Sicheres Online Casino: Geld, Daten, Identität

Drei Fragen stecken in einem Wort

Sicherheit ist in diesem Zusammenhang kein einzelnes Merkmal, sondern ein Bündel. Auseinandergenommen bleiben drei Fragen übrig, und sie haben unterschiedliche Antworten, unterschiedliche Technik und unterschiedliche Verantwortliche.

Die erste Frage betrifft das Geld. Kommt der eingezahlte Betrag dort an, wo er ankommen soll, lässt sich eine falsche Abbuchung zurückholen, und wer trägt den Schaden, wenn nicht? Die Antwort hängt weniger am Anbieter als am gewählten Zahlungsweg, denn jeder Weg bringt eigene Regeln mit.

Die zweite Frage betrifft die Daten. Wer kann die Übertragung mitlesen, wo liegen Ausweiskopie und Kontoauszug, und wie lange? Hier geht es um Verschlüsselung auf dem Transportweg und um den Umgang mit Unterlagen, die Sie einmal hochgeladen haben.

Die dritte Frage betrifft die Identität. Kann jemand unter Ihrem Namen ein Konto führen, und kann jemand in Ihr bestehendes Konto gelangen? Dagegen wirken der zweite Faktor beim Anmelden und die Prüfung der Person bei der Eröffnung.

Diese Seite geht die drei Fragen in dieser Reihenfolge durch. Was dagegen die rechtliche Zulässigkeit eines Angebots betrifft – also die Erlaubnis und die Vorgaben, die an ihr hängen –, steht gesammelt auf der Startseite und wird hier nicht wiederholt.

Die verschlüsselte Verbindung und das Zertifikat dahinter

Das kleine Schloss in der Adresszeile bedeutet eine Sache, und nur diese: Der Weg zwischen Ihrem Gerät und dem Server ist verschlüsselt, sodass Dritte im Netz dazwischen nicht mitlesen können. Über die Gesellschaft hinter der Seite sagt das Schloss nichts aus, denn ein Zertifikat erhält heute jede Adresse ohne großen Aufwand.

Interessant wird es, wenn Sie das Schloss anklicken und sich das Zertifikat anzeigen lassen. Drei Angaben lohnen einen Blick: für welche Adresse es ausgestellt ist, in welchem Zeitraum es gültig ist und welche Stelle es ausgegeben hat. Weicht der Name im Zertifikat von der Adresse ab, die Sie erwarten, sollten Sie nichts eingeben.

Diese Prüfung dauert zwei Handgriffe und ist dann sinnvoll, wenn Sie eine Seite über einen Werbebanner, eine Nachricht oder eine Suchanzeige erreicht haben. Bei einer Adresse, die Sie selbst eingetippt haben, ist das Risiko geringer – aber auch dort kostet der Blick nichts.

Was die Verschlüsselung nicht leistet, ist genauso wichtig. Sie schützt den Transport, nicht die Aufbewahrung: Was mit Ihren Unterlagen geschieht, nachdem sie angekommen sind, ist eine andere Frage. Und sie unterscheidet nicht zwischen einem echten Anbieter und einer nachgebauten Kopie, denn beide können verschlüsselt ausgeliefert werden.

Ein zweiter Punkt betrifft das Netz, aus dem Sie zugreifen. In einem offenen Funknetz ohne Passwort ist die Verschlüsselung der Seite die einzige Schutzschicht, die bleibt. Wer in einer solchen Umgebung Zahlungsdaten eingibt, sollte wenigstens nicht zusätzlich auf den zweiten Faktor verzichten.

Der Zugang zum Konto: Passwort und zweiter Faktor

Das häufigste Einfallstor ist kein Angriff auf den Anbieter, sondern ein Passwort, das auf einer ganz anderen Seite abgeflossen ist und hier ein zweites Mal verwendet wurde. Dagegen hilft nur ein eigenes Passwort je Dienst, und weil sich das niemand merkt, hilft ein Passwortspeicher.

Die zweite Schicht ist der Faktor neben dem Passwort. Bietet der Anbieter ihn an, richten Sie ihn ein, bevor Sie die erste Einzahlung vornehmen – nachher ist das eine lästige Pflicht, vorher eine Minute Arbeit. Bevorzugen Sie dabei einen Code aus einer Authenticator-App: Er entsteht auf dem Gerät und hängt nicht an einer Rufnummer, die sich auf einen anderen Mobilfunkvertrag umschreiben lässt.

Fehlt ein zweiter Faktor vollständig, ist das eine Information, die in Ihre Prüfliste gehört. Es ist kein Beweis für Nachlässigkeit, aber ein Punkt, an dem sich Angebote messbar unterscheiden – und messbare Punkte sind der nützliche Teil jedes Vergleichs, wie die Seite zum besten Online Casino zeigt.

Zwei weitere Einstellungen sind oft vorhanden und werden selten benutzt. Erstens die Liste der angemeldeten Geräte oder Sitzungen: Dort lässt sich ein fremder Zugang beenden, falls einer auftaucht. Zweitens die Benachrichtigung bei neuer Anmeldung, die eine Nachricht schickt, sobald sich jemand von einem unbekannten Gerät anmeldet.

Eine Regel ohne Ausnahme zum Schluss: Niemand, der für einen Anbieter arbeitet, braucht Ihr Passwort oder den Code aus der App. Jede Nachfrage danach, egal wie dringend sie klingt und wie gut sie gestaltet ist, beantwortet sich damit von selbst.

Warum der Bezahlvorgang eine Freigabe verlangt

Bei einer elektronischen Zahlung greift die starke Kundenauthentifizierung, die mit der europäischen Zahlungsdiensterichtlinie PSD2 eingeführt wurde. Verlangt werden zwei von drei Faktoren: etwas, das Sie wissen, etwas, das Sie besitzen, und etwas, das Sie sind. Ein Passwort allein genügt also nicht mehr.

In der Praxis sieht das so aus, dass nach dem Auslösen einer Zahlung die Banking-App eine Freigabe verlangt, oder dass ein Code eingegeben werden muss, oder dass ein Fingerabdruck beziehungsweise ein Gesichtsabgleich die Zahlung bestätigt. Das wirkt wie eine Bremse, ist aber die Stelle, an der eine fremde Zahlung auffällt – sofern man die angezeigten Angaben wirklich liest.

Genau darin liegt der häufigste Fehler. Viele bestätigen die Freigabe reflexartig, ohne Empfänger und Betrag zu prüfen. Nehmen Sie sich die zwei Sekunden: Stimmt der Betrag, und steht dort der Empfänger, den Sie erwarten? Bei Diensten, die über den Zugang zum Onlinebanking bezahlen, erscheint im Auszug übrigens der Zahlungsdienst als Empfänger und nicht der Händler.

Umgekehrt ist auch das Fehlen einer Freigabe eine Information. Geht eine Zahlung ohne jede Bestätigung durch, lohnt die Frage, über welchen Weg sie eigentlich lief. Welche Wege welche Bestätigung verlangen, stellt die Übersicht der Zahlungsmethoden nebeneinander.

Eine Besonderheit dieses Marktes gehört dazu: Nach § 9 Abs. 1 Satz 3 Nr. 4 GlüStV 2021 darf die Aufsicht Zahlungsdienstleistern untersagen, an unerlaubtem Glücksspiel mitzuwirken. Eine abgelehnte Karte ist deshalb nicht zwangsläufig ein technischer Fehler, sondern mitunter die Folge dieser Vorschrift.

Die Prüfung der Identität und was mit den Unterlagen geschieht

Die Kontobestätigung, oft mit dem englischen Kürzel für die Kundenkenntnis bezeichnet, wird meist als Schikane erlebt. Sie erfüllt mehrere Zwecke auf einmal, und zwei davon arbeiten unmittelbar für Sie.

Zum einen schließt sie aus, dass ein Konto auf Ihren Namen von jemand anderem geführt wird. Zum anderen ist sie die Voraussetzung dafür, dass das Alter überhaupt feststeht – Glücksspiel ist erst ab achtzehn Jahren erlaubt, und ohne geprüfte Person bleibt das eine Behauptung im Anmeldeformular. Drittens lässt sich ein Eintrag in der Sperrdatei nur dann zuverlässig zuordnen, wenn klar ist, wer vor dem Bildschirm sitzt.

Verlangt werden typischerweise ein Ausweisdokument, ein Nachweis der Wohnadresse und ein Nachweis zum verwendeten Zahlungsmittel. Entscheidend ist der Weg: Laden Sie solche Unterlagen ausschließlich im angemeldeten Bereich der Seite hoch, nie als Anhang einer Nachricht und nie über einen Link, den Sie in einer Nachricht gefunden haben.

Beim Hochladen selbst lohnt Sorgfalt. Schicken Sie nur das Dokument, das verlangt wird, und nicht zusätzlich Seiten, die niemand angefordert hat. Was nicht gebraucht wird, sollte auch nicht übertragen werden – dieser Grundsatz gehört zum Datenschutzrecht und ist der einzige wirksame Schutz gegen Daten, die man später nicht mehr zurückholen kann.

Nach dem Hochladen bleibt die Frage der Aufbewahrung. Das Datenschutzrecht gibt Ihnen das Recht, zu erfahren, welche Daten über Sie gespeichert sind; welche Fristen und Zwecke ein Anbieter nennt, steht in seiner Datenschutzerklärung. Wie dieses Angebot selbst mit Daten umgeht, ist unter Datenschutz nachzulesen.

Ein praktischer Hinweis zum Zeitpunkt: Beginnt die Prüfung erst, wenn Sie das erste Mal Geld abrufen wollen, verlängert sie die Wartezeit genau dann, wenn sie am meisten stört. Wer sie früh erledigt, verschiebt diese Zeit nach vorn.

Wenn eine Abbuchung nicht von Ihnen kam

Hier gibt es keine einheitliche Antwort, weil jeder Zahlungsweg eigenen Regeln folgt. Diese Unterschiede kennt man besser vor der Wahl des Wegs als danach.

Die Überweisung. Ein ausgeführter Auftrag lässt sich nicht widerrufen; bleibt nur die Bitte an den Empfänger, den Betrag zurückzusenden. Das macht die Prüfung der Empfängerangaben vor dem Absenden zum wichtigsten Schritt. Mehr zu diesem Weg steht unter Banküberweisung.

Das Zahlungskonto eines Dienstleisters. Der Käuferschutz von PayPal erstreckt sich nicht auf Glücksspieleinsätze, auch wenn er bei Warenkäufen greift. Eine Rückzahlung geht zudem auf dasselbe Konto zurück, von dem sie kam – Einzelheiten unter PayPal.

Die Karte in einer Wallet. Bei Apple Pay und Google Pay erhält der Händler keine Kartennummer, sondern eine Kennung für diesen Vorgang, und die Zahlung wird am Gerät freigegeben. Der Schutz vor einem Abgriff der Kartennummer ist dadurch hoch; alles, was der Karte selbst verboten ist, bleibt aber auch über die Wallet verboten.

Der Gutscheincode. Ein Code ist wie Bargeld: Wer ihn hat, kann ihn einlösen. Eine Rückholung gibt es nicht, und weitergeben sollte man ihn niemals über eine Nachricht. Außerdem läuft dieser Weg nur in eine Richtung, wie die Seite zur Paysafecard ausführt.

Quer über alle Wege gilt eine Pflicht, die Sie selbst erfüllen müssen: Kontobewegungen regelmäßig ansehen und eine fremde Buchung sofort bei dem Dienst melden, über den sie lief. Je später eine Meldung erfolgt, desto schwieriger wird jede Klärung.

Nachgebaute Seiten erkennen

Eine Kopie unterscheidet sich fast nie im Aussehen, denn Bilder und Texte lassen sich herunterladen. Sie unterscheidet sich in der Adresse, und darum beginnt jede Prüfung dort.

Typische Abweichungen sind ein zusätzliches Wort vor dem eigentlichen Namen, ein Bindestrich an einer Stelle, an der keiner hingehört, eine andere Endung nach dem Punkt oder ein vertauschter Buchstabe, der beim schnellen Lesen untergeht. Zoomen hilft, langsames Lesen hilft mehr.

Die wirksamste Gewohnheit ist einfach: Adresse eintippen oder ein eigenes Lesezeichen verwenden, statt einem Link aus einer Nachricht, einer Anzeige oder einem Kurznachrichtendienst zu folgen. Damit entfällt der häufigste Weg, auf dem Kopien erreicht werden.

Verdächtig sind außerdem bestimmte Aufforderungen. Eine Nachricht, die zur Bestätigung eines Bonus drängt; eine Frist von wenigen Stunden, nach der ein Konto gesperrt werde; die Bitte, eine Zahlung an eine private Person zu senden; die Aufforderung, einen Code aus der App weiterzugeben. Jede dieser vier Aufforderungen gehört in den Papierkorb.

Wenn Sie unsicher sind, hilft der Rückweg über die Anbieterkennzeichnung. Vergleichen Sie die dort genannte Gesellschaft mit der Gesellschaft, die Sie von früheren Besuchen kennen, und sehen Sie zusätzlich in das Zertifikat. Stimmen Adresse, Zertifikatsname und Gesellschaft überein, ist der häufigste Betrugsweg ausgeschlossen.

Selbstschutz gehört zur Sicherheit

Die dritte Bedeutung von Sicherheit betrifft nicht fremde Angreifer, sondern das eigene Verhalten. Zwei Werkzeuge stehen dafür bereit, und beide wirken nur bei Anbietern mit deutscher Erlaubnis.

Das erste ist das Einzahlungslimit nach § 6c GlüStV 2021. Es liegt im Regelfall nicht über eintausend Euro im Monat und wird über alle lizenzierten Anbieter zusammen gerechnet; im Einzelfall ist nach Prüfung der wirtschaftlichen Leistungsfähigkeit ein anderer Betrag möglich. Wichtig ist der Gedanke dahinter: Dieses Limit ist eine Obergrenze, kein Vorschlag – ein eigener, deutlich niedrigerer Wert ist jederzeit möglich.

Das zweite ist die Sperrdatei OASIS, geführt beim Regierungspräsidium Darmstadt. Sie ist nicht dasselbe wie LUGAS, auch wenn beide Systeme oft in einem Satz genannt werden. Ein Eintrag lässt sich frühestens nach drei Monaten aufheben, und nur auf Antrag; diese Verzögerung ist beabsichtigt, weil sonst der Schutz in dem Moment entfiele, in dem er gebraucht wird.

Beide Werkzeuge haben eine gemeinsame Schwäche, und sie ist keine technische: Sie greifen bei Anbietern ohne deutsche Erlaubnis nicht, weil dort die Anbindung fehlt. Eine eingetragene Sperre bleibt dort also ohne Wirkung, und eine Einzahlung dort wird nirgends mitgezählt.

Was im Alltag hilft, sind kleine, nachprüfbare Festlegungen: ein Limit, das Sie selbst nach unten setzen, ein Zeitfenster, in dem Sie nicht spielen, und ein Blick in den eigenen Kontoauszug einmal im Monat. Weitere Hinweise und Anlaufstellen stehen unter verantwortungsvolles Spielen.

Zehn Minuten, bevor Geld fließt

Die folgenden Schritte fassen die ganze Seite in eine Reihenfolge. Sie kosten zusammen etwa zehn Minuten und sind vor der ersten Einzahlung zu erledigen, nicht nach der ersten Schwierigkeit.

• Adresse selbst eintippen, nicht einem Werbelink folgen.
• Schloss anklicken und im Zertifikat Inhaber, Adresse und Gültigkeit vergleichen.
• Anbieterkennzeichnung öffnen und die Gesellschaft notieren.
• Ein eigenes Passwort anlegen und, falls vorhanden, den zweiten Faktor als App-Code einrichten.
• In den Kontoeinstellungen das Einzahlungslimit auf den eigenen Wert setzen.
• Nachlesen, welche Unterlagen die Kontobestätigung verlangt, und sie gleich hochladen.
• Prüfen, ob der gewählte Einzahlungsweg auch für den Rückweg vorgesehen ist.
• Erste Einzahlung klein halten und den vollständigen Weg einmal durchspielen.

Der letzte Punkt ist der aussagekräftigste, weil er die Dinge prüft, die sich vorher nicht prüfen lassen: Dauer, Rückfragen, Umgangsformen. Wie dieser Durchgang im Einzelnen verläuft, beschreibt die Seite über den Weg des Geldes.

Was diese Liste nicht leistet, sei auch gesagt. Sie ersetzt keine rechtliche Einordnung des Angebots und keine Beratung im Einzelfall; sie verhindert die häufigsten Fehler und nicht jeden. Bei Streit über eine Buchung sind Verbraucherzentralen und Fachanwälte die richtigen Stellen.

Zum Schluss der Hinweis, der hierhergehört: Teilnahme erst ab achtzehn Jahren, und Glücksspiel kann abhängig machen. Weiter hilft die Bundeszentrale für gesundheitliche Aufklärung unter 0800 1 37 27 00 — gebührenfrei und auf Wunsch ohne Namen.