Riverside Resort & Casino zahlt 1,5 Millionen Dollar nach Datenleck

Ein massives Datenleck hat für das Riverside Resort & Casino in Laughlin, Nevada, nun teure juristische Folgen. Das Glücksspielunternehmen hat einem Vergleich in Höhe von mindestens 1,5 Millionen US-Dollar zugestimmt, um eine Sammelklage beizulegen. Der Fall geht auf einen gezielten Cyberangriff im Juli 2024 zurück, bei dem Hacker Zugriff auf hochsensible Informationen von mehr als 51.000 Personen erlangten. In der digitalen Welt von heute, in der Daten als das neue Gold gelten, zeigt dieser Vorfall einmal mehr, wie verwundbar selbst etablierte Casinobetreiber sein können, wenn die IT-Sicherheit nicht auf dem neuesten Stand ist.

Die Kläger warfen dem Betreiber vor, keine angemessenen Schutzmaßnahmen implementiert zu haben, um die Privatsphäre der Kunden zu gewährleisten. Zu den entwendeten Daten gehörten nicht nur einfache Adressdaten, sondern auch Sozialversicherungsnummern, Führerscheinnummern und detaillierte Finanzinformationen. Das Riverside Resort & Casino Inc. sowie die Riverside Resort & Casino LLC bestreiten zwar jegliches Fehlverhalten, entschieden sich jedoch für die Zahlung, um die unkalkulierbaren Risiken und Kosten eines langwierigen Rechtsstreits zu vermeiden. Für die Betroffenen bedeutet dies immerhin einen finanziellen Trostpflaster, auch wenn das Vertrauen in die Datensicherheit nachhaltig beschädigt sein dürfte.

Zahlen und Fakten

Der Vergleich sieht vor, dass Mitglieder der Sammelklage bis zu 3.000 US-Dollar für dokumentierte Auslagen erhalten können, die direkt durch den Datendiebstahl entstanden sind. Dazu zählen beispielsweise Verluste durch Identitätsdiebstahl, Gebühren für Kreditberichte oder Kosten für den Ersatz von Ausweisdokumenten. Wer keinen konkreten Nachweis erbringen kann, geht dennoch nicht leer aus. In diesen Fällen gibt es eine Pauschale von 50 US-Dollar, während Bewohner des US-Bundesstaates Kalifornien aufgrund dortiger strengerer Datenschutzregeln 75 US-Dollar erhalten können.

Zusätzlich können die Betroffenen bis zu drei Stunden Zeitaufwand geltend machen, der für die Recherche zum Datenleck oder das Ändern von Passwörtern entstanden ist. Dieser Zeitaufwand wird mit 20 US-Dollar pro Stunde vergütet, was maximal 60 US-Dollar entspricht. Wichtig ist jedoch, dass diese Beträge auf die Obergrenze von 3.000 US-Dollar angerechnet werden. Die Anwaltskosten sind in diesem Verfahren auf eine halbe Million US-Dollar gedeckelt. Insgesamt steht ein Topf von 1 Million US-Dollar für Barauszahlungen zur Verfügung. Sollten die genehmigten Ansprüche diese Summe übersteigen, werden die Zahlungen anteilig gekürzt.

Hintergrund

Das Riverside Resort & Casino ist eine Institution in Laughlin, einer Stadt, die oft im Schatten von Las Vegas steht, aber dennoch beachtliche Umsätze im Glücksspielsektor generiert. Der Vorfall im Juli 2024 war kein Einzelfall in der Branche. In den letzten Jahren wurden vermehrt Casinos Ziel von Ransomware-Attacken und Datendiebstahl, da sie große Mengen an persönlichen und finanziellen Daten ihrer Gäste speichern. Der aktuelle Vergleich ist ein deutliches Signal an die Industrie, dass Nachlässigkeiten bei der Cybersicherheit teuer werden können.

Die Betroffenen haben nun bis zum 4. Januar 2027 Zeit, ihre Ansprüche offiziell einzureichen. Während das Casino versucht, das Kapitel rechtlich abzuschließen, bleibt die Bedrohungslage für die Branche insgesamt hoch. Interessanterweise zeigen aktuelle Daten des Nevada Gaming Control Board, dass die Spieleinnahmen im Bundesstaat für den September stagnieren, was den Druck auf Betreiber erhöht, Kosten zu kontrollieren und gleichzeitig in Sicherheit zu investieren.

Was heißt das für deutsche Spieler?

Für deutsche Spieler, die in Online-Casinos aktiv sind, unterstreicht dieser Fall die enorme Bedeutung der Regulierung. Wer bei Anbietern spielt, die keine Lizenz der Gemeinsamen Glücksspielbehörde der Länder (GGL) besitzen, setzt sich einem erheblichen Risiko aus. Im Falle eines Datenlecks bei einem Anbieter aus Curacao oder anderen Offshore-Zonen haben deutsche Kunden kaum eine rechtliche Handhabe, um Entschädigungen wie im Riverside-Fall zu erstreiten. Der deutsche Glücksspielstaatsvertrag 2021 (GlüStV 2021) legt strenge Regeln für den Datenschutz und die IT-Sicherheit fest.

Durch das zentrale System LUGAS und die Anbindung an die Sperrdatei OASIS wird sichergestellt, dass Daten nur zweckgebunden und unter strengen Sicherheitsauflagen verarbeitet werden. Deutsche Lizenzen garantieren, dass die IT-Infrastruktur der Anbieter regelmäßig geprüft wird. Zwar gibt es auch hier das Einzahlungslimit von 1.000 Euro pro Monat und das Einsatzlimit von 1 Euro pro Spin, doch diese Maßnahmen dienen nicht nur dem Spielerschutz, sondern auch der Transparenz und Sicherheit. Ein Datenleck wie in Nevada wäre bei einem GGL-lizenzierten Anbieter ein schwerer Verstoß, der sofort zum Lizenzentzug führen könnte.

Was das für GGL-Casinos heißt

Die GGL-Whiteliste ist für deutsche Nutzer der einzige sichere Hafen. Casinos mit dieser Lizenz müssen nachweisen, dass sie gegen Cyberangriffe gewappnet sind. Sollte es dennoch zu einem Vorfall kommen, bietet die deutsche Rechtsprechung wesentlich stabilere Grundlagen für Schadensersatzansprüche als internationale Graumärkte. Deutsche Spieler sollten daher penibel darauf achten, ausschließlich bei Anbietern mit GGL-Siegel zu spielen, um ihre sensiblen Bankdaten und persönlichen Informationen bestmöglich zu schützen.

„Das Casino erklärte sich bereit, den Rechtsstreit beizulegen, um die Risiken und Kosten eines fortgesetzten Gerichtsverfahrens zu vermeiden.“ - Riverside Resort & Casino Management, Stellungnahme zum Vergleich