Zwei Glücksspielbehörden 2026 gehackt: Welche Folgen hat das für Online-Poker?

Zwei Glücksspielbehörden in einem Jahr gehackt: Die Ereignisse im Überblick

Im März 2026 erklärte Lilith Wittmann öffentlich, für einen Hackerangriff auf das Webportal der Malta Gaming Authority (MGA) verantwortlich zu sein. Gleichzeitig teilte sie mit, die dabei erlangten Daten an Medienvertreter und zuständige Behörden weitergegeben zu haben.

Wittmann warf der maltesischen Glücksspielaufsicht vor, Strukturen zu begünstigen, die der organisierten Kriminalität Vorschub leisten könnten. Die MGA wies diese Anschuldigungen entschieden zurück und leitete rechtliche Schritte gegen die Sicherheitsexpertin ein. Dabei ging es sowohl um den unbefugten Zugriff auf die Datenbank als auch um die Veröffentlichung vertraulicher Informationen.

Während sich der Rechtsstreit hinzog und deutsche Ermittlungsbehörden die von Wittmann übergebenen Unterlagen auf mögliche Hinweise zur Förderung illegalen Glücksspiels untersuchten, setzte die Berlinerin ihre Arbeit fort.

Im September 2026 meldete sie schließlich einen weiteren erfolgreichen Hackerangriff. Diesmal war die Curaçao Gaming Authority (CGA) das Ziel.

Am 23. September ging zudem die Website casinosecrets.lol online. Dort konnten Interessierte die erbeuteten Informationen aus Malta und Curaçao mit Daten aus öffentlichen Registern in Malta, Zypern, Gibraltar und Curaçao abgleichen. Dafür genügte es, den Namen eines Glücksspielanbieters oder eine entsprechende Internetdomain einzugeben.

Die Plattform wurde kurz nach ihrer Veröffentlichung abgeschaltet. Wittmann reagierte jedoch umgehend und nahm sie erneut in Betrieb. Zusätzlich stellte sie unter curacaofiles.com eine Kopie der Datenbank bereit, sodass die Informationen weiterhin öffentlich zugänglich blieben.

Welche Informationen enthält die Datenbank? Aus mehr als 84.000 Dokumenten extrahierte Wittmann unter anderem Angaben zu Unternehmenseigentümern, sämtliche von Glücksspielanbietern im Rahmen ihrer Lizenzanträge eingereichten Unterlagen sowie Listen der Domains, die den jeweiligen Unternehmen zugeordnet sind. Hinzu kommen zahlreiche weitere geschäftliche und regulatorische Informationen.

Wie reagieren die Pokeranbieter auf die Datenlecks?

Die großen Akteure der Online-Pokerbranche haben sich bislang nicht öffentlich zu den beiden Hackerangriffen geäußert. Auch auf ihren Social-Media-Kanälen wurden die Vorfälle nicht thematisiert.

Gleichzeitig lief der Geschäftsbetrieb der Pokerrooms offenbar weitgehend ungestört weiter. Über das gesamte Jahr hinweg wurden umfangreiche Bonusaktionen, große Turnierserien und zahlreiche weitere Promotions angeboten. Zumindest nach außen gibt es damit keine Anzeichen dafür, dass die Datenlecks die finanzielle Lage der Anbieter beeinträchtigt hätten.

Dafür kommen vor allem zwei Erklärungen infrage.

Zum einen konzentriert sich Lilith Wittmanns Recherche in erster Linie auf Online-Casinos und Glücksspielunternehmen. Ihr besonderes Augenmerk gilt dabei den Schäden, die illegale oder zumindest fragwürdige Anbieter deutschen Verbrauchern zufügen könnten.

Deutschland gilt unter Pokerspielern seit Langem als schwieriger Markt. Insbesondere für regelmäßige Spieler sind die Rahmenbedingungen restriktiv. Hinzu kommen strenge Glücksspielvorschriften und eine Vergangenheit, in der Pokeranbieter selbst wegen vergleichsweise geringfügiger Verstöße mit rechtlichen Konsequenzen rechnen mussten.

Vor diesem Hintergrund ist durchaus denkbar, dass die veröffentlichten Dokumente schlicht keine belastenden Informationen über die Pokerrooms selbst enthalten.

Zum anderen fehlt bislang ein entscheidender Punkt: Aus den geleakten Unterlagen wurden noch keine konkreten Beweise für kriminelle Machenschaften veröffentlicht.

Im Streit mit der maltesischen Glücksspielaufsicht konnte Wittmann zuletzt immerhin einen juristischen Teilerfolg erzielen. Sie erhielt das Recht, die beschafften Dokumente an Journalisten und Ermittlungsstellen weiterzugeben und sich öffentlich über den maltesischen Regulator zu äußern. Allerdings bleibt es ihr untersagt, erneut unbefugt in das Webportal der MGA einzudringen.

Anders sieht die Situation auf Curaçao aus. Hier ist seit dem Angriff noch nicht genügend Zeit vergangen, um die möglichen rechtlichen Folgen abschätzen zu können. Es erscheint durchaus möglich, dass auch diese Glücksspielbehörde gerichtlich gegen Wittmann vorgehen wird. Ob es tatsächlich dazu kommt und wie ein entsprechendes Verfahren ausgehen könnte, bleibt abzuwarten.

Bei der Bewertung dieser Ereignisse darf ein wesentlicher Aspekt nicht übersehen werden: Eine Glücksspiellizenz der MGA oder CGA zu besitzen, ist weder eine Straftat noch an sich rechtswidrig.

Darüber hinaus behalten die von beiden Behörden ausgestellten Lizenzen ihre Gültigkeit. Auch die veröffentlichten Daten sollten mit der notwendigen Vorsicht betrachtet werden. Die Datenbank gibt die Informationen so wieder, wie sie in den ursprünglichen Quellen vorgefunden wurden. Einzelne Angaben können daher veraltet, unvollständig oder schlicht fehlerhaft sein.

Poker-Netzwerke und ihre Skins, die über Lizenzen der Glücksspielbehörden von Malta oder Curaçao verfügen, dürfen ihre Dienste weiterhin im Rahmen der jeweiligen Genehmigungen legal anbieten. Das bedeutet allerdings nicht, dass diese Angebote automatisch in jedem Land genutzt werden dürfen.

Für Pokerspieler ist deshalb entscheidend, vor der Registrierung zu prüfen, in welchen Ländern und Rechtsräumen die jeweilige Lizenz tatsächlich gilt. Nur so lässt sich vermeiden, auf Glücksspielangebote zuzugreifen, die am eigenen Aufenthaltsort nicht legal bereitgestellt werden dürfen. Eine international anerkannte Lizenz ersetzt schließlich nicht die Einhaltung der nationalen Glücksspielgesetze.