Die Funktionsweise von Steam-Web-API-Hijacking
Die Steam-Community-Wirtschaft verzeichnet täglich Millionenumsätze mit virtuellen Skins und Sammelgegenständen für Titel wie Counter-Strike 2, Dota 2 und Team Fortress 2. Zur Abwehr unbefugter Zugriffe führte Valve den mobilen Steam-Guard-Authenticator (Zwei-Faktor-Authentifizierung) ein. Als Gegenreaktion haben kriminelle Netzwerke gelernt, ein offizielles Entwickler-Werkzeug für ihre Zwecke zu missbrauchen: die Steam Web API.
Im Gegensatz zu klassischen Kontodiebstählen, bei denen Zugangsdaten und Mailadressen abrupt geändert werden, agieren API-Scams völlig lautlos. Betroffene können ihr Konto weiterhin uneingeschränkt nutzen und spielen. Sie bemerken nicht, dass im Hintergrund ein automatisiertes Skript aktiv ist, das berechtigt ist, ausgehende Handelsangebote sekundenschnell zu überwachen, abzubrechen und durch gefälschte Angebote zu ersetzen.
Vergleichsmatrix gängiger Steam-Handelsbetrugsmethoden
Um Angriffe treffsicher abzugrenzen, empfiehlt sich ein strukturierter Blick auf die verschiedenen Angriffsvektoren:
| Betrugsvektor | Primärer Infiltrationspfad | Umgehung von Steam Guard | Methode des Item-Abfangs | Erkennbarkeit für das Opfer | Sofortige Gegenmaßnahmen |
|---|---|---|---|---|---|
| Steam-Web-API-Hijack | Phishing-Login auf gefälschten Turnier- oder Wettseiten | Abfangen der Session-Cookies und unbemerktes Erzeugen eines API-Keys | Skript bricht echten Handel im Millisekundentakt ab und sendet Klon-Angebot | Nahezu unsichtbar (gleicher Name und Avatar in der App) | API-Key widerrufen, alle Geräte abmelden, Passwort ändern, Trade-URL neu generieren |
| Klassisches Phishing | Links für angebliche Gratis-Skins oder Gewinnspiele | Fordert den Einmalcode des Authenticators direkt auf der Fake-Seite an | Direkter Login und Schleuderverkauf im Community-Markt | Hoch (sofortige Sicherheitswarnungen per E-Mail) | Support-Ticket mit Zahlungsnachweisen zur Wiederherstellung einreichen |
| Bösartige Browser-Erweiterung | Plugins, die automatische Preisbewertungen versprechen | Injiziert bösartigen JavaScript-Code in den Browser | Manipuliert die Empfänger-ID bei Web-Trades | Auf Browser beschränkt (nativer Steam-Client unberührt) | Erweiterung restlos entfernen und Browser-Cache bereinigen |
| Discord-QR-Code-Scam | QR-Codes, die angeblich Nitro oder Betazugänge freischalten | Opfer scannt Code mit Steam-App und autorisiert Remote-Login | Angreifer erzeugt vollständige Web-Sitzung | Mittel (Push-Nachricht über neue Geräteanmeldung) | In Steam Guard „Alle anderen Geräte deautorisieren“ ausführen |
Der Millisekunden-Abfangprozess: Wie Klon-Bots agieren
Die tückische Gefahr des API-Schlüssel-Diebstahls beruht auf der blitzschnellen Automatisierung durch Betrugs-Bots:
- Phishing-Einstieg: Der Nutzer meldet sich auf einer betrügerischen Drittanbieter-Seite über „Mit Steam anmelden“ an. Die gefälschte Maske leitet die Anmeldedaten an den Server der Angreifer weiter, der unbemerkt einen Steam-Web-API-Schlüssel auf dem Konto des Opfers anlegt.
- Hochfrequentes Polling: Der Server der Angreifer fragt den Endpunkt
IEconService/GetTradeOffers/v1alle 500 Millisekunden ab, um ausgehende Handelsangebote zu überwachen. - Erkennung regulärer Handelsangebote: Sendet das Opfer ein wertvolles Item an einen Freund oder einen verifizierten Handels-Bot, schaltet der Status auf
TradeOfferStateActive. - Abbruch und Klon-Erstellung in Echtzeit:
- Innerhalb von 200 Millisekunden sendet das Skript den Befehl
CancelTradeOfferan die API und bricht den regulären Handel ab. - Gleichzeitig liest das Skript Avatar, Anzeigenamen und Profiltext des beabsichtigten Empfängers aus.
- Ein vorbereiteter Klon-Bot übernimmt sekundenschnell diese Profildaten und sendet dem Opfer ein identisch aussehendes Gegenangebot.
- Innerhalb von 200 Millisekunden sendet das Skript den Befehl
- Täuschung in der mobilen Bestätigung: Öffnet das Opfer die Steam-App zur Bestätigung, stimmen Avatar und Name exakt mit dem beabsichtigten Empfänger überein. Bestätigt das Opfer den Handel unachtsam, sind die Items unwiederbringlich verloren.
4-Schritte-Notfallleitfaden zur Kontosicherung
Bemerken Sie unerklärliche Handelsabbrüche oder vermuten Sie einen kompromittierten API-Key, führen Sie unverzüglich diese Schritte durch:
-
API-Schlüssel prüfen und widerrufen: Öffnen Sie in einem sicheren Browser folgende offizielle Seite:
https://steamcommunity.com/dev/apikey- Für normale Nutzer ohne Entwicklerabsichten sollte hier lediglich ein leeres Formular zur Eingabe eines Domainnamens sichtbar sein.
- Ist dort bereits eine Domain hinterlegt (z. B.
localhostoder eine unbekannte URL), ist Ihr Konto aktiv kompromittiert. - Klicken Sie sofort auf Meinen Steam-Web-API-Schlüssel widerrufen.
-
Alle anderen Geräte deautorisieren: Navigieren Sie im Steam-Client zu Steam -> Einstellungen -> Sicherheit -> Alle anderen Geräte deautorisieren, um alle aktiven Fremdsitzungen augenblicklich zu beenden.
-
Master-Passwort ändern: Durch die Passwortänderung werden alle bestehenden Authentifizierungssitzungen auf den Valve-Servern ungültig.
-
Trade-URL neu generieren: Rufen Sie die Privatsphäre-Einstellungen Ihrer Handelsangebote auf:
https://steamcommunity.com/id/me/tradeoffers/privacyKlicken Sie unter „Websites von Drittanbietern“ auf Neue URL erstellen. Die alte URL wird dadurch unbrauchbar.
Die eiserne Kontrollregel in der Steam-Guard-App
Verlassen Sie sich bei Bestätigungen in der mobilen App niemals ausschließlich auf Name und Avatarbild.
Tippen Sie auf die Details des Handelspartners und prüfen Sie das Registrierungsdatum (Member Since) sowie die Steam-Stufe (Steam Level). Handeln Sie mit einem langjährigen Freund mit Account-Stufe 50, und in der App erscheint stattdessen „Stufe 0, registriert vor 1 Tag“, handelt es sich zweifelsfrei um einen Klon-Bot. Brechen Sie die Transaktion sofort ab. Valve erstattet Gegenstände, die durch bestätigte Handelsabschlüsse verloren gingen, grundsätzlich nicht zurück.
365Finds Steam-Konto- und API-Sicherheitsauditor
Nutzen Sie vor hochpreisigen Item-Transaktionen den 365Finds Steam-Konto- und API-Sicherheitsauditor. Das Tool erkennt unautorisierte API-Schlüssel, überprüft die Integrität Ihrer Handelslinks und liefert eine praxisnahe Schnellprüfung zum Schutz vor Klon-Bots.