Curaçao stellt gehacktes Lizenzportal ein, verpasst Updatefrist

Kein Portal und kein Übergangsplan

Die Curaçao Gaming Authority (CGA) gab am 7. Oktober bekannt, dass ihr Online-Glücksspielportal „nicht wieder in Betrieb genommen wird“ und dass die „damit verbundenen Dienstleistungsvereinbarungen zur Unterstützung der Plattform“ damit enden würden. Die Aufsichtsbehörde würdigte das Portal für seinen Beitrag zur Online-Glücksspielreform auf Curaçao seit 2024. In der Praxis handelte es sich um die Website, auf der Unternehmen eine Curaçao-Lizenz beantragten und die von der Aufsichtsbehörde zu prüfenden Dokumente hochluden – von Eigentumsnachweisen bis hin zu Compliance-Richtlinien –, sowie um das System, aus dem die durchgesickerten Dateien stammten. Laut einer Mitteilung vom 2. Oktober war die Website bereits offline.

Lizenzierung, Compliance und Aufsicht „werden über alternative Wege fortgesetzt, während eine Übergangslösung umgesetzt wird“, erklärte die CGA, wobei Details „derzeit für spätestens den 9. Oktober 2026 vorgesehen sind“. Am Dienstagmorgen (UTC) enthielt die Nachrichtenseite der Regulierungsbehörde nach der Ankündigung vom 7. Oktober keine weiteren Einträge. In der Mitteilung vom 2. Oktober wurden die Betreiber angewiesen, keine für das Portal bestimmten Dokumente per E-Mail zu senden, da „solche Einreichungen derzeit nicht über alternative Kanäle bearbeitet werden können“, und die Einreichungsfristen für das Portal wurden bis zur Wiederinbetriebnahme des Portals verschoben – was die CGA inzwischen jedoch ausgeschlossen hat.

Die CGA erklärte, die „Verfügbarkeit des aktuellen digitalen Siegels werde beeinträchtigt“ und man werde „in Kürze einen alternativen Mechanismus einführen“, mit dem Betreiber nachweisen können, dass eine Domain lizenziert ist. Am Dienstagmorgen wurde die Zertifikatsseite hinter dem Siegel des Krypto-Casinos Shuffle weiterhin geladen und führte dessen Curaçao-Lizenz als aktiv auf. Die Aufsichtsbehörde erklärt, dass bestehende Lizenzen weiterhin gültig bleiben und die Verpflichtungen der Betreiber unverändert sind. Das Siegel ist ein Abzeichen, das lizenzierte Casinos wie Shuffle auf ihren Websites anzeigen und das auf eine Zertifikatsseite auf der Website der Aufsichtsbehörde verweist, auf der der hinter der Website stehende Betreiber, dessen Lizenznummer und -status sowie die anderen von ihm betriebenen Domains aufgeführt sind, sodass Besucher überprüfen können, ob ein Casino lizenziert ist.

Die CGA gab am 17. September bekannt, dass ein unbefugter Zugriff auf das Portal stattgefunden habe. In einer Folgemeldung vom 22. September hieß es, ein deutscher Sicherheitsforscher habe sich über ein im Dezember 2025 unter falscher Identität registriertes Konto Zugang verschafft und diesen bis September aufrechterhalten; die Behörde bezeichnete dies als „schwerwiegenden Verstoß nach dem Recht von Curaçao“ und kündigte an, den Vorfall den zuständigen Behörden zu melden. Außerdem erklärte sie, sie werde „keine Zahlen wiederholen, die sie nicht überprüfen kann“, was den Umfang der entwendeten Daten angeht.

Die Hackerin Lilith Wittmann hat mehr als 40.000 Dokumente des Portals als „Casino Secrets“-Leak veröffentlicht, der unter anderem eine Vereinbarung zur Umsatzbeteiligung zwischen dem britischen Buchmacher-Content-Anbieter SIS und dem Mystake-Betreiber Santeda ans Licht brachte. „Follow the Money“, das gemeinsam mit europäischen Medienpartnern die zentrale Untersuchung zu den Dateien veröffentlichte, gab an, rund 800 Eigentümer von fast 650 auf Curaçao lizenzierten Unternehmen identifiziert zu haben. In einem separaten Fall erklärte Wittmann im September, dass ein Berliner Gericht zu ihren Gunsten gegen die Malta Gaming Authority entschieden habe, die eine einstweilige Verfügung gegen sie erwirkt hatte, nachdem sie im März in deren Systeme eingedrungen war. Nach ihren Angaben darf sie die maltesischen Dokumente weiterhin nutzen, darf aber nicht erneut auf deren Systeme zugreifen.