Der Lieferpartner wird gehackt, Valve muss es melden
Zwischen dem 29. Juli und dem 1. August 2026 traf ein Cyberangriff CEVA Logistics, das Versandunternehmen, mit dem Valve Steam Deck, Steam Machine und Steam Controller an Kunden in ganz Europa liefert. Valve erklärt, am 7. August von dem Einbruch erfahren zu haben, und begann am 10. August damit, betroffene europäische Kunden direkt per E-Mail zu informieren - mehr als eine Woche nach Ende des Angriffszeitraums.
Die Verzögerung zwischen Angriff und Benachrichtigung ist bei Vorfällen in der Lieferkette nicht ungewöhnlich: Valve musste zunächst klären, dass CEVA und nicht die eigenen Systeme der Einstiegspunkt war, und dann ermitteln, welche eigenen Kundendaten über CEVA-Server gelaufen waren. CEVA speichert Lieferdaten bis zu 90 Tage nach dem Versand, weshalb die Betroffenheit auf Käufer eingegrenzt ist, die etwa in diesem Zeitraum Steam-Hardware bestellt haben.
Was offengelegt wurde - und was nicht
Valves Mitteilung listet auf, was CEVA gespeichert hatte: vollständiger Name, Straße, Postleitzahl, Stadt, Land, Telefonnummer, die mit dem Steam-Konto verknüpfte E-Mail-Adresse sowie Art und Preis der bestellten Hardware. Das reicht aus, um eine überzeugende, personalisierte Phishing- oder Zustellbetrug-Nachricht zu formulieren, selbst ganz ohne ein einziges Passwort.
Valve stellte klar, was CEVA nie besaß: Kontopasswörter, Steam-Guard-Codes und Zahlungsdaten gehörten nicht zu den Daten, die CEVA für den Versand eines Pakets verarbeitete, daher wurde nichts davon offengelegt. Valve warnt Kunden vor Folgebetrug per E-Mail, SMS oder Anruf, der echte Bestelldetails nennt, und rät, jede Aufforderung zur Adressbestätigung oder Zahlung einer Nachliefergebühr als verdächtig zu behandeln.
CEVA ist Auftragsverarbeiter - Valve bleibt Verantwortlicher
Nach der DSGVO entscheidet die Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter darüber, wer für einen Vorfall geradesteht. Valve ist der Verantwortliche: Das Unternehmen legt fest, welche Kundendaten erhoben werden und warum. CEVA ist Auftragsverarbeiter: Das Unternehmen hält nur die Daten, die Valve ihm übergeben hat, und nur für die eine Aufgabe, für die Valve es beauftragt hat - ein Paket bis zur Tür zu bringen. Dass CEVA die tatsächlich gehackte Partei war, verschiebt diese Haftung nicht weg von Valve.
Genau deshalb hat Valve und nicht CEVA die Benachrichtigungs-E-Mail verschickt, und Valve erklärt, die Datenschutzbehörden in jedem EU-Land zu informieren, in dem betroffene Kunden leben. Ein Sicherheitsversagen des Auftragsverarbeiters ist rechtlich der Vorfall, den der Verantwortliche melden muss - auf dessen Zeitplan, unter dessen Namen.
Der Streukreis reicht weit über Steam hinaus
Valve ist nicht der einzige Kunde von CEVA, und dies ist kein reiner Steam-Vorfall. CEVA gehört zur CMA-CGM-Gruppe und betreibt mindestens acht Lager in Europa. Händler wie bol und De Bijenkorf in den Niederlanden haben eigene Kundenwarnungen zum selben Einbruch veröffentlicht, und Berichte über den Vorfall beschreiben, wie er sich bis zu Banken und anderen Handelsmarken ausbreitet, die Sendungen über CEVA abwickeln.
Jedes dieser Unternehmen steckt jetzt in derselben Lage wie Valve: Ein Dienstleister, den man nicht selbst betreibt, nicht in Echtzeit prüfen kann und in dem man den Einbruch nicht selbst erkennen konnte, hat einen Kundendatenvorfall erzeugt, den man nun unter eigenem Namen den eigenen Nutzern erklären muss.
Die Lektion für jedes Unternehmen, das Fulfillment auslagert
Jedes Unternehmen, das Namen, Adressen oder Bestelldaten an einen externen Logistik- oder Fulfillment-Anbieter weitergibt, hat seine eigene Angriffsfläche faktisch auf die Systeme dieses Anbieters ausgeweitet - ohne die eigene Sicht darauf zu erweitern, wie gut dieser Anbieter sie schützt. Der CEVA-Vorfall zeigt das Fehlerbild deutlich: Der Einbruch geschah im Juli, bei einem Unternehmen, das die meisten Steam-Kunden vorher nie gehört hatten, und der Händler, dessen Namen die Kunden vertrauen, musste es im August erklären.
Die praktische Antwort ist nicht, Fulfillment ins eigene Haus zu holen. Sie besteht darin, schon vor einem Vorfall zu wissen, welche Dienstleister aktive Kunden-PII halten, mit welcher Aufbewahrungsfrist sie arbeiten, und wie die eigenen Meldepflichten aussehen, sobald einer von ihnen gehackt wird. Valves Reaktion - schnelle interne Eskalation, eine direkte Kunden-E-Mail und proaktiver Kontakt zu den Datenschutzbehörden - sollte der Standard sein, den jeder Verantwortliche kurzfristig erfüllen kann, nicht die Ausnahme.
Weiterlesen: Polizei-Dashboard zu 700 Ausländern stand offen | Ein Gratis-Add-on kann jedes Ihrer Dokumente lesen
