Curaçaos Glücksspielaufsicht erläutert Portal-Sicherheitsvorfall und plant Ersatzsystem

Die Curaçao Gaming Authority hat einen ausführlichen Bericht über den Sicherheitsvorfall bei ihrem Lizenzierungsportal für Online-Glücksspiel veröffentlicht. Darin erläutert sie rechtliche Schritte, Bemühungen zur Datenentfernung und Pläne zum Ersatz des extern verwalteten Systems.

In einer am 19. Oktober veröffentlichten Erklärung teilte die CGA mit, sie habe am 17. September festgestellt, dass eine deutsche Person aus der Cybersicherheitsforschung unbefugt auf das Portal zugegriffen hatte. Ihre Untersuchungen deuteten darauf hin, dass der Zugriff zwischen Dezember 2025 und September 2026 andauerte.

Nach Angaben der Aufsicht wurden vertrauliche Informationen von Inhabern von Online-Glücksspiellizenzen erlangt und veröffentlicht. Sie bezeichnete das Vorgehen als strafbar und erklärte, eine unabhängige technische Untersuchung zu den Auswirkungen und Folgen des Angriffs beauftragt zu haben. 

Anzeigen in drei Rechtsräumen erstattet

Die CGA erklärte, sie habe Anzeigen erstattet und den Vorfall den Behörden in Curaçao, Deutschland und den Niederlanden gemeldet.

Außerdem beauftragte sie spezialisierte Unternehmen damit, die Entfernung der offengelegten Informationen aus dem Internet zu erwirken, und erwägt zivilrechtliche Schritte.

Die Erklärung nennt das Lizenzierungsportal und dessen Datenbank als betroffene Infrastruktur. Beide wurden von einem externen Unternehmen verwaltet. Der Anbieter wird nicht genannt.

Das Dokument legt die Darstellung der CGA zum Vorfall und zu ihrer Reaktion dar. Abgeschlossene Ergebnisse der unabhängigen technischen Untersuchung werden darin nicht vorgelegt. 

Start des Übergangsportals weiterhin unbestätigt

Nach einer ersten Untersuchung, Sicherheitsmaßnahmen und der Außerbetriebnahme des Systems gab die CGA das bisherige Portal und die zugehörigen Dienstleistungsvereinbarungen am 7. Oktober endgültig auf.

In ihrer Erklärung zum Ersatzsystem sah sie für den 19. Oktober den Start eines Übergangsportals vor. Gleichzeitig sollten ein Lizenzregister und ein digitales Siegel bereitgestellt werden, das den Besitz einer CGA-Lizenz durch eine Website nachweisen soll.

Dasselbe Dokument beschrieb jedoch noch ausstehende Arbeiten. Das interne System, das Register und das Siegel waren für unabhängige Sicherheitsprüfungen bereit, während am kundenorientierten Portal vor den Tests noch Anpassungen erforderlich waren.

Am 20. Oktober zeigte die CGA-Startseite weiterhin den geplanten Starttermin 19. Oktober an. Dieser Hinweis bestätigte nicht, dass das Ersatzsystem bereits in Betrieb war. 

Die CGA bereitet außerdem die Entwicklung und Verwaltung eines dauerhaften Portals vor.

Auslagerung folgte auf beschleunigte Regulierungsreform

Die Aufsicht erläuterte in der Erklärung auch, weshalb sie sich zunächst auf externe Technologie und Fachkenntnisse gestützt hatte.

Laut CGA beschloss das Finanzministerium in der zweiten Jahreshälfte 2023, die Aufsicht über Online-Glücksspiel bereits vor dem Inkrafttreten der neuen National Ordinance on Games of Chance, bekannt als LOK, im Dezember 2024 zu reformieren.

Die Behörde verwies auf Vereinbarungen mit den Niederlanden, zunehmende Spielerbeschwerden, negative Medienberichte und die Vorbereitungen auf Curaçaos Bewertung durch die Caribbean Financial Action Task Force im Juni 2024.

Da die Reform Spezialwissen erforderte, zog die CGA externe Beteiligte mit Erfahrung in Technologie, Lizenzierung und Aufsicht hinzu. Das extern verwaltete Portal sollte nach ihren Angaben im Laufe der Zeit durch ein intern verwaltetes System ersetzt werden.

Seit 2024 hat die CGA 14 Beschäftigte eingestellt, vor allem in Lizenzierung, Aufsicht und Rechtsdurchsetzung. Damit will sie lokales Fachwissen aufbauen und die Abhängigkeit von Beratern reduzieren. Sie betonte, die Verantwortung für Lizenzierung und Aufsicht habe durchgehend bei der Behörde gelegen. 

Die Schließung des Portals macht bestehende Lizenzen nicht ungültig. Betreiber bleiben für die Erfüllung ihrer Pflichten verantwortlich, während Lizenzierungs- und Aufsichtsaufgaben über alternative Verfahren fortgeführt werden.