Steam-Account gehackt: In welcher Reihenfolge du ihn zurückholst und absicherst

Du kommst nicht mehr in dein Steam-Konto, Passwort oder E-Mail-Adresse wurden geändert, oder Steam will plötzlich einen Authentifikator-Code, obwohl du nie einen eingerichtet hast. Dann zählt die Reihenfolge. Wer zuerst das Passwort zurücksetzt und den Rechner mit dem Schadprogramm weiter benutzt, verliert das Konto womöglich ein zweites Mal. Dieser Beitrag geht die Schritte in der Folge durch, in der Valves Hilfe sie nahelegt: den passenden Einstieg wählen, Rechner und E-Mail säubern, selbst suchen, sonst mit Besitznachweis zum Support, falsche Helfer erkennen, die erste Stunde nach der Rückkehr, und was mit Gegenständen, Guthaben und Sperren passiert.

Grundlage sind Valves Hilfeseiten und der Steam-Nutzungsvertrag, mit der englischen Fassung als Maßstab. Die deutschen Bezeichnungen habe ich am 1. November 2026 in den deutschen Fassungen des Anmelde-Assistenten, der Seite „Account gestohlen“, der Seite zum Besitznachweis und der Steam-Guard-Hilfe nachgelesen. Ein Konto zurückgeholt habe ich für diesen Beitrag nicht, und die Bildschirme hinter der Kontosuche habe ich nicht gesehen. Die Abbildungen sind nachgebaute Modelle mit englischer Beschriftung, keine Aufnahmen aus Steam; Adressen, Ticketnummern und Chatnachrichten darin sind erfunden.

Welcher Einstieg passt#

Steam Supports Seite „Hilfe! Ich kann mich nicht anmelden“ bietet vier Einstiege: „Ich habe meinen Steam-Accountnamen oder das Passwort vergessen“, „Mein Steam-Account wurde gestohlen, und ich benötige Hilfe dabei, den Zugriff wiederzuerlangen“, „Ich erhalte keinen Steam-Guard-Code“ und „Ich habe meinen Steam-Mobile-Authentifikator gelöscht oder verloren“.

Wurden Passwort oder E-Mail geändert, beginnst du mit der zweiten Option, der für gestohlene Konten („Start with the stolen option“). Der Support kann laut Valves Seite zur Kontowiederherstellung jederzeit helfen, auch wenn jemand E-Mail-Adresse, Passwort und Telefonnummer geändert hat.

Kommen die Steam-Guard-Codes nicht an, hilft ein Blick auf die Adresse: Steam schickt sie an die zuletzt hinterlegte E-Mail-Adresse, und die Hilfe rät, den Spam-Ordner zu prüfen und bis zu 30 Minuten zu warten. Hat der Angreifer die Adresse geändert, gehört das Postfach womöglich ihm („The hijacker may own that inbox“). Dann bringt dich nach meiner Einschätzung der Weg für gestohlene Konten weiter als die Code-Hilfe.

Fragt Steam nach einem Authentifikator-Code, obwohl du nie einen hattest, ist das ein Grund zum Verdacht, dass der Angreifer einen hinzugefügt hat, aber keine Gewissheit. Laut Einschränkungsseite werden Trades in den ersten 7 Tagen nach dem Hinzufügen bis zu 15 Tage zurückgehalten, damit der Besitzer Zeit hat, das Konto zurückzuholen. Der Weg führt dann über den Eintrag für verlorene Authentifikatoren oder den Support („Lost authenticator route, or Support“). Welche Option schneller ans Ziel führt, steht nirgends; dass Code- und Authentifikator-Probleme zur dritten und vierten Option gehören, ist meine Zuordnung.

Erst Rechner und E-Mail, dann das Steam-Passwort#

Die Seite „Account gestohlen“ setzt zwei Schritte vor den Knopf „Mein Passwort zurücksetzen“. Schritt 1: den Computer nach Viren und Spyware scannen, bevor du das Passwort zurücksetzt. Schritt 2: das Passwort deines E-Mail-Kontos ändern, denn Steam-Konten werden häufig übernommen, nachdem die verknüpfte E-Mail-Adresse kompromittiert wurde. Wer das auslässt, riskiert, dass der Angreifer das Konto ein zweites Mal übernimmt oder deine Unterhaltung mit dem Support stört. Im Bild sind beide Schritte abgehakt, der Knopf kommt danach.

Valves Kontosicherheits-Empfehlungen raten außerdem, bei Verdacht nach schädlichen Anwendungen und Browser-Erweiterungen zu suchen. Ich würde kürzlich installierte Handelshelfer und Erweiterungen vorher entfernen, egal was der Scan sagt.

Die Kontosuche: deine E-Mail, nicht die neue#

Hinter „Mein Passwort zurücksetzen“ folgt eine Suche, die nach E-Mail-Adresse oder Telefonnummer fragt („Enter your email address or phone number“). Weiter habe ich nicht geklickt; was danach kommt, habe ich nicht gesehen.

Der entscheidende Satz steht auf der Seite zur Kontowiederherstellung: Das System fragt nach deiner E-Mail-Adresse, nicht nach der, die gerade im Konto hinterlegt ist. Gibst du deine ein, hilft das Steam, das Konto zu finden oder dir andere Optionen anzubieten, falls die Adresse geändert wurde. Im Bild steht deshalb die erfundene Adresse [email protected] im Feld, mit grünem Haken für „Your email · The one you used and still control“ und rotem Kreuz für „The new address · The one the hijacker put on the account“. Kommst du nicht weiter, rät die Seite zu prüfen, ob du bei jedem Schritt die verlangten Angaben einträgst.

Eine Telefonnummer im Konto erweitert laut Authentifikator-FAQ die Möglichkeiten, unter anderem um das Zurücksetzen per SMS. Probier also auch deine Nummer.

Rechne mit einer Sperre. Wer das Passwort über die Hilfeseite oder den Support zurücksetzt, kann laut Einschränkungsseite 5 Tage nicht handeln und den Markt nicht nutzen, 30 Tage, wenn das Konto über zwei Monate inaktiv war. Im Bild unten: „After a reset · Trading and Market locked 5 days (30 if inactive 2+ months)“. Eine normale Änderung in den Client-Einstellungen ist etwas anderes.

Wann es Zeit für den Support ist, sagt keine Seite. Meine Grenze: Findet die Suche mit deiner E-Mail und deiner Nummer nichts, oder gehen Codes nur an Adressen, die du nicht erreichst, hör auf. Dass wiederholte Reset-Anfragen etwas beschleunigen, steht nirgends.

Besitznachweis für den Support#

Klappt die Selbsthilfe nicht, prüft der Steam Support und holt das Konto zurück. Laut Seite zur Kontowiederherstellung gibst du dabei Besitznachweise, mögliche Anmeldenamen und mögliche E-Mail-Adressen an; im Bild steht das als „Also add every login name and email you may have used“.

Was als Nachweis gilt, legt die Seite Einen Besitznachweis für Ihren Steam-Account erbringen fest: Zahlungsinformationen, die schon auf dem Konto verwendet wurden, oder Produktschlüssel aus dem Einzelhandel, die über Steam aktiviert wurden. Für die häufigsten Fälle:

Jeder Eintrag sagt, du sollst das Ticket erstellen oder ergänzen. Im Bild steht oben eine Platzhalter-Ticketnummer HT-0000-0000-0000, und der rote Vermerk „Never the full card number“ wiederholt die Kartenregel. Die Liste nennt außerdem Banküberweisungen, Culture Voucher und Degica Mobile; die führe ich hier nicht aus.

Was die Seite nicht nennt, ist ebenso wichtig: Spielverlauf, Freundesliste oder andere Belege kommen in der Liste nicht vor, nur Zahlungen und Produktschlüssel. Für ein Konto ganz ohne Käufe oder Codes beschreibt keine gelesene Seite einen Weg.

Ein erfundenes Beispiel: Du hast vor Jahren einmal mit Kreditkarte gekauft und später Guthabencodes eingelöst, deren Belege weg sind. Dann sind die Kartendaten dein brauchbarer Nachweis. Mehrere Nachweise sind vermutlich besser als einer, eine Zahl nennt Valve aber nicht.

Was ich zusätzlich ins Ticket schreiben würde, ohne dass es verlangt ist: wann du den Zugriffsverlust bemerkt hast und welche Sicherheitsmails von Steam du bekommen hast. Hat der Angreifer Guthaben ausgegeben, würde ich das ebenfalls nennen. Was das bewirkt, sagt kein Dokument.

Hast du weder Smartphone noch Wiederherstellungscode und hängt ein Authentifikator am Konto, brauchst du laut Authentifikator-FAQ den Support, um ihn zu entfernen, und ohne Zugang zur E-Mail-Adresse einen Besitznachweis. Ein Ersatzgerät mit derselben Nummer vom Mobilfunkanbieter ermöglicht die Wiederherstellung per SMS.

Falsche Helfer erkennen#

Wer gerade sein Konto verloren hat, ist ein gutes Ziel. Valves Seite zum Betrug mit falschen Meldungen sagt: Valve-Mitarbeiter kontaktieren dich nie über einen Chat, auch nicht über Steam-Chat oder Discord; der einzige Weg zum Support ist die Hilfeseite. Die Forderung, zur Bestätigung des Besitzes etwas zu kaufen oder einen Steam-Geschenkkarten-Code zu schicken, nennt sie als Betrugszeichen, und die Behauptung, ein Konto sei nicht wiederherstellbar, weil alle Daten geändert wurden, als falsch. Die Seite behandelt den Betrug mit angeblichen Meldungen; ihre Regeln auf Leute anzuwenden, die dir Hilfe bei der Wiederherstellung anbieten, ist meine Übertragung.

Im Chat des Bildes stehen alle Zeichen beisammen: jemand schreibt im Chat als Support, will „den Code, den Steam dir gerade geschickt hat“, verlangt eine Steam-Geschenkkarte über 50 US-Dollar (erfundener Betrag) „zur Bestätigung“ und behauptet, nur er könne helfen. Rechts die vier Zeichen: Support meldet sich im Chat, fragt nach einem Steam-Guard-Code, will Geschenkkarte oder Kauf, sagt „Your account can't be recovered“. Der grüne Kasten: „Real Support · help.steampowered.com only“.

Laut Kontosicherheits-Empfehlungen nutzt der Support nicht das Freundesnetzwerk und fragt nur dann nach CD-Keys oder Kreditkartendaten, wenn du dich selbst über das Support-System gemeldet hast. Manche Schadprogramme sperren die Bibliothek und zeigen Meldungen, die zu einem Chat mit einem Agenten führen; echte Hinweise verweisen auf help.steampowered.com, und das Schadprogramm muss entfernt werden. Kommen solche Nachrichten vom Konto eines Freundes, ist es wahrscheinlich gestohlen und sollte gemeldet werden.

Die erste Stunde nach der Rückkehr#

Bist du wieder drin, kann eine offene Sitzung des Angreifers alles andere rückgängig machen. Deshalb kommen die Geräte zuerst. Das ist meine Reihenfolge, nicht Valves; der Beitrag zur 15-Tage-Zurückhaltung beginnt mit dem Widerrufen des API-Keys, weil er von einem Konto ausgeht, das du noch kontrollierst.

1. Geräte („Devices · Deauthorize all“). Laut Valves Steam-Guard-Hilfe entfernst du nach einer Kompromittierung unter „Accountdetails“, „Steam Guard verwalten“ alle autorisierten Geräte; damit verlieren alle Computer und Geräte den Zugriff. Im Bild: „Every device will need a Steam Guard code again“. Die Kontosicherheits-Empfehlungen nennen außerdem die Liste der autorisierten Geräte und das Abmelden überall. Bedenke die Folge: Ein abgemeldetes Gerät gilt bei der nächsten Anmeldung als neu, und ein neu autorisiertes Gerät kann 7 Tage nicht handeln, außer der Mobile-Authentifikator ist seit mindestens 7 Tagen aktiv. Steam fragt bei gespeicherter Anmeldung nur gelegentlich nach dem Passwort, und Schadprogramme können sich von einem schon autorisierten Gerät aus anmelden. Die Seite „Steam Guard verwalten“ zeigt ohne Anmeldung nur eine Anmeldemaske; die Seite dahinter habe ich nicht gesehen. 2. Authentifikator („On your phone?“). Ein Konto hängt an genau einem Authentifikator. Zeigt die App auf deinem Smartphone für dieses Konto keine Codes, liegt der Verdacht nahe, dass er verschoben oder entfernt wurde; das ist meine Schlussfolgerung, kein Steam-Text. Ein Authentifikator des Angreifers, der dich aussperrt, geht über den Eintrag für verlorene Authentifikatoren oder den Support weg, und das Entfernen bringt 15 Tage Handels- und Marktsperre. Wie du einen eigenen Authentifikator sauber auf ein Gerät bringst, steht in Steam-Authentifikator aufs neue Smartphone. 3. Telefon und E-Mail („Yours, verified“). Pro Konto gibt es nur eine Telefonnummer, sie steht in den Accountdetails unter den Kontaktinformationen. Eine bestätigte E-Mail-Adresse ist dort als bestätigt gekennzeichnet. Beides muss deins sein. 4. Wiederherstellungscode („Write it down“). Er steht in der Steam-Mobile-App unter Steam Guard, Zahnrad, „Wiederherstellungscode“. Backupcodes gibt es unter „Accountdetails“, „Steam Guard verwalten“ nach einem SMS-Code; drucken, nicht speichern, kein Screenshot. 5. API-Key und Bestätigungen („And confirmations“). Bestätigungsanfragen, die du nicht selbst ausgelöst hast, öffnest du und brichst sie ab, so Valves Hilfe zu Bestätigungen. Wie du einen fremden API-Key findest und widerrufst, steht in Steam-API-Key-Betrug: Wenn der Handel bei einem fremden Konto landet.

Nach einer Wiederherstellung durch den Support kann Steam Guard laut Hilfe als nicht aktiviert erscheinen, ohne Knopf zum Einschalten; dann Steam neu starten. Und lade noch kein Guthaben auf, bevor Rechner, E-Mail und Geräte erledigt sind. Laut Kontosicherheits-Empfehlungen warten manche Schadprogramme, bis sich ein Angriff lohnt, etwa weil Steam-Guthaben auf dem Konto liegt.

Gegenstände, Guthaben und Sperren#

Gegenstände, die das Konto verlassen haben, bekommst du in aller Regel nicht zurück. Die Seite zur Kontowiederherstellung verweist für Gegenstände auf die Richtlinie zur Wiederherstellung von Inventargegenständen, und die sagt, dass Gegenstände, die das Konto aus welchem Grund auch immer verlassen haben, nicht wiederhergestellt werden, weil sie inzwischen den Besitzer gewechselt haben können und dupliziert oder unbeteiligten Nutzern weggenommen werden müssten. Im Bild: „Items that left · Not restored, for any reason“.

Anders ist es mit Gegenständen, die noch unterwegs sind. Ohne Authentifikator werden Trades und Marktangebote 15 Tage zurückgehalten, damit du sie entdecken und abbrechen kannst; das Abbrechen eines angenommenen, zurückgehaltenen Trades bringt dir aber 7 Tage Handelssperre. Für Counter-Strike 2 gilt das nicht: CS2-Gegenstände werden nicht zurückgehalten und sofort gehandelt, egal wie das Konto geschützt ist, und rückgängig machen lässt sich ein CS2-Trade nur über den 7-tägigen Handelsschutz.

Beim Guthaben ist die Lage offen. Laut Steam-Nutzungsvertrag bist du für Belastungen verantwortlich, die jemand über dein Konto verursacht, und Valve haftet nicht für betrügerische Nutzung deiner Anmeldedaten, außer es liegt an Valves Fahrlässigkeit oder Verschulden; du musst Valve unverzüglich benachrichtigen, wenn deine Zugangsdaten kompromittiert sein könnten. Ob vom Angreifer ausgegebenes Guthaben erstattet wird oder nicht, sagt keine Valve-Seite, die ich gelesen habe. Im Bild: „No Valve page read says either way. Report it in the ticket.“

Die Sperren laut Seite zu Handels- und Markteinschränkungen, wie sie im Bild stehen:

Der Support kann diese Sperren nicht ändern („Steam Support cannot modify these restrictions“), und der Grund wird in der Regel angezeigt, wenn du einen Trade oder eine Marktaktion beginnst. Wie sich überlappende Sperren verrechnen, sagt die Seite nicht. Außerdem: Frisch aktivierter E-Mail-Steam-Guard, auch nach Ab- und Wiedereinschalten, sperrt den Markt 15 Tage. Ein Authentifikator auf einem Konto mit E-Mail-Steam-Guard bringt nur die 7 Tage Zurückhaltung, auf einem ungeschützten Konto 15 Tage Sperre. Mehr zu den Gerätesperren steht in Warum Steam deinen Handel bis zu 15 Tage zurückhält.

Bevor du es abhakst#

Fünf Haken: Rechner gescannt und E-Mail-Passwort geändert, alle Geräte abgemeldet, Authentifikator und Telefonnummer gehören dir, Wiederherstellungscode notiert, zurückgehaltene Trades und Bestätigungen geprüft. Offen bleiben, wie lange die Prüfung durch den Support dauert und ob vom Angreifer ausgegebenes Guthaben zurückkommt. Steam meldet Sicherheitsänderungen per E-Mail, und offizielle Anmeldungen laufen über steampowered.com oder steamcommunity.com; tipp die Adresse selbst oder nimm ein Lesezeichen. Vor dem nächsten Trade hilft Was du vor der Bestätigung eines Steam-Trades prüfen solltest.