Das ist nun schon mein zweites Ticket, und ich habe immer noch keine Antwort von Steam erhalten, die nicht wie eine automatische Kopier-Einfüge-Vorlage wirkt.
> 
> [Auszug aus dem Reddit-Beitrag ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archiviert 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

Dokumentierte Aufzeichnung

Eine zeitlich geordnete Aufstellung umstrittener Käufe mit Links zu Screenshots der Transaktionen und einer Antwort des Kundendienstes. Die Beträge und Ereignisse stammen aus dem Bericht des Autors.

Forderung nach Rechenschaftspflicht

Stimmen Sie die strittigen Käufe anhand der Transaktions- und Sitzungsprotokolle ab. Erläutern Sie die Gründe für die Entscheidung des Supports.

[Gespeicherten Datensatz lesen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive?source=Reddit&record=4533)[Reddit öffnen ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archiviert 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

[Im Dossier: Unterstützung und Durchsetzung →](https://phishdestroy.io/steam_dossier/de/index#enforcement-standard) Archiv Nr. 4,533 · Build 2026-09-17

RD-02 / REDDIT Angaben zum Autor

### Eine dauerhafte Sperre und ausgeschöpfte Rechtsmittel

r/ohnePixel · Name des Autors nicht angegeben · 2024-12-09

Der Autor bestreitet, dass es sich um eine dauerhafte Sperre handelt, und erklärt, dass sich die Begründung auf den Verdacht einer Kontoübertragung sowie auf Meldungen aus der Community stütze. Er berichtet von abgeschlossenen Support-Anfragen und plant, seine persönlichen Daten anzufordern.

> Ich habe meine Situation geschildert und um weitere Informationen gebeten, aber sie bleiben bei ihrer Entscheidung und schließen meine Tickets.
> 
> [Auszug aus dem Reddit-Beitrag ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

Dokumentierte Aufzeichnung

Ein gespeicherter Appell-Bericht, einschließlich der Gründe, die laut Autor die bereitgestellten Belege stützen, sowie Links zu vier Bildern. Das Datum der Veröffentlichung stammt aus dem ausgewählten Beleg-Export.

Forderung nach Rechenschaftspflicht

Ermitteln Sie die Gründe, die für die dauerhafte Sperre sprechen, sowie die Rechtsmittel, mit denen diese angefochten werden kann. Die Ablehnung eines Einspruchs stellt keine Begründung für die Entscheidung dar.

[Gespeicherten Datensatz lesen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive?source=Reddit&record=4766)[Reddit öffnen ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

[Im Dossier: Die zugrunde liegenden Unterlagen anfordern →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook) Archiv Nr. 4,766 · Build 2026-09-17

RD-03 / REDDIT Angaben zum Autor

### Ein Neustart der Erholung und ein gemeldeter Verlust von $10,000

r/legaladvice · Autor anonym · 2025-05-09

Der Autor behauptet, dass der Support die Anmeldedaten zurückgesetzt und die Kontoschutzmaßnahmen deaktiviert habe, nachdem eine andere Person eine Wiederherstellungsanfrage gestellt hatte. Er berichtet von einem Verlust in Höhe von etwa US$10,000 von einem inaktiven Konto.

> Steam Der Support hat mein Passwort zurückgesetzt und alle Sicherheitsfunktionen meines Kontos deaktiviert.
> 
> [Auszug aus dem Reddit-Beitrag ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

Dokumentierte Aufzeichnung

Eine gespeicherte Behauptung darüber, dass der Wiederherstellungsprozess die Kontosicherheitsmaßnahmen außer Kraft setzt. Der gespeicherte Beitrag gibt wieder, was der Autor laut eigenen Angaben vom Support erfahren hat.

Forderung nach Rechenschaftspflicht

Ermitteln Sie, wer die Zurücksetzung genehmigt hat, welche Nachweise zur Identitätsfeststellung akzeptiert wurden und wie das Zugriffsprotokoll aussieht. Die Kontowiederherstellung ist Teil der Sicherheitsmaßnahmen Valve.

[Gespeicherten Datensatz lesen](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive?source=Reddit&record=4592)[Reddit öffnen ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

[Im Dossier: Die zugrunde liegenden Unterlagen anfordern →](https://phishdestroy.io/steam_dossier/de/index#dsar-playbook) Archiv Nr. 4,592 · Build 2026-09-17

Sechs ausgewählte Datensätze. GitHub-Beschreibungen geben Auskunft über den gespeicherten Build. Reddit-Beiträge enthalten die Berichte der Autoren.

[Lade die sechs Datensätze herunter ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json)

Die durchsuchbare Version enthält **16,319 eindeutige Datensätze**: 393 Trustpilot, 5,635 Reddit, 2,395 GitHub, 276 Web- und 7,620 Wiki-Einträge. Mehrere Einträge können sich auf dasselbe Ereignis beziehen. Der separate Master-Export mit 40,448 Zeilen hat einen anderen Umfang.

[Das gesamte Archiv durchsuchen ↗](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive) · [Manifest erstellen ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Umfang und Anzahl der Datensätze →](https://phishdestroy.io/steam_dossier/de/index#evidence-base)

Anhang E – Fallstudie 

## ArchiSteamFarm und die Automatisierungsklausel

Ein Open-Source-Tool zum Sammeln von Karten, das laut eigener FAQ auf Millionen von Konten läuft – im Widerspruch zur Klausel (§ 4.C) der Nutzungsvereinbarung, die Automatisierung verbietet. Die Funktionsweise – was eine Farm bei Valve kaufen muss, bevor sie etwas produzieren kann, warum jede Art der Auszahlung einer Karte gegen die Lizenz verstößt, die Durchsetzungsbilanz und wer die Kartenwirtschaft moderiert – wird ausführlich beschrieben in [Anlage V ↗](https://phishdestroy.io/steam_dossier/de/card_economy).

In § 4.C des Steam-Abonnentenvertrags heißt es:

„Es ist Ihnen untersagt, in irgendeiner Weise Skripte, Bots, Makros oder andere nicht von Menschen gesteuerte Systeme („Automatisierung“) zu verwenden, um mit den Inhalten und Diensten auf Steam zu interagieren.“ — [Steam Abonnentenvertrag § 4.C (aktuell) ↗](https://store.steampowered.com/subscriber_agreement/) [archiviert 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

**Valve setzt diese Klausel durch. Das macht es sehr gut.** Die FAQ zu **ArchiSteamFarm (ASF)** — ein Open-Source-Tool, das laut seiner eigenen Dokumentation auf **mehr als ein paar Millionen Steam-Konten** Seit der ersten Veröffentlichung vor über 11 Jahren – gibt es drei Steam Support-Meldungen, in denen Nutzer, die Bot-Netzwerke betrieben haben, dauerhaft gesperrt wurden. Valve hat die Netzwerke aufgedeckt, benannt und zerschlagen. Die relevante Frage ist daher nicht, ob Valve Automatisierung in großem Maßstab erkennen kann.

Die offizielle Website des Projekts [ArchiSteamFarm Häufig gestellte Fragen](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) geht direkt auf das Risiko eines Verbots ein:

„Angesichts der Tatsache, dass ASF seit seiner ersten Veröffentlichung vor über elf Jahren auf mehr als ein paar Millionen Steam-Konten eingesetzt wird, ist dies äußerst unwahrscheinlich – aber unabhängig von der tatsächlichen Wahrscheinlichkeit dennoch eine Möglichkeit.“

„Valve räumt, wie hier dargelegt, eindeutig ein, dass es ‚Steam Faulenzer‘ gibt. Wenn du mich also fragst, bin ich mir ziemlich sicher: Wenn sie damit nicht einverstanden wären, hätten sie längst etwas unternommen, anstatt nur darauf hinzuweisen, dass diese VAC-mäßig Probleme verursachen könnten.“ **Das Schlüsselwort lautet hier „Steam-Idler“, zum Beispiel ASF, und nicht „Game-Idler“.**"

— ArchiSteamFarm FAQ, JustArchiNET. [Quelle: GitHub-Wiki ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · wortgetreu überprüft 2026-09-22

In denselben FAQ wird die Frage „Wurde jemand deswegen gesperrt?“ wie folgt beantwortet: **Ja**, und gibt wieder, was Steam Support an drei von ihnen geschrieben hat:

1,000+ Bots · Handelssperre 
*„Es sieht so aus, als wäre dieses Konto zur Verwaltung eines Netzwerks von Bot-Konten genutzt worden. Der Einsatz von Bots stellt einen Verstoß gegen die Steam-Nutzungsbedingungen dar.“*

Über 170 Bots · dauerhaft gesperrt, Winter-Sale 2017 
*„Dieses Konto wurde dazu genutzt, auf Steam illegal Sammelkarten zu sammeln sowie damit verbundene und nicht ausschließlich kommerzielle Aktivitäten durchzuführen. Das Konto wurde dauerhaft gesperrt, und der Steam-Support kann zu diesem Thema keine weitere Unterstützung leisten.“*

Über 120 Bots · dauerhaft gesperrt 
*„Dieses und andere Konten wurden dazu genutzt, unsere Netzwerkinfrastruktur zu überlasten, was einen Verstoß gegen die Online-Verhaltensregeln Steam darstellt.“*

— Steam Support-Nachrichten, die in den ArchiSteamFarm FAQ unter der Rubrik „Wurde jemand deswegen gesperrt?“ wiedergegeben sind. [Quelle ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · wortgetreu überprüft 2026-09-22

**Legen Sie die beiden Datensätze nebeneinander.** Ein privater Nutzer mit 1,000 Farming-Bots wird identifiziert, darauf hingewiesen, dass „das Einsatz von Bots einen Verstoß gegen die Steam Nutzungsbedingungen darstellt“, und dauerhaft gesperrt. Die kommerziellen Plattformen in diesem Dossier betreiben automatisierte Steam-Konten als ihr Kerngeschäft in weitaus größerem Umfang und authentifizieren sich bei jeder Anmeldung über die eigene OpenID von Valve – und für keine von ihnen wurde bisher ein Durchsetzungsbericht pro Betreiber veröffentlicht. **Die Klausel funktioniert. Die Frage ist nur, gegen wen sie sich richtet.**

Der ASF wird hier nichts vorgeworfen, und ihre Interpretation der Position von Valve ist ihre eigene – der Autor stellt klar, dass „der ASF nicht von Valve bevollmächtigt ist“. Das Tool wird hier als Messinstrument verwendet: Es zeigt, dass Valve Bot-Netzwerke aufspürt, sie namentlich nennt und dauerhaft sperrt. Valve könnte die Frage mit einem einzigen Satz klären, indem es veröffentlicht, welche kommerzielle Automatisierung es zulässt, und für jeden Betreiber dokumentiert, wie es mit dem Rest verfahren ist.

Wo sich das „Card Farming“ auf die Einnahmen von Valve auswirkt

Die im Spiel gesammelten Sammelkarten werden auf dem Steam Community-Markt verkauft, der für jeden auf dem Markt abgeschlossenen Verkauf eine Gesamtgebühr von etwa 15% erhebt; Das Konto muss $5.00 USD für Steam ausgegeben haben, bevor es überhaupt eine Karte erhalten kann; und für das Erhalten von Karten ist der Besitz des Spiels oder der Kauf von In-Game-Inhalten erforderlich. Es wird hier keine geschätzte Gesamtumsatzzahl angegeben – der Betriebsumfang wird lediglich so angegeben, wie es in den ASF-FAQ steht. Die FAQ verzeichnen außerdem Valve Unterscheidungsmerkmale *"Steam Müßiggänger"* (Kartenfarmen) aus *„Spiel-Faulenzer“*; siehe die [ASF – Häufig gestellte Fragen ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). Die Einzelheiten sind ausführlich dargelegt in [Anlage V – die Skala](https://phishdestroy.io/steam_dossier/de/card_economy#scale) und [die Falle der gewerblichen Nutzung](https://phishdestroy.io/steam_dossier/de/card_economy#licence).

Betreff ArchiSteamFarm — automatisiertes Sammeln von Karten

Angegebener Maßstab Millionen von Konten (laut ASF-FAQ – genaue Anzahl der aktiven Konten nicht bestätigt)

Gezählt, nicht zitiert 10,880,610 API-Einträge insgesamt in der ASF-eigenen Steam-Gruppe (5,360,499 uneingeschränkt, wie Steam zeigt) – die „Millionen“ in den FAQs sind keine Erfindung, sondern eine Zählung. 88.97% unterliegen keinerlei Steam Sperre. [Die vollständige Übersicht über die Verbote ↗](https://phishdestroy.io/steam_dossier/de/enforcement_audit)

Angaben in der Dokumentation des Tools selbst 

- ASF meldet Konten im Headless-Modus an und hält Spiele im Leerlauf, um Karten zu erhalten, ohne den Steam-Client zu starten (gemäß der Projektdokumentation).

- In den FAQ wird argumentiert, dass Valve sich der „Steam-Faulenzer“ bewusst sei und dass „sie bereits etwas unternommen hätten, wenn sie damit nicht einverstanden wären“.

- Seit über 11 Jahren wurden keine gezielten Durchsetzungsmaßnahmen gemeldet (laut FAQ); die daraus resultierenden Kartenumsätze im Community Market sind mit einer Gesamtgebühr von etwa 15% für Steam verbunden.

- In den FAQ wird eine empfohlene Obergrenze von zehn Konten pro Betreiber genannt und auf Valve zurückgeführt: „Diese Empfehlung basiert auf internen Valve-Richtlinien sowie auf unseren eigenen Vorschlägen.“ Eine solche Richtlinie wurde von Valve nicht veröffentlicht.

- Technische Obergrenze laut derselben FAQ: „Mit einer einzigen IP-Adresse und einer einzigen ASF-Instanz können Sie bis zu 100–200 Bots betreiben.“

- Die Spielzeit aus dem „Farming“ wird von Valve erfasst – „sie wird in der Regel etwa alle 30 Minuten aktualisiert“ – und in § 4.C wird das „Fälschen von Spielstatistiken (z. B. überhöhte Siege oder Niederlagen, XP, Spielzeit)“ als verbotene Handlung aufgeführt.

Quellen 

[Offizielles JustArchi ASF-FAQ-Wiki ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm Repository ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [archiviert 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm)

Die Automatisierungsklausel ist eindeutig formuliert; in den ASF-FAQ wird seit Jahren darauf hingewiesen, dass das Tool auf Millionen von Konten läuft; es wurden keine gezielten Durchsetzungsmaßnahmen dagegen gemeldet. Die Diskrepanz zwischen der Regel und ihrer Anwendung ist aktenkundig; der Grund dafür wird hier nicht näher erläutert.

[Gesamte Ausstellung Die Kartenwirtschaft: der Ablauf, der Umfang, die Lizenz und wer sie überwacht ↗ Was ein Betrieb bei Valve kaufen muss, bevor er eine einzige Karte produzieren kann; die beiden Zeilen in § 4.C, die das „Card Farming“ anhand seiner Auswirkungen benennen; warum jede Art der Einlösung einer Karte gegen die Lizenz verstößt, die Valve verfasst hat, während Valve eine Gebühr am Eingang erhebt; die Durchsetzungsakte, einschließlich der VAC-Welle im Juni 2025 und der Ketten-Sperrung anhand gemeinsamer Telefonnummern; sowie die Valve-Mitarbeiter und Community-Moderatoren, die rund um Steam für die Verwaltung des Kartentauschs und der Sperrlisten zuständig waren.](https://phishdestroy.io/steam_dossier/de/card_economy) [Die Erhebung zum Verbot Wir haben Valve nicht gefragt, wie groß der Hof ist. Wir haben ihn gezählt. ↗ 10,880,610 Konten insgesamt (mit und ohne Beschränkung), die aus der eigenen Steam-Gruppe von ArchiSteamFarm ausgelesen werden, der die Software beim ersten Start standardmäßig automatisch beitritt, sofern der Benutzer die Einstellung zum Beitritt zur Gruppe nicht deaktiviert (wobei sowohl kommerzielle Bot-Farmen als auch reguläre Spieler erfasst werden, die die Standardeinstellung beibehalten haben). 88.97% unterliegen keinerlei Steam-Sperre; von den 11%, bei denen dies der Fall ist, handelt es sich bei 99.8% um rein kosmetische Community-Sperren, die den Handel in keiner Weise behindern. Nach einem Abgleich mit SteamRep bleiben 67.77% der aufgeführten Betrüger straffrei, sobald Anti-Cheat-Sperren aufgehoben werden. Mit Aufschlüsselungen nach Registrierungsdatum, geografischer Herkunft und Überlebensrate – das tatsächliche Ausmaß, gemessen, nicht nur beschrieben.](https://phishdestroy.io/steam_dossier/de/enforcement_audit)

Anhang F – Arbeitsbuch 

## Wählen Sie eine Regel aus. Überprüfen Sie die entsprechenden Datensätze.

Kontext und Quellenbeschränkungen

Wählen Sie eine Klausel der Abonnentenvereinbarung oder der Regeln zum Online-Verhalten aus; das Register listet die darunter erfassten Plattformen auf, zusammen mit ihrer Hauptdomain, dem angegebenen Auth-Host und dem gespeicherten Ergebnis des Linkfilters. Das Register beschreibt den Umfang der Aufzeichnungen dieser Untersuchung und stellt keine Feststellung eines Verstoßes seitens einer Plattform dar.

Wählen Sie eine Klausel aus, um die markierten Plattformen, Authentifizierungshosts und gespeicherten Ergebnisse des Linkfilters anzuzeigen. Öffnen Sie die jeweilige Quelle, um den Vergleich zu testen.

Anhang G – Von einer Standardablehnung zum zugrunde liegenden Datensatz 

## DSAR-Leitfaden: Anforderung der Nachweise

Nutzen Sie Artikel 15 DSGVO, um personenbezogene Daten im Zusammenhang mit der Erstellung von API-Schlüsseln, der Kontowiederherstellung und dem Supportzugang anzufordern. Anhand einer gespeicherten Aufzeichnung lässt sich nachprüfen, wer eine Aktion ausgelöst hat und worauf sich die Plattform dabei gestützt hat.

- 01 

### Bewahre deine Zeitleiste auf.

Speichern Sie Kontobenachrichtigungen, Tickets, Transaktions-IDs und Datumsangaben in UTC. Sichern Sie das Konto und prüfen Sie die für das Spiel und die Transaktion geltenden Wiederherstellungsoptionen.

[Steam Informationen zum Handelsschutz ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD)

- 02 

### Fordern Sie Ihre gespeicherten Daten an.

Fragen Sie nach Zeitstempeln, Quell-IP-Adressen, wichtigen Ereignissen im Lebenszyklus von Schlüsseln, Sicherheitsbestätigungen und Maßnahmen zur Kontowiederherstellung. Beziehen Sie Ereignisse im Zusammenhang mit dem Support-Zugriff sowie die Empfänger mit ein, sofern diese Daten für Sie relevant sind.

- 03 

### Bewahren Sie den Lieferschein auf.

Nutzen Sie den Datenschutz-Kontaktweg von Valve. Die übliche Bearbeitungsfrist beträgt einen Monat; eine erforderliche Verlängerung um bis zu zwei weitere Monate muss innerhalb dieses ersten Monats begründet werden.

[Valve Datenschutz – Kontakt – Wegbeschreibung ↗](https://store.steampowered.com/privacy_agreement/#8) [archiviert 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)

- 04 

### Vergleiche die Antwort.

Gleichen Sie die Protokolle mit Ihrem Zeitablauf ab. Fragen Sie nach den Gründen für Auslassungen und nutzen Sie gegebenenfalls den Beschwerdeweg bei der Aufsichtsbehörde. Bewahren Sie die Antwort genau so auf, wie Sie sie erhalten haben.

Geltungsbereich / Artikel 15 

Das Auskunftsrecht erstreckt sich auf gespeicherte personenbezogene Daten, einschließlich Daten in Protokollen. Es garantiert jedoch keinen Zugang zu allen internen Dokumenten, rekonstruierten Aufzeichnungen oder ungeschwärzten Daten über andere Personen. Fordern Sie eine verständliche Kopie sowie die Begründung für etwaige Einschränkungen an.

[Zugangsrichtlinien des EDPB, §§ 2, 4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [Artikel 12, 15 und 77 der DSGVO ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [archiviert 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

Auskunftsersuchen der betroffenen Person DSGVO / Artikel 15

### Kontosicherheit und Zugriffsprotokolle

Ersetzen Sie die Felder in Klammern, bevor Sie das Formular absenden.

```
To: Valve Privacy Team
Subject: Article 15 GDPR request — account security records

Account / SteamID: [YOUR ACCOUNT IDENTIFIER]
Relevant period (UTC): [START] to [END]
Related support tickets: [TICKET REFERENCES]

I request a copy of the personal data concerning me that you retain for this period, including:

1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.

2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.

3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.

4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.

Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.

Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.

Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.

Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.

Name: [YOUR NAME]
Date: [DATE]
```

[.txt herunterladen](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt)

Was eine IP-Adresse im Rechenzentrum leisten kann 

### Eine Unstimmigkeit ist ein Anhaltspunkt für weitere Untersuchungen.

Eine API-Schlüsselanfrage, die aus einem Rechenzentrumsnetzwerk stammt, wie im Rahmen dieser Untersuchung angeführten Beispiel des Hosting-Anbieters, kann im Zusammenhang mit Anmeldedaten, Bestätigungen und der Zeitleiste des Nutzers von Bedeutung sein. Eine IP-Adresse allein identifiziert den Akteur nicht und umgeht nicht automatisch alle Schutzmaßnahmen. Der Nachweis, dass ein böswilliger Akteur die aufgezeichnete Einwilligung bereitgestellt hat, könnte die Verlässlichkeit dieser Einwilligung in Frage stellen; andere Rechtsgrundlagen und Haftungsfragen erfordern eine gesonderte Analyse.

[Siehe die archivierte Beschwerde bezüglich des Verbots und der DSGVO →](https://phishdestroy.io/steam_dossier/de/steam_enforcement_evidence#support-records)

Anhang H – Analyse des Wayback-Machine-Archivs · Veröffentlichte Support-Statistiken 

## Support-Umfang. Veröffentlichte Reaktionszeiten.

Kontext und Quellenbeschränkungen

Valve veröffentlicht täglich Support-Statistiken unter `store.steampowered.com/stats/support`. Die Archive der Wayback Machine bewahren historische Momentaufnahmen dieser Seite aus den Jahren 2018 bis 2026 auf. Das aus diesen Zahlen abgeleitete Verhältnis von Fallvolumen zu Personalbestand steht im Widerspruch zu einer manuellen Überprüfung jedes einzelnen Tickets innerhalb der angegebenen Bearbeitungszeiten.

Vergleichen Sie die archivierten Unterstützungswerte von Valve in den gespeicherten Momentaufnahmen. In der Methodik wird erläutert, was diese Werte messen können und was nicht.

Aufkommen im Vergleich zur veröffentlichten Reaktionszeit (2018 → 2026)

### Zwei Warteschlangen an einem Support-Schalter, wie aus 21 archivierten Screenshots hervorgeht.

Valve veröffentlicht Zahlen zum Live-Support unter `store.steampowered.com/stats/support`. Jeder der unten aufgeführten Punkte entspricht dem unteren Grenzwert Valve, der an dem Tag, an dem das Internet Archive die Seite erfasst hat, dort tatsächlich angegeben war – es handelt sich nicht um eine Schätzung unsererseits. Da beide Reihen dieselbe Größe in derselben Einheit darstellen, gehören sie auf eine Achse und lassen sich direkt miteinander vergleichen.

**Rückerstattungsanträge** — Geld Valve ist im Besitz von **Kontosicherheit und Wiederherstellung** — das Konto, das Sie verloren haben

**49–55 Min.** Die Untergrenze der Rückvergütung in jedem Erfassungszeitraum von Februar 2018 bis August 2026. Über einen Zeitraum von achteinhalb Jahren verschiebt sie sich um weniger als sechs Minuten, während sich das tägliche Rückvergütungsvolumen um den Faktor neun verändert.

**2,4 h → 8,7 h** Die Untergrenze für die Kontowiederherstellung liegt in allen Erhebungen bis einschließlich Dezember 2022 mit einer Ausnahme bei etwa 2,4 Stunden. In den drei Erhebungen für das Jahr 2026 gibt Valve Werte von 10,9 h, 5,8 h und 8,7 h an.

**×2,8 → ×13** Um wie viel langsamer die Rückerstattung im Vergleich zu Rückzahlungen ist – laut den von Valve selbst veröffentlichten Zahlen. Fünf Jahre lang bleibt der Abstand konstant, dann vergrößert er sich – die Warteschlange, in der es langsamer vorangeht, ist die, bei der der Nutzer – und nicht Valve – aus eigener Tasche zahlen muss.

Quelle: 21 Wayback-Machine-Speicherabbilder von [store.steampowered.com/stats/support](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), 2018-02-03 bis 2026-08-10; Extraktion in `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. Lesen Sie die Grenzwerte anhand der Zahlen ab: Das Diagramm stellt die *niedriger* Obergrenze des Bereichs Valve Drucke. Die veröffentlichte Obergrenze ist in beiden Fällen schlechter – die Rückerstattungszeiten lagen zwischen 1,5 Stunden und 1,5 Tagen, die Wiederherstellungszeiten zwischen 7,0 Stunden und 3,6 Tagen. Zwei Erfassungen wurden in einer lokalisierten Ausgabe derselben Valve-Seite archiviert – 2018-11-03 auf Tschechisch, 2020-03-25 auf Französisch – und sind in der Tabelle mit (cs) und (fr) gekennzeichnet; ihre Zahlen erscheinen hier mit übersetzten Einheitenbezeichnungen und den Zahlen in der veröffentlichten Form, während die wörtlichen Quellzeichenfolgen in der Extraktionsdatei beibehalten werden. Jeder Datensatz enthält eine Antwortzeit für beide Warteschlangen, und kein Punkt auf einer der beiden Linien wurde interpoliert. Der einzelne 15-Minuten-Wiederherstellungswert von 2020-10-21 ist im Diagramm markiert und wurde beibehalten: Er erscheint nur in einem Datensatz, und kein anderer Datensatz liegt auch nur annähernd in derselben Größenordnung. Zwischen 2022-12-08 und 2026-02-01 gibt es keine Erfassung; diese 38-monatige Lücke in den Aufzeichnungen ist schattiert, und es wird keine Linie darüber gezogen. Diese Zahlen beschreiben veröffentlichte Antwortzeiten. Sie zeigen nicht, was innerhalb eines Tickets geschieht, und Valve hat keine Mitarbeiterzahlen veröffentlicht, anhand derer man sie einordnen könnte.

Jede Aufnahme als Tabelle öffnen

Jede archivierte Aufnahme, wie veröffentlicht

| Erfassen | Rückerstattungen / Tag | Antwort zur Rückerstattung | Erholung / Tag | Maßnahmen zur Wiederherstellung |
| --- | --- | --- | --- | --- |
| 2018-02-03 | 98,788 | 50,12 Minuten bis 1,52 Stunden | 25,662 | 2,51 Stunden bis 1,80 Tage |
| 2018-05-07 | 60,494 | 53,83 Minuten bis 1,47 Tage | 24,226 | 2,45 Stunden bis 2,22 Tage |
| 2018-08-02 | 69,084 | 50,27 Minuten bis 1,59 Stunden | 28,953 | 2,44 Stunden bis 22,17 Stunden |
| 2018-11-03 (cs) | 63,410 | 49,28 Minuten bis 1,54 Stunden | 33,910 | 2,42 Stunden bis 1,31 Tage |
| 2019-02-01 | 76,305 | 50,13 Minuten bis 1,52 Stunden | 35,164 | 2,44 Stunden bis 2,04 Tage |
| 2019-05-18 | 78,951 | 51,03 Minuten bis 3,12 Stunden | 27,514 | 2,46 Stunden bis 20,39 Stunden |
| 2019-09-07 | 78,941 | 50,65 Minuten bis 1,66 Stunden | 28,812 | 2,42 Stunden bis 13,59 Stunden |
| 2019-12-13 | 69,589 | 50,77 Minuten bis 1,55 Stunden | 25,322 | 2,45 Stunden bis 1,13 Tage |
| 2020-03-25 (fr) | 139,278 | 49,45 Minuten bis 1,53 Stunden | 32,302 | 2,48 Stunden bis 3,62 Tage |
| 2020-06-26 | 278,504 | 48,98 Minuten bis 2,29 Stunden | 20,343 | 2,39 Stunden bis 6,99 Stunden |
| 2020-10-21 | 107,633 | 50,80 Minuten bis 1,54 Stunden | 20,688 | 15,33 Minuten bis 8,62 Stunden |
| 2021-03-20 | 158,956 | 50,80 Minuten bis 1,64 Stunden | 25,760 | 2,34 Stunden bis 11,62 Stunden |
| 2021-06-26 | 547,907 | 51,93 Minuten bis 6,73 Stunden | 29,728 | 2,40 Stunden bis 15,63 Stunden |
| 2021-10-10 | 170,103 | 51,88 Minuten bis 3,25 Stunden | 23,989 | 2,39 Stunden bis 13,05 Stunden |
| 2022-01-31 | 354,386 | 53,65 Minuten bis 8,09 Stunden | 24,391 | 2,42 Stunden bis 15,29 Stunden |
| 2022-05-09 | 172,555 | 51,83 Minuten bis 1,65 Stunden | 23,289 | 2,41 Stunden bis 16,90 Stunden |
| 2022-09-05 | 153,453 | 53,67 Minuten bis 4,15 Stunden | 23,594 | 2,45 Stunden bis 1,22 Tage |
| 2022-12-08 | 181,075 | 54,83 Minuten bis 6,67 Stunden | 27,111 | 2,46 Stunden bis 18,89 Stunden |
| 2026-02-01 | 317,762 | 50,30 Minuten bis 1,52 Stunden | 47,197 | 10:91 Uhr bis 21:30 Uhr |
| 2026-05-09 | 246,776 | 50,12 Minuten bis 1,52 Stunden | 35,264 | 5,81 Stunden bis 15,60 Stunden |
| 2026-08-10 | 373,244 | 52,05 Minuten bis 2,07 Stunden | 45,319 | 8,73 Stunden bis 16,52 Stunden |

WICHTIGSTE BEMERKUNG:

Quer durch **21 Wayback-Archivierungen** Im Zeitraum von 2018-02-03 bis 2026-08-10 lagen die täglichen Rückerstattungsanträge zwischen **60,494** (Mai 2018) bis **547,907** (Juni 2021) — a **9,1× Spread**. Der Wert für 2026 beträgt 373,244 (+278% im Vergleich zur Erhebung vom Februar 2018).

In diesen neun Jahren lag die veröffentlichte Untergrenze für die Bearbeitungszeit von Erstattungsanträgen stets bei **49–55 Minuten** Band: Eine Gesamtbewegung von weniger als sechs Minuten, während sich die dahinterliegende Arbeitslast um den Faktor neun veränderte.

Wenn eine Person jedes Ticket auch nur 5 Sekunden lang lesen würde, würde die Bearbeitung von 373,244 Tickets pro Tag (derzeit) **22 Mitarbeiter, die rund um die Uhr im Einsatz sind** allein schon, um sie zu öffnen und zu schließen; in der Hochsaison (547,907, Juni 2021) steigt dieser Wert auf 32.

Wenn die veröffentlichte Bearbeitungszeit die Bearbeitungszeit pro Ticket widerspiegeln würde (~52 Min./Ticket), läge der daraus abgeleitete Personalbedarf in der Größenordnung von **13,500 Agenten** bei der aktuellen Menge und ~20,000 bei Spitzenwerten. Es konnte keine Quelle für die Anzahl der Mitarbeiter von Valve gefunden werden; hier wird keine angenommen.

Was daraus folgt: Das Verhältnis von Bearbeitungsvolumen zu Mitarbeiterzahl lässt sich bei den veröffentlichten Bearbeitungszeiten nicht mit einer manuellen Überprüfung jedes einzelnen Tickets vereinbaren. Die Zahlen deuten auf einen weitgehend automatisierten ersten Durchlauf hin; welcher Anteil einer manuellen Überprüfung unterzogen wird, wird nicht veröffentlicht.

Warum dies für die Einhaltung der DSGVO wichtig ist 

Artikel 22 der DSGVO verbietet eine ausschließlich automatisierte Einzelentscheidung, die erhebliche rechtliche Auswirkungen hat, ohne dass auf Antrag das Recht auf eine Überprüfung durch einen Menschen gewährt wird. Wenn Steam Support-Entscheidungen (Schließung von Tickets, Maßnahmen in Bezug auf Konten, Ablehnung von Datenanfragen) vollständig durch automatisierte Skripte getroffen werden, kann jede solche Entscheidung, die den Nutzer „erheblich betrifft“, gegen Artikel 22 verstoßen.

Fahrkarte **HT-2YBP-F7JP-D4VB** (Abschnitt 18) wurde nach drei Tagen mit einer Standardverweisung abgeschlossen, ohne dass auf die angeführte Rechtsgrundlage eingegangen wurde. Ob eine Person den Fall geprüft hat, lässt sich aus dem Ticket nicht feststellen; diese Frage kann die Aufsichtsbehörde gemäß Artikel 22 und Artikel 15 Absatz 1 Buchstabe h an Valve richten.

Quelle: Wayback-Machine-Snapshots von store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) – Daten extrahiert in VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 Snapshots, 2018–2026). Hinweis: Die Reaktionszeit von „~52 min“ ist die Untergrenze für die Kategorie „Rückerstattung“; die Reaktionszeit bei der Kontosicherheit lag in denselben Snapshots zwischen 2,4 und 16,5 Stunden. 2021-06-26 ist der historische Höchstwert (547,907 Rückerstattungsanträge), kein monotoner Mittelwert – das Volumen stieg 2020–2021 um das ~6-Fache an, ging dann teilweise zurück, bevor es sich 2026 auf 373.000 erholte.

Anhang I – Umfang des Datensatzes · reproduzierbare Zählwerte 

## Zähle die Datensätze. Überprüfe den Umfang.

Kontext und Quellenbeschränkungen

Zählen Sie die Datensätze und überprüfen Sie anschließend die Angaben: Jede der folgenden Zahlen lässt sich aus den veröffentlichten Dateien erneut ableiten.

Überprüfen Sie die zugrunde liegenden Datensätze, reproduzieren Sie die Zählwerte und unterscheiden Sie Quellzeilen von einzelnen Vorfällen.

Die CSV-Stammdatei enthält **40,448 Zeilen**. Davon **36,516** stammen aus dem Discord-AntiScam-Phishing-Feed. Die übrigen **3,932** Die Einträge umfassen GitHub, Reviews, Suchergebnisse, Forenbeiträge und andere Quellen und bieten so einen umfassenden Überblick über gemeldete Community-Themen und Sicherheitsberichte.

In dieser CSV-Datei sind 1,690 Zeilen unter der Sammelbezeichnung „Unpatched Security Exploit“ zusammengefasst, die historische Benutzerprobleme und Offenlegungen von Sicherheitslücken darstellen. Um diese Meldungen nachzuverfolgen, müssen die spezifische Build-Zeitleiste und die öffentliche Patch-Historie jedes Threads überprüft werden.

Das durchsuchbare Archiv mit 16,319 Datensätzen ist eine eigenständige, kuratierte Version mit einem eigenen Manifest, die für die gezielte lokale Untersuchung bestimmter Nutzerbeanstandungen und Vorfallmeldungen konzipiert ist.

> Um einen zuverlässigen Prüfpfad zu erstellen, muss jeder vom Benutzer gemeldete Datensatz anhand dokumentierter Build-Zeitpläne und historischer Patch-Protokolle überprüft werden.

Die separaten Bestandsdatensätze von Teil II **231,829 eindeutige Angebots-IDs**, darunter 33,509 in der Kategorie „automatische Registrierung“ und 198,320, die als nicht verifizierte Übertragungen gekennzeichnet sind. Der SHA-256-Hash der Eingabedatei stimmt mit dem gespeicherten Messwert überein. Diese Zahlen beschreiben Einstellversuche und beobachtete Transfers und nicht die endgültigen Transaktionswerte oder verifizierten Diebstahlsummen, was die Notwendigkeit von Primärdaten der Plattformen zur Ermittlung der genauen wirtschaftlichen Auswirkungen unterstreicht. [Auflistung von Maßen und Hashwerten ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json)

[CSV beherrschen ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [Durchsuchbares Archivverzeichnis ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Quelldatensätze prüfen ↗](https://phishdestroy.io/steam_dossier/de/steam_evidence_archive)

Anhang J – Über diese Untersuchung 

## Valve veröffentlicht keine Vollstreckungsunterlagen. *Wir haben eins gebaut.*

Unabhängig. Nicht kommerziell. Ausschließlich auf der Grundlage öffentlicher Daten erstellt. Den Aufsichtsbehörden vorgelegt.

**88.97%** Automatisierungsflotte bleibt unberührt – keinerlei Verbot

**67.77%** von 51,732 verurteilten Betrügern kommen ungestraft davon

**$26.8M+** Mindestausgaben im Geschäft durch die nicht-begrenzte Flotte

**3.6%** Glücksspiel-Domains, die vom Linkfilter von Valve blockiert wurden

**8 Jahre** der dokumentierten Sicherheitsvorfälle

**Was das ist.** Ein forensisches Dossier zur Steam-Plattform der Valve Corporation – ihre Durchsetzungsbilanz, ihre „Card-Farming“-Ökonomie, ihr rechtlicher Rahmen sowie die Authentifizierungsinfrastruktur, die Glücksspielanbieter über das eigene OpenID-Relay von Steam nutzen. Jede Zahl lässt sich anhand von zwei Quellen nachvollziehen: der eigenen öffentlichen API von Valve und den im Rahmen dieser Untersuchung veröffentlichten Datensätzen.

**Für wen ist es gedacht?** Zuständige Aufsichtsbehörden für Valve – die DSGVO-Aufsichtsbehörde der Niederlande, FinCEN, die SEC, der DSA-Koordinator für digitale Dienste, UOKiK sowie alle Strafverfolgungsbehörden, die mit Steam verbundene Finanzströme untersuchen. Ebenso für Journalisten, Forscher und alle Nutzer, denen eine dauerhafte Kontosperrung auferlegt, eine Rückerstattung verweigert oder Inventar gestohlen wurde und denen mitgeteilt wurde, dass kein Rechtsmittel eingelegt werden kann.

**Die einzige Forderung.** Valve speichert diese Daten in voller Genauigkeit – einschließlich der Sperrgründe, des vollständigen ID-Raums und in Echtzeit. Es kann jede Abfrage in dieser Akte innerhalb von Sekunden ausführen und hat sich entschieden, nichts davon zu veröffentlichen. Die Frage für jede zuständige Behörde ist einfach: *Warum nicht?*

**Was die Autoren nicht behaupten.** Während dieser Arbeit wurde auf keiner Drittanbieter-Plattform eine Anmeldung bei Steam abgeschlossen. Eine bereitgestellte OpenID-URL legt die Anforderungsparameter fest, nicht jedoch eine abgeschlossene Anmeldung. Eine separate registrierbare Domain ist für sich genommen kein Beweis für eine Umgehung. Registrierungsdaten stellen Untergrenzen dafür dar, wann ein Host erstmals in einer OpenID-Anfrage aufgetaucht sein könnte; sie belegen keine kontinuierliche Nutzung. Die Autoren machen keine Aussagen darüber, was Valve wusste oder beabsichtigte: Jede Aussage über Valve ist an ein datiertes öffentliches Dokument oder eine datierte Beobachtung gebunden. Wo eine Behauptung nicht durch ein Quelldokument belegt werden konnte, wurde sie entfernt.

Wer wir sind 

PhishDestroy — unabhängige Ermittler. Keine Verbindung zur Valve Corporation oder zu einer der hier genannten Plattformen. Ein Steam-Konto wurde ausschließlich dazu verwendet, den DSGVO-Antrag in Abschnitt 18 zu dokumentieren.

Rechtlicher Hinweis 

Nichtkommerzielle, dezentrale Recherche im öffentlichen Interesse. Alle Daten werden „wie besehen“ und ohne jegliche Gewähr bereitgestellt. Diese Veröffentlichung stellt keine gerichtliche Feststellung dar.

GEMEINWARE

Lizenzierung 

Alle Rechte werden der Menschheit übertragen. Vervielfältigung, Bearbeitung, Veröffentlichung – keine Nennung der Quelle erforderlich. Zugriff aus OFAC-Regionen: untersagt. [Vollständige Lizenz und Haftungsausschluss →](https://phishdestroy.io/steam_dossier/de/license_disclaimer)