Datenleck bei Casinos Austria: 150.000 Kunden nach Hacker-Angriff in Sorge

Ein massiver Sicherheitsvorfall erschüttert die Glücksspielbranche in Österreich und sorgt für Alarmstimmung bei tausenden Spielern. Unbekannte Täter haben sich Anfang November 2026 Zugriff auf die IT-Infrastruktur eines externen Dienstleisters verschafft, der für den Betrieb des Online-Shops von Casinos Austria verantwortlich ist. Betroffen ist die INCERT eTourismus GmbH & Co KG, deren Server über mehrere Tage hinweg offenstanden. Kunden, die Gutscheine für Casinobesuche oder Gastronomieangebote erworben haben, müssen nun damit rechnen, dass ihre persönlichen Informationen in kriminellen Foren auftauchen.

Die Nachricht kommt zu einem denkbar ungünstigen Zeitpunkt, da die Sensibilität für Datenschutz im Online-Glücksspiel so hoch ist wie nie zuvor. Casinos Austria hat bereits damit begonnen, die betroffenen Personen per E-Mail zu warnen. Es ist ein klassisches Szenario für die moderne Cyberkriminalität: Nicht das Hauptunternehmen selbst wurde direkt angegriffen, sondern ein Glied in der Zulieferkette. Dies unterstreicht die Notwendigkeit für Glücksspielanbieter, jeden externen Partner einer strengen Sicherheitsprüfung zu unterziehen, um das Vertrauen der Nutzer nicht zu verspielen.

Zahlen und Fakten

Die Dimensionen des Angriffs werden erst nach und nach deutlich. Nach aktuellen Erkenntnissen konzentrierte sich der unbefugte Zugriff auf den Zeitraum zwischen dem 2. und 5. November 2026. Erst am 5. November gelang es den Technikern von INCERT, die Sicherheitslücke endgültig zu schließen. Schätzungen gehen davon aus, dass bis zu 150.000 Datensätze gefährdet sein könnten. Zu den entwendeten Informationen zählen Vor- und Nachnamen, Geburtsdaten, Wohnadressen sowie E-Mail-Adressen und Telefonnummern. Auch spezifische Bestelldaten und Gutscheincodes könnten in die Hände der Hacker gelangt sein.

Eine wichtige Entwarnung gibt es jedoch für alle, die um ihr Geld auf dem Bankkonto fürchten. Da der Online-Shop von Casinos Austria grundsätzlich keine Kreditkarten- oder Bankdaten speichert, konnten diese auch nicht abgegriffen werden. Dennoch ist der Schaden immens, da die Kombination aus Namen, Adresse und konkreten Bestelldaten perfekt für sogenanntes Spear-Phishing geeignet ist. Hierbei erstellen Betrüger Nachrichten, die sich auf reale frühere Käufe beziehen, um die Opfer zur Preisgabe weiterer Passwörter oder zu Zahlungen zu bewegen.

Hintergrund

Der IT-Dienstleister INCERT eTourismus hat nach der Entdeckung des Vorfalls sofort reagiert. Neben dem Schließen der Lücke wurden sämtliche Zugangsdaten ausgetauscht und eine verstärkte Überwachung der Systeme implementiert. Die rechtlichen Konsequenzen sind bereits spürbar, da die Österreichische Datenschutzbehörde offiziell informiert wurde. Casinos Austria betont, dass man eng mit den Ermittlern zusammenarbeitet, um den Vorfall lückenlos aufzuklären. Ein Sprecher des Unternehmens warnte eindringlich davor, dubiose Anhänge in E-Mails zu öffnen.

„Das Unternehmen betont, niemals per E-Mail, SMS oder Telefon zur Bekanntgabe von Passwörtern oder Kreditkartendaten aufzufordern oder auf diesem Weg Zahlungen zu verlangen.“ - Casinos Austria, Presseerklärung zum Sicherheitsvorfall

Solche Vorfälle zeigen, dass die Sicherheit von Daten oft an der schwächsten Stelle der Kette hängt. Für die Casinos Austria Gruppe, die als staatlich konzessionierter Anbieter einen besonders seriösen Ruf genießt, ist dieser Vorfall eine enorme Belastungsprobe für das Kundenvertrauen.

Was heißt das für deutsche Spieler?

Für deutsche Kunden, die gelegentlich in Österreich spielen oder Gutscheine für die dortigen Spielbanken online erwerben, ist Vorsicht geboten. Wer den Shop von Casinos Austria genutzt hat, sollte seine E-Mails genau prüfen. In Deutschland sind die Anforderungen durch den Glücksspielstaatsvertrag 2021 (GlüStV 2021) extrem streng. Deutsche Spieler sind durch die Aufsicht der Gemeinsamen Glücksspielbehörde der Länder (GGL) und das zentrale System LUGAS geschützt, das unter anderem das anbieterübergreifende Einzahlungslimit von 1.000 Euro pro Monat überwacht. Ein solcher Vorfall bei einem deutschen GGL-lizenzierten Anbieter würde sofort eine Prüfung durch die Behörde in Halle nach sich ziehen. Deutsche Spieler sollten immer darauf achten, nur bei Anbietern auf der offiziellen Whitelist zu spielen, da hier die technischen Standards für den Datenschutz (ISO-Zertifizierungen) regelmäßig kontrolliert werden. In Österreich gelten ähnliche EU-Datenschutzregeln, doch der Zugriff über einen Dienstleister zeigt, dass auch im regulierten Markt Restrisiken bestehen.

Was das für GGL-Casinos heißt

Deutsche Casinos mit GGL-Lizenz müssen aus diesem Vorfall lernen. Die Anbindung an LUGAS und das Sperrsystem OASIS erfordert ohnehin höchste IT-Sicherheit. Sollte ein Dienstleister eines deutschen Online-Casinos angegriffen werden, ist der Anbieter verpflichtet, dies unverzüglich der GGL und dem zuständigen Datenschutzbeauftragten zu melden. Für Spieler in Deutschland bedeutet die Regulierung, dass sie im Falle eines Datenmissbrauchs klare Ansprechpartner und rechtliche Handhabe haben. Die Einsatzlimits von 1 Euro pro Spin an virtuellen Automaten minimieren zudem das finanzielle Risiko bei einem eventuellen Account-Hacking, schützen aber natürlich nicht vor Identitätsdiebstahl.