Curaçao schließt sein gehacktes Lizenzportal dauerhaft

Die Glücksspielaufsicht von Curaçao nimmt ihr Online-Portal nach einem unbefugten Zugriff nicht wieder in Betrieb. Bestehende Lizenzen bleiben gültig, ein Ersatz für das digitale Siegel fehlt noch.

Die Curaçao Gaming Authority (CGA), die Glücksspielaufsicht des Karibikstaats, hat am Mittwoch, 7. Oktober 2026, in Willemstad angekündigt, ihr Online-Portal für Lizenzen nicht wieder in Betrieb zu nehmen.

Zugriff über ein Konto mit falscher Identität

Den unbefugten Zugriff auf das Portal hatte die CGA am 17. September gemeldet. Fünf Tage später ergänzte sie, das Konto für den Zugang sei im Dezember 2025 unter falscher Identität angelegt worden und erst im September aufgefallen. Über einzelne Lizenznehmer sagt die Mitteilung vom 7. Oktober nichts.

Einen Tag vor dieser Mitteilung, am 6. Oktober, verfolgte die ZIB 2 des ORF Spuren aus dem Datenleck nach Österreich und verwies auf zahlreiche Online-Casinos mit Lizenz aus Curaçao.

Für ein Angebot in Österreich reicht eine Lizenz aus Curaçao nicht. Online-Glücksspiel darf nach dem Glücksspielgesetz nur der Inhaber der Lotteriekonzession veranstalten.

Am Bezirksgericht Klagenfurt fordere ein 29-jähriger Kärntner 8.000 Euro von vier Anbietern mit Sitz auf Curaçao zurück, berichtete die Kleine Zeitung im August. Ob die angekündigte schriftliche Entscheidung inzwischen vorliegt, ist nicht öffentlich bekannt.

Lizenzen bleiben gültig, das digitale Siegel fällt aus

Die Lizenzen aus Curaçao blieben trotz des Portalendes gültig, teilte die CGA mit. Betroffen sei aber das digitale Siegel, mit dem Betreiber auf ihren Seiten belegen, dass eine Domain lizenziert ist. Bis ein Ersatz kommt, bleibt das Register auf der Website der Behörde abrufbar.

Ein Eintrag im Register nennt die Firma, die eine Lizenz hält, und ob dieselbe Firma im Impressum einer Casino-Seite steht, lässt sich nur auf der Seite selbst prüfen. Dort stehen auch Geschäftsbedingungen und Einzahlungslimits.

Welche Angaben beim Casino-Vergleich zählen

Lizenznummer und Firma stehen im Register der CGA, die Zahlungswege eines Angebots nicht. Die Einträge, mit denen sich auf casino.guru Online Casinos in Österreich entdecken lassen, nennen neben der ausstellenden Behörde samt Lizenznummer auch die Zahl der Zahlungsmethoden.

Neben den Formalitäten bewerten derartige Vergleichsportale vor allem eines: Die Qualitätskriterien, die Spieler wirklich interessieren. Das sind die Größe und Vielfalt des Angebots, Bonusangebote und -Bedingungen, Auszahlungsquoten, etc. Diese Informationen selbst zu recherchieren, wäre für die meisten Verbraucher ein unverhältnismäßig hoher Aufwand, weshalb diese Websites als eine Art Gatekeeper fungieren.

Das Register der CGA trägt dasselbe Datum und führt 616 Einträge, aus denen sich nach Angaben der Behörde keine Rechte ableiten ließen. Das Portal ordnet seine Einschätzungen als allgemeine Information ohne Rechtsberatung ein. Bei mehreren Einträgen vermerkt es, ob Werkzeuge für verantwortungsbewusstes Spielen verfügbar sind, und auf der Österreich-Seite verweist es auf einen Selbsttest des Finanzministeriums. Verbindlich regelt jedes Angebot Auszahlungen und Limits in seinen eigenen Geschäftsbedingungen, gleich ob seine Lizenz aus Malta oder aus Curaçao stammt.

Die Frist vom 9. Oktober ist verstrichen

Bis spätestens 9. Oktober wollte die CGA mitteilen, wie Lizenzierung und Aufsicht ohne das Portal weiterlaufen. Das Portal begleitete seit 2024 die Reform der Online-Lizenzen, mit ihm enden auch die Servicevereinbarungen für seinen Betrieb. Angekündigt hat die Behörde in derselben Mitteilung vom 7. Oktober auch einen anderen Nachweis dafür, dass eine Domain bei ihr lizenziert ist. Auf ihrer Nachrichtenseite ist bis 17. Oktober keine weitere Mitteilung erschienen.

Fristen für Unterlagen, die Betreiber über das Portal einreichen müssten, hatte die CGA schon am 2. Oktober verschoben. Gelten sollte der Aufschub bis zur Rückkehr des Portals, die es seit dem 7. Oktober nicht mehr geben soll.

Zu dem Zugriff bekannte sich in Medienberichten eine Sicherheitsforscherin aus Deutschland, ihre Angaben deckten sich nach Darstellung der CGA mit der eigenen Untersuchung. Die Behörde werte den Zugriff als schweren Verstoß gegen das Recht von Curaçao. Wie viele Daten abgeflossen sind, will sie erst sagen, wenn ihre Untersuchung es belegt. Betroffene Personen und Lizenznehmer werde sie direkt benachrichtigen. Antragsteller habe sie seit 2024 nach festen Verfahren geprüft, Schlüsse aus einzelnen Dokumenten ohne den Zusammenhang eines Antrags halte sie für voreilig.

Bis der neue Nachweis der Behörde vorliegt, bleibt die Schreibweise einer Domain ein Prüfpunkt, den auch das Landeskriminalamt Kärnten nennt. Im August warnte es vor täuschend echten Kopien von Bank-Webseiten, deren Adressen sich vom Original teilweise nur durch einen Buchstaben unterschieden, und riet, Adressen selbst einzutippen. Die Kriminalprävention des Landeskriminalamts berät dazu kostenlos. Anfang September meldete die Polizei einen Fall aus Klagenfurt. Ein 46-Jähriger hatte für Pellets, die nie geliefert wurden, knapp 2.000 Euro auf ein litauisches Konto überwiesen, danach war auch die Website nicht mehr online.

Netzsperren gegen eine Website ohne österreichische Konzession sieht eine Novelle des Glücksspielgesetzes ab 1. Jänner 2027 vor. Die Regierungsvorlage liegt seit 5. August im Nationalrat. Laut Parlamentskorrespondenz vom 12. August umfasse sie außerdem mehrere Online-Konzessionen statt einer, ein zentrales Sperrregister, verpflichtende Einzahlungslimits über alle Anbieter hinweg und das Unterbinden von Zahlungen an Anbieter ohne Konzession. Für Online-Slots seien erstmals Limits vorgesehen, an Automaten sinke der Höchsteinsatz auf 5 Euro pro Spiel. Eine neue Stelle für Glücksspiel und Spielerschutz soll den Markt beobachten.