Curaçaos Glücksspielaufsicht: Lizenzportal war neun Monate lang unter falscher Identität zugänglich

Die Curaçao Gaming Authority (CGA) hat bestätigt, dass eine unbefugte Person rund neun Monate lang Zugang zu ihrem Online-Lizenzportal hatte. In einer Folgemitteilung vom 22. September 2026 schreibt die Behörde, der Zugang sei über den kundenseitigen Teil des Portals erfolgt, also über den Bereich für Antragsteller und Lizenznehmer. Genutzt wurde ein Konto, das im Dezember 2025 unter falscher Identität registriert worden war. Der Zugang bestand, bis er im September 2026 entdeckt und beendet wurde.

Laut CGA verband das Konto eine Abwandlung des Namens einer realen Person mit einem Unternehmen, das im Register der Handelskammer von Curaçao eingetragen ist. Die Behörde spricht von „einem schweren Verstoß nach dem Recht Curaçaos“ und will den Vorfall den zuständigen Behörden melden.

Von „eingedämmt“ zu neun Monaten

Öffentlich gemacht hat die CGA den Vorfall erstmals am 17. September 2026. Damals hieß es, der unbefugte Zugang sei eingedämmt und seine Quelle identifiziert. Der IT-Dienstleister habe eine forensische Untersuchung begonnen, eine Kompromittierung der zentralen technischen Infrastruktur sei nicht festgestellt worden. Einen Zeitraum nannte die Behörde nicht.

Die Folgemitteilung kam, nachdem die deutsche Sicherheitsforscherin Lilith Wittmann am 22. September ihre eigene Darstellung veröffentlicht hatte, gemeinsam mit der niederländischen Rechercheplattform Follow the Money (FTM) und weiteren europäischen Medienpartnern. Die CGA nennt ihren Namen nicht. Sie erklärt aber, die Angaben der Forscherin, sie habe auf das Portal zugegriffen und Daten über Betreiber aus Curaçao sowie interne CGA-Dokumente abgezogen, seien „mit ihrer internen Untersuchung vereinbar“.

Wittmann schreibt, sie habe sich am 3. Dezember 2025 zum ersten Mal eingeloggt. Die Lücke sei etwa eine halbe Stunde geschlossen worden, nachdem sie der Behörde am 17. September gegen 22 Uhr ihre Fragen geschickt hatte, also am Tag der ersten Mitteilung. Diese Zeitangaben stammen von ihr; die CGA hat keine eigenen veröffentlicht.

Was das Leak enthält und was die CGA bestätigt

Nach Angaben der Behörde ist der volle Umfang des abgeflossenen Materials noch nicht geklärt. Sie werde „keine Zahlen wiederholen, die sie nicht überprüfen kann“.

Die bisherige Berichterstattung beschreibt einen umfangreichen Datenbestand. Laut FTM erhielt Wittmann Zehntausende vertrauliche Dokumente, darunter Lizenzanträge, Namen von Eigentümern, Prüfberichte der Behörde, Reisepässe, Steuererklärungen und Finanzunterlagen. Nach FTM identifizieren die Dateien rund 800 Eigentümer von knapp 650 lizenzierten Glücksspielunternehmen. Die CGA hat diese Zahlen nicht bestätigt.

FTM berichtet außerdem, dass Lizenzen erteilt wurden, obwohl Fragen zu den Eigentumsverhältnissen oder zur Herkunft der Mittel offen waren. Die CGA hat das gegenüber FTM nicht bestritten. Sie verwies auf eine Übergangsphase, in der Unternehmen die Anforderungen des Glücksspielgesetzes von 2024 schrittweise erfüllen dürfen. In ihrer Mitteilung vom 22. September betont die Behörde, sie wende seit Beginn der Reform „robuste interne Verfahren“ bei der Sorgfaltsprüfung an. Aus einzelnen Dokumenten ohne den Kontext des jeweiligen Antrags solle man keine Schlüsse ziehen.

Sicherheitsmaßnahmen und nächste Schritte

Seit dem 17. September hat die CGA nach eigenen Angaben die Sicherheit im Backoffice und in der Kundenoberfläche des Portals verstärkt und Sicherheitsupdates für die Software eingespielt. Lizenzierte Online-Betreiber wurden über Änderungen informiert, die sie auf ihrer Seite umsetzen müssen, und aufgefordert, das so rasch wie möglich zu tun.

Ergibt die Untersuchung, dass Informationen über Einzelpersonen, Antragsteller, Lizenznehmer oder andere Beteiligte betroffen sein könnten, will die CGA diese direkt benachrichtigen. Weitere Informationen hat sie angekündigt, sobald die Untersuchung vorankommt.

Auch die Lokalpolitik beschäftigt der Fall. Die Parlamentsfraktion MAN-PIN will laut Curaçao.nu die Glücksspielverordnung des Landes ändern und Infrastruktur und Daten des Online-Glücksspielsystems zurück auf die Insel holen. Eine Parlamentsdebatte über die Verordnung soll nach ihrem Wunsch warten, bis die Untersuchungen zur CGA abgeschlossen sind.

Was das für Spieler bedeutet

Die bisher beschriebenen Unterlagen betreffen Antragsteller, Lizenznehmer und deren Eigentümer. Die CGA hat nicht mitgeteilt, dass Spielerkonten betroffen sind, und auch die Berichterstattung beschreibt keine Spielerdaten. Für Spieler wirkt sich der Fall indirekt aus: Laut FTM betreiben in Curaçao lizenzierte Unternehmen Tausende Glücksspielseiten, und das Leak verschärft die seit Langem gestellte Frage, wie genau deren Eigentümer geprüft werden.

Eine Lizenz aus Curaçao ist nicht dasselbe wie eine Lizenz in Ihrem eigenen Land. Prüfen Sie vor einer Einzahlung, wer ein Casino betreibt und was in seinen Bedingungen steht. Unser Ratgeber zum Kleingedruckten zeigt, worauf Sie achten sollten. 18+. Wenn Glücksspiel keinen Spaß mehr macht, lesen Sie unsere Seite zu verantwortlichem Spielen.