Curaçao Gambling Hack entlarvt etwa 800 versteckte Casino-Besitzer, die meisten davon Europäer

Was der Glücksspiel-Hack auf Curaçao enthüllte

Ein neunmonatiger Eingriff in die Curaçao Gaming Authority (CGA) hat ergeben, wem tatsächlich Hunderte von Offshore-Online-Casinos gehören. Es stellt sich heraus, dass die meisten dieser Eigentümer Europäer sind.

Die durchgesickerten Dateien bringen rund 800 wirtschaftliche Eigentümer mit den 646 Unternehmen in Verbindung, die im Dezember 2025 über eine Glücksspiellizenz auf Curaçao verfügten. Zusammen betreiben diese Unternehmen Tausende von Websites, darunter Marken, die von Aufsichtsbehörden in ganz Europa mit Geldstrafen belegt oder auf die schwarze Liste gesetzt wurden.

Die Dokumente deuten auch darauf hin, dass die Regulierungsbehörde routinemäßig Lizenzen genehmigte, während grundlegende Fragen zum Eigentum unbeantwortet blieben. Die CGA hat diesen Punkt nicht bestritten. Mehrere der bekanntesten Krypto-Casinos und Sportwettenanbieter der Branche gehören zu den Marken, deren eingetragene Eigentümer nun im Cache auftauchen.

Für die europäischen Behörden liefert das Leak etwas, was ihnen seit Jahrzehnten gefehlt hat: Namen. Bisher hat eine Mauer anonymer Briefkastenfirmen die Verantwortlichen vor Aufsichtsbehörden und Steuereintreibern verborgen.

Wie ein gefälschter Lizenzbewerber in die Aufsichtsbehörde gelangte

Der Verstoß begann mit einer einfachen Täuschung. Im Dezember 2025 meldete sich die Berliner Hackerin Lilith Wittmann beim Lizenzportal der CGA an. Sie gab sich als niederländische Treuhandbüroleiterin aus, die der Aufsichtsbehörde bereits bekannt war, gab aber ihre persönliche E-Mail-Adresse an.

Sie behauptete, eine von ihr erfundene Stiftung zu vertreten, und innerhalb weniger Tage wurde der Zugang gewährt. Nach eigenen Angaben entdeckte sie innerhalb weniger Stunden nach dem Einloggen eine ausnutzbare Sicherheitslücke.

Durch diesen Fehler wurde das gesamte Lizenzverwaltungssystem geöffnet, in dem jeder Antrag und jedes Begleitdokument gespeichert war. Wittmann sagt, sie habe dann etwa neun Monate lang unbemerkt von den Mitarbeitern „in Echtzeit bei der Arbeit“ zugeschaut.

Die CGA hat bestätigt, dass ein unter einer falschen Identität erstelltes Konto ihr Portal von Dezember 2025 bis September 2026 genutzt hat. Sie gibt an, dass der Einbruch eingedämmt wurde, nennt ihn einen schwerwiegenden Verstoß gegen das Gesetz von Curaçao und wird ihn den Behörden melden.

Die Beute ist riesig. Dazu gehören Eigentumserklärungen, Lizenzanträge, interne Beurteilungen der Regulierungsbehörde, Pässe, Steuererklärungen und Finanzunterlagen.

Am 23. September ging unter dem Namen Casino Secrets ein durchsuchbares öffentliches Archiv mit mehr als 40.000 Dokumenten online. Jeder kann nach Firmen und Domains suchen, die Seite betont jedoch, dass das Erscheinen in den Dateien kein rechtswidriges Verhalten bedeute.

Wittmann ist kein Unbekannter auf den Servern der Glücksspielaufsichtsbehörden. Anfang 2026 verstieß sie gegen ein System der Malta Gaming Authority.

Ein europäisches Eigentümernetzwerk hinter karibischen Briefkästen

Staatsangehörige der Ukraine, des Vereinigten Königreichs und Zyperns führen die Liste der in den Akten identifizierten Eigentümer an, 13 sind Niederländer. Auf dem Papier handelt es sich bei ihren Unternehmen um Briefkastenfirmen auf Curaçao, die von örtlichen Treuhandbüros verwaltet werden.

Diese Gatekeeping-Schicht ist bemerkenswert klein. Nur 40 Vertreter von 30 Treuhandbüros verhandelten im Namen der lizenzierten Unternehmen mit der Regulierungsbehörde, und 31 von ihnen besitzen niederländische Pässe.

Die Dateien erreichen auch die Spitze des Marktes. Vier Fälle stechen hervor:

Als sie darauf angesprochen wurden, sagten die Vertreter des Sportwettenanbieters, sie könnten nicht auf Annahmen reagieren, die aus Dokumenten abgeleitet seien, die sie nicht gesehen hätten. Die Eigentümer des nach Brasilien ausgerichteten Casinos und der in den Niederlanden mit einer Geldstrafe belegte Betreiber antworteten nicht. Das Erscheinen in den Akten bedeutet nicht, dass jemand gegen das Gesetz verstoßen hat.

In Deutschland haben Reporter bei der Durchsicht der Dateien rund 1.000 Casino-Domains mit Betreibern verknüpft, die mit einem Casino-Softwareanbieter verbunden sind. Der Anbieter gibt an, keine Casinos zu betreiben und vergleicht seine Rolle mit der eines Anbieters von Bürosoftware. Die CGA wies die Gruppierung als eigene Erfindung der Reporter ab.

Die gleiche Enthüllungsserie erstreckt sich auch auf Deutschlands größten illegalen Casino-Fall. Am 8. September durchsuchten mehr als 100 Beamte elf Objekte, vor allem im Frankfurter Raum, und nahmen einen Hauptverdächtigen fest. Die Staatsanwälte behaupten, das nicht lizenzierte Casino habe zwischen Juli 2021 und Ende 2023 etwa 5,86 Milliarden Euro an Einsätzen eingenommen.

Deutschlands gemeinsame Glücksspielregulierungsbehörde, die GGL, hat inzwischen das nach Deutschland ausgerichtete Online-Casino als Mittelpunkt des Falles identifiziert. Wittmann, der das Casino mit Curaçao verbindet, schätzt das deutsche Glücksspielsteuerdefizit auf etwa 250 Millionen Euro, eine Zahl, die nicht offiziell bestätigt wurde. Der Softwarelieferant gibt an, dass er diesem Casino möglicherweise einzelne Komponenten zur Verfügung gestellt, aber an dessen Betrieb keine Rolle gespielt hat.

Die Geschichte erreicht auch die nordischen Länder. Öffentlich-rechtliche Rundfunkanstalten in Norwegen und Schweden untersuchten die Akten zusammen mit niederländischen, deutschen und österreichischen Nachrichtenredaktionen, und die norwegische Berichterstattung fand Norweger unter den Lizenzbewerbern.

Curaçaos Lizenzreform steht unter Kritik

Das Leck landet gerade, als Curaçao versucht, seinen langjährigen Ruf für laxe Aufsicht abzuschütteln. Fast 30 Jahre lang verkauften einige private Masterlizenzinhaber Unterlizenzen an Betreiber weltweit, wobei der Staat kaum beteiligt war.

Diese Lizenz erlaubte es den Betreibern nie, Wetten in anderen Ländern anzunehmen. Der Reiz lag im Zugang: zu lokalen Treuhandbüros, Zahlungsfirmen und Casino-Softwareanbietern sowie einem Stempel, der den Betreibern den Eindruck vermittelte, legitim zu sein.

Auf Druck der Niederlande verabschiedete Curaçao im Jahr 2024 die Nationale Glücksspielverordnung (LOK), die die Betreiber unter die direkte Aufsicht der CGA stellt. Eine Lizenz kostet mittlerweile etwa 47.450 Euro pro Jahr, und die Regulierungsbehörde hat im Juni ihre Regeln für Krypto-Betreiber verschärft.

Laut CGA befindet sich der Sektor noch im Wandel. Neue Anforderungen werden schrittweise eingeführt, eine Entscheidung liegt in der Verantwortung des Finanzministers. Die Regulierungsbehörde fügt hinzu, dass sie Lizenzen nicht beim ersten Anzeichen von Zweifel verweigert.

Außerdem heißt es, dass das Unternehmen seit 2023 etwa 28 % der Anträge abgelehnt habe und dass seine Lizenzen keine Märkte wie Deutschland abdecken. Es wird davor gewarnt, Bewerbungen anhand einzelner Dokumente ohne vollständige Akte zu beurteilen.

Kritiker sind nicht überzeugt. Marcel Pheijffer, Professor für forensische Buchhaltung an der Nyenrode Business University, sagte, ein solcher Ansatz sei in den Niederlanden unmöglich. Eine Regulierungsbehörde, so argumentierte er, sollte nachdenken, bevor sie handelt.

Björn Fuchs, Vorsitzender des niederländischen Online-Glücksspielverbandes VNLOK, ging noch einen Schritt weiter. Er sagte, das neue Gesetz scheine „kläglich zu scheitern“ und forderte die Regulierungsbehörde auf, Lizenzen zu verweigern, wenn weiterhin Warnsignale bestehen.

Was passiert als nächstes?

Der Fallout fängt gerade erst an. Die forensische Untersuchung der CGA läuft noch und Wittmann hat angekündigt, die vollständige Liste der wirtschaftlichen Eigentümer zu veröffentlichen.

In Curaçao verlagert sich die Kontrolle auf das Finanzministerium. Die Regulierungsbehörde sagt, die langsame Einführung der neuen Regeln sei unter der Verantwortung des Ministers beschlossen worden, und lokale Medien fragen bereits, welche Anweisungen die CGA erhalten habe.

Unternehmen, die sich auf deklarierte Eigentumsdaten verlassen, müssen mit einer eigenen Rechnung rechnen. Banken, Zahlungsanbieter und Kryptofirmen, die mit in Curaçao lizenzierten Betreibern zusammenarbeiten, müssen möglicherweise ihre Due-Diligence-Dateien erneut prüfen.

Der Rechtsstreit um Wittmanns Methoden ist noch lange nicht beigelegt. Laut Wittmann hat die maltesische Glücksspielbehörde kürzlich in Berlin ein vorläufiges Verfahren gegen sie verloren, sodass sie weiterhin auf deren Unterlagen zurückgreifen kann.

Für Spieler ist die Erkenntnis einfach: Eine Curaçao-Lizenz verrät wenig darüber, wer ein Casino betreibt. Auch in Ländern wie Deutschland oder den Niederlanden, die eine nationale Lizenz erfordern, ist ein Betreiber dadurch nicht legal.

FAQ

Was geschah beim Glücksspiel-Hack auf Curaçao?

Eine Hackerin registrierte sich im Dezember 2025 unter einer falschen Identität auf dem Lizenzportal der Curaçao Gaming Authority. Anschließend hatte sie etwa neun Monate lang Zugriff auf das Lizenzverwaltungssystem der Regulierungsbehörde, bis der Verstoß im September 2026 entdeckt wurde.

Wer steckt hinter dem Hack der Curaçao Gaming Authority?

Die Berliner Hackerin und Sicherheitsforscherin Lilith Wittmann hat die Verantwortung übernommen. Anfang 2026 verstieß sie zudem gegen ein System der Malta Gaming Authority.

Wie viele Casinobesitzer wurden entlarvt?

Die Akten verknüpfen rund 800 wirtschaftliche Eigentümer mit 646 Unternehmen, die im Dezember 2025 auf Curaçao lizenziert waren. Die meisten Eigentümer sind Europäer, angeführt von Staatsangehörigen der Ukraine, des Vereinigten Königreichs und Zyperns.

Sind große Casino-Marken von dem Leak betroffen?

Ja. In den Dokumenten erscheinen mehrere der bekanntesten Krypto-Casinos und Sportwettenanbieter mit Lizenz auf Curaçao sowie Hunderte weniger bekannte Betreiber. Die Nennung in den Akten allein stellt kein Fehlverhalten dar.

Kann ein von Curaçao lizenziertes Casino legal in Europa betrieben werden?

Nicht allein aufgrund dieser Lizenz. Eine Curaçao-Lizenz berechtigt nicht zum Glücksspiel in Ländern wie Deutschland oder den Niederlanden, die ihre eigenen nationalen Lizenzen benötigen.

Wie hat die Curaçao Gaming Authority reagiert?

Die CGA bestätigte den unbefugten Zugriff, sagt, er sei eingedämmt worden und bezeichnet ihn als schwerwiegenden Verstoß gegen das Gesetz von Curaçao. Darin heißt es, die Branche befinde sich in einer Übergangsphase und warnt davor, aus einzelnen Dokumenten Rückschlüsse zu ziehen.