Ein Foto des Ausweises, ein kurzes Gesichtsvideo, wenige Sekunden Wartezeit und die Meldung „Identität bestätigt“. Für Nutzer ist das ein kleiner Teil der Registrierung. Für den Betreiber entscheidet sich dabei, wem ein Konto, dessen Aktivitätsverlauf und der Zugang zu Geld zugeordnet werden. Mit der Entwicklung generativer KI lässt sich ein glaubwürdig wirkendes Bild immer weniger als eigenständiger Nachweis betrachten.
Das bedeutet weder, dass jede biometrische Prüfung unwirksam ist, noch dass jede zusätzliche Frage eines Betreibers auf ein Problem hinweist. Die Qualität des Schutzes muss umfassender beurteilt werden: von der Dokumentenprüfung über die Herkunft des Videos und die Absicherung der Anmeldung bis zur Kontowiederherstellung. Im iGaming verbindet diese Kette technische Sicherheit, Geld, Jugendschutz und Privatsphäre.
Warum das Problem über ein gefälschtes Gesicht hinausgeht
Im September veröffentlichte ENISA den Bericht „Threat Landscape 2026“ über die im Jahr 2025 beobachteten Bedrohungen. Die europäische Cybersicherheitsagentur beschreibt unter anderem, wie generative KI und Deepfake-Videos für die Nachahmung vertrauenswürdiger Personen bei Social-Engineering-Angriffen genutzt werden. Dies ist ein allgemeiner Überblick über Cyberkriminalität, keine Messung von Betrugsfällen in Onlinecasinos. Aus dem Bericht lässt sich nicht seriös berechnen, welcher Anteil der iGaming-Konten mit gefälschten Videos eröffnet wird. [1]
Dieser Unterschied zählt. Öffentliche Sicherheitsdebatten können leicht zu einem Wettbewerb alarmierender Prozentzahlen werden. Für eine konkrete Plattform ist jedoch wichtiger, welches Ereignis sie erkennen will: eine falsche Identität bei der Registrierung, die Übernahme eines echten Kontos oder die Manipulation von Supportmitarbeitern. Jede dieser Situationen verlangt andere Kontrollen.
Europol beschreibt Daten im Bericht IOCTA 2025 als Handelsware des cyberkriminellen Marktes: Sie sind zugleich Angriffsziel und Ressource für weitere Straftaten. Der Zugriff auf Daten an einer Stelle kann daher das Risiko an anderer Stelle erhöhen. [2] Für iGaming folgt daraus: Vollständige, korrekte Personendaten belegen nicht automatisch, dass ihr tatsächlicher Eigentümer anwesend ist.
Was eine Prüfung tatsächlich bestätigt
Die NIST-Leitlinien zur digitalen Identität trennen die Prüfung von Identitätsnachweisen von der späteren Authentifizierung, also dem Nachweis der Zugangsberechtigung zu einem Konto. Ein Dokument kann echt sein, ohne dass die vorlegende Person sein Inhaber ist. Auch eine korrekte Registrierung garantiert nicht, dass die nächste Sitzung derselben Person gehört. [3]
Für Nutzer lässt sich das in drei Fragen übersetzen: Wurden Daten und Dokument geprüft? Hat die Plattform sie mit der prüfenden Person verknüpft? Bleibt das Konto nach Abschluss des Verfahrens geschützt? Beantwortet ein Dienst nur die erste Frage, sagt die Meldung „verifiziert“ weniger aus, als ihr Wortlaut vermuten lässt.
Ein hypothetisches Beispiel: Ein Kunde registriert sich ordnungsgemäß, gibt später aber auf einer gefälschten Supportseite den Zugang zu seinem E-Mail-Konto preis. Die ursprüngliche Dokumentenprüfung kann korrekt funktioniert haben. Das Problem liegt an anderer Stelle: beim Kontoschutz und bei Datenänderungen. Dasselbe Foto erneut anzufordern, muss diese Situation nicht lösen.
Gesichtsähnlichkeit allein entscheidet nicht
In SP 800-63A-4 behandelt NIST manipulierte Medien und Angriffe, bei denen Bilder in ein Verfahren zur Fernidentifizierung eingeschleust werden. Ein biometrischer Vergleich allein verhindert solche Versuche nicht. Prüfungen der tatsächlichen Anwesenheit von Dokument und Person erschweren Missbrauch, decken aber nicht alle Fälle ab. Auch Bildherkunft, Übertragungsschutz und Manipulationserkennung bleiben wesentlich. Das ist eine technische Referenz, keine gesonderte Vorschrift für sämtliche Glücksspielanbieter in Europa. [3]
Für Kunden bleibt der Unterschied unsichtbar. Zwei Apps können ähnliche Oberflächen zeigen und dieselbe Kopfbewegung verlangen, den gesamten Ablauf jedoch unterschiedlich absichern. Ein ansprechendes Design, schnelle Gesichtserkennung oder ein grünes Häkchen am Ende erlauben keine Bewertung der Systemqualität.
Bei der Auswahl eines Prüfdienstleisters sollte deshalb nicht nur gefragt werden, wie schnell er Kunden akzeptiert. Ebenso wichtig ist, wie er Unsicherheit erkennt und mit nicht eindeutig entscheidbaren Fällen umgeht. Nach unserer Einschätzung unterscheidet sich hier ein Vertriebsinstrument wesentlich von einem System zum Identitätsschutz.
Eine sichere Registrierung ist erst der Anfang
Nach der Kontoeröffnung verlagert sich der Schutz auf die Anmeldung und Vorgänge, die die Kontrolle über das Profil verändern. NIST SP 800-63B-4 unterscheidet gewöhnliche Einmalcodes von phishingresistenten Verfahren. Ein manuell übertragener Code bindet die Anmeldung nicht so an die echte Website wie entsprechend umgesetzte kryptografische Verfahren. Die Leitlinien nennen WebAuthn als Beispiel für die Bindung der Authentifizierung an den Namen der prüfenden Stelle. [4]
Das verspricht nicht, dass eine bestimmte Anmeldemethode sämtliche Probleme löst. Eine übernommene Sitzung, eine schlecht abgesicherte E-Mail-Änderung oder ein schwaches Wiederherstellungsverfahren können den Schutz weiterhin unterlaufen. Für Nutzer zählt daher nicht nur eine zusätzliche Sicherheitsoption, sondern auch, ob sie die wichtigsten Vorgänge erfasst.
OWASP empfiehlt besondere Vorsicht beim Austausch von Authentifizierungsfaktoren: erneute Authentifizierung, Risikoprüfung und Benachrichtigungen über Änderungen. Auch die Kontowiederherstellung darf keinen einfachen Weg zur Umgehung des Schutzes eröffnen. [5] Bei einem mit Geld verknüpften Konto ist es schwer zu begründen, wenn die Anmeldung stark abgesichert ist, die Änderung der Kontaktperson aber über einen deutlich schwächeren Weg möglich bleibt.
Prüfung bei der Auszahlung: Pflicht oder schlecht geplanter Ablauf?
In Großbritannien verlangt die Gambling Commission die Prüfung von Alter und Identität, bevor ein Kunde spielen darf. Sie erläutert außerdem, dass Betreiber Auszahlungen nicht von Informationen abhängig machen sollten, die sie vernünftigerweise schon früher hätten anfordern können. Zugleich können rechtliche Pflichten zusätzliche Fragen zu einem späteren Zeitpunkt rechtfertigen. Nicht jede erneute Prüfung ist daher automatisch unzulässig. [6]
Dies ist ein Beispiel aus einem bestimmten Markt, keine weltweit gültige Anleitung. Es zeigt jedoch einen wichtigen Gestaltungsgrundsatz: Unternehmen sollten frühzeitig erklären, welche Dokumente unter welchen Umständen benötigt werden können und wie sie einzureichen sind. [6]
Ein transparenter Ablauf begrenzt nach unserer Einschätzung sowohl Kundenfrust als auch Betrugsmöglichkeiten. Wer den offiziellen Prüfkanal kennt, bemerkt eher eine ungewöhnliche Anfrage über einen Messenger. Der Support erhält weniger Fragen zu widersprüchlichen Anweisungen. Betreiber können Risiken früher bewerten, statt alles erst klären zu wollen, wenn ein Kunde die Geschäftsbeziehung beenden und sein Guthaben auszahlen lassen möchte.
Mehr Dokumente bedeuten nicht immer besseren Schutz
Eine Prüfung erzeugt auch eigene Risiken: Das Unternehmen erhält Daten, die bei einer Sicherheitsverletzung besonders wertvoll sein können. Der Europäische Datenschutzausschuss nennt Datenminimierung, Zweckbindung, Speicherbegrenzung sowie Integrität und Vertraulichkeit als zentrale Grundsätze. Daten müssen dem tatsächlichen Verarbeitungsbedarf entsprechen. [7]
Betreiber müssen erklären können, weshalb sie bestimmte Unterlagen erheben, wer darauf zugreifen darf und wie lange sie gespeichert werden. Das bedeutet nicht, dass jede Kopie sofort gelöscht werden darf: Marktregulierung oder Geldwäscheprävention können eigene Pflichten begründen. Der Umfang der Erhebung sollte jedoch aus einem berechtigten Zweck folgen, statt vorsorglich alles zu sammeln.
Aus Sicht des Risikomanagements ist ein Dokument zugleich Kontrollinstrument und schützenswerte Ressource. Ein zusätzliches Formular kann einen Verfahrensschritt verbessern, aber Kosten und Folgen eines möglichen Datenlecks erhöhen. Ein ausgereiftes System sollte diesen Zielkonflikt erklären können, statt die Zahl verlangter Anhänge als Sicherheitsmaßstab darzustellen.
Welche Fragen Betreiber stellen sollten
Nach unserer Einschätzung sollte das Gespräch mit einem Technologieanbieter bei für die Plattform relevanten Szenarien beginnen. Wie reagiert das System auf einen echten Kunden mit einem älteren Smartphone? Was folgt auf einen gescheiterten Versuch? Lässt sich eine Ablehnung erklären und einer weiteren Prüfung zuführen? Wie werden Änderungen von Kontaktdaten und die Wiederherstellung des Zugangs bestätigt?
Ein zweiter Bereich ist die Verantwortung. Wer entscheidet bei einem uneindeutigen Ergebnis? Wer sieht die Dokumente? Wird der Betreiber über Ausfälle oder Probleme des Dienstleisters informiert? Kann er den Ablauf einer wichtigen Entscheidung selbst nachvollziehen, ohne ausschließlich auf die abschließende Meldung „akzeptiert“ angewiesen zu sein?
Drittens geht es um Qualitätsmaßstäbe. Die Geschwindigkeit der Registrierung sagt wenig über die Widerstandsfähigkeit gegen Missbrauch aus. Wir schlagen vor, beide Seiten zu bewerten: die Erkennung von Betrugsversuchen und die Belastung echter Nutzer. Ein System, das fast alle ablehnt, kann in einer eng gefassten Statistik gut aussehen und dennoch für den Kundenbetrieb ungeeignet sein. Ein sehr schnell akzeptierendes System braucht seinerseits belastbare Nachweise, dass es wesentliche Kontrollen nicht auslässt.
Was Nutzer selbst tun können
Am nützlichsten sind Maßnahmen, die Risiken verringern, ohne dass Nutzer die Algorithmen des Betreibers beurteilen müssen. CISA empfiehlt Mehrfaktorauthentifizierung auch für E-Mail-Konten, starke Passwörter und aktuelle Software. Das E-Mail-Konto verdient besondere Aufmerksamkeit, weil es häufig zur Wiederherstellung anderer Zugänge dient. [8]
Dokumente sollten über den auf der offiziellen Website angegebenen Kanal übermittelt werden. Bei einer unerwarteten Nachricht ist es sinnvoller, die bekannte Adresse selbst aufzurufen und die Mitteilung im Konto zu prüfen, statt auf den zugesandten Link zu klicken. Zusätzliche Fragen lassen sich beim Support verifizieren, insbesondere wenn eine Bitte vom zuvor beschriebenen Verfahren abweicht.
Eine Identitätsprüfung klärt nicht, ob ein Betreiber am Wohnort des Nutzers seine Leistung rechtmäßig anbieten darf. Ebenso wenig verändern eine Lizenz und eine funktionierende Anmeldung das finanzielle Glücksspielrisiko. Diese Fragen sind getrennt zu bewerten.
Vertrauen entsteht durch den gesamten Ablauf
Die Identitätsprüfung gehört zu den Bereichen des iGaming, die Nutzer möglichst schnell abschließen möchten. Betreiber dürfen sie jedoch nicht ausschließlich als schnelle Registrierung verstehen. Sie schützt den Zugang, berührt zugleich die Privatsphäre und kann in einem schwierigen Moment darüber entscheiden, wie glaubwürdig ein Kunde das Unternehmen findet.
Die Weiterentwicklung von Deepfakes erhöht diese Verantwortung. Ein gutes Verfahren sollte die Grenzen automatischer Entscheidungen erkennen, spätere Anmeldungen absichern und einen verständlichen Weg zur Klärung von Problemen bieten. Für die Branche bedeutet das weniger spektakuläre Versprechen vollständiger Sicherheit durch KI und mehr konkrete Fragen zu Entscheidungen, Datenschutz und Servicequalität.
Unsere redaktionelle Schlussfolgerung aus den angeführten Quellen lautet: Nicht ein einzelnes Selfie oder ein abschließendes grünes Häkchen bestimmt den Wert eines Systems. Entscheidend ist, wie die Plattform die Verbindung zwischen der tatsächlichen Person und dem Konto während der gesamten Nutzung schützt.
Quellen und Überprüfung
Analyse auf Grundlage institutioneller Quellen und technischer Dokumentation. Quellen geprüft am 11. Oktober 2026. Das Kundenbeispiel ist hypothetisch; Bewertungen der Ablauforganisation sind als redaktionelle Schlussfolgerungen gekennzeichnet. Die redaktionellen Illustrationen zeigen beispielhafte Situationen.
- ENISA – Threat Landscape 2026, veröffentlicht am 22. September 2026, zu Ereignissen aus 2025
- Europol – IOCTA 2025: Steal, deal and repeat
- NIST SP 800-63A-4 – Identity Proofing and Enrollment
- NIST SP 800-63B-4 – Authentication and Authenticator Management
- OWASP – Multifactor Authentication Cheat Sheet
- Gambling Commission – Age, ID and financial verification
- Europäischer Datenschutzausschuss – Grundprinzipien
- CISA – Turn On MFA
Die Stimme der Leser
Ergänze deine Perspektive, einen wichtigen Zusammenhang oder eine Frage zum Beitrag.
Dieser Beitrag hat noch keine Kommentare. Du kannst den ersten schreiben.