800000 Spie­ler­konten offen­ge­legt: Was bedeutet Regu­lie­rung?

Die deut­sche Glücks­spiel­auf­sichts­be­hörde hat den Spie­ler­schutz wieder­holt in den Mittel­punkt des regu­lierten Onlin­e­glücks­spiel­mo­dells des Landes gestellt. Dieses Verspre­chen lässt sich im Prinzip leicht unter­stützen. Die größere Heraus­for­de­rung entsteht jedoch, wenn ein großer, lizen­zierter Markt­teil­nehmer mit einem schwer­wie­genden Vorfall im Zusam­men­hang mit Spie­ler­daten in Verbin­dung gebracht wird und sich die öffent­liche Reak­tion offenbar mehr auf tech­ni­sche Abhil­fe­maß­nahmen als auf die tiefer­ge­hende Frage nach der Zuver­läs­sig­keit der Regu­lie­rung konzen­triert.

Der Vorfall im Zusam­men­hang mit der Daten­si­cher­heit bei Merkur und The Mill Adven­ture sollte nicht nur als tech­no­lo­gi­sches Problem betrachtet werden. Er betrifft unmit­telbar die Glaub­wür­dig­keit des deut­schen Lizen­zie­rungs­rah­mens, denn die Regu­lie­rung des Onlin­e­glücks­spiels hängt vom Vertrauen in Iden­ti­täts­prü­fungen, Zahlungs­ab­läufe, Platt­form­si­cher­heit, Über­wa­chungs­sys­teme und den Schutz sensi­bler Spie­ler­daten ab. Wenn diese Systeme in großem Umfang versagen, geht es nicht nur darum, ob eine Sicher­heits­lücke geschlossen wurde. Die Frage ist viel­mehr, ob der Betreiber, die Liefe­ran­ten­struktur und die behörd­liche Aufsicht weiterhin den nach deut­schem Recht erwar­teten Zuver­läs­sig­keits­stan­dard erfüllen.

Öffent­li­chen Berichten über den Vorfall zufolge sollen Daten von Hundert­tau­senden von Spie­lern auf mit Merkur verbun­denen deut­schen Glücks­spiel­seiten offen­ge­legt worden sein. iGaming Busi­ness berich­tete, dass die Cyber­si­cher­heits­for­scherin Lilith Witt­mann angab, über eine GraphQL-Abfrage Zugriff auf hoch­sen­sible Spie­ler­daten erhalten zu haben, darunter Bank­daten und Anmel­de­infor­ma­tionen, und dass die Daten zu Konten bei Slot­magie, Crazy­buzzer und Merkur­bets gehörten. Derselbe Bericht führte an, dass sie eine Meldung bei der GGL einge­reicht habe und erklärte, der Vorfall habe den Zugriff auf Daten von mehr als 800.000 Personen ermög­licht.

Das sind keine neben­säch­li­chen Fakten. In einem Glücks­spiel­markt, in dem der Spie­ler­schutz die öffent­liche Recht­fer­ti­gung für strenge Lizen­zie­rung ist, sollte die Offen­le­gung von Spieler-IDs, Zahlungs­sta­tis­tiken, Limit­ver­läufen und Zahlungs­pro­filen Fragen aufwerfen, die weit über die übliche IT-Compli­ance hinaus­gehen. Laut iGaming Busi­ness hieß es in der Warnung der GGL, dass die Anbieter ihrer Verpflich­tung zur Durch­füh­rung eines jähr­li­chen Pene­tra­ti­ons­tests nicht nach­ge­kommen seien, was zu einem Mangel an Sicher­heit für Spie­ler­daten auf der Slot­magie-Domain geführt habe.

Warum es in diesem Fall um Zuver­läs­sig­keit geht, nicht nur um Cyber­si­cher­heit

Cyber­si­cher­heit wird oft als ein Fach­thema behan­delt, das von der Lizen­zie­rung und der Markt­in­te­grität getrennt ist. Diese Unter­schei­dung ist im Onlin­e­glücks­spiel zu bequem. Eine Glücks­spiel­platt­form ist nicht einfach nur eine Website mit Unter­hal­tungs­in­halten. Es handelt sich um eine risi­ko­reiche Umge­bung für Finanz- und Verhal­tens­daten, in der Spieler Iden­ti­täts­do­ku­mente, Zahlungs­in­for­ma­tionen, persön­liche Angaben, Wett­ak­ti­vi­täten und Limit­ein­stel­lungen über­mit­teln.

Der deut­sche Rechts­rahmen trägt dem durch seine Lizen­zie­rungs­ar­chi­tektur Rech­nung. § 4a GlüStV verlangt erwei­terte Zuver­läs­sig­keit, Offen­le­gung von Eigen­tums- und Betei­li­gungs­struk­turen, recht­mä­ßige Herkunft der Gelder, ausrei­chende finan­zi­elle Leis­tungs­fä­hig­keit, Trans­pa­renz des Betriebs, Über­wach­bar­keit des Vertriebs­netzes und Echt­zeit-Schnitt­stellen zur Über­prü­fung der Glücks­spiel­ak­ti­vi­täten. Außerdem wird verlangt, dass der Glücks­spiel­be­trieb ordnungs­gemäß und in einer für Spieler und die Geneh­mi­gungs­be­hörde nach­voll­zieh­baren Weise durch­ge­führt werden kann.

Diese Formu­lie­rung ist entschei­dend. Zuver­läs­sig­keit beschränkt sich nicht darauf, ob ein Unter­nehmen über eine deut­sche Lizenz, eine aner­kannte Marke oder eine makel­lose PR-Erklä­rung verfügt. Sie umfasst die prak­ti­sche Fähig­keit, Glücks­spiele sicher, trans­pa­rent und unter wirk­samer Aufsicht zu betreiben. Wenn angeb­lich aufgrund einer verletzten Sicher­heits­pflicht in großem Umfang auf sensible Spie­ler­daten zuge­griffen werden kann, wird die Frage der Zuver­läs­sig­keit unum­gäng­lich.

Das bedeutet nicht, dass jeder Sicher­heits­vor­fall auto­ma­tisch zum Entzug der Lizenz führen sollte. Kein seriöses Regu­lie­rungs­system kann auf auto­ma­ti­schen Sank­tionen ohne eine sach­be­zo­gene Prüfung basieren. Doch ein Fall, bei dem es um Hundert­tau­sende von Spie­ler­daten, den mutmaß­li­chen Zugriff auf sensible perso­nen­be­zo­gene und zahlungs­be­zo­gene Daten sowie die gemel­dete Nicht­durch­füh­rung jähr­li­cher Sicher­heits­tests geht, sollte eine öffent­liche Diskus­sion über die Lizen­zie­rung auslösen und nicht nur mit einer tech­ni­schen Abschluss­notiz abgetan werden.

Spie­ler­schutz darf nicht bei der Sucht­prä­ven­tion Halt machen

Die deut­sche Glücks­spiel­re­gu­lie­rung konzen­triert sich oft auf Einzah­lungs­li­mits, OASIS, LUGAS, Werbe­be­schrän­kungen und Einschrän­kungen bei der Produkt­ge­stal­tung. Das sind wich­tige Bestand­teile des Spie­ler­schutzes. Aber sie sind nicht das ganze Bild.

Die GGL gibt an, dass ihre zentrale Aufgabe darin besteht, den deut­schen Onlin­e­glücks­spiel­markt zu regu­lieren, indem sie bundes­weit Onlin­e­glücks­spiel­an­ge­bote prüft und geneh­migt, sicher­stellt, dass zuge­las­sene Anbieter die Vorschriften zum Schutz der Spieler vor Spiel­sucht und Mani­pu­la­tion einhalten, sowie ille­gales Glücks­spiel und ille­gale Werbung bekämpft. Außerdem heißt es, dass der Jugend- und Spie­ler­schutz sowie die Präven­tion von Glücks­spiel- und Wett­ab­hän­gig­keit im Mittel­punkt ihres Handelns stehen.

Diese öffent­liche Darstel­lung begründet eine umfas­sen­dere Glaub­wür­dig­keits­pflicht. Wenn die Aufsichts­be­hörde dem Markt signa­li­siert, dass der Spie­ler­schutz im Mittel­punkt steht, muss auch die Sicher­heit der Spie­ler­daten als zentraler Aspekt behan­delt werden. Ein Spieler, dessen Ausweis­do­ku­mente, Zahlungs­daten, Spiel­ver­lauf oder Infor­ma­tionen zu Einsatz­li­mits offen­ge­legt werden, wurde in keinem sinn­vollen Sinne geschützt – selbst wenn die Produkt­re­geln und Systeme zur Begren­zung von Einzah­lungen tech­nisch vorhanden sind.

Die eigenen Infor­ma­tionen der GGL zum Spie­ler­schutz besagen, dass Anbieter im Rahmen des Lizen­zie­rungs­ver­fah­rens umfang­reiche Anfor­de­rungen nach­weisen müssen und dass die Einhal­tung dieser Anfor­de­rungen regel­mäßig sowie ereig­nis­be­zogen über­prüft wird. Außerdem werden darin Konzepte aufge­führt, die vorge­legt werden müssen, darunter Konzepte zu IT, Vertrieb, Geld­wä­sche­be­kämp­fung, wirt­schaft­li­cher Trag­fä­hig­keit und Zahlungs­ab­wick­lung. Das macht es schwierig, einen schwer­wie­genden IT-Sicher­heits­vor­fall vom über­ge­ord­neten Rahmen­werk für Lizen­zie­rung und Zuver­läs­sig­keit zu trennen.

Beson­ders heikel ist die Frage des jähr­li­chen Pene­tra­ti­ons­tests

Die gemel­dete Nicht­ein­hal­tung der Verpflich­tung zu einem jähr­li­chen Pene­tra­ti­ons­test ist einer der wich­tigsten Aspekte dieses Falls. Ein Pene­tra­ti­ons­test ist kein exoti­sches Extra. Es handelt sich um eine grund­le­gende Sicher­heits­maß­nahme, die darauf abzielt, Schwach­stellen zu iden­ti­fi­zieren, bevor sie zu tatsäch­li­chen Sicher­heits­ri­siken werden. Im Onlin­e­glücks­spiel, wo Platt­formen sensible Verhaltens‑, Finanz- und Iden­ti­täts­daten verar­beiten, ist diese Art von Test in jeder seriösen Compli­ance-Kultur unver­zichtbar.

Laut iGaming Busi­ness hieß es in der Warnung der GGL, dass The Mill Adven­ture, Cash­point Malta und Solis Ortus Service die Verpflich­tung zum jähr­li­chen Pene­tra­ti­ons­test nicht erfüllt hätten, was zu unzu­rei­chender Sicher­heit für Spie­ler­daten auf Slot­magie geführt habe. Demselben Bericht zufolge wurde The Mill Adven­ture eine Frist bis Juni einge­räumt, um den Mangel zu beheben und seiner Verpflich­tung nach­zu­kommen, während die GGL angab, die Verstöße gegen die Vorschriften seien inzwi­schen behoben worden.

Damit stellt sich eine offen­sicht­liche Frage für den Markt: Wenn die Verpflich­tung bestand, wenn sie nicht erfüllt wurde und wenn die Nicht­er­fül­lung zu unzu­rei­chender Sicher­heit der Spie­ler­daten beitrug, warum wurden dann in der öffent­li­chen regu­la­to­ri­schen Diskus­sion die lizenz­recht­li­chen Konse­quenzen nicht deut­li­cher ange­spro­chen? Eine Anfor­de­rung, die erst dann von Bedeu­tung ist, wenn sie nicht erfüllt wird, reicht nicht aus. Eine Anfor­de­rung, deren flächen­de­ckende Nicht­ein­hal­tung keine sicht­baren Konse­quenzen nach sich zieht, läuft Gefahr, eher wie reine Büro­kratie als wie Aufsicht zu wirken.

Es geht hier erneut nicht darum, zu argu­men­tieren, dass die Aufsichts­be­hörde eine bestimmte Sank­tion hätte verhängen müssen. Der Punkt ist, dass die Öffent­lich­keit die Argu­men­ta­tion nicht nach­voll­ziehen kann. Wurde die Ange­le­gen­heit eher als Versagen eines Anbie­ters denn als Problem der Zuver­läs­sig­keit des Betrei­bers behan­delt? Wurde der Betreiber als ausrei­chend vom Platt­form­an­bieter getrennt betrachtet? Hat die GGL geprüft, ob Lizenz­be­din­gungen, Sicher­heits­kon­zepte oder Verpflich­tungen hinsicht­lich sicherer Server unter­graben wurden? Das sind keine feind­se­ligen Fragen. Es sind die normalen Fragen, die ein regu­lierter Markt stellen können sollte.

Die Anbie­ter­frage darf nicht zum Deck­mantel werden

Das moderne Onlin­e­glücks­spiel basiert auf Bezie­hungen zu Anbie­tern. Betreiber nutzen Platt­form­an­bieter, Zahlungs­dienst­leister, KYC-Anbieter, Daten­sys­teme, Marke­ting­partner und Tech­no­lo­gien von Dritt­an­bie­tern. Dies macht die regu­la­to­ri­sche Verant­wor­tung zwar komplexer, sollte sie aber nicht schwä­chen.

Die „Times of Malta“ berich­tete, dass Witt­mann angab, sie habe die GGL infor­miert, woraufhin diese öffent­liche Warnungen an „The Mill Adven­ture“, „Solis Ortus Service Ltd“ und „Cash­point Malta Ltd“ im Zusam­men­hang mit der Sicher­heits­lücke herausgab. Demselben Bericht zufolge hatten alle drei Unter­nehmen der Warnung Folge geleistet und die erfor­der­li­chen Sicher­heits­tests durch­ge­führt, wie auf der Website der GGL zu lesen ist.

Das mag zwar einen Teil des Problems der tech­ni­schen Konfor­mität lösen, löst jedoch nicht das Problem der regu­la­to­ri­schen Rechen­schafts­pflicht. Wenn ein lizen­ziertes Glücks­spiel­an­gebot auf einen Anbieter ange­wiesen ist, dessen Systeme so versagen, dass Spie­ler­daten offen­ge­legt werden, hat der Markt das Recht zu fragen, wie sich dies auf die Zuver­läs­sig­keit des Lizenz­in­ha­bers auswirkt. Ein Betreiber kann nicht vernünf­ti­ger­weise bei der Bean­tra­gung einer Lizenz vom Fach­wissen des Anbie­ters profi­tieren, dann aber das Versagen des Anbie­ters als von seiner eigenen regu­la­to­ri­schen Eignung losge­löst behan­deln, wenn etwas schief­geht.

Dies ist beson­ders wichtig, wenn die betrof­fenen, öffent­lich bekannten Marken den Spie­lern gut bekannt sind. Spieler erleben den Markt nicht durch vertrag­liche Unter­schei­dungen im Backend. Sie zahlen Geld bei einer Marke ein, geben Iden­ti­täts­daten an, legen Limits fest, erhalten Marke­ting­mit­tei­lungen und vertrauen darauf, dass das lizen­zierte Angebot sicher ist. Wenn die zugrunde liegende Verein­ba­rung mit dem Anbieter versagt, sind die Auswir­kungen auf die Spieler dennoch real.

Warum die Trans­pa­renz­lücke so seltsam ist

Die offi­zi­elle White­list der GGL ist wichtig, weil sie den Spie­lern zeigt, welche Anbieter im Rahmen der deut­schen Rechts­lage über Geneh­mi­gungen oder Konzes­sionen verfügen. Die GGL beschreibt die White­list als die offi­zi­elle Über­sicht über zuge­las­sene Glücks­spiel­an­bieter und veröf­fent­licht sie im Rahmen des Staats­ver­trags.

Diese öffent­liche Liste hat Gewicht. Sie gibt Spie­lern, Zahlungs­an­bie­tern, Medi­en­part­nern, Affi­liates und Wett­be­wer­bern die Gewiss­heit, dass ein Anbieter Teil des regu­lierten Systems ist. Doch der Wert der White­list hängt von mehr ab als nur dem Zeit­punkt der Lizenz­er­tei­lung. Er hängt von der Über­zeu­gung ab, dass lizen­zierte Anbieter auch nach der Ertei­lung der Geneh­mi­gung einer sinn­vollen Aufsicht unter­liegen.

Wenn ein schwer­wie­gender Vorfall öffent­lich gemeldet wird und die Reak­tion der Aufsichts­be­hörde nicht eindeutig mit der Zuver­läs­sig­keit, einer Lizenz­über­prü­fung oder weiter­rei­chenden aufsichts­recht­li­chen Konse­quenzen verknüpft ist, entsteht eine Trans­pa­renz­lücke. Der Markt nimmt den Verstoß wahr. Der Markt nimmt die Warnungen wahr. Der Markt nimmt wahr, dass die Ange­le­gen­heit mögli­cher­weise als geklärt darge­stellt wurde. Was er nicht wahr­nimmt, ist, ob der Vorfall die Einschät­zung der Aufsichts­be­hörde hinsicht­lich der Zuver­läs­sig­keit, der betrieb­li­chen Eignung oder künf­tiger Lizenz­be­din­gungen verän­dert hat.

Dieses Fehlen ist von Bedeu­tung, denn Vertrauen in die Aufsicht entsteht nicht durch Schweigen. Es entsteht durch sicht­bare Vorge­hens­weisen. Eine Aufsichts­be­hörde muss nicht jedes vertrau­liche Detail offen­legen, sollte aber in der Lage sein, die Grund­sätze zu erläu­tern, die ihr Vorgehen leiten, wenn schwer­wie­gende Versäum­nisse beim Spie­ler­schutz auftreten.

Klei­nere Betreiber werden den Unter­schied bemerken

Dieser Fall wird noch heikler, wenn man ihn vor dem Hinter­grund des gesamten deut­schen Marktes betrachtet. Klei­nere, umstrit­tene oder poli­tisch weniger gut vernetzte Betreiber können mit harten Konse­quenzen rechnen, wenn Fragen zur Zuver­läs­sig­keit, zur Eigen­tü­mer­schaft, zur finan­zi­ellen Leis­tungs­fä­hig­keit oder zu angeb­li­chen Verhal­tens­weisen in der Vergan­gen­heit aufkommen. In solchen Fällen kann die Unsi­cher­heit hinsicht­lich der Lizenz­ver­gabe wirt­schaft­lich verhee­rende Auswir­kungen haben, lange bevor ein Gericht oder ein öffent­li­ches Verfahren den Sach­ver­halt voll­ständig geklärt hat.

Deshalb ist der Vorfall um Merkur und The Mill Adven­ture über die betei­ligten Unter­nehmen hinaus von Bedeu­tung. Wenn ein Vorfall im Zusam­men­hang mit einer großen Marke, bei dem angeb­lich sensible Spie­ler­daten offen­ge­legt wurden, haupt­säch­lich als beho­benes tech­ni­sches Problem behan­delt wird, während andere Betreiber aufgrund allge­mei­nerer Bedenken hinsicht­lich ihrer Zuver­läs­sig­keit unter starkem Druck stehen, wird der Markt unwei­ger­lich in Frage stellen, ob Größe und Markt­po­si­tion die Ernst­haf­tig­keit der Aufsicht beein­flussen.

Die recht­lich vorsich­tige Antwort könnte lauten, dass es sich um unter­schied­liche Fälle handelt. Sie können unter­schied­liche Sach­ver­halte, unter­schied­liche Rechts­träger, unter­schied­liche Lizenz­ka­te­go­rien, unter­schied­liche Verfah­rens­sta­dien und unter­schied­liche Rechts­grund­lagen betreffen. Das mag alles zutreffen. Doch Konsis­tenz erfor­dert keine iden­ti­schen Ergeb­nisse. Sie erfor­dert einen erkenn­baren Maßstab, der aufzeigt, wie die Aufsichts­be­hörde vom Sach­ver­halt zu den Konse­quenzen gelangt.

Wenn derselbe Begriff der Zuver­läs­sig­keit in einem Fall weit ausge­legt und in einem anderen eng gefasst wird, leidet das Vertrauen. Wenn Zuver­läs­sig­keit für manche Betreiber das bishe­rige Verhalten, die Trans­pa­renz der Eigen­tums­ver­hält­nisse und die finan­zi­elle Leis­tungs­fä­hig­keit umfasst, sollte sie für große lizen­zierte Marken auch die Kontrolle der Tech­no­logie, die Daten­si­cher­heit und die Über­wa­chung der Liefe­ranten einschließen. Andern­falls wirkt Zuver­läs­sig­keit weniger wie ein recht­li­cher Maßstab und eher wie ein selek­tives Regu­lie­rungs­in­stru­ment.

Die unge­löste Frage für Deutsch­land

Deutsch­lands Glücks­spiel­markt wurde online nicht lega­li­siert, damit große Namen eine lasche Aufsicht genießen können. Er wurde unter restrik­tiven Bedin­gungen lega­li­siert, weil der Staat argu­men­tierte, dass Kana­li­sie­rung, Spie­ler­schutz und kontrol­lierte Aufsicht einen siche­reren Markt schaffen würden als ein Verbot oder ein unkon­trol­lierter Schwarz­markt. Auf der eigenen Seite mit recht­li­chen Infor­ma­tionen der GGL heißt es, dass der GlüStV 2021 die Grund­lage für ihr Handeln bildet, und es werden die Ziele des Vertrags aufge­führt, darunter die Präven­tion von Spiel­sucht, die Kana­li­sie­rung des Glücks­spiels in geord­nete und beauf­sich­tigte Bahnen, der Schutz von Jugend­li­chen und Spie­lern sowie die Gewähr­leis­tung einer ordnungs­ge­mäßen Durch­füh­rung des Glücks­spiels.

Ein schwer­wie­gender Vorfall im Zusam­men­hang mit Spie­ler­daten stellt dieses Modell auf die Probe. Er wirft die Frage auf, ob es dem deut­schen System nur um Verhal­tens­be­schrän­kungen geht oder auch um die tech­ni­sche und orga­ni­sa­to­ri­sche Sicher­heit, die Onlin­e­glücks­spiele in der Praxis sicher macht. Er wirft zudem die Frage auf, ob die Reak­tion der Regu­lie­rungs­be­hörde je nach Markt­po­si­tion des betrof­fenen Anbie­ters unter­schied­lich ausfällt.

Es mag gute Gründe geben, warum die GGL den Fall so behan­delt hat, wie sie es getan hat. Mögli­cher­weise gab es Abhil­fe­maß­nahmen, vertrau­liche Bewer­tungen, recht­liche Einschrän­kungen und anbie­ter­spe­zi­fi­sche Über­le­gungen, die von außen nicht sichtbar sind. Doch wenn die öffent­lich bekannten Fakten die mutmaß­liche Offen­le­gung von mehr als 800.000 Spie­ler­daten und ein gemel­detes Versäumnis bei der Erfül­lung der jähr­li­chen Sicher­heits­prü­fungs­ver­pflich­tungen umfassen, lässt sich das Fehlen einer sicht­ba­reren Debatte über die Lizenz­über­prü­fung kaum igno­rieren.

Der Markt braucht kein Theater. Er braucht keine symbo­li­schen Strafen. Er muss verstehen, ob der Spie­ler­schutz auch dann noch regu­la­to­ri­sche Konse­quenzen nach sich zieht, wenn das Versagen mit einem großen Namen in Verbin­dung steht.

Unsere abschlie­ßenden Gedanken und Schluss­fol­ge­rungen

Der Daten­si­cher­heits­vor­fall bei Merkur und The Mill Adven­ture ist nicht nur eine Cyber-Geschichte. Es ist eine Geschichte über Zuver­läs­sig­keit, eine Geschichte über den Spie­ler­schutz und ein Test für die Konsis­tenz der Regu­lie­rung auf dem lizen­zierten Glücks­spiel­markt in Deutsch­land.

Wenn der Spie­ler­schutz wirk­lich im Mittel­punkt der deut­schen Glücks­spiel­re­gu­lie­rung steht, dann darf die mutmaß­liche Offen­le­gung sensi­bler Spie­ler­daten in diesem Ausmaß nicht als gering­fü­giges tech­ni­sches Problem behan­delt werden. Es geht nicht nur darum, ob eine Sicher­heits­lücke behoben wurde. Es geht darum, ob der Vorfall eine ernst­hafte Bewer­tung der Betriebs­si­cher­heit, der Anbie­ter­auf­sicht, der Lizenz­be­din­gungen und der tatsäch­li­chen Bedeu­tung der Aufsicht ausge­löst hat.

Die deut­sche Aufsichts­be­hörde mag im Rahmen ihrer gesetz­li­chen Befug­nisse gehan­delt haben und Gründe haben, die für die Öffent­lich­keit nicht voll­ständig ersicht­lich sind. Doch der Markt hat das Recht zu fragen, warum ein solcher Fall nicht zu einer klareren öffent­li­chen Diskus­sion über die Zuver­läs­sig­keit von Lizenzen geführt hat. Wenn klei­nere oder umstrit­te­nere Betreiber einer strengen Prüfung unter­zogen werden, sollte es nicht so aussehen, als würden große, lizen­zierte Namen eine mildere Ausle­gung der Vorschriften erfahren.

Zuver­läs­sig­keit muss mehr bedeuten als nur die Aufnahme in eine White­list. Sie muss bedeuten, dass der Betreiber, die Tech­no­lo­gie­platt­form, die Liefe­ran­ten­be­zie­hungen und die Sicher­heits­kon­trollen stark genug sind, um die Spieler in der Praxis zu schützen. Wird dieser Grund­satz nicht sichtbar und einheit­lich ange­wendet, läuft die deut­sche Glücks­spiel­re­gu­lie­rung Gefahr, genau das Vertrauen zu unter­graben, das sie eigent­lich schaffen sollte.

Häufig gestellte Fragen

Was ist bei dem Daten­schutz­vor­fall bei Merkur und The Mill Adven­ture passiert?
Berichten zufolge wurden sensible Spie­ler­daten, die mit Glücks­spiel­seiten der Marke Merkur in Verbin­dung stehen, durch eine Sicher­heits­lücke offen­ge­legt, was Bedenken hinsicht­lich des Daten­schutzes und der behörd­li­chen Aufsicht in Deutsch­land aufkommen ließ.

Warum ist dieser Vorfall für die Regu­lie­rung des Onlin­e­glücks­spiels von Bedeu­tung?
Der Vorfall macht deut­lich, dass der Spie­ler­schutz über Maßnahmen zum verant­wor­tungs­vollen Glücks­spiel hinaus­geht und auch Cyber­si­cher­heit, Daten­schutz sowie den sicheren Umgang mit sensi­blen Kunden­daten umfasst.

Welche Rolle spielt die deut­sche Glücks­spiel­auf­sichts­be­hörde?
Die Aufsichts­be­hörde über­wacht lizen­zierte Onlin­e­glücks­spiel­an­bieter, sorgt für die Einhal­tung der Glücks­spiel­ge­setze, fördert verant­wor­tungs­be­wusstes Spielen und trägt dazu bei, dass die Anbieter die strengen Lizenz­an­for­de­rungen erfüllen.

Warum sind jähr­liche Pene­tra­ti­ons­tests für Glücks­spiel­an­bieter wichtig?
Pene­tra­ti­ons­tests decken Sicher­heits­lü­cken auf, bevor diese ausge­nutzt werden können, und helfen den Anbie­tern so, Spie­ler­daten zu schützen und die behörd­li­chen Sicher­heits­an­for­de­rungen zu erfüllen.

Führt ein Cyber­si­cher­heits­vor­fall auto­ma­tisch zum Entzug der Lizenz?
Nein. Die Aufsichts­be­hörden prüfen in der Regel jeden Fall indi­vi­duell und berück­sich­tigen dabei den Sach­ver­halt, die Schwere des Vorfalls, die Abhil­fe­maß­nahmen sowie die fort­lau­fende Einhal­tung der Vorschriften, bevor sie Durch­set­zungs­maß­nahmen ergreifen.

Warum ist die Über­wa­chung von Liefe­ranten im Onlin­e­glücks­spiel wichtig?
Lizen­zierte Anbieter sind häufig auf externe Tech­no­lo­gie­an­bieter ange­wiesen. Die Aufsichts­be­hörden erwarten von den Anbie­tern, dass sie sicher­stellen, dass ihre Liefe­ranten ange­mes­sene Sicher­heits- und Compli­ance­stan­dards einhalten.

Welche Arten von Spie­ler­daten können von einer Daten­panne betroffen sein?
Je nach Vorfall können zu den offen­ge­legten Infor­ma­tionen persön­liche Daten, Zahlungs­in­for­ma­tionen, Glücks­spiel­ak­ti­vi­täten, Konto­ver­läufe und Einstel­lungen zum verant­wor­tungs­vollen Glücks­spiel gehören.

Inwie­fern hängt der Spie­ler­schutz mit der Cyber­si­cher­heit zusammen?
Eine starke Cyber­si­cher­heit trägt dazu bei, die Iden­ti­täten der Spieler, ihre Finanz­daten und ihre Glücks­spiel­auf­zeich­nungen zu schützen, und ist somit ein wesent­li­cher Bestand­teil eines wirk­samen Spie­ler­schutzes.

Warum ist regu­la­to­ri­sche Trans­pa­renz nach einem Sicher­heits­vor­fall wichtig?
Eine klare Kommu­ni­ka­tion trägt dazu bei, das Vertrauen der Öffent­lich­keit aufrecht­zu­er­halten, indem erklärt wird, wie die Aufsichts­be­hörden Vorfälle bewerten, die Einhal­tung der Vorschriften durch­setzen und die Verbrau­cher schützen.

Welche allge­meine Lehre lässt sich aus diesem Fall für die Onlin­e­glücks­spiel­branche ziehen?
Der Fall zeigt, dass die Aufrecht­erhal­tung des Vertrauens der Spieler eine starke Cyber­si­cher­heit, ein effek­tives Liefe­ran­ten­ma­nage­ment und eine konse­quente Durch­set­zung der Vorschriften sowie Maßnahmen für verant­wor­tungs­be­wusstes Spielen erfor­dert.