Steam-Account gehackt, 200€ weg

[DJMadMax]

Eieiei!

Erstmal natürlich sorry, aber da hast du auch sprichwörtlich Tür und Tor offengelassen, was man so liest. Klar, die Frage des unbefugten Zugriffs auf deinen Steamaccount bleibt, aber bei dem, was du schreibst, folgt ja eine Red Flag der anderen:

Es wurden zweimal jeweils 100 € über meine bei Steam hinterlegte PayPal Zahlungsvereinbarung eingezogen.

Finde hier schonmal den ersten Fehler. Wieso hinterlegst du deine Zahlungsmethoden bei Steam - oder bei IRGEND EINEM Onlineshop/Dienstleister/etc.?

Das Hinterlegen der Zahlungsinformationen hat ja genau das als Zweck: nämlich, dass du dich NICHT mehr erneut in deinen Zahlungsdienstleister (in dem Fall PayPal) einloggen musst.

Anschließend habe ich den Vorfall direkt bei PayPal gemeldet. PayPal hat daraufhin die Zahlungsvereinbarung mit Steam entfernt, sodass keine weiteren Abbuchungen möglich waren.

Nächster Fehler: wieso entfernst du nach solch einem Vorfall die hinterlegten PayPal-Daten nicht sofort SELBST aus Steam?

Zu meiner Verwunderung hat PayPal meinen Fall inzwischen jedoch abgelehnt. Begründung: Es habe sich nicht um einen unbefugten Zugriff auf mein PayPal-Konto gehandelt. Was auch irgendwie stimmt da der Zugriff auf Steam gewesen ist.

Dein letzter Satz sollte deine Verwunderung aufheben, der trifft nämlich zu.

Ich nutze auch keine Steam App oder sonst irgendwas.

Ein weiterer Fehler. Wieso? Die Steam-App sorgt für eine ordentliche 2FA bei Steam.

Wer haftet in einem solchen Fall Ich, Steam oder PayPal?

Haften kann nur jemand, dem eine Schuld zugesprochen werden kann. Da du aktuell derjenige bist, der etwas geltend machen möchte, musst du auch nachweisen, dass eine beteiligte Partei (Steam oder PayPal) fahrlässig gehandelt hat.

Wenn dir das nicht möglich ist, wovon auszugehen ist, bleibst du auf dem Schaden sitzen. Die Frage wäre z.B., wie deine Steam-Zugangsdaten - und das OHNE 2FA (erste grobe Fahrlässigkeit deinerseits) - an Dritte geraten konnte.

Ich würde mir viel lieber mal Gedanken um die generelle Sicherheit des PCs machen, ob evtl. irgend eine fiese Sniffersoftware mitläuft, Keylogger, etcpp. Anders - zumindest, sofern du deine Steam-Logindaten nicht auf irgend welchen Fishingseiten eingegeben hast - ist es ja auch gar nicht möglich, an dein Passwort heranzukommen.

Bzw. doch: die einzige Alternative wäre, dass ein dir nahestehender Mensch dein Passwort kennt oder es erraten hat aufgrund einer zu geringen Komplexität.

Lohnt sich ein Widerspruch bei PayPal oder sollte ich mich ausschließlich an den Steam Support wenden?

Lass PayPal aus dem Spiel, entferne ab sofort JEDE hinterlegte Zahlungsmöglichkeit aus JEDEM Onlineservice, den du nutzt und versuche dein Glück via Steam. Ich kann mir den Ausgang jedoch denken.

Für jede Erfahrung oder jeden Rat wäre ich sehr dankbar, da mich der finanzielle Schaden von 200 € im Moment wirklich hart trifft.

Lass dir das einfach eine Lehre sein und mach dir ernsthafte Gedanken über diverse Sicherheitskonzepte. 2FA via Handy-App ist kein Teufelszeug.

PS: Du kannst auch deine Bank anweisen, die Abbuchung rückgängig zu machen. Das allerdings könnte dir ernsthafte Probleme mit Valve einbringen, wenn diese die Abbuchung als gültig ansehen.

 

[Novafang]

und das OHNE 2FA (erste grobe Fahrlässigkeit deinerseits)

Bei Steam stellt die Email doch bereits den zweiten Faktor da, also ist 2FA bei Steam damit bei jedem aktiviert?
Solange die Email nicht komprimiert ist, ist Email 2FA doch ähnlich sicher wie Steam Guard? Oder was genau ist bei der separaten Steam Guard App der Vorteil?

Ich persönlich verwende auch 2FA, wo es möglich ist, aber nur für Steam eine zusätzliche App zu haben war es mir nicht Wert. Natürlich habe ich in Steam auch kein Zahlungsmittel hinterlegt und so wertvoll ist mein Account auch nicht.
Wenn mein Email Account kompromittiert wurde, habe ich größere Sorgen als Steam.

 

[Serana]

@Floppy5885
Hast du bei deinem Steam-Account eigentlich Steam Guard aktiviert? Das sollte nämlich dann eine Meldung geben wenn ein Login von einem bisher unbekannten Gerät kommt. Außerdem muß man dann an dem neuen Gerät einen Code eingeben. Das ist quasi eine 2FA für den Steam-Account.

Steam Guard läuft über eine App auf dem Smartphone oder einem anderen Gerät mit Android.

 

[Flynn74]

Würde auch empfehlen auf Steam App + Steam Guard für 2FA zu wechseln. Als ich meinen Mailserver noch selbst gewartet hatte wurde mein Mail Account auch mal komprommitiert. Hab nie rausgefunden wie. War mir aber ne Lehre ... bin jetzt bei Mailbox.
2FA via Mail ist IMMER ein Risiko. Aber natürlich besser als nix.

 

[klahlord]

Steam-API-Schlüssel prüfen (falls vorhanden) und entfernen sowie in den Steam-Einstellungen alle angemeldeten Geräte abmelden. Ändere vorsorglich auch die E-Mail-Adresse oder zumindest das Passwort des E-Mail-Kontos, falls noch nicht geschehen.
Prüfe deinen PC mit einem aktuellen Virenscanner oder Microsoft Defender Offline Scan, um auszuschließen, dass Schadsoftware Zugangsdaten abgegriffen hat.

 

[00Julius]

gibt Guthabenkarten.

Die sind abgekündigt. Es werden nur noch Restbestände verkauft.
Deinen Vorschlag keine Zahlungsmethode zu hinterlegen unterstütze ich dagegen.

 

[McFritte]

Deinen Vorschlag keine Zahlungsmethode zu hinterlegen unterstütze ich dagegen.

Oder halt eine "sichere" Zahlungsmethode. Ich habe für Onlinekäufe eine extra Kreditkarte auf Guthaben Basis. Da ist normalerweise kein Geld drauf, da können die solange versuchen zu kaufen, wie sie wollen. Die Zahlung wird jedes Mal abgelehnt (größere Beträge müssen zudem eh noch in Banking-App autorisiert werden).
Wenn ich etwas kaufen möchte, muss ich halt erst von meinem regulären Bankkonto Geld auf die Karte überweisen. Nachteil, das dauert halt immer 12-24h bis der Betrag verfügbar ist. Kann natürlich auch von Vorteil sein, um irgendwelche sinnlosen Spontankäufe zu vermeiden...da kenne ich mich aus

 

[xxMuahdibxx]

Paysafecard gibt's auch noch.

 

[Oli_P]

Ich bezahl Games in Steam auch immer über PayPal. Eigentlich brauch ich PayPal für nix anderes mehr... Aber 2FA bei Steam (via SteamApp) wie auch PayPal (via Passkey z.B.) ist Pflicht und Zahlungsdaten werden niemals in Steam hinterlegt. Man muss da aber aufpassen, dass die nicht unbewusst gespeichert werden.
Hoffe, dass sowas, wie der TE berichtet, mir niemals passiert (knock on wood)

Wenn man die Steam-App nutzt, dann nicht vergessen, dass man auch die Codes bekommt von Steam (Steam Guard Codes). Die braucht man, wenn man aus irgendwelchen Gründen mal sein Handy und somit seine SteamApp nicht zur Verfügung hat. Diese Codes gut hinterlegen irgendwo, am besten mehrmals

 

[00Julius]

Ich habe für Onlinekäufe eine extra Kreditkarte auf Guthaben Basis

Die habe ich auch.
Und bei meiner Bank ist das Guthaben schon nach einigen Minuten verfügbar.

Paysafecard

Da finde ich inzwischen die Zusatzgebühren zu hoch.

 

[McFritte]

Die habe ich auch.
Und bei meiner Bank ist das Guthaben schon nach einigen Minuten verfügbar.

Sorry, hab vergessen zu erwähnen, dass es bei mir zwei verschiedene Banken sind. Sollte zwar dank Sofortüberweisung (Gutschrift wird nach wenigen Sekunden angezeigt) eigentlich schneller gehen, aber irgendwo hakt es da wohl noch, bis der Betrag auch verfügbar ist 🤷‍♂️

 

[iWebi]

Falscher Ansatz, Steam muss die käufe rückgängig machen. Paypal ist hier nicht der richtige AP.

Auch hier muss man zur Polizei.

 

[kachiri]

Ich bezahl Games in Steam auch immer über PayPal. Eigentlich brauch ich PayPal für nix anderes mehr... Aber 2FA bei Steam (via SteamApp) wie auch PayPal (via Passkey z.B.) ist Pflicht und Zahlungsdaten werden niemals in Steam hinterlegt. Man muss da aber aufpassen, dass die nicht unbewusst gespeichert werden.

Die Daten werden eigentlich NIE unbewusst gespeichert, weil das "Zahlungsdaten speichern" beim Bezahlen über PayPal ein Opt-In ist. Das muss man aktiv anklicken und bestätigen...

 

[Amiga500]

jaaaaahhh genau ... Google warnt soweit ich weiß davor nicht ... waren Links zu den betroffenen Diensten in der Email? dann bist du wohl bist du schön in eine Phishing Mail getappt.

google warnt sobald du dich auf ein neues gerät anmeldest... also wenn ich den TE richtig verstanden habe könnte die Warnung von Google schon richtig sein

 

[RedPanda05]

Dein ganzes System kompromittiert ist und z.B. Session-Cookies gestohlen werden.

+1

Klingt für mich auch erstmal nach Session Token.

@Floppy5885 Eine Anzeige ist ein Muss in dieser Situation. Sie wird zwar ergebnislos eingestellt, aber bringt dich in eine bessere Situation für die Schadensregulierung.

Sonst, lies dich mal hier durch. Dürfte im großen und ganzen der selbe Fall sein.
2 FA umgangen (vermutlich über den Token) und den hinterlegten Paypal ausgenutzt.
https://www.computerbase.de/forum/t...und-ich-weiss-nicht-wie-reddit-steam.2258025/


Soweit ich mich erinnere, konnte @coxon sein Geld von Steam wiedererlangen

 

[Tuetensuppe]

Bzw. doch: die einzige Alternative wäre, dass ein dir nahestehender Mensch dein Passwort kennt oder es erraten hat aufgrund einer zu geringen Komplexität.

Das wäre mein allererster Verdacht.
Vor allem, weil auch eine Rückerstattung eines Artikels beantragt wurde.

Es sei denn, es wurde eines der berühmt-berüchtigten Passwörter verwendet oder der Name des Lieblingsspiels.

 

[Sur5ive]

Was ich jetzt nicht herauslese. Wurde tatsächlich Geld abgebucht oder kamen nur die Emails? Dein in Steam eingestelltes Land wird vermutlich Deutschland sein, warum sollen da Emails in Chinesisch verschickt werden. Selbst wenn der Login in China stattfindet, sollten die Mails in deiner eingestellten Sprache kommen.

 

[Helge01]

Denke auch das der Authentifizierungstoken geklaut wurde. Da der fremde Zugriff selbst nach einer Passwortänderung geschehen ist (geänderter Authentifizierungstoken), denke ich das sein PC kompromittiert ist. Nur damit hebelt man die 2FA aus.

 

[Floppy5885]

Zur weiteren Klarstellung:

1. Ich kamen natürlich erst die Steam E-Mails, meine PayPal App meldete dann vielen Dank für den Einkauf. Also ja in meinem Wallet in der PayPal App werden die Transaktionen angezeigt.

2. Ich habe nie aktiv bei Steam irgendetwas angeklickt damit PayPal ohne 2FA funktioniert. Das Problem hatte ich bei MS auf der XBOX gehabt wodurch ich mein PayPal von dem Account genommen habe und auf Guthabenkarten umgestiegen bin.
Da ich dort ein Spiel kaufen könnte ohne PayPal 2FA.
Bei Steam musste ich aber bisher immer bei PayPal anmelden also wurde per PayPal auf eine externe Seite weitergeleitet....

3. Wenn ich zb. mich bei Google anmelde auch im Browser (ich nutze nur Chrome oder Brave), Gmail, Drive, Fotos, bekomme ich immer eine Abfrage an eines meiner anderen Geräte (Tab S11U oder Diensthandy)
Ich muss dass dann bestätigen mit Ja das bin Ich und dann aus drei Zahlen wählen.

Bei PayPal kann ich immer aussuchen ob App, SMS oder Anruf möchte.

Naja ist mir auch egal. Ich finde einfach nicht dass ich fahrlässig gehandelt habe wenn es jemand schafft 2FA auszuhebeln.

Ich glaube nicht dass die Typen die mir meine Kohle geklaut haben Anfänger waren. Und ich bin auch niemand der auf irgendwelche Mail Klickt....

 

[redjack1000]

Ich finde einfach nicht dass ich fahrlässig gehandelt habe wenn es jemand schafft 2FA auszuhebeln.

Genau das musst Du Steam erklären und wenn die das dann einsehen, kannst Du darauf hoffen, dass Dir die 200 Euro erstattet werden.

CU
redjack