Rivers Casino Philadelphia: Klage nach schwerem Hackerangriff eingereicht

Die digitale Sicherheit in der Glücksspielbranche steht erneut im Rampenlicht der Justiz. Nach einem schwerwiegenden Vorfall im Januar diesen Jahres muss das Rivers Casino Philadelphia nun eine Sammelklage hinnehmen. US-Bezirksrichter Joshua D. Wolson vom US District Court for the Eastern District of Pennsylvania entschied, dass die Vorwürfe der Fahrlässigkeit gegen den Casinobetreiber fundiert genug sind, um ein Verfahren zu rechtfertigen. Kunden des Hauses hatten geklagt, nachdem Unbekannte Zugriff auf die Server erlangt und potenziell hochsensible Dateien kopiert hatten.

Das Ausmaß des Datenlecks ist beachtlich, da die betroffenen Dateien Namen, Bankverbindungen und sogar Sozialversicherungsnummern enthielten. Solche Datensätze sind auf dem Schwarzmarkt begehrt, da sie die Basis für Identitätsbetrug bilden. Obwohl das Casino die betroffenen Personen nach dem Vorfall informierte, werfen die Kläger dem Unternehmen vor, das wahre Ausmaß des Angriffs verschleiert zu haben. Richter Wolson betonte in seiner Entscheidung, dass Betreiber eine klare Sorgfaltspflicht beim Schutz von Kundendaten haben und die Kläger glaubhaft dargelegt hätten, dass diese Pflicht verletzt wurde.

Zahlen und Fakten

Der aktuelle Fall reiht sich in eine Serie von Cyberangriffen auf die US-Glücksspielbranche ein. Während im Fall des Rivers Casinos Philadelphia die genaue Anzahl der betroffenen Kunden im aktuellen Gerichtsbeschluss nicht final beziffert wurde, zeigt ein Blick auf ähnliche Vorfälle die Dimensionen. Die Kanzlei Levi & Korsinsky LLP, welche die Sammelklage betreut, rief Betroffene dazu auf, sich der Klage anzuschließen. Ein Vergleich mit dem Fall Wynn Resorts verdeutlicht die Gefahr: Dort erlangte die Gruppe ShinyHunters Zugriff auf rund 800.000 Datensätze und forderte ein Lösegeld von 1,5 Millionen US-Dollar bis zum Ablauf einer Frist im Februar. Im Fall von Rivers Casino wies der Richter zwar Klagen wegen ungerechtfertigter Bereicherung oder Verletzung der Privatsphäre ab, hielt den Vorwurf der Fahrlässigkeit jedoch aufrecht, da Kläger bereits von vermehrten Betrugsversuchen nach dem Leck berichteten.

„Die Kläger haben plausibel dargelegt, dass der Betreiber seine Verpflichtung zum Schutz der persönlichen Daten nicht erfüllt hat.“ - Joshua D. Wolson, Richter am US-Bezirksgericht

Hintergrund

Casinos sind für Cyberkriminelle äußerst attraktive Ziele. Eine Studie der UNLV (University of Nevada, Las Vegas) belegt, dass es zwischen 2007 und 2023 mehr als 50 bestätigte Cybervorfälle bei Glücksspielunternehmen in Nevada gab. Die meisten davon ereigneten sich im letzten Jahrzehnt. Oftmals basiert die IT-Infrastruktur auf veralteter Technik, was Angreifern den Zugriff erleichtert. Im aktuellen Verfahren gegen Rivers Philadelphia geht es im Kern darum, ob das Unternehmen dem Stand der Technik entsprechende Schutzmaßnahmen implementiert hatte. Richter Wolson sah die Berichte über versuchte betrügerische Aktivitäten nach dem Vorfall als ausreichendes Indiz an, um den Prozess fortzuführen. Andere rechtliche Ansprüche, wie der Vorwurf des Vertrauensbruchs, wurden mangels ausreichender Begründung abgewiesen.

Was heißt das für deutsche Spieler?

Für deutsche Spieler, die in Online-Casinos mit einer Lizenz der Gemeinsamen Glücksspielbehörde der Länder (GGL) aktiv sind, hat das Thema Datensicherheit eine noch höhere Priorität. Der Glücksspielstaatsvertrag 2021 (GlüStV 2021) schreibt extrem strenge technische Anforderungen vor. Jeder Spieler muss über das zentrale System LUGAS registriert sein, um Einzahlungslimits von maximal 1.000 Euro pro Monat und das Einsatzlimit von 1 Euro pro Spin an virtuellen Automaten zu überwachen. Diese Verknüpfung persönlicher Daten mit staatlichen Überwachungssystemen bedeutet, dass deutsche Lizenznehmer immense Verantwortung tragen. Ein Datenleck wie in Philadelphia wäre hierzulande ein regulatorischer Albtraum, der zum sofortigen Entzug der GGL-Lizenz führen könnte. Spieler in Deutschland genießen durch die DSGVO und die GGL-Aufsicht einen der weltweit höchsten Schutzstandards, was den Unterschied zu weniger regulierten MGA- oder Curacao-Anbietern markiert.

Was das für GGL-Casinos heißt

Deutsche Anbieter auf der offiziellen Whitelist müssen sicherstellen, dass ihre Schnittstellen zu LUGAS und der Sperrdatei OASIS nicht nur funktional, sondern auch nach modernsten Standards verschlüsselt sind. Der Vorfall bei Rivers Casino zeigt, dass Gerichte zunehmend gewillt sind, Betreiber direkt für IT-Mängel haftbar zu machen. Für GGL-Casinos bedeutet dies eine ständige Investitionspflicht in Cybersicherheit, um Schadensersatzforderungen nach dem Vorbild der US-Sammelklagen zu vermeiden. Die IT-Systeme müssen regelmäßig auditiert werden, da die GGL bei Sicherheitsmängeln empfindliche Bußgelder verhängen kann. In Deutschland ist die Transparenz gegenüber den Behörden im Falle eines Angriffs zudem durch gesetzliche Meldepflichten strenger geregelt als in vielen US-Bundesstaaten.