Datenleck bei Gambling with Lives: Beacon-Hackerangriff trifft Hilfsorganisation

Cyberkriminalität macht auch vor Organisationen nicht halt, die sich um die schwächsten Mitglieder der Gesellschaft kümmern. Gambling with Lives, eine Organisation, die Familien nach durch Spielsucht bedingten Suiziden unterstützt, wurde kürzlich über einen massiven Datendiebstahl informiert. Der Angriff richtete sich nicht direkt gegen die Infrastruktur der Wohltätigkeitsorganisation, sondern gegen den Software-Dienstleister Beacon. Dieser Anbieter ist auf Customer-Relationship-Management (CRM) spezialisiert und verwaltet Daten für eine Vielzahl von kulturellen und gemeinnützigen Einrichtungen.

Die Nachricht über den Vorfall schlug am 6. August hohe Wellen, als die Verantwortlichen der Organisation die Betroffenen per E-Mail warnten. Es ist eine bittere Ironie, dass ausgerechnet Menschen, die bereits durch traumatische Erlebnisse im Bereich des Glücksspiels gezeichnet sind, nun auch noch um die Sicherheit ihrer persönlichen Informationen bangen müssen. Der Vorfall ereignete sich bereits Ende Juli, doch das volle Ausmaß der kompromittierten Daten wird erst jetzt Stück für Stück deutlich. In einer Branche, in der Diskretion und Vertrauen die wichtigsten Währungen sind, stellt ein solches Leck einen katastrophalen Vertrauensbruch dar.

Zahlen und Fakten

Der Umfang des Angriffs auf Beacon ist gewaltig. Das Unternehmen unterstützt landesweit über 1.500 Wohltätigkeitsorganisationen und kulturelle Einrichtungen. Gambling with Lives ist somit nur eine von vielen betroffenen Entitäten. Charles Ritchie, der Vorsitzende der Treuhänder von Gambling with Lives, bestätigte in einer E-Mail an die Stakeholder, dass die Informationen der Organisation bei der Cybersicherheitsverletzung kompromittiert wurden. Die genaue Anzahl der betroffenen Datensätze bei Gambling with Lives wurde zwar nicht explizit beziffert, doch angesichts der Größe des Dienstleisters Beacon steht fest, dass es sich um ein systemisches Versagen handelt. Der Vorfall begann Ende Juli und führt seitdem zu Chaos in der IT-Infrastruktur vieler Hilfswerke.

„Gambling with Lives wurde mitgeteilt, dass seine Informationen bei einer Cybersicherheitsverletzung bei seinem Drittanbieter für CRM, Beacon, kompromittiert wurden." - Charles Ritchie, Vorsitzender der Treuhänder von Gambling with Lives

Hintergrund

Die Organisation Gambling with Lives spielt eine zentrale Rolle in der Debatte um strengere Glücksspielgesetze. Sie wurde von Eltern gegründet, die ihre Kinder durch Suizid im Zusammenhang mit Glücksspiel verloren haben. Dass nun sensible Daten dieser Hinterbliebenen in die Hände von Unbefugten gelangt sind, ist besonders pikant. Beacon gilt eigentlich als moderner Standard für das Datenmanagement im Non-Profit-Sektor. Ein solcher Angriff zeigt jedoch die Verwundbarkeit auf, die entsteht, wenn viele Organisationen denselben Cloud-Dienstleister nutzen. IT-Experten sprechen hier von einem Klumpenrisiko. Wenn der zentrale Knotenpunkt fällt, sind hunderte Unterorganisationen gleichzeitig betroffen.

Was heißt das für deutsche Spieler?

Für deutsche Spieler, die in Online-Casinos mit einer Lizenz der Gemeinsamen Glücksspielbehörde der Länder (GGL) aktiv sind, ist dieser Vorfall eine dringende Mahnung. In Deutschland regelt der Glücksspielstaatsvertrag 2021 (GlüStV 2021) sehr strikt, wie Daten verarbeitet werden müssen. Das zentrale Überwachungssystem LUGAS speichert Daten zur Einhaltung des anbieterübergreifenden Einzahlungslimits von 1.000 Euro pro Monat und zur Verhinderung von Mehrfachspiel. Auch die Einhaltung des 1-Euro-Limits pro Spin bei virtuellen Automatenspielen wird streng kontrolliert. Wenn jedoch Hilfsorganisationen oder Beratungsstellen, die man im Falle einer drohenden Sucht aufsucht, unsichere Software nutzen, hilft auch die beste GGL-Regulierung nicht vor einem Datenleck beim Drittanbieter. Deutsche Spieler sollten darauf achten, nur Portale zu nutzen, die auf der offiziellen GGL-Whitelist stehen, da diese Anbieter höchste Sicherheitsstandards für ihre eigene IT nachweisen müssen. Dennoch zeigt der Fall Beacon, dass man bei der Preisgabe sensibler Informationen gegenüber externen Beratungsstellen immer nach deren IT-Sicherheitskonzept fragen sollte.

Was das für GGL-Casinos heißt

Die GGL-lizenzierten Anbieter in Deutschland stehen unter ständiger Beobachtung. Während illegale Anbieter aus Curacao oder Malta oft lax mit dem Datenschutz umgehen, müssen deutsche Betreiber nachweisen, dass ihre CRM-Systeme und Drittanbieter zertifiziert sind. Ein Vorfall wie bei Beacon würde in Deutschland eine sofortige Meldung an den Bundesbeauftragten für den Datenschutz und die GGL nach sich ziehen. Casinos müssen sicherstellen, dass ihre Partner für Kundenmanagement nicht zur Achillesferse werden. Das Vertrauen der Spieler ist das höchste Gut, besonders wenn es um Sperrsysteme wie OASIS geht. Die Sicherheit der Datenkette ist genauso wichtig wie die Sicherheit des Spiels selbst. Deutsche Anbieter sollten diesen Vorfall als Anlass nehmen, ihre eigenen Drittanbieter-Verträge auf Cybersicherheits-Klauseln hin zu prüfen.