Steam Trade URL teilen: Ist das wirklich sicher?

Als mich eine externe Handelsseite zum ersten Mal nach meiner Steam-Handels-URL fragte, habe ich erst einmal aufgehört zu klicken.

Kann jemand mit diesem einen Link mein gesamtes Inventar leerräumen? Übertrage ich der Seite damit Rechte an meinem Konto? Hinter der Adresse standen außerdem Zahlen und ein Token, mit denen ich nichts anfangen konnte. Sie sah ganz anders aus als die Profiladresse, die ich kannte. Ohne Erklärung wollte ich so etwas jedenfalls nicht einfach kopieren und einfügen.

Die Erklärung auf solchen Seiten ist meistens knapp: Die Adresse werde gebraucht, um ein Handelsangebot zu senden. Nur wie viel ist die Aussage wert, eine bislang unbekannte Seite sei sicher, wenn sie von genau dieser Seite stammt? Ich kam dorthin, weil ich prüfen wollte, ob ich ihr vertrauen kann — und sollte zunächst wieder ihr eigenes Versprechen glauben.

Viel selbst prüfen konnte ich damals nicht.

Entweder ich schickte erst einen unwichtigen Gegenstand beziehungsweise einen kleinen Wert oder ich vertraute der Seite einfach. Mehr Auswahl schien es kaum zu geben. War der erste Handel erledigt, dachte ich: „Zumindest funktioniert es hier.“ Mir war klar, dass ein kleiner Test nicht den ganzen Dienst beweist. Für einen normalen Nutzer war er trotzdem fast das Einzige, was sich praktisch ausprobieren ließ.

Irgendwann kam mir sogar folgender Gedanke:

Wenn jemand wirklich mein gesamtes Inventar stehlen will, wäre es dann nicht leichter, gleich mein Steam-Konto zu hacken, statt sich an dieser URL abzuarbeiten? Nur wusste ich zu diesem Zeitpunkt nicht einmal, was eine Handels-URL tatsächlich erlaubt. Ohne dieses Wissen konnte ich die Risiken nicht vergleichen. So wirkte eine lange Adresse schnell wie der Generalschlüssel zum Konto.

Heute sehe ich den Link anders. Trotzdem möchte ich nicht sagen: „Es gibt keinerlei Risiko, teile ihn ruhig überall.“ Die Feststellung, dass eine Handels-URL kein Passwort ist, bedeutet noch lange nicht, dass sie auf jede beliebige Seite gehört.

Ich will auch nicht mit einem vorher festgelegten „ist sicher“ auf ein gewünschtes Ergebnis hinaus. Sinnvoller ist zuerst die Frage, welche Tür diese Adresse überhaupt öffnet. Ist diese Grenze klar, wird auch klarer, wovor man keine unnötige Angst haben muss — und an welcher Stelle man besser stoppt.

Am Anfang wirkte der Link wie eine Berechtigung#

Nicht die Adresse machte mir Angst, sondern die fehlende Erklärung

Wer eine Trade URL zum ersten Mal sieht, kann mit Begriffen wie partner und token wenig anfangen. Für Entwickler oder langjährige Händler sind sie wahrscheinlich völlig normal. Für mich sahen sie aus wie geheime Werte, die Zugang zu einem Bereich meines Kontos verschaffen.

Dazu kam: Angefordert wurden sie von einer Seite außerhalb von Steam. Eine in Steam kopierte Adresse an einen externen Dienst weiterzugeben, fühlt sich bereits wie das Überschreiten einer Grenze an. Es schien etwas anderes zu sein, als nur den Nickname oder das öffentliche Profil zu nennen — eher ein Erlaubnisvorgang, ehrlich gesagt fast wie die Übergabe einer Berechtigung.

Diese Reaktion halte ich nicht für übertrieben. Man kann Steam seit Jahren nutzen, Spiele kaufen und spielen, ohne jemals eine Handels-URL zu brauchen. Niemand erklärt einem ihren Aufbau. Dass man bei einem unbekannten Wert, den man an einen externen Dienst geben soll, misstrauisch wird, ist eher vernünftig als irrational.

Bei der Suche nach einer Antwort findet man oft den kurzen Satz: „Das ist nur ein Handelslink, alles in Ordnung.“ Er mag stimmen. Nur beantwortet er nicht die eigentliche Frage.

Was genau kann jemand tun, der diesen Link besitzt?

Kann er ohne meine Zustimmung ein Angebot annehmen? Kann er sich in mein Konto einloggen oder Gegenstände selbst aus dem Inventar nehmen? Behält eine Seite nach Abschluss des Handels irgendeinen Zugriff?

Bleiben diese Fragen offen, beruhigt das Wort „sicher“ kaum. Ich brauchte damals keine Aufforderung, mich zu entspannen, sondern eine nachvollziehbare Grenze dessen, was die Adresse kann.

Die URL öffnet nur den Weg zu einem Handelsangebot#

Eine Steam-Handels-URL sieht normalerweise ungefähr so aus:

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

Auf den ersten Blick ist das unübersichtlich. Tatsächlich muss man nur einige Teile unterscheiden: die echte Steam-Community-Domain steamcommunity.com, den Pfad /tradeoffer/new/ für ein neues Handelsangebot, den Parameter partner für das betreffende Konto und den token, über den auch Personen außerhalb der Freundesliste ein Angebot senden können.

Laut der offiziellen Steam-Erklärung zu Handelsangeboten kann jeder, der diese persönliche Handels-URL kennt, dem zugehörigen Konto ein Angebot schicken, ohne vorher befreundet zu sein. Beim Handel mit Gegenständen funktioniert die Adresse damit ein wenig wie eine Kontaktadresse.

Und genau dort endet ihre direkte Funktion.

Ein Angebot zu senden und es freizugeben sind zwei verschiedene Dinge

Mit der Handels-URL allein kann sich niemand in dein Steam-Konto einloggen. Sie verrät weder dein Passwort noch liefert sie einen Steam-Guard-Code. Kontoeinstellungen lassen sich damit nicht ändern. Auch ein eingehendes Angebot kann niemand über diesen Link an deiner Stelle bestätigen.

Nur weil jemand die Adresse kennt, wandern Gegenstände nicht automatisch aus dem Inventar. Die andere Seite kann ein Angebot erstellen, doch in Steam prüfst du erneut, welche Gegenstände an welches Konto gehen. Ist eine mobile Bestätigung erforderlich, bleibt auch dieser Schritt getrennt bestehen.

Erst mit dieser Unterscheidung habe ich verstanden, dass die Trade URL keine Vollmacht für mein Konto ist. Sie ähnelt eher einer Zustelladresse für Handelsangebote als einem Kontoschlüssel. Wer die Adresse kennt, kann etwas bis vor deine Tür schicken, aber nicht einfach hineingehen.

Das heißt natürlich nicht, dass man den Link wahllos in öffentlichen Foren verteilen sollte. Wer ihn besitzt, kann auch unerwünschte Angebote oder Spam senden. Und wenn unklar ist, wie lange eine Seite die URL speichert, kann dieser Kontaktpunkt nach dem eigentlichen Handel bestehen bleiben.

Die URL ist kein geheimer Schlüssel wie ein Login. Einen Grund, sie ohne Auswahl an unnötig viele Stellen zu geben, gibt es trotzdem nicht. Dazwischen liegt ihre tatsächliche Rolle.

Das Wort „sicher“ beweist noch gar nichts#

Bei externen Handelsseiten störte mich vor allem der Zirkelschluss: Vor dem Vertrauen wollte ich Belege sehen, doch fast alle Belege auf der Seite stammten wieder vom Betreiber selbst. Sicherheitsversprechen, Transaktionszähler und Siegel können überzeugend aussehen, ohne unabhängig überprüfbar zu sein. Auch Bewertungen lösen das Problem nicht automatisch.

Damals sah ich nur zwei praktische Möglichkeiten: mit einem sehr kleinen Wert testen oder dem Betreiber glauben. Das war ein Gedankengang, kein von mir abgeschlossener Testhandel, den ich als Beweis anführen könnte.

Auch ein kleiner Test wäre ein Einsatz, keine Prüfung

Wer einen entbehrlichen Gegenstand für einen Test nutzt, kann zumindest prüfen, ob Angebot, Bot-Konto, Gegenstand und Bedingungen zur Ankündigung passen. Ein reibungsloser Ablauf bestätigt nur diese eine Transaktion zu diesem Zeitpunkt. Interne Kontrollen, Datenverarbeitung und das nächste Angebot bleiben ungeprüft.

Für den Nutzer ist die Reihenfolge ungünstig: Wo der Dienst vorher keine ausreichenden Belege liefert, soll der Besucher die Lücke mit einem eigenen Gegenstand füllen.

Ein unbekannter Betreiber kann vor der ersten Transaktion nicht jeden Zweifel ausräumen. Er kann aber Kontodaten, Handelsstatus, Bestand, Preisregeln und Grenzen vorab nachvollziehbar machen. Deshalb veröffentlicht SteamVaults praktische Werkzeuge. Sie zeigen etwas über unsere Arbeitsweise; eine Garantie für jede künftige Transaktion sind sie nicht.

Nicht jeder Link mit „Steam“ in der Adresse führt zu Steam#

Bei einer Handels-URL schaue ich zuerst auf die tatsächliche Domain.

Nur weil irgendwo in der Adresse steamcommunity.com steht, ist es noch kein Steam-Link. Ein Beispiel:

https://steamcommunity.com.example.com/tradeoffer/new/

Wer nur den Anfang überfliegt, hält das möglicherweise für Steam. Die eigentliche Domain ist hier jedoch example.com. Steht „Steam“ vorne oder nur im Pfad und sieht sogar die Loginseite ähnlich aus, übersieht man den Unterschied unter Zeitdruck leicht.

Bei einer echten Handels-URL muss der tatsächliche Host steamcommunity.com sein. Prüfe in der Adresszeile, ob die Schreibweise stimmt und ob dahinter nicht noch eine völlig andere Domain folgt. Bei Kurzlinks oder mehrfachen Weiterleitungen zählt eher die Adresse am Ziel als die, auf die du zuerst geklickt hast.

Auch eine Profil-URL wird leicht mit einer Handels-URL verwechselt

Steam-Profiladressen sehen meistens so aus:

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

Beides sind echte Steam-Adressen, aber keine Handels-URLs. Eine Profiladresse enthält nicht den Token, den ein Nichtfreund braucht, um ein Angebot zu senden. Funktioniert eine eingefügte Profil-URL auf einer externen Seite nicht, ist daher nicht zwingend die Seite kaputt. Vielleicht ist es einfach der falsche Adresstyp.

Beim Kopieren kann außerdem das Ende des Links verloren gehen. Ein Messenger zeigt die Adresse verkürzt an, oder man markiert nur den sichtbaren Teil und lässt den token weg. Nach dem Erzeugen einer neuen URL kann versehentlich auch noch eine alte im Umlauf sein.

Für die Formprüfung reichen vier Punkte:

• Ist die tatsächliche Domain steamcommunity.com?
• Enthält der Pfad /tradeoffer/new/?
• Ist ein partner-Wert vorhanden?
• Ist der token vollständig und nicht abgeschnitten?

Selbst vier richtige Antworten garantieren keinen erfolgreichen Handel. Eine formal korrekte URL und die aktuelle Handelbarkeit des Kontos oder Gegenstands sind verschiedene Fragen. Gegenstandssperren, der Zustand von Steam Guard oder eine Handelssperrfrist lassen sich nicht allein an der URL erkennen.

Die meisten Schäden entstehen erst nach der Handels-URL#

Entscheidend ist nicht nur der Link, sondern der Moment der Freigabe

Nur durch das Teilen einer URL verschwindet kein Gegenstand. Wo entstehen reale Schäden also?

Meist ist die Geschichte nicht mit diesem einen Link erklärt. Vielleicht wurden Kontodaten auf einer falschen Steam-Anmeldeseite eingegeben. Vielleicht lief ein Programm oder eine Browser-Erweiterung unbekannter Herkunft, oder das Konto beziehungsweise der Rechner war bereits kompromittiert. Manchmal wurde ein Angebot freigegeben, ohne es noch einmal genau zu lesen.

In den Steam-Hinweisen zum Handel heißt es, man solle sich nicht unter Druck setzen lassen und das andere Konto sowie die Gegenstände selbst prüfen. Auch die offizielle Erklärung zu umgeleiteten Handelsangeboten betont, dass Empfänger und Inhalt auf dem mobilen Bestätigungsbildschirm noch einmal kontrolliert werden müssen. Ein bekannter Name und ein vertrautes Profilbild reichen nicht aus, um von demselben Konto auszugehen.

Im Nachhinein ist der Satz „Warum hast du nicht genauer hingesehen?“ schnell gesagt. Gefälschte Loginseiten und Nachahmerkonten sind aber gerade darauf ausgelegt, Menschen zu einer hastigen Entscheidung zu bringen. Sie versprechen, dass gleich ein großer Vorteil verloren geht, oder drohen mit einer Kontosperre, falls man nicht sofort handelt. Ziel ist, einen Vorgang in wenigen Minuten abzuschließen, bei dem man unter normalen Umständen stutzig würde.

Darum hilft eine konkrete Stoppliste mehr als ein vages „Sei vorsichtig“.

Fordert ein externes Eingabefeld dein Steam-Passwort oder einen Steam-Guard-Code? Sollst du ein unbekanntes Programm oder eine Erweiterung installieren? Stimmen in der mobilen Freigabe das Empfängerkonto, die Gegenstände und Mengen noch mit dem überein, was du vorher geprüft hast? Hast du das echte Steam-Profil und die SteamID kontrolliert — nicht nur das Bild der Person, mit der du gerade geschrieben hast?

Sobald hier etwas nicht passt, gibt es keinen Grund zur Eile.

Eine Trade URL macht den Beginn eines Handels bequemer. Sie übernimmt nicht die letzte Entscheidung. Bevor Gegenstände tatsächlich wechseln, solltest du die Angaben in Steam noch einmal prüfen. Je stärker jemand auf eine schnelle Freigabe drängt, desto langsamer sollte man selbst werden.

Eine unangenehme URL musst du nicht dauerhaft behalten#

Eine neue URL kappt den alten Kontaktpunkt

Vertraust du einer früher verwendeten Seite nicht mehr oder hast du die Handels-URL öffentlich geteilt, kannst du bei Steam eine neue Adresse erzeugen.

Erstellst du auf der Steam-Seite mit den Datenschutzeinstellungen für Handelsangebote eine neue URL, ist die alte danach nicht mehr nutzbar. Wenn du über zuvor weitergegebene Links keine Angebote mehr erhalten möchtest, ist das die direkteste Aufräummaßnahme. Dienste, die du weiterhin verwendest, brauchen anschließend natürlich die neue Adresse.

Hast du dagegen dein Passwort auf einer verdächtigen Steam-Anmeldeseite eingegeben, siehst unbekannte Handelsvorgänge oder findest ein fremdes Gerät im Konto, reicht ein URL-Wechsel nicht aus. Dann gehören Passwort, Steam Guard, angemeldete Geräte, Steam Web API Key und Handelsverlauf gemeinsam auf den Prüfstand.

Eine bekannt gewordene Handels-URL ist nicht dasselbe wie ein kompromittiertes Konto. Diese Trennung verhindert, dass man wegen eines Links unnötig in Panik gerät — ohne echte Anzeichen für einen Kontozugriff zu verharmlosen.

Weil Vertrauen schwer zu erklären ist, haben wir mit Werkzeugen angefangen#

Nach dem Start von SteamVaults blieb dasselbe Problem bestehen.

Wir konnten noch so oft sagen, unser Dienst sei sicher. Für einen neuen Besucher entstand dadurch kein eigener Grund, diese Aussage zu glauben. „Sicher“ und „vertrauenswürdig“ groß auf eine Seite zu schreiben ist einfach. Jede Seite kann das tun.

Zu behaupten, Vertrauen sei wichtig, ist etwas anderes, als Vertrauen sichtbar zu machen. Der zweite Teil ist erheblich schwieriger.

Deshalb haben wir begonnen, Werkzeuge zu bauen, die sich schon vor einem Handel nutzen lassen: einen Prüfer, der bei Steam-Links und Trade URLs den tatsächlichen Host und das Format untersucht, ein Werkzeug für öffentlich sichtbare Inventare, das Handelbarkeit und Sperrdatum einordnet, sowie Seiten zu Handelssperrfristen und Gebühren auf dem Steam Community Market.

Ein URL-Prüfer beweist nicht, dass jeder Bereich von SteamVaults perfekt arbeitet. Ein funktionierendes Werkzeug bestätigt auch nicht automatisch den gesamten Handelsbetrieb. Es schafft aber einen Schritt Abstand zu der Situation, in der eine Seite nur sagt: „Vertrau uns einfach.“

Es ist völlig in Ordnung, ohne Handel wieder zu gehen

Du kannst eine Adresse in den Steam-Link- und Trade-URL-Prüfer eingeben und die Seite danach wieder schließen. Du kannst eine Handelssperrfrist prüfen und dich anschließend gegen das Verschieben des Gegenstands entscheiden. Vielleicht rechnest du Gebühren durch und wählst eine andere Möglichkeit.

Das reicht.

Wenn jedes Werkzeug Menschen am Ende zwangsläufig zum Handelsknopf schieben soll, bleibt es Teil eines Verkaufstrichters. Es sollte auch jemandem nützen, der nicht handelt. Nur dann kann ein Besucher Ergebnisse prüfen, ohne zuerst das eigene Inventar als Einsatz zu hinterlegen.

Vertrauen entsteht trotzdem nicht sofort. Aber der kleine Testhandel muss nicht die einzige Form der Prüfung bleiben. Du darfst erst dem Ergebnis des Werkzeugs misstrauen, es mit anderen Angaben vergleichen und danach wieder gehen.

Diese Reihenfolge erscheint mir ehrlicher.

Ein Prüfer wird gefährlich, wenn er mehr verspricht, als er kann#

Wir haben zuerst festgelegt, was das Werkzeug überhaupt prüfen darf

Der Handels-URL-Prüfer von SteamVaults kontrolliert den tatsächlichen Host und den Pfad der eingegebenen Adresse. Bei einer Trade URL prüft er, ob partner und token vorhanden sind, ob Werte fehlen oder formal falsch sind und ob sich die zugehörige SteamID64 berechnen lässt. Auch eine versehentlich eingefügte Profiladresse oder eine Domain, die Steam nur nachahmt, kann er unterscheiden.

Der Link wird für diese Prüfung im Browser verarbeitet. Die URL wird nicht unter dem Vorwand der Analyse an den Server geschickt, gespeichert oder in Analyseprotokollen abgelegt. Ein Verfahren für als sensibel empfundene Daten sollte nicht selbst zum nächsten Offenlegungspunkt werden.

Ebenso klar sind die Grenzen.

Das Werkzeug kann die Absicht eines Seitenbetreibers nicht erkennen. Auch ein Betrüger kann eine formal richtige Handels-URL benutzen. Ein korrekter Link macht das Gegenkonto nicht automatisch vertrauenswürdig. Aus einer URL lassen sich außerdem weder alle Handelsbeschränkungen und der Steam-Guard-Zustand des Kontos noch der Inhalt eines später eintreffenden Angebots ablesen.

Der Prüfer untersucht einen Link, nicht das gesamte Konto — und erst recht nicht die Gedanken des Handelspartners.

Würde er darüber hinaus Sicherheit versprechen, machte ihn das selbst gefährlicher. Nutzer könnten glauben, er bestätige Dinge, die technisch außerhalb seiner Reichweite liegen. Besser ist, genau zu zeigen, was die Adresse verrät, und offenzulassen, an welcher Stelle die eigene Prüfung weitergehen muss.

Entscheidend ist, dass du informiert wählen kannst#

Die letzte Kontrolle bleibt beim Kontoinhaber

Sollte man eine Steam-Handels-URL weitergeben? Meine Antwort liegt näher an einem bedingten „Ja“ als an einem pauschalen Verbot.

Ein Dienst oder Handelspartner, von dem du Angebote empfangen willst, kann diese Adresse bekommen. Sie ist nicht dein Steam-Passwort, und mit ihrer Weitergabe überträgst du keine Kontorechte. Die andere Seite kann ein Angebot senden, aber nicht allein mit der URL an deiner Stelle zustimmen oder Gegenstände aus dem Inventar nehmen.

Trotzdem gehört die Adresse nicht überall hin. Es ist sinnvoll zu prüfen, auf welcher Seite du sie eingibst, welche Domain tatsächlich geöffnet ist und ob die URL nach dem Handel gespeichert bleibt. Möchtest du sie nicht mehr weitergeben, kannst du eine neue erzeugen.

Am Anfang kannte ich diese Grenzen nicht. Deshalb erschien mir der Link wie eine Berechtigung, und außer einem kleinen Test oder blindem Vertrauen sah ich keine echte Wahl. Auch heute will ich neue Nutzer nicht einfach auffordern, uns zu glauben. Vertrauen entsteht nicht dadurch, dass ein Betreiber es über sich selbst behauptet.

Darum bauen wir weiter Dinge aus, die sich vor einem Handel unabhängig prüfen lassen. Genauso wollen wir zeigen, wo ein Werkzeug nicht mehr weiterweiß. Wenn jemand nur den Prüfer verwendet und anschließend nicht handelt, ist das für mich kein Fehlschlag.

Hat der Link seinen Schrecken verloren und weißt du beim nächsten Angebot, welche Stellen du kontrollieren musst, war der Besuch bereits nützlich.

Zumindest musst du die Adresse dann nicht mehr mit dem Gefühl einfügen, eine unbekannte Vollmacht aus der Hand zu geben.

SteamVaults wird weder von Valve betrieben noch offiziell als Steam-Dienst bestätigt. Es handelt sich um einen unabhängigen Drittanbieter. Die Linkanalyse beschreibt ausschließlich technische Signale, die sich aus der URL selbst ablesen lassen; sie garantiert weder die Vertrauenswürdigkeit eines Handelspartners noch die einer externen Seite.