Aktuell: Zum Datenleck bei MerkurBets/Slotmagie/Crazybuzzer

Der aktuelle Stand zum Datenleck bei der Merkur AG: Am vergangenen Wochenende gingen die drei oben genannten Online Casinos plötzlich offline.

Kurze Zeit später erhielten zahlreiche bei Slotmagie registrierte Spieler die folgende Email (Originaltext):

Email von Slotmagie zum Datenleck bei Merkur

Wir wenden uns heute an Sie, um Sie über eine kürzlich aufgetretene Datenschutzverletzung auf unserer Plattform slotmagie.de zu informieren: Unsere IT-Systeme wurden durch Hacker angegriffen. Diese haben sich unbefugten Zugriff auf Kundendaten verschafft. Da die Hacker zwar in höchstem Maße professionell, aber nicht kriminell handelten, haben sie die zuständige Aufsichtsbehörde informiert, die Daten jedoch nicht zum Nachteil unserer Kunden verwertet.

Wir legen größten Wert auf Transparenz und möchten Ihnen daher die Hintergründe erläutern sowie mögliche Risiken darlegen und Ihnen erklären, welche Schritte wir bereits eingeleitet haben.

Trotz umfangreicher Sicherheitsmaßnahmen wurde das IT-System eines unserer Dienstleisters Ziel eines Cyberangriffs. Dabei haben unbefugte Dritte, welche offenbar auf potenzielle Sicherheitslücken hinweisen möchten, Angriffspunkte in unseren Systemen entdeckt und Zugriff auf personenbezogene Kundendaten erhalten. Nach unserem aktuellen Kenntnisstand besteht allerdings keine Absicht dieser Aktivisten, die erlangten Informationen weiterzugeben oder zu missbrauchen.

Auf Basis der aktuellen Informationen betrifft der Vorfall folgende Kundendaten: Name, Adresse, Transaktionen und Kontodaten (falls diese vorlagen), Ausweisdaten, Fotos aus der Videoidentifizierung und Risikoeinstufungen hinsichtlich der Spielsuchtgefahr.

Wichtig ist: Ihre Passwörter wurden nicht entwendet und sind weiterhin sicher, sodass keine Änderung Ihrer Passwörter erforderlich ist. Sollten Sie dennoch ein höheres Sicherheitsgefühl wünschen, empfehlen wir Ihnen, Ihre Passwörter in regelmäßigen Abständen zu aktualisieren.

Soweit derzeit bekannt, richtete sich der Angriff primär gegen unser Unternehmen und nicht gezielt gegen einzelne Kunden. Es gibt keine Hinweise darauf, dass die gesichteten Daten für betrügerische Zwecke missbraucht wurden oder werden. Zudem erfolgte die Meldung an uns über die Gemeinsame Glücksspielbehörde der Länder (GGL) und nicht über die Hacker selbst. Dennoch beobachten wir die Situation sehr genau und stehen in engem Austausch mit unseren IT-Sicherheitsexperten sowie den zuständigen Behörden.

Obwohl wir die Gefahr als gering einschätzen, möchten wir Sie auf folgende potenzielle Risiken hinweisen:

Identitätsdiebstahl: Ihre Daten könnten für betrügerische Zwecke, zum Beispiel Vertragsabschlüsse, genutzt werden.

Phishing-Angriffe: Betrüger könnten Sie mithilfe persönlicher Daten gezielt per E-Mail, Telefon oder SMS kontaktieren, um weitere Informationen von Ihnen zu erlangen oder Sie zum Klicken auf schädliche Links zu bewegen.

Als Vorsichtsmaßnahme empfehlen wir Ihnen, wachsam zu bleiben, sensible Daten nicht unverschlüsselt zu versenden und Ihre Bank- und Kreditkartenrechnungen auf ungewöhnliche Transaktionen zu prüfen.

Mit Feststellung des Vorfalls haben wir umgehend alle notwendigen Maßnahmen eingeleitet, um die Sicherheit der Systeme wiederherzustellen. So haben wir die sofortige Schließung aller identifizierten Sicherheitslücken veranlasst. Die zuständigen Datenschutzbehörden sind vorschriftsgemäß informiert worden. Wir stehen weiterhin im Austausch mit der Gemeinsamen Glücksspielbehörde der Länder und arbeiten intensiv an den Schutzmechanismen.

Zudem überprüfen wir kontinuierlich unsere Sicherheitsmaßnahmen und aktualisieren interne Prozesse sowie Mitarbeiterschulungen, um künftig ähnliche Vorfälle zu verhindern. Darüber hinaus werden wir verstärkt Audits mit weiteren Sicherheitsexperten durchführen, um etwaige Schwachstellen frühzeitig zu erkennen, zu beseitigen und eine Wiederholung eines solchen Vorfalls zu unterbinden.

Falls Sie weitere Fragen zu diesem Vorfall haben, finden Sie zahlreiche Informationen in unseren dazu erstellten FAQs. Diese können Sie unter folgendem Link aufrufen: FAQs zum aktuellen Datenschutzfall

Wir danken Ihnen für Ihr Vertrauen und Ihre Unterstützung.

Mit freundlichen Grüßen
Ihr SlotMagie Team

Wie konnte das passieren?

Alle betroffenen Online Casinos arbeiten mit Software der maltesischen Firma The Mill Adventures. Online Casino und Casinosoftware sind durch eine GraphQL-Schnittstelle verknüpft, mittels der alle Kundendaten kommuniziert werden.

Und genau dort lag eine Schwachstelle vor. Die White Hat Hackerin Lilith Wittmann hat das Datenleck aufgedeckt und ausführlich kommuniziert. Demnach waren selbst sensibelste Kundendaten offen zugänglich. Zitat Wittmann:

„Vor- und Nachname des Spielers

Spieler-ID, welche auch von der Glücksspielbehörde (GGL) benutzt wird, um statistische Daten zu erfassen. Diese Spielestatistiken lassen sich bei der GGL im Rahmen einer DSGVO Auskunft abfragen.

Zahlungsdaten, darunter Daten zu den folgenden Zahlungsdienstleistern:

• TRUSTLY (104.291) — IBANs, Kontoinhaber, teilweise Adressen
• PAYPAL (120.900) — Email-Adressen, teilweise Adressen
• PAYLADO (1971) — Kontoinhaber, Telefonnummer
• PAYSAFECARD (26.536) — Name, Geburtsdatum, teilweise Adresse
• ADYEN (128.965) — Name, IBAN, teilweise Adresse, Kreditkartendetails
• PAYMENT_IQ (31.487) — Name, IBAN/Kreditkartendetails, teilweise Adresse
• SKRILL (912) — Email

Spielsessions mit allen Spielzügen, sowie IP-Adressen und Browser/User-Agent Details.

Das System war vollständig öffentlich zugänglich.“

Droht jetzt eine Klageflut?

Zahlreiche Merkur-Kunden denken bereits darüber nach, Klage einzureichen. Unter Anderem wird hier im GambleBoost Forum über eine Sammelklage nachgedacht.

Welche Gefahr besteht?

Alle Online Casinos sind inzwischen wieder online. Von einem Missbrauch der Daten wird derzeit nicht ausgegangen. Trotzdem sollte man als Spieler sicherheitshalber seine Zugangsdaten aktualisieren, also das Passwort ändern.

Finanzielle Schäden sind den Spielern nicht entstanden, und es steht zu erwarten, dass das auch so bleibt. Der immaterielle Schaden für jeden einzelnen Spieler ist jedoch immens.

Der Imageschaden für Merkur Bets lässt sich noch gar nicht abschätzen.

GambleBoost hat MerkurBets bereits vor längerer Zeit aus dem Portfolio genommen. Slotmagie ist inzwischen wieder verfügbar.