13 TB Steam-Archive öffentlich zugänglich: frühe Builds von Valve-Spielen, Dragon Age: Origins und Batman: Arkham Asylum

Rund 13 TB Daten aus der alten Server-Infrastruktur von Steam sind öffentlich zugänglich geworden — Dateien, die zwischen 2003 und 2013 auf die Plattform hochgeladen wurden. Nach Angaben derjenigen, die Zugriff auf den Datenbestand erhalten haben, gab es keinen Hack: Die Daten wurden nach einer Anfrage an einen öffentlich zugänglichen Endpunkt eingesehen. Den vorliegenden Informationen zufolge ereignete sich der Vorfall in der vergangenen Woche; berichtet hat darüber Kotaku.

In der Community wurde das Leck „Steam2 leak“ getauft — nach dem früheren Namen der Server-Architektur von Steam, die 2013 vom System SteamPipes abgelöst wurde. Der Betreiber der Plattform, das Unternehmen Valve, hat sich zu dem Vorfall bislang nicht öffentlich geäußert.

Im Dump stecken nicht nur Valve-Spiele

Den vorliegenden Beschreibungen zufolge sind in den Datenbestand frühe Versionen und Screenshots von Valves eigenen Projekten gelangt: Left 4 Dead 2, Portal 2 und das nie veröffentlichte Half-Life 2: Episode 3. Solche Materialien geben einen Eindruck von den frühen Entwicklungsphasen dieser Spiele.

Der Inhalt des Archivs beschränkt sich nicht auf die Spiele des Plattformbetreibers. Berichten zufolge fanden sich im Dump Beta-Builds von Dragon Age: Origins von BioWare und EA sowie von Batman: Arkham Asylum von Rocksteady und WB Games — also Arbeitsmaterialien dritter Publisher, deren Spiele über Steam vertrieben wurden.

Das wirft Sicherheitsfragen für die Unternehmen auf, deren Daten offengelegt wurden. Wie viel sensibles Material dritter Publisher in das Leck geraten ist und welche Folgen dessen Veröffentlichung haben wird, ist derzeit unklar.

Nach Angaben der Finder gab es keinen Hack

Screenshots der Inhalte wurden auf X unter dem Namen Gabe Follower veröffentlicht. Gabe Follower gibt an, sich vom Fehlen eines Hacks überzeugt zu haben: Die Materialien seien nach einer Anfrage an einen öffentlich zugänglichen Endpunkt eingesehen worden. Um welchen Endpunkt es sich genau handelt, wird nicht präzisiert.

Es gibt auch eine andere Version. Gesprächspartner von Ars Technica halten es für möglich, dass das Leck nicht bei Valve entstanden ist, sondern auf Servern Dritter, auf denen Daten aus früheren Leaks gespeichert waren. In diesem Fall ginge es um die Kompromittierung eines fremden Speichers zuvor gesammelter Archive und nicht um einen Konfigurationsfehler bei der Plattform selbst.

Warum alte Infrastruktur nach Jahren wieder auftaucht

Die Geschichte wirkt wie ein Symptom eines allgemeineren Problems und nicht wie ein einzelner Fehlgriff. Infrastruktur, die vor mehr als zehn Jahren außer Betrieb genommen wurde, wird selten vollständig gelöscht: Man trennt sie von der Produktivumgebung, die Daten aber bleiben auf Servern, die niemand auditiert, weil sie formal nicht mehr gebraucht werden. Je größer und älter eine Plattform ist, desto mehr solcher blinden Flecken hat sie und desto höher ist die Wahrscheinlichkeit, dass sich eines Tages ein offener Weg dorthin findet.

Der zweite Faktor ist die erstarkte Community der digitalen Archäologie. Enthusiasten scannen und katalogisieren seit Jahren systematisch die Überreste alter Spieledienste, und jedes zugängliche Fragment eines solchen Archivs verbreitet sich schnell in Kopien, wonach es sich nicht mehr aus dem Netz entfernen lässt. Für Studios verändert das die Aufgabenstellung: Interne Materialien müssen in dem Moment gelöscht werden, in dem ein Projekt eingestellt wird, und nicht dann, wenn man sich wieder an sie erinnert.

Für Artists, Designer, Modellierer und Programmierer sind solche Archive als Lernmaterial wertvoll: An den Zwischen-Builds lässt sich ablesen, wie sich Level, Modelle und Mechaniken zwischen den Iterationen verändert haben. Der rechtliche Status dieser Materialien ändert sich jedoch nicht mit ihrem Alter: Sie sind nach wie vor geistiges Eigentum der Publisher, und die Veröffentlichung von geschnittenen Inhalten, Screenshots oder Assets aus einem Leak bleibt ein Risiko für diejenigen, die sie verbreiten.

Hält der Trend an, werden Publisher vermutlich sorgfältiger damit umgehen, Builds an Drittplattformen weiterzugeben, und stärker auf die Aufbewahrungsfristen von Distributionen bei Partnern achten — und die Plattformen selbst auf die Inventarisierung geerbter Systeme. Die nächstliegende praktische Frage zu diesem Leck lautet, wie viel Material dritter Publisher hineingeraten ist; öffentliche Schätzungen gibt es bislang nicht.

Schafft es Valve, den Endpunkt zu schließen, bevor sich die 13 TB über Spiegelserver verbreiten?