Gleich zwei international bedeutende Glücksspielaufsichtsbehörden gerieten 2026 ins Visier einer deutschen IT-Sicherheitsexpertin. Lilith Wittmann aus Berlin verschaffte sich zunächst Zugang zu Systemen der Malta Gaming Authority und nahm wenige Monate später die Curaçao Gaming Authority ins Visier. Die dabei beschafften Informationen wurden teilweise öffentlich zugänglich gemacht.
Im Mittelpunkt der Aktionen stehen mögliche Verbindungen zwischen Glücksspielunternehmen und organisierter Kriminalität. Wittmann will nach eigenen Angaben problematische Geschäftsstrukturen sichtbar machen. Für die Online-Pokerbranche stellt sich damit eine andere Frage: Welche Auswirkungen könnten die Veröffentlichungen auf lizenzierte Anbieter und deren Spieler haben?
Bislang deutet wenig auf unmittelbare Konsequenzen für den laufenden Pokerbetrieb hin. Die rechtliche Auseinandersetzung um die Daten und ihre mögliche Bedeutung für die Glücksspielbranche ist allerdings noch nicht abgeschlossen.
Von Malta nach Curaçao: Zwei Angriffe innerhalb weniger Monate
Den ersten Vorfall machte Lilith Wittmann im März 2026 öffentlich. Sie erklärte, ohne entsprechende Berechtigung auf das Webportal der Malta Gaming Authority (MGA) zugegriffen und dabei Daten beschafft zu haben.
Die Unterlagen übergab sie anschließend an Journalisten und zuständige Behörden. Ziel ihrer Recherchen war es, mögliche kriminelle Verflechtungen im internationalen Online-Glücksspielgeschäft aufzudecken.
Wittmann zählt zu den sogenannten White-Hat-Hackern. Anders als Cyberkriminelle, die beispielsweise Zahlungsdienste wie Revolut angreifen, vertrauliche Informationen entwenden und hohe Lösegeldforderungen stellen, verfolgen solche Sicherheitsexperten das Ziel, Missstände und Sicherheitsprobleme offenzulegen.
Im Fall der MGA erhob Wittmann den Vorwurf, die Aufsichtsbehörde könnte durch ihre Strukturen organisierte Kriminalität begünstigen. Der maltesische Regulator bestritt dies entschieden.
Die MGA reagierte mit rechtlichen Schritten. Gegenstand des Verfahrens waren sowohl der unerlaubte Datenbankzugriff als auch die Veröffentlichung vertraulicher Informationen.
Parallel dazu befassten sich deutsche Ermittlungsbehörden mit den übermittelten Dokumenten. Geprüft wurde, ob sich daraus Anhaltspunkte für die Förderung illegalen Glücksspiels ergeben könnten.
Noch während diese Vorgänge juristisch aufgearbeitet wurden, folgte ein weiterer Angriff.
September 2026: Daten der Curaçao Gaming Authority veröffentlicht
Im September berichtete Wittmann, auch in die Systeme der Curaçao Gaming Authority (CGA) eingedrungen zu sein.
Am 23. September 2026 startete anschließend die Website casinosecrets.lol. Sie ermöglichte eine Recherche in Informationen aus beiden Behörden sowie einen Abgleich mit öffentlich zugänglichen Unternehmensregistern aus Malta, Zypern, Gibraltar und Curaçao.
Die Suchfunktion war vergleichsweise einfach aufgebaut: Nutzer konnten den Namen eines Glücksspielunternehmens oder eine Domain eingeben, um die zugehörigen Informationen abzurufen.
Nach der Veröffentlichung blieb das Portal nicht lange online. Die Website wurde abgeschaltet, von Wittmann jedoch zeitnah wiederhergestellt. Darüber hinaus richtete sie mit curacaofiles.com eine weitere Adresse ein, unter der eine Kopie der Datenbank bereitstand.
Der Umfang des veröffentlichten Materials ist erheblich. Aus mehr als 84.000 Dokumenten wurden unter anderem folgende Informationen zusammengetragen:
- Angaben zu Eigentümern und Unternehmensstrukturen von Glücksspielanbietern
- Sämtliche Unterlagen, die Unternehmen im Rahmen ihrer Lizenzanträge eingereicht hatten
- Verzeichnisse der Internetdomains, die einzelnen Glücksspielunternehmen zugeordnet werden
- Weitere geschäftliche und aufsichtsrechtliche Informationen
Die Datenbank verbindet damit Material aus den beiden angegriffenen Behörden mit Informationen aus öffentlichen Registern. Ob und welche rechtlichen Verstöße sich daraus tatsächlich nachweisen lassen, ist eine separate Frage.
Welche Auswirkungen haben die Datenlecks auf Pokerrooms?
Eine unmittelbare Reaktion der großen Online-Pokeranbieter blieb nach den beiden Vorfällen aus. Bislang haben sich die bedeutenden Unternehmen der Branche weder in öffentlichen Stellungnahmen noch über ihre Social-Media-Kanäle zu den Angriffen geäußert.
Auch das operative Geschäft vermittelt weiterhin den Eindruck eines weitgehend normalen Verlaufs. Im Laufe des Jahres 2026 fanden zahlreiche große Turnierserien statt. Dazu kamen umfangreiche Bonusangebote und weitere Promotions.
Zumindest öffentlich erkennbare Hinweise darauf, dass die Datenlecks die finanzielle Stabilität von Pokeranbietern beeinträchtigt hätten, liegen damit nicht vor.
Für das bisherige Ausbleiben größerer Folgen kommen zwei wesentliche Gründe infrage.
Wittmanns Ermittlungen betreffen vor allem das Online-Casino-Geschäft
Die Berliner Sicherheitsexpertin konzentriert ihre Arbeit insbesondere auf Online-Casinos und die Unternehmen hinter diesen Angeboten.
Ein Schwerpunkt liegt auf möglichen Schäden für Verbraucher in Deutschland, die durch illegale oder rechtlich fragwürdige Glücksspielangebote entstehen könnten.
Der deutsche Markt ist auch für Online-Poker seit Langem schwierig. Strikte regulatorische Vorgaben schränken vor allem regelmäßige Spieler ein. Hinzu kommt, dass Pokeranbieter in der Vergangenheit bereits wegen vergleichsweise kleiner Regelverstöße mit juristischen Konsequenzen konfrontiert waren.
Es ist deshalb möglich, dass die bislang zugänglichen Unterlagen keine konkreten belastenden Erkenntnisse über die Pokerrooms enthalten.
Diese Erklärung bleibt allerdings eine Möglichkeit und ist kein bestätigtes Ergebnis der Auswertung.
Öffentliche Nachweise für Straftaten stehen weiterhin aus
Eine zweite Erklärung betrifft den aktuellen Erkenntnisstand.
Aus den veröffentlichten Dokumenten wurden bislang keine konkreten Beweise für kriminelle Machenschaften öffentlich vorgelegt. Das vorhandene Material und die daraus gezogenen Schlussfolgerungen müssen daher getrennt betrachtet werden.
Insbesondere lässt sich aus einer Erwähnung in einer Datenbank nicht ableiten, dass das betroffene Unternehmen gegen Glücksspielgesetze verstoßen hat.
Auch die ursprünglichen Informationen müssen nicht in jedem Fall den aktuellen Verhältnissen entsprechen. Sie werden in der Datenbank so wiedergegeben, wie sie in den zugrunde liegenden Quellen enthalten waren.
Deshalb können einzelne Datensätze veraltet, unvollständig oder fehlerhaft sein.
Juristische Folgen: Unterschiedliche Ausgangslage in Malta und Curaçao
Für Lilith Wittmann hatte der Angriff auf die maltesische Aufsichtsbehörde bereits gerichtliche Konsequenzen.
Im Verfahren gegen die Malta Gaming Authority erzielte sie zuletzt einen Teilerfolg. Ihr wurde gestattet, die beschafften Dokumente an Medienvertreter und Ermittlungsbehörden weiterzureichen. Ebenso darf sie sich öffentlich über die MGA äußern.
Diese Entscheidung bedeutet jedoch keine uneingeschränkte Erlaubnis für weitere Zugriffe auf behördliche Systeme. Insbesondere ist es Wittmann weiterhin untersagt, erneut ohne Genehmigung in das Webportal der maltesischen Glücksspielaufsicht einzudringen.
Bei der Curaçao Gaming Authority ist die rechtliche Situation bislang weniger weit fortgeschritten.
Zwischen dem Angriff im September und dem aktuellen Stand liegt noch ein vergleichsweise kurzer Zeitraum. Entsprechend lassen sich mögliche gerichtliche Konsequenzen derzeit nicht verlässlich beurteilen.
Dass auch die CGA juristische Schritte gegen die Sicherheitsexpertin einleiten könnte, ist nicht ausgeschlossen. Ob die Behörde diesen Weg tatsächlich einschlägt und welche Entscheidung ein mögliches Verfahren bringen würde, ist allerdings offen.
Bleiben Pokerlizenzen aus Malta und Curaçao gültig?
Für Spieler und Betreiber ist vor allem eine regulatorische Frage relevant: Ändern die Angriffe etwas an der Gültigkeit bestehender Glücksspiellizenzen?
Die Antwort lautet nach aktuellem Stand: Nein.
Die von der Malta Gaming Authority und der Curaçao Gaming Authority erteilten Genehmigungen bleiben bestehen. Weder der unbefugte Zugriff auf die Behördensysteme noch die anschließende Veröffentlichung der Dokumente führt automatisch zum Verlust einer Lizenz.
Ebenso wichtig ist, dass der Besitz einer Lizenz aus Malta oder Curaçao für sich genommen weder eine Straftat noch ein Hinweis auf rechtswidrige Geschäftspraktiken ist.
Poker-Netzwerke und ihre angeschlossenen Skins können ihre Angebote weiterhin legal betreiben, soweit sie sich innerhalb der jeweiligen Lizenzbedingungen bewegen.
Dabei muss allerdings zwischen der behördlichen Genehmigung und der tatsächlichen Zulässigkeit eines Angebots in einem bestimmten Land unterschieden werden.
Eine Lizenz, die von einer internationalen Glücksspielaufsicht ausgestellt wurde, berechtigt einen Anbieter nicht automatisch dazu, seine Dienste weltweit anzubieten.
Die nationalen Glücksspielgesetze und die rechtlichen Anforderungen am jeweiligen Aufenthaltsort des Spielers bleiben maßgeblich.
Was sollten Online-Pokerspieler jetzt beachten?
Allein aus einer MGA- oder CGA-Lizenz und der Veröffentlichung der dazugehörigen Unterlagen lässt sich kein rechtswidriges Verhalten eines Pokeranbieters ableiten.
Die Veröffentlichung geschäftlicher Unterlagen allein ist kein Nachweis für illegales Verhalten. Gleichzeitig bedeutet der Besitz einer gültigen internationalen Glücksspiellizenz nicht, dass ein Pokerroom in jeder Rechtsordnung zugelassen ist.
Vor der Registrierung sollten Spieler deshalb prüfen, ob der betreffende Pokeranbieter am eigenen Aufenthaltsort legal tätig sein darf und welche Lizenzbedingungen dort gelten.
Die Angriffe von Lilith Wittmann haben umfangreiche Informationen über internationale Glücksspielunternehmen ans Licht gebracht. Welche Bedeutung diese Dokumente für einzelne Betreiber und mögliche Ermittlungen letztlich haben werden, lässt sich bislang nicht abschließend beurteilen.
Für die Online-Pokerbranche sind bislang keine unmittelbaren Veränderungen erkennbar: Bestehende Lizenzen bleiben gültig, der Betrieb der Pokerrooms läuft soweit öffentlich erkennbar weitgehend normal weiter, und konkrete öffentlich belegte kriminelle Machenschaften wurden aus den Daten bislang nicht nachgewiesen.
Ob die Veröffentlichungen langfristig zu weiteren Ermittlungen, regulatorischen Maßnahmen oder gerichtlichen Verfahren führen, bleibt offen.
