Am vergangenen Wochenende wurde ein bedeutendes Sicherheitsleck bei Valve, dem Betreiber der Steam-Plattform, bekannt. Durch einen alt gebliebenen API-Endpoint (Schnittstelle) gelangten rund 12 Terabyte an Daten aus Steams Frühphase an die Öffentlichkeit. Der Datenfundus dokumentiert über ein Jahrzehnt PC-Spielgeschichte und enthält unter anderem Daten zu verworfenen Projekten und internen Spielentwicklungen.
Der Zugang zu diesem Endpoint war offenbar über längere Zeit möglich, ohne dass es bemerkt wurde. Die Daten wurden von Sicherheitsforschern bzw. Datenschutz-Aktivisten heruntergeladen und später veröffentlicht. Valve hat inzwischen reagiert und den Endpoint geschlossen. Allerdings ist ein Grossteil der Daten bereits im Internet verbreitet.
Inhaltlich umfasst das Leak vor allem Software-Artefakte, Testdaten und Metadaten von Spielen. Besonders interessant für Spielehistoriker sind Informationen über Spiele, die Valve entwickelt oder geplant hatte, diese aber nie veröffentlicht wurden. Persönliche oder sensible Benutzerdaten scheinen nach bisherigen Berichten nicht in grossem Ausmass betroffen zu sein, was das Risiko mindert. Es ist aber wichtig, die Volltextsuche durch weitere Analysen zu verifizieren.
Dieser Vorfall unterstreicht ein häufiges Problem in der IT-Sicherheit: Alte API-Endpoints und Dienste werden oft nicht ordnungsgemäss dokumentiert, abgesichert oder stillgelegt. Sie verbleiben „schlummerd" in der Infrastruktur und können Jahre später zum Sicherheitsrisiko werden. Für KMU-IT-Betriebsräte ist dies eine wichtige Lektion: Regelmässige IT-Inventarisierung, Dokumentation von APIs und deren Lebenszyklen sowie periodische Sicherheitsüberprüfungen sind essentiell, um solche „Altlasten" zu identifizieren und zu beheben. Besonders bei Migrationen oder Infrastruktur-Modernisierungen sollten veraltete Schnittstellen ausmustert werden.