Was beim Redesign verschwunden ist
Beim überarbeiteten Webauftritt von Humble Bundle fehlt ein Baustein, den der Shop über Jahre angeboten hat: die Zwei-Faktor-Authentifizierung. Wer sich einloggt, bekommt demnach nur noch die Kombination aus E-Mail-Adresse und Passwort abgefragt. Für Konten, in denen Zahlungsmittel, Key-Bibliotheken und Abo-Daten liegen, ist das ein Rückschritt. Aus der ursprünglichen Meldung stammt der Rat, gespeicherte Zahlungsdaten vorerst zu entfernen.
Ein zweiter Faktor ist bei Key-Shops kein Beiwerk
- Ein Passwort allein lässt sich mit gestohlenen Zugangsdaten aus fremden Datenlecks kombinieren, das ist die Grundlage jedes Credential Stuffing.
- Auf Humble-Konten liegen Kaufhistorie, teils Guthaben sowie Keys, die direkt weiterverkauft oder eingelöst werden können.
- Wer Zahlungsdaten im Profil hinterlegt hat, gibt bei einer Übernahme mehr preis als nur den Zugang zum Shop.
- Beim Checkout lassen sich Kreditkarten- und PayPal-Daten speichern, was den Komfort erhöht und das Risiko mit.
Was Kontoinhaber jetzt tun können
- Gespeicherte Zahlungsmittel löschen und stattdessen bei jedem Kauf neu eingeben, das ist die direkteste Gegenmaßnahme.
- Ein eigenes, nur für Humble verwendetes Passwort setzen, falls das bisherige Muster woanders wiederverwendet wird.
- Login-Benachrichtigungen und die Kaufhistorie im Blick behalten, auffällige Bestellungen sofort melden.
- Nach dem Abmelden nicht auf dem Rechner eingeloggt bleiben, gerade an geteilten Geräten.
Wie Humble Bundle groß wurde
Der Shop startete mit zeitlich begrenzten Indie-Bundles, bei denen Käufer selbst festlegten, wie viel sie zahlten und welcher Anteil an wohltätige Zwecke ging. Dieses Modell machte den Namen bekannt und brachte kleine Studios in Reichweite eines Publikums, das sie sonst nie erreicht hätten. Später kamen der reguläre Store und das Abo Humble Choice dazu, bei dem monatlich eine Auswahl an Spielen vergeben wird. Der wohltätige Anteil blieb über all die Jahre das Markenzeichen, auch wenn die Verteilung zwischen Shop, Entwickler und Charity mehrfach angepasst wurde.
Ein Shop mit vielen Funktionen und wenigen Sicherheitsnetzen
- Bundles laufen zeitlich begrenzt und erzeugen Druck, was Phishing-Mail im Humble-Gewand besonders plausibel macht.
- Key-Bestände sind für Händler und Zwischenverkäufer interessant, entsprechend begehrt sind Zugänge.
- Über Humble Choice hängen Abo-Status und monatliche Zuteilung am selben Login.
- Viele Nutzer haben über Jahre dutzende Käufe im Konto gebündelt, die Historie ist entsprechend lang.
Der Branchenkontext macht den Schritt schwer verdaulich
Bei Shopping- und Gaming-Konten geht der Trend seit Jahren in die andere Richtung: mehr Faktoren, nicht weniger. Steam, Epic und die großen Konsolenhersteller drängen Nutzer aktiv zu Bestätigungscodes per App oder Mail, weil übernommene Konten mit Spielbibliotheken ein lukratives Ziel sind. Ein Shop, der diesen Schutz wieder abgibt, steht damit allein da. Hinzu kommt, dass Humble mit digitalen Gütern handelt, bei denen eine Rückabwicklung nach unrechtmäßigen Käufen deutlich schwieriger ist als im Einzelhandel.
Was vom Redesign bleibt
Auffällig ist der Zeitpunkt: Die Änderung steckt in einem umfassenden Website-Relaunch, also in einem Vorgang, bei dem Sicherheitsfunktionen üblicherweise migriert und nicht stillschweigend gestrichen werden. Eine Begründung für den Wegfall der Zwei-Faktor-Authentifizierung ist bislang nicht bekannt. Bis dahin bleibt die praktische Konsequenz dieselbe wie in der ersten Reaktion auf die Meldung: Zahlungsdaten aus dem Profil nehmen, Passwort erneuern, Bestellungen kontrollieren. Wer sein Humble-Konto nur sporadisch nutzt, sollte es zumindest aus fremden Browsern und von geteilten Rechnern abmelden.
