Auf der Tracking-Seite Exophase sind in der Nacht auf den 9. September massenhaft Steam-Erfolge zu Spielen aufgetaucht, die noch gar nicht erschienen sind. Betroffen sind unter anderem Persona 6, Kingdom Hearts IV und Fable, dazu eine Reihe von Titeln, die bislang niemand angekündigt hat.
Anders als vielfach dargestellt steckt dahinter aber kein Angriff. Die Faktenlage deutet auf einen Fehler bei Valve.
Kein Hack, sondern eine offene Schnittstelle
Exophase ist eine seit Jahren bestehende Seite, die Erfolge und Trophäen von Steam, PlayStation und Xbox erfasst. Sie tut das ausschließlich über die offiziellen Programmierschnittstellen der Plattformen und wertet aus, was dort öffentlich zugänglich ist.
Seitenbetreiber Mike Bendel, in Foren als x3sphere unterwegs, ordnete den Vorgang auf ResetEra selbst ein. Es sehe nach einem Fehler auf Valves Seite aus: Eine Reihe von Spielen, deren Erfolge eigentlich nicht öffentlich sein sollten, seien derzeit über die Schnittstelle erreichbar, und deshalb habe die Seite sie automatisch erfasst.
Bendel wies auf ein zusätzliches Indiz hin. Normalerweise tauchten bei ihm keine Einträge ohne echten Spielnamen auf, in dieser Nacht jedoch zahlreiche. Wo ein Name fehlte, setzte die Seite ersatzweise die Steam-interne Kennnummer ein.
Valve hat sich bislang nicht geäußert und die Ursache nicht bestätigt.
Der Umfang ist unklar
Wie viele Spiele betroffen sind, geht in der Berichterstattung deutlich auseinander. Die Angaben reichen von 85 über mehr als 125 bis zu mindestens 145 Titeln. Eine belastbare Zahl gibt es nicht.
Unstrittig ist dagegen, was in den Listen steht: Erfolgsnamen, Beschreibungen und die Anzahl verborgener Erfolge. Bei angekündigten Spielen enthalten sie Handlungsdetails, bei unangekündigten die schlichte Tatsache ihrer Existenz.
Genannt werden unter anderem Persona 6, Persona 4 Revival, Kingdom Hearts IV, Fable, Tomb Raider, Gears of War: E-Day, Silent Hill: Townfall, Judas, Ace Combat 8, Dragon Ball Xenoverse 3 und Mega Man. Dazu kommen Projekte, zu denen es bislang keinerlei Ankündigung gab, darunter ein Avengers-Spiel und ein Titel im Twin-Peaks-Universum.
Spoilerwarnung mit Ansage
Hier eine deutliche Empfehlung: Wer sich Persona 6, Kingdom Hearts IV, Judas oder Silent Hill: Townfall unvoreingenommen ansehen will, sollte Exophase-Einträge zu diesen Titeln meiden.
Erfolgsbeschreibungen verraten in aller Regel Schauplätze, Figurennamen und Handlungsabschnitte, weil sie genau daran anknüpfen. Bei Kingdom Hearts IV war offiziell bislang eine einzige Welt bekannt, die geleakten Listen enthalten deutlich mehr. Bei Persona 6 sind Angaben zu Orten, Aktivitäten und Spielsystemen enthalten.
Wir geben diese Details bewusst nicht wieder. Über die Existenz des Lecks lässt sich berichten, ohne seinen Inhalt weiterzutragen.
Warum das mehr ist als ein Spoiler-Problem
Der eigentliche Vorgang liegt tiefer. Erfolgssysteme gehören zur Grundausstattung digitaler Vertriebsplattformen und werden von Hunderten Millionen Menschen genutzt. Entwickler laden Erfolgsdaten früh in die Verwaltungsoberfläche hoch, lange vor Verkaufsstart, im Vertrauen darauf, dass die Sichtbarkeitseinstellung greift.
Wenn diese Einstellung durch eine Änderung an der Schnittstelle wirkungslos wird, verlieren Studios die Kontrolle über Informationen, die sie sonst über Jahre unter Verschluss halten. Betroffen sind dabei nicht nur Handlungsdetails, sondern auch die Existenz von Projekten, die aus guten Gründen noch nicht angekündigt waren.
Vorsicht ist bei der Bewertung einzelner Einträge dennoch angebracht. Ein Teil der Listen enthält erkennbar Platzhaltertexte oder unfertige Übersetzungen. Und dass ein Spiel Erfolge in der Verwaltung hinterlegt hat, sagt wenig über seinen Entwicklungsstand oder einen Erscheinungstermin aus.
Nicht der erste Vorfall bei Steam
Ein Muster ist erkennbar. Erst im August machte ein Datenabfluss von rund 13 Terabyte die Runde, der Material zu unveröffentlichten Spielen und Prototypen aus den Jahren 2003 bis 2013 umfasste, darunter Vorabfassungen bekannter Titel.
Dieser Fall lag allerdings anders. Damals ging es um abgeflossene Daten, diesmal um eine Konfiguration, die offenbar zu viel preisgab. Der Schaden für die betroffenen Studios ist trotzdem vergleichbar.
Weder Atlus noch Square Enix haben sich zu den Inhalten geäußert. Bei Lecks dieser Größenordnung schweigen Publisher üblicherweise, statt einzelne Angaben zu bestätigen oder zu dementieren.
