Die Seattle-Division der US-Bundespolizei FBI sammelt seit Mitte Februar 2026 über ein Formular Hinweise von Spielern, die sich über Steam Schadsoftware eingefangen haben.
Sieben Titel nennt die Behörde, BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi und Tokenova, aktiv zwischen Mai 2024 und Januar 2026. Valve hat alle aus dem Store entfernt. Der Fall führt auf eine Frage, die über Steam hinausreicht, nämlich woran ein Spieler erkennt, ob installierte Software die ist, für die sie sich ausgibt.
PirateFi war nie ein Spiel, Chemia schon
PirateFi, im Februar 2025 nur wenige Tage im Katalog, bestand aus fremden Assets und diente allein der Verbreitung eines Schädlings, der unter anderem Browser-Cookies für Kontoübernahmen abgriff. Chemia dagegen existierte als reguläres Early-Access-Survival-Spiel eines echten Entwicklers. Die Sicherheitsfirma Prodaft dokumentierte im Juli 2025, dass ein Angreifer über die Spieldateien drei Schadprogramme verteilt habe, zwei Infostealer und einen Loader, der weitere Malware nachladen kann.
Beide Wege treffen dieselbe Lücke. Geprüft wird die Einreichung, spätere Updates eines einmal freigegebenen Titels laufen weitgehend ungefiltert durch.
Das FBI-Formular richtet sich ausdrücklich auch an Erziehungsberechtigte, deren minderjährige Kinder eines der Spiele installiert haben.
Vier Spielehersteller, deren Titel nie auf ihren Servern liefen
Im Echtgeldsegment verursacht derselbe Mechanismus direkten finanziellen Schaden. Das Casino-Verzeichnis Latest Casino Bonuses, das an der Vermittlung von Spielern verdient, veröffentlichte am 3. Februar 2026 eine Untersuchung zu einer unlizenzierten Glücksspielplattform. Dort liefen Automatenspiele, die Pragmatic Play, Novomatic, Quickspin und Play’n GO zugeordnet werden, ohne Verbindung zu den Servern dieser Hersteller und mit verändertem Spielcode. Sieben andere Anbieter lieferten auf derselben Seite echte Inhalte.
Von außen ist der Unterschied nicht zu erkennen, das Spiel lädt und die Walzen drehen sich. Prüfen lässt sich die Herkunft nur an der Quelle, und dort setzt der Dienst Gamecheck an, der stichprobenartig beim Spielehersteller anfragt, ob eine im Casino laufende Version von ihm stammt. Seit Februar 2026 sehen auch User, die auf die Expertise von casino.guru vertrauen, in der Datenbank des Vergleichsportals ein solches Prüfsiegel, die technische Anbindung habe nach Angaben beider Unternehmen über sechs Monate gedauert.
Für Spieler ist die Unterscheidung mehr als Kosmetik, denn bei einer Kopie garantiert niemand, dass Auszahlungsverhalten und Zufallsmechanik dem geprüften Original entsprechen. Unabhängig ist die neue Prüfschicht allerdings nicht. Das Vergleichsportal verdient an der Vermittlung von Spielern an ebenjene Casinos, die es bewertet, und Gamecheck bietet sein Siegel Betreibern als Vertrauensnachweis an. Ein Siegel bildet ohnehin nur eine Stichprobe zu einem bestimmten Zeitpunkt ab. Gamecheck gibt an, monatlich nachzukontrollieren und die Kennzeichnung bereits beim Fund eines einzigen gefälschten Spiels zu entziehen. Was zwischen zwei Kontrollen passiert, bleibt offen.
Nachgebaute Store-Seiten und ein Deepfake mit ORF-Logo
Der Weg zu solchen Angeboten führt häufig über Werbung, die selbst gefälscht ist. Die österreichische Plattform Watchlist Internet, betrieben vom Österreichischen Institut für angewandte Telekommunikation, dokumentierte im April 2024, wie betrügerische Casino-Apps über Facebook und Instagram beworben werden. Ein per Deepfake erzeugtes Video ließ den Fußballer Marko Arnautović scheinbar eine Glücksspiel-App anpreisen, nachgebaute ORF-Nachrichtenbeiträge präsentierten erfundene Gewinner. Auf der Warnliste stehen Namen wie Sweet Bonanza Casino oder Mr. Beast Casino, die sich an bekannte Spieltitel und Internetpersönlichkeiten anlehnen. Ein Klick auf die Anzeige führt auf Seiten, die dem Google Play Store oder dem App Store täuschend ähnlich sehen, erst die Adresszeile verrät den Unterschied. Die App kommt dann von außerhalb der offiziellen Stores, Einzahlungen funktionieren, Auszahlungen bleiben nach den bei der Plattform eingegangenen Meldungen aus, zusätzlich warnt sie vor dem Abgriff der Kreditkartendaten.
Unter den gemeldeten Apps findet sich eine, die den Markennamen Admiral verwendet. Die Marke gehört in Österreich zum Novomatic-Konzern aus Gumpoldskirchen, dessen Digitalsparte Greentube in Wien sitzt. Der reguläre Betreiber hinter der Marke hält Landesbewilligungen und steht auf der amtlichen Liste, die gefälschte App hat mit ihm nichts zu tun. Der Missbrauch trifft damit einen heimischen Rechteinhaber, dessen Bekanntheit die Masche überhaupt erst tragfähig macht.
Wie groß das Umfeld solcher Kopien ist, lässt sich an Zahlen ablesen, die Apple am 20. Mai 2026 für das Jahr 2025 veröffentlicht hat. Der Konzern meldet 28.000 identifizierte und blockierte unzulässige Apps auf Piraten-Webseiten, darunter raubkopierte Versionen legitimer Programme und Glücksspiel-Apps. Mehr als 371.000 Einreichungen wies die App-Prüfung zurück, weil sie andere Apps kopierten, als Spam eingestuft wurden oder Nutzer täuschten. Fast 59.000 bereits freigegebene Apps entfernte das Unternehmen, weil sie nach der Kontrolle umgebaut worden waren, etwa eine als Puzzle genehmigte Anwendung, die später Betrugsfunktionen erhielt. Die Werte stammen aus der eigenen Bilanz des Plattformbetreibers, eine unabhängige Prüfung existiert nicht.
Was eine Stichprobe im Monat belegt und was nicht
Für Spieler bleibt ein überschaubares Raster, das ohne technisches Werkzeug auskommt und die häufigsten Muster dieser Fälle abdeckt.
- Herkunft der Datei, also offizieller Store statt Direktdownload über eine beworbene Seite
- Alter und Historie des Entwicklerkontos samt Datum des letzten Updates
- Abgleich des im Spiel ausgewiesenen Auszahlungswerts mit der Angabe auf der Herstellerseite
- Bei Echtgeldangeboten ein Blick in die Konzessionsliste des Finanzministeriums
Den Auszahlungswert, in der Branche als RTP geführt, veröffentlichen die Hersteller für ihre Titel, weicht die Angabe im Casino davon ab oder fehlt sie ganz, spricht das gegen die Version. Bei Steam-Titeln übernimmt das Datum des letzten Updates eine ähnliche Funktion, denn in den dokumentierten Fällen kam der Schadcode Monate nach der Veröffentlichung.