Online-Glücksspiel: Wie ein Zertifikat alles stoppte

Am Nachmittag des 15. März 2025 stand das legale Online-Glücksspiel in Deutschland komplett still. Wer sich an diesem Samstag bei einem lizenzierten Anbieter registrieren oder Geld auf sein Spielerkonto einzahlen wollte, bekam eine Fehlermeldung, stundenlang. Der Grund war kein Angriff von außen und kein defekter Server, sondern ein abgelaufenes Zertifikat. Das geht aus dem Tätigkeitsbericht 2025 der Gemeinsamen Glücksspielbehörde der Länder (GGL) hervor, der am 3. Juli 2026 veröffentlicht wurde. Ich musste bei dieser Passage zweimal hinlesen, denn die beschriebene Ursache klingt nach einem Fehler, der mit einem simplen Kalendereintrag vermeidbar gewesen wäre.

Ein System, ohne das nichts läuft

Um den Vorfall einzuordnen, muss man wissen, was LUGAS eigentlich tut. Das länderübergreifende Glücksspiel-Überwachungssystem ist die zentrale Datenstelle, an die alle in Deutschland lizenzierten Anbieter angeschlossen sind. Es prüft bei jeder Transaktion, ob ein Spieler das gesetzliche Einzahlungslimit von 1.000 Euro pro Monat bereits ausgeschöpft hat, und zwar anbieterübergreifend. Wer bei einem Anbieter 700 Euro eingezahlt hat, kann bei einem zweiten im selben Monat höchstens noch 300 Euro überweisen. LUGAS verwaltet nach Angaben der GGL 5,3 Millionen registrierte Spieler.

Der Haken liegt in der Bauweise: Das System ist bewusst fail-closed ausgelegt. Ist LUGAS nicht erreichbar, darf keine Einzahlung und keine Neuregistrierung erfolgen, weil die Limitprüfung sonst umgangen werden könnte. Betroffen waren am 15. März deshalb alle lizenzierten Online-Casinos und Wettanbieter, darunter auch SpinoGambino DE, dessen registrierte Spieler zeitweise keine Einzahlungen auf ihre Konten vornehmen konnten. Aus Sicht des Spielerschutzes ist diese Logik nachvollziehbar. Aus Sicht der Verfügbarkeit bedeutet sie, dass ein einziger Ausfall der Zentrale den gesamten regulierten Markt lahmlegt.

Ein abgelaufenes Zertifikat als Totalausfall

Laut Tätigkeitsbericht war die Ursache ein abgelaufenes beziehungsweise fehlerhaftes Zertifikat. Solche Zertifikate haben ein fixes Ablaufdatum, das bei der Ausstellung feststeht, oft Jahre im Voraus. Es gibt wenige IT-Vorfälle, die so vorhersehbar sind. Genau deshalb ärgert mich dieser Punkt: Ein Ablaufdatum ist kein Risiko im klassischen Sinn, es ist ein Termin. Wer ein Online Casino in Deutschland legal betreiben will, muss an LUGAS angeschlossen sein, und wer LUGAS betreibt, muss seine Zertifikate im Griff haben. Das ist keine Raketenwissenschaft, sondern Basisarbeit im Zertifikatsmanagement.

Die LUGAS-Störung am 15. März 2025 traf den Markt an einem Samstagnachmittag, also zu einer Zeit, in der viele Spieler aktiv sind. Der Betrieb des Systems liegt bei der Dataport AöR, dem IT-Dienstleister der öffentlichen Hand. Auf meine Nachfrage, wie ein Zertifikat unbemerkt ablaufen konnte, verwies die Behörde auf den laufenden Optimierungsprozess. Ronald Benter, Vorstand der GGL mit Sitz in Halle (Saale), hatte in der Vergangenheit wiederholt betont, dass die Aufsicht funktioniere. Funktionieren sieht anders aus, finde ich.

Was der Vorfall über die Regulierung verrät

Der Glücksspielstaatsvertrag 2021 (GlüStV 2021) hat den legalen Markt geschaffen, mit strengen Auflagen: monatliches Einzahlungslimit, OASIS-Sperrdatei für den Spielerschutz, Panik-Button und die Pflicht zur Anbindung an das Überwachungssystem. Wer auf der GGL Lizenz Whitelist steht, hat dieses Erlaubnisverfahren durchlaufen. Das kostet Zeit und Geld. Unerlaubte Anbieter, oft mit Lizenzen der Curaçao Gaming Authority oder der Malta Gaming Authority (MGA), umgehen all das. Für sie war der 15. März ein ganz normaler Samstag.

Mathias Dahms, Präsident des Deutschen Sportwettenverbandes (DSWV), warnt seit Jahren, dass der Schwarzmarkt wächst, wenn der legale Markt hakt. Ich halte das für plausibel. Ein Spieler, der an einem Samstag keine Einzahlung tätigen kann, sucht sich womöglich einen Anbieter ohne deutsche Erlaubnis. Dort gibt es kein Limit, keine Sperrdatei, keinen Safe-Server für Spielerdaten nach deutschem Standard. Das Payment-Blocking gegen illegale Anbieter greift längst nicht bei jeder Zahlungsmethode.

Ein Blick auf die Anbieterseite

Für die lizenzierten Anbieter war der Ausfall doppelt bitter: Sie tragen die Kosten der Regulierung und verlieren dann Umsatz wegen eines Fehlers, den sie nicht verursacht haben. Wer sich etwa die SpinoGambino Casino Erfahrungen in Foren ansieht, findet an diesem Wochenende verärgerte Beiträge über fehlgeschlagene Einzahlungen. Dabei konnten die Anbieter selbst nichts dafür. Auch Angebote wie Freispiele oder ein Bonus ohne Einzahlung bei SpinoGambino nützen wenig, wenn die zentrale Prüfinstanz nicht antwortet.

Die Spieler wiederum zahlen mit ihrer Geduld. Wer per Paysafecard, Skrill oder Neteller einzahlen wollte, scheiterte an derselben Stelle wie jeder andere. Slots von Pragmatic Play, NetEnt oder Live-Spiele von Evolution blieben erreichbar, solange kein Geld floss. Das System OASIS (Spielersperrsystem) lief parallel weiter, doch ohne LUGAS keine Transaktion.

Was jetzt passieren muss

Die GGL kündigt im Bericht an, ihr Monitoring zu verbessern und die Kommunikation mit der Dataport AöR zu schärfen. Das ist das Mindeste. Ich hätte mir eine konkrete Antwort gewünscht: Warum gab es kein automatisches Warnsystem vor dem Ablaufdatum? Ein Zertifikat kündigt seinen Tod Monate vorher an. Wer das ignoriert, legt die komplette Infrastruktur der legalen Glücksspielanbieter in Deutschland lahm, an einem Samstag, zur besten Sendezeit. Der Spielerschutz funktionierte an diesem Tag tadellos, denn es wurde schlicht nichts gespielt. Ob das als Erfolg zu verbuchen ist, darüber lässt sich streiten.