Sicherheitslücke bei Tabcorp: Hohe Geldstrafe wegen fehlender Multi-Faktor-Authentifizierung

Der australische Wettanbieter Tabcorp VIC Pty Ltd sieht sich mit einer empfindlichen Geldstrafe konfrontiert. Die Aufsichtsbehörde des Bundesstaates Victoria, die Victorian Gambling and Casino Control Commission (VGCCC), verhängte eine Sanktion in Höhe von 350.000 AUD. Grund für die Strafe ist das Versäumnis, vorgeschriebene Sicherheitskontrollen zum Schutz von Kundenkonten rechtzeitig und vollständig zu implementieren. Konkret geht es um die sogenannte Multi-Faktor-Authentifizierung (MFA), die als Standardinstrument im modernen Online-Glücksspiel gilt, um Identitätsdiebstahl zu verhindern.

Zwischen dem 30. Januar und dem 23. Juni 2025 klaffte in den Systemen von Tabcorp eine erhebliche Sicherheitslücke. Da die MFA-Prozesse nicht wie vorgeschrieben funktionierten, hatten Angreifer leichtes Spiel. Während dieses Zeitraums kam es zu mehreren Vorfällen, bei denen Unbefugte Zugriff auf Wettkonten erhielten. Die Täter konnten in der Folge Geldbeträge von den Konten der betroffenen Kunden abheben. Dieser Vorfall wirft ein Schlaglicht auf die technologische Verantwortung von Lizenzinhabern, die weit über das bloße Angebot von Wetten hinausgeht.

Zahlen und Fakten

Die VGCCC stellte fest, dass Tabcorp gegen insgesamt vier technische Standards für das Wettwesen verstoßen hat. Die Strafe von 350.000 AUD ist dabei nicht die erste Sanktion, die das Unternehmen trifft. Erst im Jahr 2025 wurde Tabcorp zu einer Rekordstrafe von 4,6 Millionen AUD verurteilt, da es Mängel in der Governance und beim Spielerschutz gab. Im aktuellen Fall betonte die Behörde, dass Sicherheit keine Option, sondern eine zwingende Voraussetzung für das Vertrauen in den regulierten Markt sei.

Chris O’Neill APM, der Vorsitzende der VGCCC, fand deutliche Worte für das Versagen des Glücksspielgiganten. Er machte klar, dass von einem Lizenznehmer dieser Größe höchste Präzision erwartet wird.

„Wir erwarten starke Systeme, um Verstöße zu verhindern und Kunden zu schützen. Wenn Verstöße auftreten, ist es unsere Erwartung, dass die Lizenznehmer diese schnell identifizieren und beheben sowie deren zugrunde liegende Ursache angehen." - Chris O’Neill APM, Vorsitzender der VGCCC

Tabcorp hat inzwischen reagiert und der Behörde mitgeteilt, dass die MFA-Pflicht seit Juni 2025 vollständig umgesetzt ist. Kunden wurden dazu aufgefordert, ihre TAB-App auf eine Version zu aktualisieren, die diese Sicherheitsfunktion unterstützt. Die finanziellen Schäden der betroffenen Nutzer wurden laut Unternehmensangaben entweder von den Banken oder von Tabcorp selbst erstattet.

Hintergrund

Multi-Faktor-Authentifizierung ist ein Verfahren, bei dem Nutzer ihre Identität durch mindestens zwei verschiedene Merkmale nachweisen müssen. Dies kann ein Passwort in Kombination mit einem Code per SMS oder einer biometrischen Erkennung sein. Im Fall von Tabcorp war dieses System zwar geplant, aber in der technischen Infrastruktur nicht konsequent für alle Nutzer ausgerollt worden. Die VGCCC sieht darin eine grobe Vernachlässigung der Sorgfaltspflicht, da die Risiken von Hackerangriffen im digitalen Zeitalter allgegenwärtig sind.

Die Regulierungsbehörde in Victoria zeigt sich in den letzten Jahren zunehmend streng. Die Strafe soll als Signal an alle Anbieter verstanden werden, dass technische Mängel ebenso schwer wiegen wie Verstöße gegen soziale Verantwortung oder Geldwäsche-Prävention. Es geht um die Integrität des gesamten Sektors. Werden Kundendaten und Guthaben nicht geschützt, schwindet das Vertrauen der Öffentlichkeit in die staatliche Aufsicht.

Was heißt das für deutsche Spieler?

In Deutschland ist das Sicherheitsniveau durch den Glücksspielstaatsvertrag 2021 (GlüStV 2021) extrem hoch angesetzt. Deutsche Spieler, die bei Anbietern auf der offiziellen GGL-Whitelist registriert sind, genießen einen Schutz, der über die australischen Standards teilweise hinausgeht. Während in Australien MFA-Probleme zu Strafen führen, ist die Identitätsprüfung in Deutschland bereits bei der Kontörstellung durch Verfahren wie Schufa-Check oder Video-Ident obligatorisch.

Das zentrale System LUGAS überwacht zudem spielübergreifend das monatliche Einzahlungslimit von 1.000 Euro. Dies dient nicht nur dem Spielerschutz vor Sucht, sondern bietet eine zusätzliche Sicherheitsebene gegen massiven finanziellen Missbrauch durch Dritte. Wer in Deutschland bei einem legalen Anbieter spielt, muss sich darauf verlassen können, dass IT-Sicherheit nach dem Stand der Technik umgesetzt wird. Fälle wie bei Tabcorp zeigen, warum die strikte Aufsicht der Gemeinsamen Glücksspielbehörde der Länder (GGL) und das Limit von 1 Euro pro Spin an virtuellen Automaten wichtig sind, um das Risiko für den Einzelnen zu begrenzen.

Was das für GGL-Casinos heißt

Deutsche Lizenznehmer müssen aus solchen internationalen Vorfällen lernen. IT-Audits sind in Deutschland fester Bestandteil der Lizenzierung. Ein Versagen bei der Implementierung von Sicherheitsfeatures würde hierzulande sofort zum Entzug der Erlaubnis oder zu massiven Bußgeldern durch die GGL führen. Die deutschen Betreiber sind verpflichtet, die Integrität ihrer Plattformen jederzeit zu gewährleisten. Dies unterscheidet den legalen Markt massiv von Anbietern aus Malta oder Curacao, wo Sicherheitsstandards oft laxer gehandhabt oder gar nicht erst staatlich geprüft werden.