Wissenswertes zum Hackerangriff bei Merkur (SlotMagie, Crazybuzzer, Merkur Bets)

Online Casinos informierten Spieler per Mail über Hackerangriff

Am 13. März 2025 informierte unter anderem das Online Casino SlotMagie seine User über den Hackerangriff und die damit einhergehende massive Datenschutzverletzung. In der E-Mail hieß es, dass sich der Angriff wohl primär gegen den Betreiber und nicht gegen einzelne Spieler richtet. Demnach habe sich der Hacker selbst bei der zuständigen Gemeinsamen Glücksspielbehörde der Länder (GGL) gemeldet und auf die Sicherheitslücke aufmerksam gemacht. Betroffen sind die Online Casinos SlotMagie, CrazyBuzzer und Merkur Bets, die alle über Tochterfirmen von der in Espelkamp ansässigen Merkur Group betrieben werden.

Besorgniserregend ist insbesondere die Tatsache, dass unter anderem der vollständige Name, die Adresse, die Kontodaten und sogar einige Ausweiskopien und persönliche Briefe der User, die als Adressnachweis verwendet wurden, öffentlich einsehbar waren. Darüber hinaus war öffentlich einsehbar, wie viel Geld jeder einzelne Spieler ein- bzw. ausgezahlt hat. Die personenbezogenen Daten der Spieler konnten über die sogenannte GraphQL-Schnittstelle im Backend ohne größeren Aufwand öffentlich abgefragt werden. Dementsprechend waren selbst sensible Daten wie Ausweisdokumente und Personalien der User in keiner Weise geschützt.

Aktivistin bekannt sich zum Hackerangriff

Mittlerweile hat sich die Hackerin Lilith Wittmann vom Chaos Computer Club (CCC) zum Hackerangriff bekannt. Der CCC ist ein eingetragener Verein, der zum aktuellen Zeitpunkt rund 8.000 Mitglieder zählt und schon in der Vergangenheit immer wieder teils auf massive Sicherheitsprobleme in Unternehmen aufmerksam gemacht hat. Das Erfreuliche für die Online-Spieler ist, dass der CCC mit ihrer Aktivistin Wittmann keine kriminellen Absichten hatte. Die 30-Jährige wolle die gehackten Daten lediglich zu Forschungszwecken verwenden. So soll unter anderem ausgewertet werden, ob es tatsächlich stimmt, dass ein sehr geringer Anteil der Spieler für einen Löwenanteil des Umsatzes verantwortlich ist.

Folglich kann aktuell davon ausgegangen werden, dass mit den eingesehenen Daten der Spielerinnen und Spieler keine weiteren Straftaten wie Identitätsdiebstahl begangen werden. Dennoch raten Experten, wachsam zu bleiben und insbesondere Passwörter in regelmäßigen Abständen zu ändern. Natürlich haben die IT-Experten der genannten Online Casinos mittlerweile dafür gesorgt, dass die Sicherheitslücken geschlossen wurden und die Daten der Spieler nun sicher sind.

Die GGL hat bereits wenige Tage nach Bekanntwerden des Skandals reagiert und der zuständigen The Mill Adventure Limited eine öffentliche Abmahnung ausgesprochen. Am 17. März 2025 berichtete auch die BILD-Zeitung über den Fall und behauptete, dass die Hackerin sogar eine Million Kontodaten von Online-Spielern geknackt hat.

Fazit

Der Hackerangriff auf die Online Casinos der Merkur Group zeigt, dass persönliche Daten im Internet nach wie vor nicht 100 % sicher sind. Es besteht immer die Gefahr, dass durch Hacker Daten in falsche Hände geraten und missbraucht werden. Im vorliegenden Fall haben es die Online Casinos den Hackern des Chaos Computer Clubs jedoch augenscheinlich sehr leicht gemacht, da nahezu alle Daten für Jedermann im System abgefragt werden konnten. Es bleibt abzuwarten, wie viele Spielerinnen und Spieler aufgrund des massiven Datenschutzverstoßes gegen das verantwortliche Unternehmen gerichtlich vorgehen werden und wie erfolgreich diese damit letztendlich sein werden.