Aktuelles zum Hackerangriff bei SlotMagie, CrazyBuzzer & Merkur Bets

Mehrere deutsche Online Spielotheken waren kürzlich von einem Hackerangriff betroffen. Hierbei sollen sensible Kundendaten zeitweise für Dritte einsehbar gewesen sein. Die drei Online-Glücksspielanbieter, die von der Merkur AG gehören, haben ihre Spielerinnen und Spieler bereits per Mail über die Vorkommnisse in Kenntnis gesetzt. Aber wie sollten Betroffene jetzt am besten reagieren und wer steckt dahinter?

Bereits Ende Dezember 2020 berichteten wir bei GambleJoe darüber, dass Cyberangriffe auf Online-Glücksspielfirmen zunehmen. Aktuell ist es wohl dazu gekommen, dass das IT-System eines Dienstleisters der Merkur AG Ziel eines solchen Cyberangriffs wurde. Betroffen sind wohl die Online Spielotheken SlotMagie, CrazyBuzzer und Merkur Bets. Durch fehlerhaft programmierte Schnittstellen auf den Online-Plattformen soll es möglich gewesen sein, dass sensible Daten für Dritte einsehbar gewesen sind. Mittlerweile wurde die Sicherheitslücke jedoch geschlossen, sodass keine akute Gefahr mehr besteht.

Die aktuelle Diskussion über den Hackerangriff bei Merkur Bets, SlotMagie und CrazyBuzzer kann auch hier in unserem Forum verfolgt werden:

GambleJoe Forum: Hackerangriff auf Online Spielotheken

Welche persönlichen Daten waren für die Hacker einsehbar?

Die Online Spielotheken haben bereits am vergangenen Freitag ihre Userinnen und User über die Vorkommnisse in Kenntnis gesetzt. Demnach waren neben den Kundendaten wie Name, Adresse und Kontodaten auch Fotos aus der Videoidentifizierung und Risikoeinstufungen zur Spielsuchtgefahr betroffen. Erst vor wenigen Wochen berichteten wir bei GambleJoe, wie die Casino-Verifizierung in deutschen Online Spielotheken funktioniert. Interessant ist insbesondere der Umstand, dass Fotos der Videoidentifizierung vom Hackerangriff betroffen sind. Vielen Spielern wird wohl nicht einmal bewusst gewesen sein, dass diese von der Online Spielothek gespeichert und nicht etwa nach erfolgter Verifizierung wieder gelöscht werden.

Nicht betroffen vom Hackerangriff sollen die Passwörter der Spielerinnen und Spieler gewesen sein. Diese sind nach wie vor sicher, sodass prinzipiell keine Änderung der Passwörter erforderlich ist. Nichtsdestotrotz wird aber natürlich empfohlen, die Passwörter in regelmäßigen Abständen zu ändern, um einen möglichst hohen Sicherheitsstandard zu erreichen.

Die Online-Glücksspielanbieter gehen aktuell davon aus, dass keine konkrete Absicht bestand, die sensiblen Daten weiterzugeben oder für strafbare Handlungen zu missbrauchen. Stattdessen soll sich der Hackerangriff primär gegen die Glücksspielanbieter und nicht gegen die Kunden richten.

So heißt es beispielsweise in der Rundmail, die am 13. März 2025 von SlotMagie verschickt wurde:

„Soweit derzeit bekannt, richtete sich der Angriff primär gegen unser Unternehmen und nicht gezielt gegen einzelne Kunden. Es gibt keine Hinweise darauf, dass die gesichteten Daten für betrügerische Zwecke missbraucht wurden oder werden. Zudem erfolgte die Meldung an uns über die Gemeinsame Glücksspielbehörde der Länder (GGL) und nicht über die Hacker selbst. Dennoch beobachten wir die Situation sehr genau und stehen in engem Austausch mit unseren IT-Sicherheitsexperten sowie den zuständigen Behörden.“

Möglich gewesen sein soll der Hackerangriff, indem über die GraphQL-Schnittstelle des jeweiligen Backends einfach persönliche Daten wie Name, Spieler-ID und Zahlungsdaten abgefragt werden konnten.

Wer steckt hinter dem Hackerangriff auf die Merkur AG?

Mittlerweile hat sich die Aktivistin Lilith Wittman zum Hackerangriff bekannt. Eigenen Angaben zufolge war Wittman auch die Person, die die Gemeinsamen Glücksspielbehörde der Länder (GGL) über den Angriff informiert hat, damit diese die aufsichtsrechtlichen Maßnahmen ergreifen und Beweise sichern konnte. In ihrem Blog schrieb Wittman, dass sie nun einen über 200 GB großen Datensatz mit den persönlichen Daten tausender Spielerinnen und Spieler aus den betroffenen Online Spielotheken besitze.

Interessant ist, dass die Aktivistin die erlangten Daten der User teilweise bereits ausgewertet hat und auch der Forschung zur Verfügung stellen will. Demnach erwirtschaften weniger als 10 % der Spieler zwischen 70 und 90 % des Umsatzes einer Online Spielothek. Darüber hinaus behauptet Wittman, dass wegen eines Fehlers bei der Integration des KYC-Anbieters SumSub über 70.000 Ausweisbilder, Selfies und Adressbestätigungen öffentlich zugänglich waren.

Der gesamten Artikel mit dem Titel Casinonutzer der Merkur-Gruppe verlieren nicht nur ihr Geld, sondern auch ihre Daten kann online bei Medium abgerufen werden.

Mittlerweile hat die GGL das verantwortliche Unternehmen, die The Mill Adventure Limited, öffentlich abgemahnt:

„Der Verstoß gegen die Nebenbestimmung 19 d) der Veranstaltererlaubnis für virtuelle Automatenspiele gemäß §§ 4 bis 4d i.V.m. § 22a GlüStV 2021 für die The Mill Adventures Limited vom 28. Juli 2022 gegen die getroffenen OWASP-Maßnahmen und Verstoß gegen die Nebenbestimmung 20 der Veranstaltererlaubnis für virtuelle Automatenspiele gemäß §§ 4 bis 4d i.V.m. § 22a GlüStV 2021 für die The Mill Adventures Limited vom 28. Juli 2022 gegen die Verpflichtung, jährlich einen Pentest durchzuführen zu lassen, was zur fehlenden Sicherheit von Spielerdaten auf der Domain www.slotmagie.de<http://www.slotmagie.de> führt. Die Daten umfassen unter anderem Stammdaten der Spieler (die Spieler-ID, den Nickname, das Geschlecht, den Zeitpunkt der LUGAS-Registrierung, den Zeitpunkt des letzten Logins etc.), Zahlungsstatistiken, Limithistorien und auch Zahlungsprofile und damit Name, Adresse, Bank, IBAN etc.“

Erst im Februar dieses Jahres haben wir uns die Frage gestellt, ob es von der GGL fair ist, Anbieter öffentlich an den Pranger zu stellen.

Müssen Spielerinnen und Spieler jetzt selbst aktiv werden?

Die Glücksspielanbieter empfehlen, allgemein wachsam zu sein bzw. zu bleiben. Grundsätzlich ist von den Spielerinnen und Spielern zum aktuellen Zeitpunkt aber kein Handeln erforderlich. Die Gefahr für Phishing-Angriffe sowie einen Identitätsdiebstahl wird als „gering“ definiert. Selbstverständlich seien die zuständigen Datenschutzbehörden vorschriftsgemäß über die Vorfälle in Kenntnis gesetzt worden. Da sich inzwischen die Aktivistin zum Hackerangriff bekannt hat, ist nicht davon auszugehen, dass sich die Spielerinnen und Spieler um ihre Daten sorgen müssen.

Quelle des Bildes: https://pixabay.com/de/illustrations/hacker-cybersecurity-hoodie-cyber-6512174/