Wie ich auf Steam und in Rust beinahe betrogen wurde – eine raffinierte Masche, die Sie kennen sollten

Mir ist eine kuriose Sache passiert, die ich gerne teilen möchte. Obwohl ich ITler bin, solche Dinge kenne und dabei ziemlich vorsichtig bin, wäre ich beinahe darauf hereingefallen. Und ich gebe zu, dass ich noch heute, wenn ich darüber nachdenke, überlege, wie glaubwürdig das Ganze war und wie knapp ich davorstand, in die Falle zu tappen.

Was ist Rust eigentlich für ein Spiel, in dem sich das alles abgespielt hat?

Bevor ich mit der eigentlichen Geschichte beginne, möchte ich kurz erklären, worum es überhaupt geht. Rust ist ein Multiplayer-Survival-Spiel des britischen Studios Facepunch, das auch hinter dem beliebten Garry's Mod steht. Das Spiel erschien erstmals im Dezember 2013 im Early Access und wurde erst im Februar 2018 vollständig veröffentlicht – ganze fünf Jahre lang befand es sich also in einer Phase, in der Spieler es als unfertiges Spiel kaufen und aktiv bei seiner Entwicklung helfen konnten.

Interessant ist, dass Rust als Klon von DayZ (einem Survival-Mod für ARMA 2) begann, die Entwickler sich aber nach und nach für einen eigenen Weg entschieden – zunächst entfernten sie die Zombies, dann fügten sie Tiere, Rüstungen, Waffen, Bunker und ein Bausystem hinzu. Heute wurden von dem Spiel über 12 Millionen Exemplare verkauft, und es gehört regelmäßig zu den meistgespielten Titeln auf Steam.

Das Prinzip ist einfach, macht aber süchtig:

• Man spawnt mit einem Stein und einer Fackel auf einer Insel

• Man muss Ressourcen farmen (Holz, Stein, Metall)

• Man baut sich eine Base (Haus/Unterschlupf/Bunker), die man vor anderen Spielern schützt

• Man sammelt Loot an sogenannten Monumenten (Orte auf der Karte wie Launch Site, Oil Rig usw.)

• Man raidet fremde Basen oder verteidigt sich umgekehrt gegen Raids

Das Raiden ist dabei der Kern des gesamten Spiels – die Spieler versuchen, mithilfe von Sprengstoff (sogenannten Booms, Raketen, C4, Gunpowder) in fremde Bunker einzudringen und den Loot zu stehlen. Große Clan-Basen sind daher naturgemäß wertvoller, weil mehr Leute an ihnen arbeiten. Und genau das spielt in meiner Geschichte eine wichtige Rolle.

Außerdem führt der Server einen sogenannten Wipe durch – meist einmal pro Woche oder einmal im Monat (der sogenannte Force Wipe an jedem ersten Donnerstag des Monats) wird alles gelöscht und man beginnt wieder bei null. Eine fertige Clan-Base kostenlos zu bekommen, wäre also tatsächlich ein echter Jackpot.

Wie alles begann – „Du hast eine kostenlose Base gewonnen!“

Meine Freunde und ich spielen regelmäßig auf den Warbandits-Servern (einem beliebten Netzwerk englischsprachiger Rust-Server). Eines Tages, als wir gerade damit beschäftigt waren, unsere Nachbarn zu raiden, schrieb irgendein Spieler im Textchat des Servers, dass er eine komplette Clan-Base kostenlos anbietet – wer zuerst eine Zahl zwischen 0 und 50 errät, bekommt sie.

Ich dachte mir: „Warum nicht, just for fun“, und schrieb aus Spaß einfach die Eins. Und siehe da – ich bekam eine private Nachricht (Warbandits hat dafür ein eigenes Plugin, mit dem man im Spiel PMs verschicken kann), dass ich richtig geraten und gewonnen hätte.

Ich wurde sofort aufmerksam. Das war der erste Moment, in dem bei mir die Alarmglocken hätten läuten müssen.

Er wollte, dass ich mich über Discord mit ihm verbinde und wir miteinander telefonieren. Normalerweise hätte ich das sofort abgebrochen – mit irgendeinem fremden Typen auf Discord zu telefonieren, mache ich wirklich nicht gern. Aber er argumentierte, dass er mir nur die Base übergeben, die Autorisierung einrichten und Ähnliches erledigen wolle.

Und hier lag mein Denkfehler: Kostenloser Loot ist in Rust immer willkommen. Ein paar Booms, Raketen, etwas Gunpowder oder einfach nur ein Blick auf das Design ihres Bunkers – Clan-Basen sind meist ziemlich groß, und ich fand es interessant, mir zumindest anzusehen, wie andere sie bauen. Also schickte ich ihm meinen Discord-Kontakt.

Discord-Call – und hier begannen die wirklich seltsamen Dinge

Er schickte mir einen Link, ich trat dem Call bei und sie fügten mich ihrer Discord-Gruppe hinzu. Sie sah vollkommen legitim aus – es gab einige Threads, Kanäle, eben einen klassischen Clan-Discord. Im Call waren der Typ, der mir geschrieben hatte, und fünf weitere Personen.

Und hier gab es die zweite Ungereimtheit, die mir damals zwar kurz durch den Kopf ging, die ich aber nicht ausreichend beachtete: Auf dem Server, auf dem wir spielen, gilt ein Teamlimit von 3 Spielern. Im Clan-Call hätten also nicht sechs, sondern höchstens drei Personen sein dürfen. Das war ein weiteres Warnsignal, über das ich im Eifer des Gesprächs nicht nachdachte.

Er begann mich zu fragen, wie lange ich schon Rust spiele, woher ich komme, welche Rollen ich normalerweise spiele, und stellte viele weitere Fragen. So unterhielten wir uns eine ganze Weile. Ich sagte ihm, dass ich die Base eigentlich gar nicht brauche, weil wir selbst eine große Base und reichlich Loot haben, dass ich es aber spannend finde zu sehen, wie andere beispielsweise ihr Bunkerdesign umsetzen.

Ich fragte ihn, wo auf der Karte die Basis eigentlich steht. Er antwortete, sie befinde sich bei der Launch Site (einem der wichtigsten Monumente auf der Karte). Also sagte ich: „Ach, bei der Launch Site, dort, wo die beiden Shops sind?“ Und er wusste überhaupt nicht, von welchen Shops ich sprach – was wirklich seltsam ist, wenn es doch seine Base, die Base seines Clans und derselbe Server sein sollte.

Das war bereits die dritte offensichtliche Red Flag. Doch er ging sofort nahtlos zum nächsten Thema über – angeblich könne er sich gerade nicht mit dem Spiel verbinden, weil er in einem Flugzeug sitze. Dabei hatte er mir kurz zuvor noch eine Nachricht direkt im Spiel geschrieben. Das war an sich schon absurd.

Die klassische Taktik – das Opfer überfordern und ihm keine Zeit zum Nachdenken lassen

Und genau das ist der wichtigste Moment der gesamten Geschichte, auf den ich jeden aufmerksam machen möchte:

Er ließ mich keine einzige Sekunde nachdenken. Ständig bombardierte er mich mit Fragen und Kommentaren – die klassische „Keep busy“-Technik, damit das Opfer keine Zeit hat, die einzelnen Ungereimtheiten zusammenzufügen.

Er sagte, er wolle mir einen Sleeping Bag (Spawnpunkt) geben, damit er mich für die Base markieren könne. Außerdem wolle er die Autorisierung für die Turrets entfernen. Aber das funktioniere angeblich nicht, und er müsse es über Rust+ (die offizielle Companion-App für Rust) erledigen.

Also sagte ich ihm, er solle es versuchen. Daraufhin meinte er, es gehe nicht, weil er im Flugzeug sitze (!), und fragte, ob ich nicht meinen Bildschirm teilen könne, damit er über mich „alles einrichtet“.

Technisch gesehen ist das völliger Unsinn – ich gehörte weder zu seinem Team noch zu seiner Base, über meinen Bildschirm hätte sich also überhaupt nichts einrichten lassen. Doch bei diesem Tempo hatte ich keine Zeit, das logisch auseinanderzunehmen. Ich dachte mir: „Ich habe nichts zu verlieren, also probiere ich es aus.“

Der Moment, in dem es bei mir Klick machte

Ich teilte meinen Bildschirm. Zusätzlich wollte er auch Maus und Tastatur steuern. Ich erlaubte es.

Und dann kam der Wendepunkt. Anstatt Rust+ oder das eigentliche Spiel zu öffnen, begann er:

• in meinem Steam-Inventar herumzusuchen

• nachzusehen, welche Items, Skins und Spiele ich auf meinem Konto hatte

• irgendetwas mit einer Steam-Geschenkkarte anzustellen

Mir war sofort klar, dass er sich etwas über Steam schicken und über mein Konto bezahlen wollte – typischerweise handelt es sich um einen Scam, bei dem der Betrüger Ihr Konto zum Kauf von Skins verwendet, die er anschließend auf sein eigenes Konto überträgt, oder sich eine Geschenkkarte schicken lässt.

Der Betrüger redete dabei ununterbrochen weiter, stellte immer neue Fragen und versuchte, mich mit Worten zu überfordern, damit ich keine Zeit hatte zu reagieren oder über irgendetwas nachzudenken. Als ich jedoch begriff, was da vor sich ging, beendete ich den Call sofort.

Er schrieb mir umgehend eine Nachricht: „Warum hast du aufgelegt?“

Ich antwortete einfach: „Ich bin an deinem Betrug nicht interessiert.“

Und innerhalb einer Sekunde blockierte er mich, warf mich aus der Gruppe und verschwand. Als hätte es ihn nie gegeben.

Was war daran so gefährlich? Ein Erfahrungsbericht aus der Praxis

Das ist genau die Art von Betrug, vor der auch Facepunch offiziell auf der Rust-Website und Valve in den Steam Scam FAQ warnen. Diese sogenannten Screen-Share-Scams sind in den Communities rund um Rust, CS2 und andere Spiele mit Steam-Inventar relativ weit verbreitet und leider erfolgreich. Laut Community-Leitfäden in der Steam Community greifen Betrüger häufig auch auf Tools wie Chrome-Erweiterungen zurück, mit denen sie ein gefälschtes Inventar mit teuren Skins und einen gefälschten Handelsverlauf erstellen können – dadurch wirken sie glaubwürdig.

In meinem Fall war der Betrug gleich in mehreren Punkten raffiniert:

1. Ein realistischer Köder – „Du hast eine Clan-Base gewonnen“ auf einem Server, auf dem so etwas tatsächlich durchaus vorkommen kann. Spieler überlassen anderen vor einem Wipe regelmäßig ihre Basen und ihren Loot – ich mache dasselbe.

2. Eine funktionierende Discord-Gruppe – sie wirkte aktiv, hatte Kanäle, mehrere Mitglieder und ein Clan-Logo. Auf den ersten Blick war nichts verdächtig.

3. Das „Kaliber“ des Spielers – er konnte gut reden, kannte die Terminologie und stellte Fragen wie ein erfahrener Spieler.

4. Ständige Überforderung – das ist die wichtigste Waffe. Er gab mir keine Gelegenheit nachzudenken.

5. Ausreden über technische Probleme – „Ich bin im Flugzeug“, „Ich kann keine Verbindung herstellen“, „Machen wir es über mein Rust+“. Logisch betrachtet hinkt alles, aber bei diesem Tempo klingt es glaubwürdig.

Warum Steam-Konten?

Nur wenige Menschen wissen, wie viel Geld praktisch auf Steam herumliegt. Skins in CS2 werden regelmäßig für Tausende Euro gehandelt, manche seltenen Exemplare sogar für Zehntausende. Rust hat eigene Skins, die mehrere Hundert Dollar wert sein können; ich selbst besitze über 2.000 davon. Hinzu kommen Geschenkkarten, das Steam-Guthaben und handelbare Items aus Spielen wie Team Fortress 2, Dota 2 und anderen. Das Konto eines erfahrenen Steam-Spielers kann leicht ein Inventar im Wert von Zehntausenden bis Hunderttausenden tschechischen Kronen enthalten, ohne dass sich der Besitzer dessen vollständig bewusst ist.

Deshalb sind Steam-Konten ein so attraktives Ziel.

Was man daraus mitnehmen sollte – praktische Empfehlungen

Wenn Sie aktiv auf Steam spielen, sollten Sie sich Folgendes merken:

• Teilen Sie niemals Ihren Bildschirm mit jemandem, den Sie nicht persönlich kennen. Und geben Sie dieser Person erst recht keine Möglichkeit zur Fernsteuerung.

• Telefonieren Sie niemals über Discord mit fremden Spielern von einem Server, wenn es um Gewinne, Geschenke oder Handel geht.

• Weder der offizielle Steam-Support noch Facepunch werden Sie jemals unaufgefordert kontaktieren. Auf der Rust-Website steht ausdrücklich: „Facepunch wird Sie niemals kontaktieren.“

• Wenn ein „Gewinn“ davon abhängt, dass Sie die offizielle Plattform verlassen (Discord, externer Link, Remotedesktop), handelt es sich zu 99 % um Betrug.

• Wenn jemand Sie gezielt mit einem Gespräch überfordert und Ihnen keine Zeit zum Nachdenken lässt, ist das beabsichtigt. Legen Sie auf und betrachten Sie die Sache fünf Minuten später noch einmal in Ruhe.

• Niemand Fremdes „überprüft“ jemals die Preise in Ihrem Inventar – kein „Item Checker“, kein „Verification Tool“, kein „Steam-Mitarbeiter“. Das sind alles Lügen.

• Achten Sie auch auf Steam-Guard-Codes – geben Sie sie niemals an jemanden weiter und bestätigen Sie niemals einen Handel oder eine Anmeldung, die Sie nicht selbst initiiert haben.

Was abschließend noch zu sagen ist

Ich gebe zu, dass es mich ziemlich überrascht hat, wie weit ich mich darauf eingelassen hatte. Ich komme aus der IT-Branche, kenne solche Dinge und bin von Natur aus vorsichtig – und trotzdem hätte nicht viel gefehlt und ich wäre darauf hereingefallen. Wäre der Betrüger mit der Steam-Geschenkkarte und dem Inventar nicht so plump vorgegangen, sondern hätte das Ganze noch etwas länger geschickt gespielt, hätte ich den entscheidenden Moment vielleicht verpasst.

Scams werden immer raffinierter. Ob falsche Polizisten, die in Tschechien Senioren anrufen, Phishing-E-Mails oder diese Betrugsmaschen in Spielen – sie alle haben eines gemeinsam: Sie arbeiten mit Zeitdruck, Emotionen und Ihrem Gefühl, etwas zu verpassen, wenn Sie nicht sofort reagieren.

Seien Sie also vorsichtig. Und vor allem: Wenn Sie auch nur den geringsten Zweifel haben, legen Sie auf, trennen Sie die Verbindung und schließen Sie das Fenster. Sie können jederzeit darauf zurückkommen, der Betrüger wird dann jedoch nicht mehr auf Sie warten – denn ein Betrüger darf keine Zeit verlieren. Und genau deshalb ist Geschwindigkeit seine wichtigste Waffe.

Bleiben Sie wachsam, denn auf Steam liegt viel Geld – und Scammer sind wirklich überall.