Curaçao-Datenleck: Hackerin Lilith Wittmann droht mit Enthüllung der Casino-Hintermänner

Die Welt des Offshore-Glücksspiels bebt. Was jahrelang in den Hinterzimmern der karibischen Insel Curaçao als sicher galt, liegt nun offen auf den Servern einer deutschen Hackerin. Lilith Wittmann, bekannt für ihre digitalen Streifzüge durch Behördensysteme, hat den Zugriff auf die Curaçao Gaming Authority (CGA) öffentlich gemacht. Es ist kein kleiner Fischzug, sondern ein digitaler Kahlschlag, der die gesamte Branche der dort lizenzierten Online-Casinos in ihren Grundfesten erschüttert. Die Anonymität, mit der viele Betreiber bisher ihre Milliardenumsätze verschleierten, steht vor dem Ende.

Wittmann behauptet, sie habe sich bereits im Dezember 2025 Zugang verschafft und über neun Monate hinweg die Arbeit der Regulierungsbehörde in Echtzeit beobachtet. Dabei geht es nicht nur um technische Details, sondern um das Herzstück der Offshore-Welt: die Ultimate Beneficial Owners (UBO), also die tatsächlichen wirtschaftlichen Eigentümer hinter den oft komplexen Firmengeflechten. In einer koordinierten Aktion mit Medien aus fünf Ländern wurden bereits erste Details zu namhaften Akteuren wie Stake.com, 1Xbet, SoftSwiss und Platinum Casino publik gemacht.

Zahlen und Fakten

Die Dimensionen des Datenlecks sind gewaltig. Wittmann gibt an, dass sie weniger als acht Stunden benötigte, um eine simple Sicherheitslücke auszunutzen und volle Serverrechte zu erlangen. Damit landeten nicht nur Lizenzanträge, sondern auch interne Finanzberichte und persönliche Dokumente der Inhaber in ihren Händen. Parallel dazu verdeutlichen Berichte über den Anbieter MyStake die prekäre Lage: Dort wurden bereits im Mai 2025 Zugangsdaten von 540 Nutzerkonten in einem PDF-Dokument geleakt. Forensic-Experten konnten bei Audits fast jedes dieser Konten übernehmen, da der Betreiber Santeda International B.V. über acht Monate lang keine Sicherheitsmaßnahmen wie erzwungene Passwort-Resets einleitete.

„Neun Monate lang habe ich der Glücksspielbehörde von Curaçao bei der Arbeit zugesehen - in Echtzeit, ohne dass die Mitarbeiter davon wussten. Ich konnte sehen, wem illegale Online-Casinos gehören, wer sie finanziert und was die Behörde über deren Betrieb wusste. Heute veröffentliche ich die Casinosecrets.“ - Lilith Wittmann, IT-Aktivistin und Hackerin

Die betroffene Behörde in Curaçao reagiert bisher verhalten. Ein Sprecher gab lediglich an, man wolle transparent bleiben und zeitnah eine Erklärung veröffentlichen. Doch der Schaden ist bereits angerichtet. Schon Anfang des Jahres hatte Wittmann eine ähnliche Sicherheitslücke bei der Malta Gaming Authority (MGA) ausgenutzt, was ihr eine 1.300 Seiten starke einstweilige Verfügung der Kanzlei Bird & Bird LLP einbrachte. In Curaçao scheinen die Hürden für sie jedoch noch niedriger gewesen zu sein.

Hintergrund

Curaçao gilt seit Jahrzehnten als Hafen für Anbieter, die den strengen Regeln der europäischen Festland-Regulierungen entgehen wollen. Die Lizenzen sind günstig, die Steuern niedrig und die Identität der Hintermänner bleibt meist ein gut gehütetes Geheimnis. Doch der Druck auf die Karibikinsel wächst, insbesondere durch die niederländische Regierung, die eine Verschärfung der Aufsicht fordert. Dieser Hack kommt zu einem Zeitpunkt, an dem die CGA ohnehin versucht, ihr Image als Paradies für „schwarze Schafe“ loszuwerden. Wenn nun Dokumente über über 100 Millionen Glücksspieltransaktionen, wie sie in ähnlichen Fällen bei ElasticSearch-Servern offenlagen, an die Öffentlichkeit gelangen, verliert das Modell Curaçao seinen wichtigsten Verkaufsfaktor: die Diskretion.

Was heißt das für deutsche Spieler?

Für deutsche Spieler ist die Nachricht ein zweischneidiges Schwert. Einerseits zeigt es, wie riskant das Spiel bei Anbietern ohne deutsche Lizenz ist. Wer bei einem Casino einzahlt, das lediglich in Curaçao lizenziert ist, vertraut seine Daten einer Behörde an, die offensichtlich massive IT-Sicherheitslängel aufweist. Der deutsche Glücksspielstaatsvertrag 2021 (GlüStV 2021) wurde genau deshalb geschaffen, um solche Risiken zu minimieren. In Deutschland lizenzierte Anbieter müssen strengste IT-Sicherheitsvorgaben der Gemeinsamen Glücksspielbehörde der Länder (GGL) erfüllen.

Spieler in Deutschland sollten prüfen, ob ihr Anbieter auf der offiziellen GGL-Whitelist steht. Nur dort greifen Schutzmechanismen wie das monatliche Einzahlungslimit von 1.000 Euro über das LUGAS-System und das Einsatzlimit von 1 Euro pro Spin an virtuellen Automaten. Datenlecks wie bei MyStake zeigen, dass im Falle eines Hacks bei Offshore-Casinos oft keinerlei Hilfe zu erwarten ist. Dortige Betreiber ignorieren oft über Monate hinweg, dass Kundendaten wie Namen, Adressen und sogar Teile von Zahlungsinformationen im Netz kursieren. Das Risiko von Identitätsdiebstahl ist bei diesen Anbietern immens hoch.

Was das für GGL-Casinos heißt

Die legalen deutschen Anbieter können diesen Skandal als Bestätigung ihres Geschäftsmodells verbuchen. Während Offshore-Regulierer wie die CGA als unsicher entlarvt werden, bietet die deutsche Regulierung durch die GGL ein Höchstmaß an Datenschutz. Die Anonymität der Hintermänner, die in Curaçao nun auffliegt, gibt es bei GGL-lizenzierten Unternehmen nicht. Hier müssen alle Eigentumsverhältnisse gläsern sein, bevor eine Erlaubnis erteilt wird. Dies schafft Vertrauen, das durch solche Hacks bei der Konkurrenz in Übersee nur weiter gestärkt wird. Deutsche Anbieter sollten nun proaktiv mit ihrer Sicherheit werben, um Spieler aus dem Graumarkt in den sicheren, regulierten Raum zu holen.