Penguin Domination 🐧 RSS Feed

[EN|DE] MS A/B Tests Windows 11 - 2026

ペンギン — Thu, 29 Jan 2026 18:14:20 +0000

When launching various games, an additional Microsoft service has been activated in the background for some time now.

In this process, data is automatically transmitted to a Microsoft endpoint via GameBar.exe. The file is an executable file for Microsoft's Xbox Game Bar in Windows 11. It provides an overlay for games and applications and enables screen recording, performance monitoring, audio,- and communication functions.

The file can be found here: C:\Program Files\WindowsApps\Microsoft.XboxGamingOverlay_7.325.11061.0_x64__8wekyb3d8bbwe

Structure consisting of folder path, version number, ID

The collected data in this context has been anonymized for the present example using placeholders in the form of (x).

Among other things, the following information is send:

Environment=Production
DeviceFamily=Windows.Desktop
DeviceFamilyVersion=<x>
Market=US
Language=en-US
IsDMARegion=true/false
AppVersion=<x>
DeviceId=<hex>
PublisherDeviceId=<hex>
Host=fern.xboxservices.com <-- New, can be blocked via hosts
Header: MS-CV=<Correlation Vector>
Header: Accept-Encoding=gzip, deflate
Header: Connection=Keep-Alive
activeFlights=<x>
treatments=<x>
impressionGuid=<x>
version=<x>
assignmentContext=<x>
clientId=<x>
customAudienceGroupIds=<x>
flightRingId=<x>
groupIds=<x>

In addition to the identifiers mentioned above, the IP address and timestamp of each request are also transmitted. The transmitted parameters enable assignment to specific applications or products and, in the event of repeated use, can enable recurring recognition and analysis of user and/or system behavior.

Meaning

The data transmission takes place as "Experimentation / A/B Testing".

Users are not provided with any relevant information about this processing activity. Furthermore, there is neither a requirement in connection with the performance of the contract nor any discernible added value for the user.

This behavior is also active if users have disabled all services in their system's "Gaming" settings. Against this background, the processing does not comply with the principles of transparency, purpose limitation and data minimization and therefore violates Articles 5 and 6 of the GDPR.

The current behavior replaces a former, functionally comparable service that was accessed via the address xboxab.com/ab/ and fulfilled a similar telemetry or experimentation function.

A corresponding example of the former service can be viewed at the following reference links:
https://steamcommunity.com/sharedfiles/filedetails/?id=3412191209
Website with further details:
- Windows GameBar spies[gameindustry.eu]
- Windows GameBar spies, again[gameindustry.eu]

Beim Start verschiedener Spielen unter Windows 11 wird seit einiger Zeit im Hintergrund ein zusätzlicher Microsoft-Dienst aktiviert.

Dabei werden Daten automatisch über GameBar.exe an einen Microsoft-Endpunkt übertragen. Bei der Datei handelt es sich um eine ausführbare Datei für die Xbox Game Bar von Microsoft in Windows 11. Sie stellt ein Overlay für Spiele und Anwendungen bereit und ermöglicht Bildschirmaufzeichnungen, Leistungsüberwachung sowie Audio,- und Kommunikationsfunktionen.

Die Datei befindet sich hier: C:\Program Files\WindowsApps\Microsoft.XboxGamingOverlay_7.325.11061.0_x64__8wekyb3d8bbwe

Struktur bestehend aus Ordnerpfad, Versionsnummer, ID

Die in diesem Zusammenhang gesammelten Daten wurden für das vorliegende Beispiel mithilfe von Platzhaltern in Form von (x) anonymisiert.

Unter anderem werden folgende Informationen gesendet:

Environment=Production
DeviceFamily=Windows.Desktop
DeviceFamilyVersion=<x>
Market=US
Language=en-US
IsDMARegion=true/false
AppVersion=<x>
DeviceId=<hex>
PublisherDeviceId=<hex>
Host=fern.xboxservices.com <-- Neu, kann über Hosts blockiert werden
Header: MS-CV=<Correlation Vector>
Header: Accept-Encoding=gzip, deflate
Header: Connection=Keep-Alive
activeFlights=<x>
treatments=<x>
impressionGuid=<x>
version=<x>
assignmentContext=<x>
clientId=<x>
customAudienceGroupIds=<x>
flightRingId=<x>
groupIds=<x>

Zusätzlich zu den oben genannten Identifikatoren werden auch die IP-Adresse und der Zeitstempel jeder Anfrage übertragen. Die übertragenen Parameter ermöglichen die Zuordnung zu bestimmten Anwendungen oder Produkten und können bei wiederholter Nutzung eine wiederkehrende Erkennung und Analyse des Nutzer,- und/oder Systemverhaltens ermöglichen.

Bedeutung

Die Datenübermittlung erfolgt als "Experimentation / A/B-Testing".

Eine entsprechende Information an die Anwender über diese Verarbeitungstätigkeit findet nicht statt, zudem besteht weder eine Erfordernis im Zusammenhang mit der Vertragserfüllung noch ist ein erkennbarer Mehrwert für den Nutzer existent.

Das Verhalten ist auch aktiv, wenn Anwender in ihren "Gaming-Einstellungen" des Systems sämtliche Dienste deaktiviert haben. Vor dem Hintergrund steht die Verarbeitung nicht im Einklang mit den Grundsätzen der Transparenz, Zweckbindung und Datenminimierung und verstößt somit gegen Art. 5 und Art. 6 DSGVO.

Das aktuelle Verhalten ersetzt dabei einen früheren, funktional vergleichbaren Dienst, der über die Adresse xboxab.com/ab/ angesprochen wurde und eine gleichartige Telemetrie- oder Experimentationsfunktion erfüllte.

Einen entsprechendes Beispiel des früheren Dienstes ist unter folgenden Referenzlinks einsehbar:
https://steamcommunity.com/sharedfiles/filedetails/?id=3412191209
Webseite mit weiteren Details:
- Windows GameBar spioniert[gameindustry.eu]
- Windows GameBar spioniert erneut [gameindustry.eu]

2025 Project Overview, Statistics and hibernation

ペンギン — Thu, 04 Dec 2025 23:34:46 +0000

As the year slowly draws to a close and I was thinking about how to present you a summary of the current year and I came up with the idea of adding a statistics section[gameindustry.eu]to the project page.

There you now have the opportunity to quickly and clearly see what has happened or what has been added recently, both for the current year and retroactively.

First and foremost, I would like to thank everyone who has remained loyal to the group for a long time, as well as the members who joined us during the year and with whom i have exchanged ideas.

In 2025, a total of 275 people joined the group. 220 are still in the group today, while 78 have left. Of those, 23 of them were members of Penguin Domination only for a short time.

--

As the GameIndustry has evolved over the years in line with changing requirements, some entries are still marked with an invalid (placeholder) date. A date field for new and edited product entries was only introduced in 2021. I will correct these dates retroactively where possible (currently around 600 entries). In addition, there are still around 900 descriptions missing for game and software publisher, both in German and English.

The statistics do not include things like technical changes to the project page, even though they require a lot of work and time. You can also follow many details via the recent changes[gameindustry.eu] section. Various RSS feeds[gameindustry.eu] are also available to help you stay up to date. The group also has its own RSS function for announcements

Recent technical changes include, for example, a revision of the entire basic page structure and design, many textual content and database queries, which among other things results in performance improvements.

There have also been many small "quality-of-life" updates such as navigation aids, overlays, improvements to the responsive layout (mobile view), the technology section, the Steam library export function, product genres, the recently added privacy badge and the new autocomplete feature in the search.

Some of these are still in a testing phase and much more is planned.

In addition, as already communicated via artworks and status updates/announcements, own software projects are being further developed step by step, such as the latest updates to Steam Cleaner and Hosts Manager. Those who are only here for the reviews will have to continue to deal just with a few entries per year.

Updates to the filter lists are now rarely necessary. On the one hand, most areas are already covered and on the other hand, analyses and updates of this kind are difficult to carry out without compromising convenience and usability.

Suggestions for improvements, feedback and donations[gameindustry.eu] are (unfortunately) still quite rare. However, community feedback and suggestions from the friends list (FL) or via email have already been implemented many times and I hope to be able to continue improving the project with your help.

As you may have read recently, one of the latest successes was the deactivation of unnecessary Google queries in the Steam client.

Here, too, I would like to thank the community members who notified me about strange client behavior and posted my analysis in the beta forum. This made it possible to improve the data sovereignty of millions of Steam users in one fell swoop within a very short time.

There were also negative setbacks, such as the inappropriate insults and lies from the developer DoubleMoose Games and the publisher Focus Entertainment, which is now called PulluP Entertainment. Unfortunately, jurisdiction is unnecessarily complicated.

--

You can now access the statistics via the header menu on the project page.

Do you have any wishes for 2026 or suggestions for improvement for the group, reviews or content on the project page? Post them here.

--

I will be taking my leave from you for this year, using the time for personal matters and further background work. With that in mind, I wish you all the best. Enjoy the upcoming Steam sale, the holidays, Christmas (for those who celebrate it), and have a wonderful New Year.

[EN|DE] Steam Client: Network Changes / Netzwerkänderungen

ペンギン — Wed, 19 Nov 2025 02:53:01 +0000

Original Analysis

https://steamcommunity.com/sharedfiles/filedetails/?id=3608562371
After the latest update of the Steam client, an analysis of the network connections shows that a huge part of the infrastructure is now routed through various Google services. Newly appearing in the active connections are components such as Google Optimization, Google Safe Browsing, Google Account and Google Autofill.

Summary of Services

IP Addresses
IPv4: 108
IPv6: 8

Domains
Akamai Technologies: 12
Steamcontent: 8
Google 1e100.net: 77
Valve: 2
FastlyCDN: 2

Google Services

accounts.google.com
content-autofill.googleapis.com
www.google.com
safebrowsing.googleapis.com
optimizationguide-pa.googleapis.com

Functional Description

The requests appear to load technical models and security data. The Google account check verifies whether an account is stored in the local profile without transmitting account information. The Autofill services load model configurations used for detecting form fields. The Optimization Guide retrieves model information for performance and interface optimizations. Safe Browsing updates the local threat lists.

Transmitted Data

IP address, timestamp, TLS data, user agent, accept-language, accept-encoding, origin, host, connection, content-type, content-length, gpsia, source, json, X-Client-Data, key/API key, protobuf payload, X-Goog-Encode-Response-If-Executable, X-Goog-Api-Key, sec-fetch-site, sec-fetch-mode, sec-fetch-dest, request URL, query parameters, X-HTTP-Method-Override, Safe Browsing list IDs, Safe Browsing version states, Safe Browsing hash-range information, Safe Browsing delta-update requests.

Additional Google Infrastructure

steamcloud-ugc.storage.googleapis.com
redirector.gvt1.com
r4---sn-4g5ednks.gvt1.com

"UGC" stands for "User-Generated Content", meaning content uploaded by users is stored in Google Cloud.

The *.gvt domains also belong to Google's infrastructure. They distribute various types of content such as update packages, extensions, media files and advertising videos across multiple platforms.

Chrome Settings in Steam Client

Some settings can be changed/adjusted/disabled in Steam, for example, under

chrome://flags/ for experimental settings such as WebRTC leaks, overlays
chrome://settings/ for privacy settings, cookies
chrome://history/ your browser history in Steam
chrome://device-log/ Log of all connected or disconnected devices

Unfortunately, not the basic behavior...

Edit 1: Valve Statement - November 20, 2025

https://steamcommunity.com/sharedfiles/filedetails/?id=3609251822
A Valve employee has commented on lightwo's thread. The behavior is being reviewed again, and according to their own statement, unnecessary connections are to be reduced. Whether this will be implemented remains to be seen. The Steam client remains under observation.

Source:
https://steamcommunity.com/groups/SteamClientBeta/discussions/3/688615792191756981/#c688615792191838583

Edit 2: Beta Update - November 22, 2025

A new beta update for the Steam client was recently released. With this version, unnecessary Google queries have been disabled.

Beta Version Update:
https://steamcommunity.com/groups/SteamClientBeta/announcements/detail/599669707226744423

Confirmation:
https://steamcommunity.com/groups/SteamClientBeta/discussions/3/688615792191756981/?ctp=2#c688615792191914506

Originalanalyse

https://steamcommunity.com/sharedfiles/filedetails/?id=3608562371
Nach dem jüngsten Update des Steam-Clients zeigt die Analyse der Netzwerkverbindungen, dass ein erheblicher Teil der Infrastruktur nun über verschiedene Google-Dienste abgewickelt wird. In den aktiven Verbindungen erscheinen neuerdings Komponenten wie Google Optimization, Google Safe Browsing, Google Accounts und Google Autofill.

Summierung der Dienste

IP-Adressen
IPv4: 108
IPv6: 8

Domänen
Akamai Technologies: 12
Steamcontent: 8
Google 1e100.net: 77
Valve: 2
FastlyCDN: 2

Google-Dienste

accounts.google.com
content-autofill.googleapis.com
www.google.com
safebrowsing.googleapis.com
optimizationguide-pa.googleapis.com

Funktionsbeschreibung

Die Anfragen dienen soweit ersichtlich dem Nachladen technischer Modelle und Sicherheitsdaten. Die Google-Kontoabfrage überprüft, ob ein Konto im lokalen Profil hinterlegt ist, ohne Kontoinformationen zu übertragen. Die Autofill-Dienste laden Modellkonfigurationen, die zur Erkennung von Formularfeldern dienen. Der Optimization Guide bezieht Modellinformationen für Leistungs- und Interface-Optimierungen. Safe Browsing aktualisiert die lokalen Gefährdungslisten.

Übertragene Daten

IP-Adresse, Zeitstempel, TLS-Daten, User-Agent, Accept-Language, Accept-Encoding, Origin, Host, Connection, Content-Type, Content-Length, gpsia, source, json, X-Client-Data, key/API-Key, Protobuf-Nutzlast, X-Goog-Encode-Response-If-Executable, X-Goog-Api-Key, Sec-Fetch-Site, Sec-Fetch-Mode, Sec-Fetch-Dest, Request-URL, Query-Parameter, X-HTTP-Method-Override, Safe-Browsing-Listen-IDs, Safe-Browsing-Versionsstände, Safe-Browsing-Hash-Range-Informationen, Safe-Browsing-Deltaupdate-Anforderung.

Zusätzliche Google-Infrastruktur

steamcloud-ugc.storage.googleapis.com
redirector.gvt1.com
r4---sn-4g5ednks.gvt1.com

"UGC" steht für "User-Generated-Content", kurz, Dinge die Anwender hochladen, landet in der Google-Cloud.

Die *.gvt Domains gehören ebenfalls zur Google-Infrastruktur. Sie verteilen verschiedene Inhalte wie Update-Pakete, Erweiterungen, Mediendateien und auch Werbevideos auf zahlreichen Plattformen.

Chrome-Einstellungen im Steam Client

Einige Einstellungen können in Steam geändert/angepasst werden, zum Beispiel unter

chrome://flags/ für experimentelle Einstellungen wie WebRTC-Lecks, Overlays
chrome://settings/ für Datenschutzeinstellungen, Cookies
chrome://history/ euer Browserverlauf in Steam
chrome://device-log/ Log von allen angeschlossenen oder getrennten Geräten

Leider nicht das grundlegende Verhalten...

Edit 1: Valve-Stellungnahme - 20. November 2025

https://steamcommunity.com/sharedfiles/filedetails/?id=3609251822
Ein Mitarbeiter von Valve hat sich im Thread von lightwo geäußert. Das Verhalten wird erneut geprüft, und nach eigener Aussage sollen unnötige Verbindungen reduziert werden. Ob dies umgesetzt wird, ist offen. Der Steam-Client bleibt weiterhin unter Beobachtung.

Quelle:
https://steamcommunity.com/groups/SteamClientBeta/discussions/3/688615792191756981/#c688615792191838583

Edit 2: Beta-Update - 22. November 2025

Vor kurzem wurde ein neues Beta-Update für den Steam-Client veröffentlicht. Mit dieser Version wurden unnötige Google-Abfragen deaktiviert.

Beta-Version-Update:
https://steamcommunity.com/groups/SteamClientBeta/announcements/detail/599669707226744423

Bestätigung:
https://steamcommunity.com/groups/SteamClientBeta/discussions/3/688615792191756981/?ctp=2#c688615792191914506

[EN|DE] Privacy-friendly games | Datenschutzfreundliche Spiele

ペンギン — Wed, 05 Nov 2025 15:50:46 +0000

During the latest product test of Rise of the Penguins 2: Penguin's Dark Ascent, a new section called Privacy-Friendly Games was introduced for the review-curation.

From now on, titles that respect players’ privacy and can be enjoyed without hesitation will be featured here.

This also fulfills a long-standing community request that has finally become reality.

For developers

Games that minimize data collection and follow the principles of "privacy by design" are now presented in a separate category, making it easier for customers to find titles that respect their privacy while promoting the visibility of responsible developers.

If your game focuses on minimal data collection, user data protection and transparent development processes. The “Privacy-Friendly Games” section now offers the opportunity to have your product listed in this category after review.

A corresponding category will also be implemented soon on the project website gameindustry.eu

Already been rated?

If your products have already been reviewed or are listed in the GameIndustry publisher database[gameindustry.eu] and the product behavior has changed in the meantime, please initiate contact via Steam Chat or directly through the project page.

The content will then be re-evaluated and any necessary updates will be applied to ensure the information remains accurate and up to date.

Während des letzten Produkttests von Rise of the Penguins 2: Penguin's Dark Ascent wurde ein neuer Bereich namens Privacy-Friendly Games für die Bewertung und Kuratierung eingeführt.

Von nun an werden hier Titel vorgestellt, die die Privatsphäre der Spieler respektieren und ohne Bedenken gespielt werden können.

Damit wird auch ein langjähriger Wunsch der Community erfüllt, der nun endlich Wirklichkeit geworden ist.

Für Entwickler

Spiele, die die Datenerfassung minimieren und den Grundsätzen des "Privacy by Design" folgen, werden nun in einer eigenen Kategorie vorgestellt, sodass Kunden leichter Titel finden können, die ihre Privatsphäre respektieren und gleichzeitig die Sichtbarkeit verantwortungsbewusster Entwickler fördert.

Wenn Ihr Spiel auf minimale Datenerfassung, den Schutz von Nutzerdaten und transparente Prozesse in der Entwicklung setzt, bietet die "Privacy-Friendly Games" Sektion ab jetzt die Möglichkeit, Ihr Produkt nach Prüfung in dieser Kategorie listen zu lassen.

Eine entsprechende Kategorie wird in Kürze auch auf der Projektwebsite gameindustry.eu implementiert.

Bereits bewertet worden?

Sollten bereits Produkte von euch bewertet worden sein oder sich in der GameIndustry Publisher Datenbank[gameindustry.eu] befinden und sich das Produktverhalten inzwischen geändert haben, nehmt bitte über den Steam-Chat oder direkt über die Projektseite Kontakt auf.

Der Inhalt wird dann erneut geprüft und gegebenenfalls aktualisiert, um sicherzustellen, dass die Informationen korrekt und aktuell bleiben.

[EN] It will be exciting, with age verification

ペンギン — Fri, 05 Sep 2025 09:09:08 +0000

Valve has introduced an age-verification requirement in the UK for Steam not long ago. Everyone should have realized that by now. It should also be clear that the trend does not stop in UK.

Users on Steam must now register a valid credit card to access or purchase mature-content games and visit associated community hubs. This measure complies with the UK’s Online Safety Act and is based on the assumption that only individuals aged 18 or older can obtain credit cards.

As the new worldwide flood (primarily driven from America, Australia and UK) of age verification services affects not only Steam, but also countless regular websites and services, a look at Australia is enough to bring further dangers into focus and show us what is still to come.

--

The Australian government commissioned an expert report on online age verification systems, prepared by the Age Check Certification Scheme (ACCS). From December 2025, visitors to social media in Australia will be required to present ID or undergo facial scans.

The government highlights the report as confirmation of its plans, stressing privacy protection. Reports found that some providers already store full biometric and ID data unnecessarily and even develop tools for authority access, confirming that privacy violations are not only a risk but already occurring.

Main findings

The report does not assess whether age controls are the right tool to protect minors or whether providers' privacy promises are credible.
It merely assesses whether the technologies are technically feasible and meet the standards.
Danger to privacy and data protection through the unprovoked collection and use of biometric/personal data
Biometric age estimation is unreliable, with higher error rates for women and minorities. Current systems can't accurately determine the age of minors up to legal limits.
The report uses industry-friendly language, downplays the problems and emphasizes voluntary commitments without timelines.

The government's positive statements stand in contrast to the risks documented in the report, which were highlighted by independent media.

--

Steam customers who have to verify themselves just with a credit card have probably drawn the better cards, for now. Or not?

What do you think about this topic?

Sources EN:
https://help.steampowered.com/en/faqs/view/292B-3DA3-CFC8-97F6
https://www.theguardian.com/australia-news/2025/aug/31/age-assurance-technology-trial-report-australia-under-16-social-media-ban-some-errors-inevitable
https://www.infrastructure.gov.au/department/media/publications/age-assurance-technology-trial-final-report
https://www.reuters.com/world/asia-pacific/australian-report-raises-concerns-over-age-verification-software-ahead-teen-2025-09-01/

Quellen DE:
https://netzpolitik.org/2025/australisches-gutachten-anbieter-von-alterskontrollen-horten-biometrische-daten/

Protect digital privacy | Schutz der digitalen Privatsphäre

ペンギン — Fri, 22 Aug 2025 13:38:25 +0000

Dear Community,

The EU is once again discussing the so-called Chat Control Regulation (CSAM Regulation). This law would introduce mandatory surveillance of private communications, weaken end-to-end encryption and pave the way for a dangerous mass surveillance infrastructure.

The Council of the EU is about to decide on Chat Control (12 September: Member States’ position, 14 October: final vote).

Some facts about chat control:

Violation of human dignity through automated total surveillance
Undermining of professional confidentiality (lawyers, doctors, journalists, etc.)
Weakening of encryption through the introduction of backdoors
Authoritarian risks such as targeted expansion of surveillance against political opponents, activists, minorities
Risk of data transfers and analysis under the US CLOUD Act and the EU–US Data Privacy Framework
Danger of data misuse and data leaks
Massive breaches of fundamental principles of data protection and civil rights
One-sided and arbitrary surveillance of citizens while decision-makers remain unaffected
Intrusion into device integrity and creation of serious security risks
Malware-like distribution of state-mandated scanning software
Major shift in the balance of power between state and citizens

As EU citizens, you have the possibility to take action. Through the platform https://fightchatcontrol.eu/ you can identify your representatives, contact them directly and urge them to vote against Chat Control.

Nothing less than your freedom, privacy and basic democratic rights are at stake. Let us prevent mass surveillance from becoming a reality in Europe.

Every voice matters.

Liebe Community,

die EU berät aktuell wieder über die sogenannte Chatkontroll-Verordnung (CSAM-Regulation). Dieses Gesetz würde eine verpflichtende Überwachung privater Kommunikation einführen, Ende-zu-Ende-Verschlüsselung schwächen und den Weg für eine gefährliche Massenüberwachungs-Infrastruktur ebnen.

Die Entscheidung zur Chatkontrolle im EU-Rat steht unmittelbar bevor (12. September: Position der Mitgliedsstaaten, 14. Oktober: finale Abstimmung)

Einige Fakten zur Chatkontrolle:

Verletzung der Menschenwürde durch automatisierte Totalüberwachung
Aushöhlung der beruflichen Vertraulichkeit (Anwälte, Ärzte, Journalisten usw.)
Schwächung der Verschlüsselung durch die Einführung von Hintertüren
Weitere autoritäre Entwicklungen wie gezielte Ausweitung der Überwachung auf politische Gegner, Aktivisten, Minderheiten
Risiko von Datentransfers und Analysen im Rahmen des US CLOUD Act und des EU–US Data Privacy Framework
Gefahr von Datenmissbrauch und Datenlecks
Massive Verstöße gegen fundamentale Prinzipien des Datenschutzes und der Bürgerrechte
Einseitige und willkürliche Überwachung von Bürgern, während Entscheidungsträger unberührt bleiben
Eingriff in die Geräteintegrität und Schaffung gravierender Sicherheitsrisiken
Malwareartige Verteilung staatlich verordneter Scan-Software
Massive Verschiebung des Machtgleichgewichts zwischen Staat und Bürgern

Als Bürgerinnen und Bürger der EU habt ihr die Möglichkeit, aktiv zu werden. Über die Plattform https://fightchatcontrol.eu/ könnt ihr eure zuständigen Abgeordneten einsehen, direkt kontaktieren und sie auffordern, gegen Chatkontrolle zu stimmen.

Es geht um nichts Geringeres als eure Freiheit, Privatsphäre und demokratische Grundrechte aller. Lasst uns gemeinsam verhindern, dass Massenüberwachung in Europa Realität wird.

Jede Stimme zählt!

[DE] 2K - Irreführender "Spyware" Hype auf Steam

ペンギン — Sat, 07 Jun 2025 14:27:34 +0000

Im Juni 2025 wurde Borderlands 2 von 2K Games im Zuge der "Spyware-Hype-Welle" auf Steam erneut kritisch bewertet, nachdem der Verdacht aufkam, das Spiel enthalte Spyware.

Wie so oft lesen oder verstehen viele Anwender nicht (oder wollen es nicht verstehen), was tatsächlich passiert, was wiederum zu zahlreichen sachlich falschen Bewertungen führt.

Der Hintergrund ist, dass 2K seine Nutzungsbedingungen geändert hat, die milde ausgedrückt verbraucherfeindlich sind.

Viele Steam-Nutzer leiten daraus ab, dass das Spiel Spyware enthalte und verweisen auf die Datenschutzrichtlinie von Take-Two Interactive. Die entsprechende Version ist unter https://www.take2games.com/privacy/de/ abrufbar

Dort zitieren sie häufig den Abschnitt "Kategorien der erhobenen Daten" und behaupten, dass das jeweilige Spiel exakt diese Daten erfasse. Ohne Kontext oder technischen Nachweis.

Zitat:

Kategorien der erhobenen Daten
Die Art der erhobenen Informationen hängt davon ab, wie Sie die Dienste nutzen. Im Allgemeinen erfassen wir folgende Informationen:
Kennungen/Kontaktdaten: Name, Benutzername, Gamertag, Post- und E-Mail-Adresse, Telefonnummer, eindeutige IDs, Mobilgeräte-ID, Plattform-ID, Spieldienst-ID, Werbe-ID (IDFA, Android ID) und IP-Adresse
Geschützte Merkmale: Alter und Geschlecht
Kommerzielle Daten: Kauf- und Nutzungshistorie und -präferenzen, einschließlich Daten zum Spielverlauf
Rechnungsdaten: Zahlungsdaten (Kredit-/Debitkartendaten) und Lieferadresse
Daten zu Internet-/elektronischen Aktivitäten: Web-/App-Browsing- und Spieldaten im Zusammenhang mit den Diensten; Daten zu Ihrer/Ihren Online-Interaktion(en) mit den Diensten oder unserer Werbung; und Einzelheiten über die von Ihnen genutzten Spiele und Plattformen sowie andere Informationen im Zusammenhang mit installierten Anwendungen
Geräte- und Nutzungsdaten: Gerätetyp, Software- und Hardwaredetails, Spracheinstellungen, Browsertyp und -version, Betriebssystem und Daten dazu, wie Benutzer die Dienste nutzen und mit ihnen interagieren (z. B. angesehene Inhalte, besuchte Seiten, Klicks, Scrolls)
Profil-Rückschlüsse: Rückschlüsse, die aus Ihren Daten und Webaktivitäten gezogen werden, um ein personalisiertes Profil zu erstellen, mit dem wir Waren und Dienste identifizieren können, die für Sie von Interesse sein könnten
Audio-/Visuelle Daten: Fotos, Bilder und Avatare Ihres Kontos, Audiodaten über Chat-Funktionen sowie Spiel- und Videoaufzeichnungen (z. B., wenn Sie an Spieltests teilnehmen)
Sensible Daten: Genaue Standortdaten (wenn Sie den Diensten die Erhebung Ihres Standorts gestatten), Kontodaten (Benutzername und Passwort) und Kommunikationsinhalte über Chat-Funktionen.

Nur ist diese Interpretation der Anwender falsch.

Diese Angaben sind allgemeiner Natur und beziehen sich auf sämtliche 2K-Dienste und NICHT spezifisch auf ein einzelnes Spiel. Dass dieser Abschnitt vielfach kopiert und "Spyware"“ gerufen wird, macht die Behauptung nicht zutreffender.

2K, bzw. Take 2 Interactive macht es sich in dieser Hinsicht auch einfach mit Copy/Paste Nutzungsbedinungen auf jeweiliger Steam-Produktseite.

Zur Verifizierung der tatsächlich erfassten Daten wurde das Spiel Borderlands 2 getestet.

Da die Datenerfassung und die Serverinteraktionen bei vielen 2K-Titeln ähnlich/gleich funktionieren, können die Ergebnisse oft verallgemeinert und somit leicht reproduziert werden.

Was sammelt das Produkt (z. B. Borderlands 2)?

Viele Spiele von 2K enthalten einen erzwungenen Online-Modus, die häufig auch Telemetriedienste, Werbung und andere nicht essentielle Funktionen mit sich bringen.

Beispieldaten Borderlands 2 v1.0.257.2863302

Werbung über CDN- und News-Server
Einwilligungsprüfung (ob AGB akzeptiert wurden, verknüpft mit Online-Funktionen)
Ländererkennung, Nutzersprache, AccountUID, ShiftAccount, ShiftPlatformID, ShiftServiceID, CrossplayID, Berechtigungen, NAT-Typ, Performance- und Verbindungsmetriken (z. B. Max Retry Attempts, HttpTimeouts, Endpoint-URLs, Ping)
Patch-Daten pro Charakter, Freundesabgleich, Chat, Session-SSID, bereits eingelöste Shift-Codes mit Zeitstempel etc.

Serverdaten, die eine eindeutige Identifikation ermöglichen oder kritisch sein können:

GUID
Session-Cookie (Zustimmung zu AGB im Spiel)
Anzeigename
Build-Kennung
Verbindungsmetriken

Weitere involvierte Dienste sind:

Turn-Server (Xirsys, Google)
Amazon Cloudfront, Amazon EC2, AWS Global Accelerator

Was ist problematisch an den Nutzungsbedingungen?

Aus der Borderlands 2 Steam-Shopseite:
http://store.steampowered.com/eula/49520_eula_0

Mangelnde Transparenz bei der Datenverarbeitung

Keine klare Angabe, welche personenbezogenen Daten erhoben werden, zu welchem Zweck und an wen sie weitergegeben werden
Verstoß gegen DSGVO Art. 5(1)(a) und Art. 13

Datenübermittlung in Drittländer

Standort von Take-Two in den USA erwähnt, jedoch ohne Angaben zur Rechtsgrundlage oder zu Schutzmaßnahmen (z. B. SCCs)
Möglicher Verstoß gegen DSGVO Art. 44–49 nach Schrems II

Einwilligung von Minderjährigen

Kein tatsächlicher Mechanismus zur Überprüfung elterlicher Zustimmung
Keine technischen Maßnahmen zur Verhinderung der Datenerhebung bei Minderjährigen
Verstoß gegen DSGVO Art. 8

Zweckbindung

Verarbeitungszwecke sind vage oder zu allgemein gehalten
Keine Garantie gegen Zweckentfremdung (z. B. Profilbildung, Werbung)
Verstoß gegen DSGVO Art. 5(1)(b)

Unzureichende Rechtsgrundlage für Datenverwendung

Keine klare Rechtsgrundlage für Profilbildung, Datenweitergabe oder langfristige Speicherung
Gekoppelte Einwilligung verstößt gegen DSGVO Art. 7

Profiling und automatisierte Entscheidungen

Keine Angaben zu Profiling oder automatisierten Entscheidungen (z. B. Matchmaking, Moderation)
Keine Hinweise auf Nutzerrechte nach DSGVO Art. 22

Was bedeutet das für Nutzer?

Pauschale Behauptungen, Produkte seien allein aufgrund der Datenschutzrichtlinie "Spyware", sind rechtlich riskant. Besonders dann, wenn die betroffenen Produkte die behaupteten Datenverarbeitungen nachweislich nicht durchführen.

Aus Sicht des Datenschutzrechts, Wettbewerbsrechts und Zivilrechts bergen solche Aussagen ein erhebliches Risiko von Rechtsverletzungen, insbesondere wenn sie nicht objektiv belegbar sind.

[EN] 2K - Misleading "spyware" hype on Steam

ペンギン — Sat, 07 Jun 2025 14:04:13 +0000

In June 2025, Borderlands 2 was once again critically reviewed by 2K Games in the wake of the "spyware hype wave" on Steam after suspicions arose that the game contained spyware.

As is often the case, people neither read nor understand (nor want to understand) what actually happened, resulting in countless factually incorrect reviews.

The background is that 2K has changed its "Terms of Service", which are, to put it mildly, anti-consumer.

Many Steam users infer from this that the game contains spyware and refer to Take-Two Interactive's privacy policy. The relevant version is available at https://www.take2games.com/privacy/en-US/

There, users often quote the "Categories of Information Collected" section and claim that the respective game collects exactly this data. Without context or technical proof.

Quote:

Categories of Information Collected
The type of information we collect depends on how you use the Services. Generally, we collect the following information:
Identifiers / Contact Information: Name, user name, gamertag, postal and email address, phone number, unique IDs, mobile device ID, platform ID, gaming service ID, advertising ID (IDFA, Android ID) and IP address
Protected Characteristics: Age and gender
Commercial Information: Purchase and usage history and preferences, including gameplay information
Billing Information: Payment information (credit / debit card information) and shipping address
Internet / Electronic Activity: Web / app browsing and gameplay information related to the Services; information about your online interaction(s) with the Services or our advertising; and details about the games and platforms you use and other information related to installed applications
Device and Usage Data: Device type, software and hardware details, language settings, browser type and version, operating system, and information about how users use and interact with the Services (e.g., content viewed, pages visited, clicks, scrolls)
Profile Inferences: Inferences made from your information and web activity to help create a personalized profile so we can identify goods and services that may be of interest
Audio / Visual Information: Account photos, images, and avatars, audio information via chat features and functionality, and gameplay recordings and video footage (such as when you participate in playtesting)
Sensitive Information: Precise location information (if you allow the Services to collect your location), account credentials (user name and password), and contents of communications via chat features and functionality.

However, this interpretation by users is incorrect.

This information is of a general nature and refers to all 2K services and NOT specifically to a single game. The fact that this section is often copied and called "spyware" does not make the false claim any more accurate.

2K, or Take 2 Interactive, also makes it easy for itself in this respect with copy/paste terms of use on the respective Steam product page.

The game Borderlands 2 was tested to verify the actual data collected.

Since the data collection and server interactions work similarly/similarly for many 2K titles, the results can often be generalized and thus easily reproduced.

What does the product (e.g., Borderlands 2) collect?

Many 2K games include a forced online mode, which often includes telemetry services, advertising and other non-essential features.

Data examples Borderlands 2 v1.0.257.2863302

Advertising via CDN and news servers
Consent verification (terms accepted or not, linked to online features)
Country detection, user-language, AccountUID, ShiftAccount, ShiftPlatformID, ShiftServiceID, CrossplayID, entitlements, NAT type, performance and connection metrics (e.g. Max Retry Attempts, HttpTimeouts, Endpoint URLs, client ping)
Patch entries per character, friend sync, chat, session SSID, already unlocked Shift codes with timestamps, etc.

Server data that enables unique identification or may be critical:

GUID
Session cookie (in-game terms acceptance)
Display name
Build identifier
Connection metrics

Other services involved are:

Turn-Server (Xirsys, Google)
Amazon Cloudfront, Amazon EC2, AWS Global Accelerator

What is problematic about the Terms of Service?

From Boderlands 2 Steam Storepage:
http://store.steampowered.com/eula/49520_eula_0

Lack of Transparency in Data Processing

No clear specification of what personal data is collected, for what purpose, and who third-party recipients are.
Violates GDPR Articles 5(1)(a) and 13.

Data Transfers to Third Countries

U.S. location of Take-Two mentioned, but lacks details on legal basis or safeguards (e.g. SCCs).
Potential violation of Articles 44–49 GDPR post-Schrems II.

Consent from Minors

No actual mechanism to verify parental consent.
No technical safeguards to prevent data collection from minors.
Contravenes Article 8 GDPR.

Purpose Limitation

Data processing purposes are vague or too broad.
No guarantee against misuse for unrelated purposes (e.g. profiling, advertising).
Violates Article 5(1)(b) GDPR.

Insufficient Legal Basis for Data Use

No clear legal basis for profiling, data sharing, or long-term data retention.
Bundled consent violates Article 7 GDPR.

Profiling and Automated Decision-Making

No mention of profiling or automated decisions (e.g. matchmaking, moderation).
No reference to user rights under Article 22 GDPR.

What This Means for Users?

Making sweeping and repeated claims that products are automatically “spyware” based solely on the referenced privacy policy is legally risky. Especially when the specific products in question do not actually perform the described data processing activities.

From the perspectives of data protection law, competition law and civil law, such claims pose a significant risk of legal violations, particularly when they lack an objective factual basis.

[EN|DE] How much surveillance would you like?

ペンギン — Tue, 03 Jun 2025 16:31:08 +0000

The European Commission has launched a new initiative to assess the impact of data retention rules for service providers in the context of criminal proceedings. The aim is to develop a balanced and effective EU-level approach that enables law enforcement authorities to access essential metadata in a timely manner.

Since there is currently no harmonised legal framework across the EU, differing national laws create uncertainty for service providers and hinder cross-border criminal investigations.

Your opinion matters:
Citizens, organisations, and businesses are invited to provide feedback on this initiative until 18 June 2025. All contributions will be made publicly available and taken into account in further developing the proposal.

Link at the end of the announcement

Note:

Unfortunately, the survey has received very few responses so far, even though it is critically important and the timeframe is very tight. Please note: Login is required.
Multilingual: The language for the survey as well as the linked documents can be selected via the menu in the top right corner.

[DE]

Die Europäische Kommission hat eine neue Initiative gestartet, um die Auswirkungen von Vorschriften zur Vorratsdatenspeicherung durch Dienstanbieter im Zusammenhang mit Strafverfahren zu bewerten. Ziel ist es, einen ausgewogenen und wirksamen Ansatz auf EU-Ebene zu entwickeln, der es Ermittlungsbehörden ermöglicht, rechtzeitig auf wichtige Metadaten zuzugreifen.

Da es derzeit keinen einheitlichen Rechtsrahmen in der EU gibt, führen unterschiedliche nationale Regelungen zu Unsicherheiten für Anbieter und erschweren die grenzüberschreitende Strafverfolgung.

Eure Meinung ist gefragt:
Noch bis zum 18. Juni 2025 können Bürgerinnen und Bürger, Organisationen und Unternehmen Feedback zu dieser Initiative abgeben. Alle Beiträge werden öffentlich zugänglich gemacht und fließen in die weitere Ausarbeitung ein.

Hinweise:

Leider hat die Umfrage bisher nur sehr wenige Teilnahmen erhalten, obwohl sie von entscheidender Bedeutung ist und der Zeitraum für Rückmeldungen ist sehr knapp bemessen. Achtung: Eine Anmeldung ist erforderlich.
Mehrsprachig: Die Sprache der Umfrage sowie der verlinkten Dokumente kann über das Menü oben rechts ausgewählt werden.

Source / Quelle
https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14680-Impact-assessment-on-retention-of-data-by-service-providers-for-criminal-proceedings-_en

[EN|DE] Cookies on a Diet? - Kekse auf Diät?

ペンギン — Fri, 23 May 2025 11:31:54 +0000

Revolution in the Land of Baked Goods, or Just a Storm in a Teacup?

The Administrative Court of Hanover has ruled that cookie banners must include a clearly visible "Reject all" button if they offer an "Accept all" option (ruling from March 19, 2025).

The court supported the view of Lower Saxony’s data protection officer, Denis Lehmkemper, who had taken legal action against a manipulatively designed banner used by the newspaper Neue Osnabrücker Zeitung (NOZ). According to Lehmkemper, the ruling sends a clear signal for more transparency and real user choice when it comes to data privacy online.

Especially considering possible future lawsuits, fines and audits by data protection authorities.

--

How this requirement will be implemented technically is still unclear. Ideally, personal data should only be collected after users give their clear consent,not already during the full loading of a website or game, before the cookie banner even appears.

No changes have been made on the NOZ website so far and currently, around 40 third-party services are contacted before users have fully loaded the page.

It also remains unclear whether and how this regulation will apply to video games in addition to websites, as same consent mechanisms and involved third-party providers are often used there as well, frequently under the guise of "legitimate interest". It could become particularly interesting in the long run.

What do you think about the ruling? What's your take on it? And what would you like to see happen in that regard?

Linked sources at the end of the announcement

Revolution im Land der Dauerbackwaren oder nur Sturm im Wasserglas?

Das Verwaltungsgericht Hannover hat entschieden, dass Cookie-Banner einen gut sichtbaren "Alles ablehnen"-Button enthalten müssen, wenn auch eine "Alle akzeptieren"-Option angeboten wird (Urteil vom 19. März 2025).

Damit bestätigte das Gericht die Auffassung des niedersächsischen Datenschutzbeauftragten Denis Lehmkemper, der gegen ein manipulativ gestaltetes Banner der Neuen Osnabrücker Zeitung (NOZ) vorgegangen war. Laut Lehmkemper sendet das Urteil ein klares Signal für mehr Transparenz und echte Wahlmöglichkeiten beim Datenschutz im Internet.

Insbesondere mit Blick auf mögliche künftige Klagen, Bußgelder und Prüfungen durch Datenschutzbehörden.

--

Wie diese Vorgabe technisch umgesetzt werden soll, ist bislang unklar. Idealerweise sollten personenbezogene Daten erst dann erhoben werden, wenn Nutzer ausdrücklich eingewilligt haben und nicht bereits beim vollständigen Laden der Webseite, bevor das Cookie-Banner überhaupt erscheint.

Auf den Seiten der NOZ ist auch noch keine Änderung zu sehen und es werden derzeit ca. 40 Drittanbieterwerbedienste kontaktiert, bevor Anwender die Seite vollständig geladen haben.

Ebenfalls offen bleibt die Frage, ob und wie diese Regelung neben Webseiten auch Videospiele betreffen wird, da auch dort häufig gleiche Einwilligungsmechanismen und involvierte Anbieter zum Einsatz kommen. Oftmals unter dem Deckmantel des "berechtigten Interesses". Könnte auf Dauer spannend werden.

Was haltet ihr von dem Urteil? Wie ist eure Einschätzung? Und was würdet ihr euch in diesem Zusammenhang wünschen?

Sources/Quellen

EN:
https://www.heise.de/en/news/Administrative-court-Cookie-banner-must-contain-Reject-all-button-10390520.html

DE:
https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/urteil-zu-manipulativem-cookie-banner-alles-ablehnen-schaltflache-ist-ein-muss-241960.html
https://www.heise.de/news/Verwaltungsgericht-Cookie-Banner-muss-Alles-ablehnen-Button-enthalten-10390388.html