Sicherheit und Datenschutz in deutschen Online Casinos

Online-Casinos verarbeiten bei Registrierung, Spielkonto und Zahlungen personenbezogene Daten. Ein sicherer Umgang hängt sowohl von den technischen Maßnahmen des Betreibers als auch von Schutzmaßnahmen auf dem verwendeten Gerät ab. Ob Gizbo Casino in Deutschland ein erlaubtes Angebot betreibt, sollte vor einer Registrierung über die offizielle Whitelist der Gemeinsamen Glücksspielbehörde der Länder geprüft werden. Die Datenschutzinformationen der Plattform sollten erklären, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und welche Dienstleister beteiligt sind. HTTPS schützt die Verbindung zwischen Browser und Server, bestätigt jedoch nicht allein die Seriosität oder rechtliche Zulässigkeit einer Website. Für sensible Vorgänge sind ein einzigartiges Passwort, zusätzliche Authentifizierung und der Zugang über die korrekte Domain wichtige Schutzmaßnahmen.

Welche Daten beim Spielen verarbeitet werden

Ein Spielkonto kann Angaben wie Name, Geburtsdatum, Anschrift, E-Mail-Adresse und Telefonnummer verarbeiten. Diese Daten werden etwa für die Einrichtung des Kontos, Identitäts- und Altersprüfungen sowie die Kommunikation zu sicherheitsrelevanten Vorgängen benötigt. Welche Daten im Einzelfall erforderlich sind, richtet sich nach Angebot, Kontostatus und rechtlichen Vorgaben.

Während der Nutzung entstehen technische und spielbezogene Daten. Dazu können Login-Zeitpunkte, IP-Adresse, Geräteinformationen, Spielhistorie, Kontobewegungen und Statusmeldungen gehören. Sie können zur Bereitstellung des Dienstes, zur Fehleranalyse, zur Kontosicherheit und zur Bearbeitung von Transaktionen verwendet werden.

Zahlungsdaten sind besonders sensibel. Je nach Zahlungsweg können Angaben zum Bankkonto, zu einer Karte oder zu einem Zahlungsdienst verarbeitet werden. Welche Daten beim Betreiber verbleiben und welche von externen Zahlungsdienstleistern verarbeitet werden, sollte aus der Datenschutzerklärung und den Zahlungsbedingungen hervorgehen.

Verschlüsselung und sichere Datenübertragung

HTTPS verwendet TLS, um Daten zwischen dem Endgerät und der aufgerufenen Website zu verschlüsseln. Das erschwert es Dritten in derselben Netzwerkverbindung, eingegebene Daten mitzulesen oder zu verändern. Ein Schloss-Symbol und eine Adresse mit https:// zeigen an, dass die Verbindung verschlüsselt ist.

Diese Anzeige ist jedoch kein Nachweis dafür, dass eine Website legitim, erlaubt oder vertrauenswürdig ist. Auch täuschend echte Phishing-Seiten können eine verschlüsselte Verbindung verwenden. Der Domainname sollte deshalb Zeichen für Zeichen geprüft werden, besonders wenn der Zugang über einen Werbelink, eine Nachricht oder eine Suchanzeige erfolgt.

Betreiber können zusätzliche Schutzmaßnahmen wie Zugriffskontrollen, Sicherheitsprotokolle und verschlüsselte Speicherung einsetzen. Ohne prüfbare Angaben sollte jedoch nicht behauptet werden, dass eine bestimmte Plattform diese Maßnahmen tatsächlich in bestimmter Form nutzt. Aktuelle Betriebssysteme und Browser verringern das Risiko, dass bekannte Schwachstellen auf dem Gerät ausgenutzt werden.

Schutz von Konten durch starke Passwörter

Ein Passwort sollte lang, einzigartig und nicht aus leicht erratbaren persönlichen Angaben bestehen. Besonders problematisch ist die Wiederverwendung derselben Zugangsdaten für E-Mail, soziale Netzwerke und Spielkonto. Gelangen diese Daten bei einem anderen Dienst in falsche Hände, können sie für automatisierte Anmeldeversuche genutzt werden.

Ein Passwortmanager kann dabei helfen, für jeden Dienst eigene Zugangsdaten zu erzeugen und sicher aufzubewahren. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt bei Passwortmanagern ein starkes Masterpasswort, sichere Backups und die zusätzliche Aktivierung einer Zwei-Faktor-Authentisierung, wenn dies möglich ist.

• Für das Spielkonto ein langes, einzigartiges Passwort verwenden
• Dasselbe Passwort nicht für E-Mail oder andere Dienste nutzen
• Passwortmanager durch ein starkes Masterpasswort schützen
• Zugangsdaten nicht per Nachricht, Chat oder E-Mail weitergeben

Unerwartete Passwort-Reset-Nachrichten, unbekannte Logins oder Änderungen an Kontodaten sollten ernst genommen werden. In einem solchen Fall ist es sinnvoll, das Passwort über die offizielle Website zu ändern, aktive Sitzungen zu beenden und den Support über den bestätigten Kanal zu informieren.

Zwei-Faktor-Authentifizierung richtig nutzen

Die Zwei-Faktor-Authentifizierung ergänzt das Passwort um einen weiteren Nachweis. Dieser kann aus einer Authentifikator-App, einem Hardware-Token, einem Bestätigungscode oder einem biometrisch geschützten Gerät bestehen. Ein Passwort allein reicht dann nicht aus, um auf das Konto zuzugreifen.

Das BSI empfiehlt, Zwei-Faktor-Authentisierung dort zu aktivieren, wo sie verfügbar ist, und nennt Hardware-Token oder zeitbasierte Einmalcodes als mögliche Verfahren. Welche Methode bei einem Casino angeboten wird, hängt von dessen Kontosystem ab. Ein E-Mail-Code schützt nur so gut wie das zugehörige E-Mail-Konto.

Wiederherstellungs- oder Backup-Codes müssen wie Zugangsdaten behandelt werden. Sie sollten nicht im selben ungeschützten Gerät, in einem offenen E-Mail-Postfach oder in frei zugänglichen Cloud-Ordnern abgelegt werden. Bei Verlust des zweiten Faktors ist der offizielle Wiederherstellungsprozess des Betreibers der sichere Weg.

Zahlungsdaten und externe Dienstleister

Bei Zahlungsprozessen können Betreiber mit Banken, Kartenanbietern oder anderen Zahlungsdienstleistern zusammenarbeiten. Diese Dienstleister verarbeiten Daten für Autorisierung, Abwicklung und Betrugsprävention. Welche Unternehmen beteiligt sind und welche Informationen weitergegeben werden, sollte die Datenschutzerklärung transparent darstellen.

Techniken wie Tokenisierung können die Weitergabe von Kartendaten reduzieren, indem statt der vollständigen Nummer ein Ersatzwert verwendet wird. Ob eine Plattform Tokenisierung einsetzt, lässt sich jedoch nicht aus dem äußeren Erscheinungsbild der Zahlungsseite ableiten. Konkrete Sicherheitsbehauptungen sollten sich auf nachvollziehbare Angaben des Betreibers oder des Zahlungsdienstleisters stützen.

Für Onlinezugriffe auf Zahlungskonten und für Internetzahlungen gilt im europäischen Zahlungsverkehr häufig starke Kundenauthentifizierung. Sie basiert auf mindestens zwei unabhängigen Faktoren, etwa Wissen, Besitz oder biometrischen Merkmalen. Eine Zahlungsfreigabe sollte immer im eigenen Banking oder Zahlungsdienst kontrolliert werden.

Datenschutzrechte und praktische Schutzmaßnahmen

Die Datenschutz-Grundverordnung gewährt betroffenen Personen unter anderem Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit unter den jeweiligen gesetzlichen Voraussetzungen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit erläutert, dass eine Auskunft auch Verarbeitungszwecke, Speicherdauer und Empfängerkategorien umfassen kann.

Ein Löschanspruch kann durch gesetzliche Aufbewahrungs- oder Dokumentationspflichten eingeschränkt sein. Deshalb bedeutet eine Kontoschließung nicht zwangsläufig, dass alle Daten sofort entfernt werden. Die Plattform sollte erklären, welche Informationen aus welchem Grund weiter gespeichert werden und an welchen Datenschutzkontakt eine Anfrage gerichtet werden kann.

Praktische Schutzmaßnahmen ergänzen rechtliche Rechte. Dazu zählen aktuelle Geräte, ein gesperrter Bildschirm, Vorsicht bei unerwarteten Nachrichten und der Verzicht auf Logins oder Dokumentenuploads über offene WLAN-Netze. Für die Anmeldung ist die selbst eingegebene offizielle Domain oder ein gespeichertes Lesezeichen sicherer als ein Link aus einer Nachricht.

Bei Verdacht auf missbräuchliche Datenverarbeitung sollte zunächst der Datenschutzkontakt des Betreibers angesprochen werden. Bleibt eine Anfrage unbeantwortet oder besteht der Verdacht auf einen Verstoß, kann die zuständige Datenschutzaufsichtsbehörde eingeschaltet werden. Die BfDI weist darauf hin, dass eine Auskunftsanfrage grundsätzlich formlos beim Verantwortlichen gestellt werden kann.