{"id":437,"date":"2026-09-16T04:50:30","date_gmt":"2026-09-16T04:50:30","guid":{"rendered":"https:\/\/hoge.gg\/at\/steam-krypto-bann-spielersicherheit-wallet-drainer-2026\/"},"modified":"2026-09-16T04:50:30","modified_gmt":"2026-09-16T04:50:30","slug":"steam-krypto-bann-spielersicherheit-wallet-drainer-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/at\/steam-krypto-bann-spielersicherheit-wallet-drainer-2026\/","title":{"rendered":"Steam sperrte Krypto aus, aber nicht die Wallet-Diebe"},"content":{"rendered":"

Am 1. September 2026 ging eine Website online, die wie der Traum jedes Spielers aussah: ein angeblich geleaktes Vorabexemplar von Grand Theft Auto 6, zu haben f\u00fcr 50 US-Dollar (rund 46 Euro) oder 1 SOL (damals etwa 102 US-Dollar). Wer bezahlte und daf\u00fcr seine Wallet mit der Seite verband, bekam kein Spiel. Stattdessen lief im Hintergrund ein sogenannter Drainer, der Guthaben auf Solana und sieben weiteren Blockchains abzur\u00e4umen versuchte, wie Malwarebytes<\/a> dokumentierte. Mit Steam hatte diese Masche nichts zu tun, und genau das ist der Punkt.<\/p>

Valve hat Kryptow\u00e4hrungen und NFTs bereits 2021 von Steam verbannt, ausdr\u00fccklich zum Schutz der Nutzer. F\u00fcnf Jahre sp\u00e4ter l\u00e4sst sich n\u00fcchtern feststellen: Dieser Bann hat das Krypto-Risiko f\u00fcr Spieler nicht aus der Welt geschafft, er hat es nur verschoben. Auf der einen Seite landet Schadsoftware, die Wallets und Passw\u00f6rter stiehlt, trotzdem regelm\u00e4\u00dfig auf Steam. Auf der anderen Seite lebt eine Token-\u00d6konomie neben der Plattform weiter, in einem Raum ohne Valves Aufsicht und ohne dessen R\u00fcckerstattungssysteme. F\u00fcr \u00d6sterreich kommt hinzu, dass hier weder die Finanzmarktaufsicht (FMA) noch die europ\u00e4ische MiCA-Verordnung eine Schutzfunktion \u00fcbernehmen, weil ein Spiele-Store schlicht nicht in ihren Zust\u00e4ndigkeitsbereich f\u00e4llt.<\/p>

Dieser Text zeichnet nach, wie aus einer gut gemeinten Schutzregel eine Sichtbarkeitsl\u00fccke wurde: warum Malware trotz Verbot auf Steam gelangt, wohin die eigentliche Krypto\u00f6konomie ausgewandert ist, wie ein Wallet-Drainer technisch funktioniert und was das alles f\u00fcr Spielerinnen und Spieler in \u00d6sterreich bedeutet, wenn im Ernstfall die Wallet leer ist.<\/p>

Ein Bann, der das Risiko verschob statt es zu beseitigen<\/h2>

Die Grundidee hinter Valves Regel klingt plausibel: Wo keine Token gehandelt werden, kann auch niemand \u00fcber Token betrogen werden. In der Praxis zerf\u00e4llt das Krypto-Risiko f\u00fcr Spieler jedoch in zwei Kan\u00e4le, und der Steam-Bann erwischt nur den kleineren, sichtbaren Teil davon.<\/p>

Der erste Kanal ist Schadsoftware, die als ganz normales Spiel getarnt in den Store kommt und dann gezielt Krypto-Wallets, Browser-Sitzungen und Passw\u00f6rter abgreift. Der Bann richtet sich gegen offizielle Blockchain-Funktionen, nicht gegen kriminelle Tarnung, und gegen Tarnung hilft eine Inhaltsregel wenig. Der zweite Kanal ist die legitime Token- und NFT-\u00d6konomie selbst. Weil sie auf Steam nicht stattfinden darf, ist sie auf eigene Launcher, Konsolen, Web-Marktpl\u00e4tze und externe Wallets ausgewichen, also genau in jene Umgebung, in der Wallet-Drainer und Phishing zu Hause sind.<\/p>

Das Ergebnis ist eine paradoxe Sicherheitsbilanz. Steam sieht f\u00fcr den Durchschnittsnutzer sauberer aus, weil dort keine Coins beworben werden. Doch das Risiko ist nicht verschwunden, es ist nur weniger sichtbar geworden und teilweise dorthin abgewandert, wo weder Valve noch eine Aufsichtsbeh\u00f6rde hinschaut.<\/p>

Warum das \u00fcberhaupt z\u00e4hlt, hat mit Steams Stellung zu tun. Kein anderer PC-Store b\u00fcndelt so viele Spieler, Wunschlisten und Zahlungsdaten an einem Ort, und f\u00fcr unz\u00e4hlige Studios f\u00fchrt der Weg zum Publikum fast zwangsl\u00e4ufig \u00fcber Valve. Eine Hausregel dieses Anbieters wirkt deshalb wie ein Industriestandard: Was auf Steam nicht erlaubt ist, verschwindet f\u00fcr viele Entwickler praktisch aus dem Gesch\u00e4ftsmodell. Genau das verleiht dem Krypto-Bann seine Reichweite, und genau das macht die L\u00fccken darin so folgenreich, weil sie sich auf eine riesige Nutzerbasis auswirken.<\/p>

Warum Valve 2021 die Blockchain aussperrte<\/h2>

Im Oktober 2021 erg\u00e4nzte Valve die Liste der Dinge, die auf Steam nicht ver\u00f6ffentlicht werden d\u00fcrfen, um einen Punkt: Anwendungen, die auf Blockchain-Technologie basieren und Kryptow\u00e4hrungen oder NFTs ausgeben oder deren Tausch erm\u00f6glichen. Das erste prominente Opfer war das Sammelkartenspiel Age of Rust des Studios SpacePirate, das kurz darauf von der Plattform flog. An der Regel hat sich seither nichts ge\u00e4ndert.<\/p>

Die Begr\u00fcndung lieferte Mitgr\u00fcnder Gabe Newell wenig sp\u00e4ter im Gespr\u00e4ch mit PC Gamer. Steam hatte von April 2016 bis Dezember 2017 Bitcoin als Zahlungsmittel akzeptiert und die Erfahrung als abschreckend empfunden: hohe Geb\u00fchren, extreme Kursschwankungen und vor allem massenhaft Betrug. „50 percent of the cryptocurrency paid for transactions were fraudulent“, sagte Newell \u00fcber jene Phase, die H\u00e4lfte aller Krypto-Zahlungen sei also betr\u00fcgerisch gewesen (PC Gamer<\/a>). Wer wissen will, wie Valve diese Haltung im Detail begr\u00fcndet und wie sie sich zur \u00f6sterreichischen Rechtslage verh\u00e4lt, findet die Vorgeschichte in unserer Analyse dazu, warum Valve Blockchain-Games aussperrt<\/a>.<\/p>

Wichtig f\u00fcr alles Weitere: Der Bann ist eine private Hausordnung, kein Gesetz. Kein Regulator hat Valve dazu verpflichtet, und keiner kontrolliert die Umsetzung. Das macht die Regel flexibel, aber es bedeutet auch, dass Valve allein entscheidet, was als Blockchain-Spiel gilt und was nicht, und dass L\u00fccken in dieser Selbstkontrolle niemanden au\u00dfer Valve betreffen.<\/p>

Der Konstruktionsfehler: Steam pr\u00fcft beim Launch, nicht bei jedem Update<\/h2>

Der entscheidende technische Punkt f\u00fcr die Spielersicherheit hat mit dem Krypto-Bann gar nichts zu tun, sondern mit der Art, wie Steam Spiele pr\u00fcft. Valve kontrolliert einen Titel im Wesentlichen bei der Ver\u00f6ffentlichung. Sp\u00e4tere Updates werden nicht mit derselben Tiefe erneut gepr\u00fcft. Genau dort setzen Angreifer an.<\/p>

Das Muster ist immer \u00e4hnlich: Ein harmloses, oft kostenloses Spiel besteht die Pr\u00fcfung, sammelt vielleicht sogar positive Bewertungen, und erst danach schiebt ein Update den Schadcode nach. Alternativ \u00fcbernehmen die T\u00e4ter das Entwicklerkonto, benennen ein bestehendes Spiel um, tauschen Screenshots aus und ersetzen eine unscheinbare Programmdatei durch eine pr\u00e4parierte Version. In beiden F\u00e4llen wird die Vertrauensinfrastruktur von Steam gegen die eigenen Nutzer gewendet: Der automatische Update-Mechanismus, der sonst Patches und Fehlerbehebungen liefert, verteilt pl\u00f6tzlich einen Infostealer an alle, die das Spiel installiert haben.<\/p>

Das ist keine theoretische Schw\u00e4che. Die auff\u00e4lligsten Steam-Malware-F\u00e4lle der Jahre 2025 und 2026 folgten exakt diesem Ablauf. Ein Store, der ein Spiel einmal als sauber einstuft und es dann laufend automatisch aktualisiert, ist strukturell verwundbar, sobald das Konto dahinter oder ein Update kompromittiert wird.<\/p>

Zum Vergleich: Mobile Stores wie Google Play oder Apples App Store pr\u00fcfen Aktualisierungen tendenziell strenger und schieben sie durch einen erneuten Review, bevor sie beim Nutzer landen. Steam setzt traditionell st\u00e4rker auf die Eigenverantwortung der Entwickler und auf nachgelagerte Kontrolle, was schnelle Patches erm\u00f6glicht, aber genau jenes Zeitfenster \u00f6ffnet, in dem ein gekapertes Konto Schaden anrichtet. Es ist kein Zufall, dass die spektakul\u00e4rsten F\u00e4lle dieser Art auf dem PC und nicht auf den kuratierten Konsolen-Marktpl\u00e4tzen passierten.<\/p>

BlockBlasters: vom Plattformer zum Krypto-Dieb per Patch<\/h2>

Der Fall, der dieses Muster 2025 bekannt machte, hei\u00dft BlockBlasters. Der bunte Plattformer erschien am 30. Juli 2025 auf Steam, unauff\u00e4llig und mit positiven Rezensionen. Am 30. August folgte ein Update, das den eigentlichen Zweck offenbarte: Der Patch brachte einen StealC-Cryptostealer und eine Python-basierte Hintert\u00fcr mit, die gezielt Krypto-Wallets, Zugangsdaten und Sitzungsdaten absaugten, w\u00e4hrend das Spiel im Vordergrund normal weiterlief.<\/p>

Der Schaden war real und traf Menschen direkt. Nach Auswertungen von Sicherheitsforschern verloren mehr als 260 Nutzer zusammen rund 150.000 US-Dollar (etwa 140.000 Euro). Besonders bitter war der Fall des Streamers RastalandTV, dem w\u00e4hrend eines Livestreams rund 32.000 US-Dollar (etwa 30.000 Euro) abhandenkamen, Geld, das f\u00fcr seine Krebsbehandlung gedacht war (BleepingComputer<\/a>). Teilweise wurden potenzielle Opfer \u00fcber gef\u00e4lschte Sponsoring-Angebote angelockt, ein Detail, das an die Werbe- und Kooperationsmechaniken erinnert, wie sie auch aus dem Krypto-Sponsoring im Esport<\/a> bekannt sind.<\/p>

Valve entfernte BlockBlasters am 21. September 2025. Zu diesem Zeitpunkt hatte die Auslieferung \u00fcber den regul\u00e4ren Update-Kanal aber l\u00e4ngst funktioniert. Genau darin liegt die Lehre: Nicht das urspr\u00fcngliche Spiel war das Problem, sondern der Umstand, dass ein einmal freigegebener Titel per Update zur Waffe umgebaut werden konnte.<\/p>

Technisch war der Angriff bewusst leise gebaut. Nach der Analyse der Sicherheitsforscher von G Data zog der sch\u00e4dliche Patch seine Bausteine \u00fcber mehrere verschachtelte Skripte und ausf\u00fchrbare Dateien nach, installierte eine Python-Hintert\u00fcr und den StealC-Stealer und mied dabei g\u00e4ngige Virenscanner. Besonders perfide ist die Vertrauenskomponente: BlockBlasters trug positive Rezensionen und den Anschein eines gepr\u00fcften Titels, als der Schadcode l\u00e4ngst ausgeliefert wurde. Wer der Bewertungsanzeige und dem Store-Siegel vertraute, hatte keinen Grund, ausgerechnet dieses Spiel zu verd\u00e4chtigen.<\/p>

Kein Einzelfall: die Steam-Malware-Welle 2025 und 2026<\/h2>

BlockBlasters war der lauteste, aber bei Weitem nicht der einzige Fall. \u00dcber zwei Jahre zog sich eine ganze Serie getarnter Schadsoftware durch den Store, mit unterschiedlichen Werkzeugen, aber wiederkehrender Logik.<\/p>

Den Auftakt machte im Februar 2025 das kostenlose PirateFi, das den Infostealer Vidar verteilte und bis zu 1.500 Mal heruntergeladen wurde, bevor Valve die betroffenen Nutzer per E-Mail warnte und zur Systembereinigung riet (TechCrunch<\/a>). Im M\u00e4rz 2025 folgte die Demo von Sniper: Phantom’s Resolution, die den Download \u00fcber Steam hinaus auf eine externe Seite umleitete, wo eine gef\u00e4lschte Windows-Defender-Datei mit Administratorrechten nachgeladen werden sollte (BleepingComputer<\/a>).<\/p>

Im Juli 2025 schleuste die Gruppe EncryptHub (auch als Larva-208 gef\u00fchrt) \u00fcber das Early-Access-Spiel Chemia des Studios Aether Forge gleich mehrere Sch\u00e4dlinge ein: den Loader HijackLoader, den Infostealer Vidar und wenig sp\u00e4ter den Fickle Stealer, der seine Steuerbefehle unter anderem \u00fcber einen Telegram-Kanal bezog (BleepingComputer<\/a>). Im Mai 2026 schlie\u00dflich wurde das Horrorspiel Beyond The Dark (zuvor unter dem Namen Rodent Race gelistet) entfernt: Ein Infostealer steckte in einer manipulierten UnityPlayer.dll und zielte auf Browserdaten, gespeicherte Zugangsdaten und Wallet-Erweiterungen wie MetaMask; die Angreifer hatten offenbar das Entwicklerkonto gekapert, das Spiel umbenannt und ein b\u00f6sartiges Update ausgespielt (Bitdefender<\/a>).<\/p>

Spiel<\/th>Zeitraum<\/th>Schadsoftware<\/th>Vorgehen<\/th><\/tr><\/thead>
PirateFi<\/td>Februar 2025<\/td>Vidar-Infostealer<\/td>kostenloses Spiel, bis zu 1.500 Downloads<\/td><\/tr>
Sniper: Phantom’s Resolution<\/td>M\u00e4rz 2025<\/td>Infostealer via Fake-Defender<\/td>Demo leitet Download extern um<\/td><\/tr>
Chemia<\/td>Juli 2025<\/td>HijackLoader, Vidar, Fickle Stealer<\/td>Early Access, Steuerung \u00fcber Telegram<\/td><\/tr>
BlockBlasters<\/td>Juli bis September 2025<\/td>StealC plus Python-Backdoor<\/td>sauberer Launch, Schadcode per Update<\/td><\/tr>
Beyond The Dark<\/td>Mai 2026<\/td>Infostealer in UnityPlayer.dll<\/td>Konto gekapert, Spiel umbenannt<\/td><\/tr><\/tbody><\/table><\/figure>

Das FBI sucht die Opfer, aber nur jene auf Steam<\/h2>

Wie ernst die Lage ist, zeigt der Umstand, dass sich mittlerweile das FBI einschaltet. Das Seattle-B\u00fcro der US-Bundespolizei sucht aktiv nach Gesch\u00e4digten von acht b\u00f6sartigen Steam-Spielen: BlockBlasters, Chemia, Dashverse beziehungsweise DashFPS, Lampy, Lunara, PirateFi, Tokenova und einem weiteren Titel. Betroffen sind Installationen zwischen Mai 2024 und J\u00e4nner 2026. Opfer k\u00f6nnen sich per E-Mail an Steam_Malware@fbi.gov wenden und kommen laut Beh\u00f6rde unter Umst\u00e4nden f\u00fcr Entsch\u00e4digung und weitere Rechte nach US-Recht infrage (BleepingComputer<\/a>).<\/p>

So begr\u00fc\u00dfenswert das ist, es unterstreicht die eigentliche Asymmetrie. F\u00fcr Sch\u00e4den, die \u00fcber ein identifizierbares Spiel auf einer gro\u00dfen Plattform entstehen, existiert wenigstens ein Ermittlungsweg und die theoretische Aussicht auf Restitution. Wer dagegen \u00fcber eine anonyme Fake-Website neben Steam ausgeraubt wird, steht meist mit leeren H\u00e4nden da: kein Ansprechpartner, keine zentrale Meldestelle, keine realistische R\u00fcckholung. Der Bann hat die \u00d6konomie in genau diesen aufsichtsfreien Raum gedr\u00e4ngt.<\/p>

Wohin die Krypto\u00f6konomie ausgewandert ist<\/h2>

Wenn die Coins nicht auf Steam sein d\u00fcrfen, wo sind sie dann? Die Antwort erkl\u00e4rt, warum der Bann die Risiken eher umverteilt als abgeschafft hat. Die Blockchain-Spiele sind nicht verschwunden, sie haben sich nur einen Weg an Steam vorbei gesucht.<\/p>

Das Lehrst\u00fcck daf\u00fcr ist Off The Grid, der Battle-Royale-Shooter von Gunzilla Games. Die Steam-Version, die im Juli 2025 erschien, l\u00e4uft bewusst auf einem Testnetz, in dem die eigentlichen Token- und NFT-Funktionen deaktiviert sind; die echte \u00d6konomie rund um den GUN-Token und die GUNZ-Chain aus dem Avalanche-Umfeld findet auf Konsolen und \u00fcber eigene Kan\u00e4le statt, und die Migration der Spieler auf das Mainnet hatte mit den ersten rund 21.000 Nutzern bereits begonnen (NFT Plazas<\/a>). Auf Steam bekommt man also die H\u00fclle des Spiels, die Wertschicht sitzt woanders.<\/p>

Dieser Zuschnitt ist kein Zufall, sondern \u00d6konomie. Auf Konsolen und im eigenen Launcher beh\u00e4lt das Studio die Kontrolle \u00fcber die Token-Schicht und die Erl\u00f6se, w\u00e4hrend die Steam-Fassung vor allem Reichweite bringt. Ein verwandtes Muster zeigt der Extraction-Shooter The Bornless, der auf Steam ausdr\u00fccklich als Nicht-Blockchain-Spiel auftritt und seine Web3-Elemente in eine optionale Ebene au\u00dferhalb des Kern-Spiels auslagert. F\u00fcr Valve kl\u00e4rt das die Regelfrage, f\u00fcr den Spieler verschiebt es die riskante Wallet-Interaktion nur an einen anderen Ort, an dem Steams Schutzmechanismen nicht mehr greifen.<\/p>

Andere gehen den Weg \u00fcber eigene L\u00e4den und Ger\u00e4te. Immutable etwa hat sich zu einer eigenen Heimat f\u00fcr Web3-Spiele entwickelt, wie unser Blick auf Immutables Games-Portfolio<\/a> zeigt; die Verteilung l\u00e4uft \u00fcber den Epic Games Store und dedizierte Launcher statt \u00fcber Steam. Und mit dem SuiPlay0X1, einem Handheld f\u00fcr 599 US-Dollar (rund 520 Euro) mit integrierter Wallet, versucht das Sui-Umfeld, die Hardware gleich mitzuliefern (Decrypt<\/a>), ein Ansatz, den wir im Zusammenhang mit der Wertabsch\u00f6pfung im Sui-Gaming<\/a> ausf\u00fchrlicher eingeordnet haben.<\/p>

Interessant ist, dass der sicherste Umgang mit dem Problem ausgerechnet von einem Blockchain-Studio kommt. Illuvium strich f\u00fcr seinen Epic-Start die Wallet-Pflicht und machte das Spiel free to play; Mitgr\u00fcnder Kieran Warwick begr\u00fcndete das damit, dies sei „the only way to get mainstream adoption“, der einzige Weg zu breiter Akzeptanz (Cointelegraph<\/a>). Anders gesagt: Wer keine Wallet ans Spiel h\u00e4ngt, kann \u00fcber das Spiel auch nicht ausgeraubt werden.<\/p>

Der GTA-6-K\u00f6der: wie ein Fake-Leak Wallets leert<\/h2>

Wie dieser aufsichtsfreie Raum in der Praxis aussieht, f\u00fchrt der eingangs erw\u00e4hnte GTA-6-Betrug vom 1. September 2026 vor. Die T\u00e4ter setzten auf pure Ungeduld: Rund um einen der am sehnlichsten erwarteten Titel der Welt bauten sie eine Fake-Countdown-Seite, die ein geleaktes Vorabexemplar f\u00fcr 50 US-Dollar oder 1 SOL versprach.<\/p>

Wer die Wallet verband, geriet an ein zweistufiges Werkzeug: ein spezielles Solana-Skript und einen gr\u00f6\u00dferen, 2,4 Megabyte schweren Wallet-Connector, der sieben EVM-Chains abdeckte, darunter Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base und Fantom. Stefan Dasic von den Malwarebytes ThreatLabs beschreibt die zwei Diebstahlmethoden n\u00fcchtern: „A transfer takes assets immediately. An approval can give the attacker access to them later.“ Ein Transfer r\u00e4umt also sofort ab, eine Freigabe verschafft dem Angreifer sp\u00e4teren Zugriff (Malwarebytes<\/a>).<\/p>

Bemerkenswert ist der eingebaute Selbstschutz der Kriminellen: Eine Funktion namens CIS_Protection blockierte Besucher aus mehreren postsowjetischen Staaten, die dann nur eine Fehlermeldung zu sehen bekamen. Solche Geoblocks sind ein wiederkehrendes Indiz daf\u00fcr, aus welcher Region eine Kampagne gesteuert wird. F\u00fcr das Opfer z\u00e4hlt am Ende nur eines: Die Interaktion fand komplett au\u00dferhalb von Steam statt, und keine Store-Regel der Welt h\u00e4tte sie verhindert.<\/p>

Anatomie eines Wallet-Drainers, und was die Zahlen sagen<\/h2>

Um zu verstehen, warum diese Angriffe so wirksam sind, lohnt ein Blick auf den Mechanismus. Ein Wallet-Drainer stiehlt selten den privaten Schl\u00fcssel. Er bringt das Opfer dazu, eine Transaktion oder eine Signatur zu best\u00e4tigen, die dem Angreifer Zugriff gew\u00e4hrt. Der Unterschied zwischen den einzelnen Signaturtypen entscheidet \u00fcber das Ausma\u00df des Schadens.<\/p>

Besonders t\u00fcckisch im Gaming-Kontext ist setApprovalForAll: Eine einzige Best\u00e4tigung gibt eine komplette NFT-Kollektion frei, also potenziell alle Spielgegenst\u00e4nde oder Skins einer Sammlung auf einmal. Moderne Drainer wie die 2025 wiederauferstandene Inferno-Familie nutzen zudem kurzlebige Einweg-Vertr\u00e4ge und on-chain verschl\u00fcsselte Konfigurationen, um Blockierlisten zu entgehen (Check Point Research<\/a>). Als Gegenmittel etabliert sich langsam das sogenannte Clear Signing nach dem Standard ERC-7730, das im Fr\u00fchjahr 2026 unter der \u00c4gide der Ethereum Foundation vorangetrieben wurde und Nutzern in der Wallet verst\u00e4ndlich anzeigen soll, was sie da eigentlich unterschreiben (Ethereum Foundation<\/a>).<\/p>

Aktion oder Signatur<\/th>Was sie bewirkt<\/th>Risiko im Gaming-Kontext<\/th><\/tr><\/thead>
transfer<\/td>verschiebt ein Guthaben sofort<\/td>sofortiger, einmaliger Verlust<\/td><\/tr>
approve<\/td>gibt einen Token f\u00fcr einen Vertrag frei<\/td>sp\u00e4terer Abzug bis zum Limit<\/td><\/tr>
Permit \/ Permit2<\/td>Freigabe per Signatur, ohne eigene Transaktion<\/td>wirkt harmlos, kostet keine Gas-Geb\u00fchr<\/td><\/tr>
setApprovalForAll<\/td>gibt eine ganze NFT-Kollektion frei<\/td>alle Skins oder Items einer Sammlung auf einmal<\/td><\/tr>
EIP-7702-Delegation<\/td>\u00fcbergibt Konto-Logik an fremden Code<\/td>weitreichende Kontrolle \u00fcber das Konto<\/td><\/tr><\/tbody><\/table><\/figure>

Die gute Nachricht steckt in den Zahlen: 2025 sanken die weltweiten Phishing- und Drainer-Verluste laut dem Analysedienst Scam Sniffer auf rund 83,85 Millionen US-Dollar (etwa 78 Millionen Euro) bei 106.106 betroffenen Wallets, ein R\u00fcckgang von 83 Prozent gegen\u00fcber den 494 Millionen US-Dollar des Jahres 2024. Der gr\u00f6\u00dfte Einzelschaden lag bei 6,5 Millionen US-Dollar \u00fcber eine einzige Permit-Signatur (Scam Sniffer<\/a>). Die schlechte Nachricht: Der R\u00fcckgang folgt eher dem Marktzyklus als einem Sieg \u00fcber die Angreifer, das dritte Quartal mit rund 31 Millionen US-Dollar Verlust fiel mit der ETH-Rallye zusammen. Weniger Beute hei\u00dft nicht, dass die Bedrohung weg ist. Wer das Risiko solcher Signaturen untersch\u00e4tzt, verkennt, wie steil die Risikokurve<\/a> in diesem Umfeld verl\u00e4uft.<\/p>

Gef\u00e4lschte Sponsorings und Fake-Studios als Einfallstor<\/h2>

Technik allein erkl\u00e4rt die Erfolgsquote nicht. Viele der wirksamsten Angriffe beginnen mit Social Engineering, das gezielt die Gaming- und Web3-Szene ausnutzt. 2025 dokumentierten Forscher eine ganze Welle gef\u00e4lschter Spiele- und Web3-Firmen, die \u00fcber X, Telegram und Discord vermeintliche „Tester“ anwarben, mit Bezahlung in Kryptow\u00e4hrung als K\u00f6der. Wer zusagte, installierte in Wahrheit einen Stealer, unter Windows als Electron- oder MSI-Paket, unter macOS als Atomic macOS Stealer.<\/p>

Tara Gould von Darktrace ordnete diese Kampagne einem professionell organisierten Umfeld zu, das sich mit der Gruppe rund um „Crazy Evil“ \u00fcberschneidet (The Hacker News<\/a>). Dasselbe Prinzip erkl\u00e4rt, warum BlockBlasters teils \u00fcber erfundene Sponsoring-Deals an Streamer herangetragen wurde: Ein vermeintlich lukratives Kooperationsangebot ist die perfekte Tarnung, um jemanden zum Ausf\u00fchren einer Datei oder zum Verbinden einer Wallet zu bewegen. F\u00fcr Spieler, die aus der Play-to-Earn-Zeit<\/a> daran gew\u00f6hnt sind, ihre Wallet mit Spielen und Angeboten zu verkn\u00fcpfen, ist diese Masche besonders gef\u00e4hrlich.<\/p>

Was das f\u00fcr \u00d6sterreich bedeutet: FMA, MiCA und die Regulierungsl\u00fccke<\/h2>

An dieser Stelle kommt die naheliegende Frage: Sollte hier nicht eine Aufsichtsbeh\u00f6rde eingreifen? Die ern\u00fcchternde Antwort lautet, dass die zust\u00e4ndigen Stellen f\u00fcr den Kern des Problems gar nicht zust\u00e4ndig sind.<\/p>

MiCA und die FMA regulieren Krypto-Dienstleister (B\u00f6rsen, Verwahrer) und die Emission von Krypto-Assets. Ein privater Software-Store wie Steam ist kein Krypto-Dienstleister im Sinne der Verordnung, und Valve gibt selbst keine Token aus. Damit ist der Krypto-Bann rechtlich freiwillig, niemand schreibt ihn vor, und niemand \u00fcberwacht seine L\u00fccken. Ein \u00fcber ein Spiel verbreiteter Infostealer wiederum ist kein finanzaufsichtsrechtlicher Vorgang, sondern schlicht Computerkriminalit\u00e4t, f\u00fcr die Strafverfolgung und Cybersicherheitsstellen zust\u00e4ndig sind.<\/p>

Das hei\u00dft nicht, dass die FMA gar keine Rolle spielt. Sie warnt intensiv vor der anderen Spielart des Problems, dem klassischen Krypto-Investmentbetrug mit gef\u00e4lschten B\u00f6rsen und utopischen Renditeversprechen; allein in den ersten gut sechs Monaten des Jahres 2026 ver\u00f6ffentlichte sie mehrere Dutzend einschl\u00e4gige Warnungen (FMA<\/a>). Das ist wichtig, trifft aber einen anderen Vektor als den Game-Drainer. Die folgende Tabelle sortiert, wer in \u00d6sterreich wof\u00fcr infrage kommt.<\/p>

Vorfall<\/th>Rechtliche Natur<\/th>Zust\u00e4ndig in \u00d6sterreich<\/th><\/tr><\/thead>
Infostealer in einem Steam-Spiel<\/td>Computerkriminalit\u00e4t<\/td>Cybercrime-Meldestelle, CERT.at, Watchlist Internet<\/td><\/tr>
Wallet-Drainer \u00fcber Fake-Website<\/td>Betrug und Computerkriminalit\u00e4t<\/td>Polizei, Watchlist Internet<\/td><\/tr>
Gef\u00e4lschte Krypto-B\u00f6rse, Investmentbetrug<\/td>Anlagebetrug<\/td>FMA-Warnliste, Strafverfolgung<\/td><\/tr>
Token-Emission, Krypto-Dienstleister<\/td>MiCA-Regulierung<\/td>FMA<\/td><\/tr><\/tbody><\/table><\/figure>

Wenn es passiert ist: melden in \u00d6sterreich<\/h2>

F\u00fcr den Ernstfall gilt zuerst eine harte Wahrheit: On-Chain-Transaktionen sind praktisch nicht r\u00fcckholbar. Ist ein Guthaben einmal auf die Ziel-Wallet der T\u00e4ter geflossen, gibt es keine zentrale Stelle, die die Zahlung storniert, worauf auch die \u00f6sterreichische Watchlist Internet ausdr\u00fccklich hinweist (Watchlist Internet<\/a>). Umso wichtiger sind die ersten Minuten.<\/p>

Sinnvoll ist, verbleibende Guthaben sofort in eine neue, saubere Wallet zu verschieben und alle zuvor erteilten Freigaben zu widerrufen, bevor ein Drainer sie ausnutzt. Danach folgt das Melden. Die Watchlist Internet, betrieben vom \u00d6sterreichischen Institut f\u00fcr angewandte Telekommunikation, sammelt und dokumentiert solche Betrugsf\u00e4lle; die Cybercrime-Meldestelle des Bundeskriminalamts nimmt Anzeigen zu Computerkriminalit\u00e4t entgegen; und CERT.at fungiert als nationale Anlaufstelle f\u00fcr IT-Sicherheitsvorf\u00e4lle, eingerichtet vom Bundeskanzleramt gemeinsam mit nic.at (CERT.at<\/a>). Wer \u00fcber eines der acht namentlich genannten Steam-Spiele gesch\u00e4digt wurde, kann sich zus\u00e4tzlich an das FBI wenden, das in diesen F\u00e4llen ausdr\u00fccklich Opfer sucht.<\/p>

Realistisch bleibt: Eine Anzeige erh\u00f6ht die Chance auf Ermittlung und, im g\u00fcnstigsten Fall, auf Restitution, garantiert aber keine R\u00fcckzahlung. Pr\u00e4vention ist deshalb ungleich wirksamer als jede nachtr\u00e4gliche Meldung.<\/p>

Wie sich Spieler sch\u00fctzen<\/h2>

Die gute Nachricht ist, dass ein paar konsequente Gewohnheiten fast alle beschriebenen Angriffe ins Leere laufen lassen. Sie kosten etwas Bequemlichkeit, aber deutlich weniger als ein geleertes Konto.<\/p>

  • Trennen Sie Ihr Verm\u00f6gen: eine separate Wallet mit minimalem Guthaben f\u00fcr Spiele und Tests, die wertvollen Best\u00e4nde auf einer Hardware-Wallet, die nie mit einem Spiel verbunden wird.<\/li>
  • Verbinden Sie niemals Ihre Haupt-Wallet mit einem Spiel, einer Demo oder einer „Leak“-Seite; kein legitimes Spiel braucht Zugriff auf Ihr gesamtes Krypto-Verm\u00f6gen.<\/li>
  • Pr\u00fcfen und widerrufen Sie regelm\u00e4\u00dfig erteilte Freigaben, besonders setApprovalForAll auf NFT-Kollektionen; achten Sie in der Wallet auf verst\u00e4ndliche Klartext-Anzeigen (Clear Signing).<\/li>
  • Seien Sie misstrauisch bei kostenlosen Spielen, die zur Eile dr\u00e4ngen, bei Demos, die den Download au\u00dferhalb von Steam fortsetzen, und bei unaufgeforderten Sponsoring- oder Testangeboten mit Krypto-Bezahlung.<\/li>
  • Halten Sie das System sauber: Sicherheitsupdates, ein aktueller Virenscanner und im Verdachtsfall die Bereitschaft, Passw\u00f6rter zu \u00e4ndern und das System neu aufzusetzen, wie es Valve nach dem PirateFi-Vorfall empfahl.<\/li><\/ul>

    Fazit: Der Bann verschob das Problem, er l\u00f6ste es nicht<\/h2>

    Valves Krypto-Bann von 2021 hat eine Risikokategorie tats\u00e4chlich verkleinert: Auf Steam wird niemand mit dubiosen Token-\u00d6konomien \u00fcberschwemmt. Doch f\u00fcnf Jahre sp\u00e4ter ist klar, dass die Regel das Grundproblem nur verschoben und teilweise unsichtbar gemacht hat. Malware findet \u00fcber den Update-Kanal weiter ihren Weg in den Store, und die eigentliche Krypto\u00f6konomie lebt daneben, in einem Raum, den keine Store-Regel und keine Finanzaufsicht abdeckt.<\/p>

    F\u00fcr Spielerinnen und Spieler in \u00d6sterreich ist die Konsequenz unbequem, aber klar: Den Schutz muss man selbst organisieren. Weder die FMA noch MiCA sind f\u00fcr Steam oder f\u00fcr einen als Spiel getarnten Drainer zust\u00e4ndig, und eine R\u00fcckholung gestohlener Coins ist die Ausnahme, nicht die Regel. Der beste Schild bleibt banal und wirkungsvoll zugleich, n\u00e4mlich die Wallet mit dem echten Verm\u00f6gen niemals in die N\u00e4he eines Spiels oder eines vermeintlichen Schn\u00e4ppchens zu bringen.<\/p>

    H\u00e4ufig gestellte Fragen<\/h2>

    Warum hat Steam Kryptow\u00e4hrungen und NFTs verboten?<\/h3>

    Valve erg\u00e4nzte im Oktober 2021 die Steam-Richtlinien um ein Verbot von Anwendungen, die auf Blockchain-Technologie basieren und Kryptow\u00e4hrungen oder NFTs ausgeben oder deren Tausch erm\u00f6glichen. Als Begr\u00fcndung nannte Mitgr\u00fcnder Gabe Newell schlechte Erfahrungen aus der Zeit, in der Steam Bitcoin akzeptierte, sowie den hohen Betrugsanteil dieser Zahlungen. Der Bann ist eine private Hausregel, kein Gesetz.<\/p>

    Sch\u00fctzt der Steam-Bann Spieler vor Krypto-Diebstahl?<\/h3>

    Nur teilweise. Der Bann h\u00e4lt offizielle Token- und NFT-\u00d6konomien aus dem Steam-Store fern, aber er verhindert weder Schadsoftware, die als normales Spiel getarnt auf Steam gelangt, noch Wallet-Drainer, die neben der Plattform \u00fcber gef\u00e4lschte Websites und Angebote agieren. Das Risiko ist eher verlagert als beseitigt.<\/p>

    Wie kommt Krypto-Malware trotz des Verbots auf Steam?<\/h3>

    Steam pr\u00fcft ein Spiel vor allem bei der Ver\u00f6ffentlichung, nicht bei jedem sp\u00e4teren Update. Angreifer bringen deshalb ein sauberes Spiel durch die Pr\u00fcfung und schleusen den Schadcode erst \u00fcber einen sp\u00e4teren Patch nach, oder sie \u00fcbernehmen das Entwicklerkonto und ersetzen eine harmlose Datei durch eine pr\u00e4parierte. F\u00e4lle wie BlockBlasters und Beyond The Dark folgten genau diesem Muster.<\/p>

    Reguliert die FMA oder MiCA Steams Krypto-Politik?<\/h3>

    Nein. MiCA und die FMA beaufsichtigen Krypto-Dienstleister und Emittenten, nicht private Software-Stores. Steam ist kein Krypto-Dienstleister im Sinne von MiCA, deshalb ist Valves Regel weder vorgeschrieben noch von einer Beh\u00f6rde kontrolliert. Ein \u00fcber ein Spiel verbreiteter Infostealer ist ein Fall f\u00fcr Strafverfolgung und Cybersicherheitsstellen, nicht f\u00fcr die Marktaufsicht.<\/p>

    Was k\u00f6nnen Spieler in \u00d6sterreich tun, wenn ihre Wallet geleert wurde?<\/h3>

    On-Chain-Transaktionen sind praktisch nicht r\u00fcckholbar, deshalb z\u00e4hlt schnelles Handeln: verbleibende Guthaben in eine neue Wallet verschieben und erteilte Freigaben widerrufen. Der Vorfall l\u00e4sst sich bei der Watchlist Internet und der Cybercrime-Meldestelle des Bundeskriminalamts melden; CERT.at ist die nationale Anlaufstelle f\u00fcr IT-Sicherheitsvorf\u00e4lle. Eine R\u00fcckerstattung ist aber selten realistisch.<\/p>