Datenschutz im Sofort Casino: Welche Daten fließen und wie sie geschützt werden
Available in US
Die Frage, die mir in meinen neun Jahren in der Branche am häufigsten gestellt wird, lautet nicht „Welches Casino ist das beste?“, sondern: „Sieht das Casino meine Bankdaten, wenn ich per Sofort einzahle?“ Die Antwort ist nein – und diese Antwort ist nicht nur eine Beruhigung, sondern das Ergebnis einer technischen Architektur, die von Grund auf darauf ausgelegt ist, sensible Daten vom Händler fernzuhalten. Klarna/Sofort betont auf seiner offiziellen Website, dass der Spieler seine eigenen Online-Banking-Daten nutzt und keine persönlichen Informationen oder Kartendetails an den Händler übermitteln muss. In einem Markt, in dem 28% der deutschen Verbraucher SOFORT/Klarna als bevorzugte Zahlungsmethode angeben, ist dieses Sicherheitsversprechen ein zentraler Faktor für die hohe Akzeptanz.
Datenfluss bei der Sofortüberweisung: Was an wen geht
Auf einer Fintech-Konferenz in Frankfurt habe ich einmal ein Schaubild gesehen, das den Datenfluss einer Sofort-Transaktion zeigte. Die meisten Zuhörer waren überrascht, wie wenig Daten tatsächlich beim Casino ankommen. Der Ablauf im Detail: Wenn ein Spieler bei einem GGL-lizenzierten Casino die Sofortüberweisung wählt, wird er auf die Sofort-Bezahlseite weitergeleitet. Diese Seite gehört nicht dem Casino, sondern wird von Klarna/Sofort betrieben. Der Spieler gibt dort seine Online-Banking-Zugangsdaten ein – Bankleitzahl, Kontonummer, PIN und TAN.
Diese Daten werden ausschließlich zwischen dem Spieler und Sofort ausgetauscht. Das Casino sieht weder die Bankdaten noch die Online-Banking-Zugangsdaten. Was das Casino erhält, ist lediglich eine Transaktionsbestätigung: Betrag, Zeitstempel und eine eindeutige Transaktions-ID. Das ist alles. Keine IBAN, keine Kontoinformationen, kein Zugang zum Bankkonto des Spielers. Sofort agiert als Vermittler, der die Überweisung auslöst und dem Casino die Bestätigung übermittelt, ohne die zugrundeliegenden Bankdaten weiterzugeben.
Ein wichtiger Aspekt, den viele nicht kennen: Sofort speichert die Bankdaten des Spielers nicht dauerhaft. Die Zugangsdaten werden für die Dauer der Transaktion verwendet und anschließend gelöscht. Bei jeder neuen Einzahlung muss der Spieler seine Online-Banking-Daten erneut eingeben – das ist weniger komfortabel als bei einer gespeicherten Kreditkarte, aber deutlich sicherer. Ein Datenleck bei Sofort hätte keine Auswirkungen auf gespeicherte Bankzugänge, weil es keine gespeicherten Bankzugänge gibt.
Was bei Casino-Zahlungen zusätzlich relevant ist: Neben dem Datenfluss zwischen Spieler, Sofort und Casino gibt es einen weiteren Datenfluss zum LUGAS-System. Das Casino meldet die Einzahlung an LUGAS, aber auch hier fließen nur die Spieleridentifikation und der Einzahlungsbetrag – keine Bankdaten, keine Zahlungsmethodendetails. LUGAS weiß, dass ein Spieler 50 Euro eingezahlt hat, aber nicht, über welche Bank oder mit welcher Methode. Diese Trennung der Datenschichten ist ein durchdachtes Element der Gesamtarchitektur.
AES-256 und TLS: Die Verschlüsselungsstandards bei Sofort
Ich werde oft gefragt, ob die Sofort-Bezahlseite „wirklich sicher“ ist. Die technische Antwort: Die gesamte Kommunikation zwischen dem Browser des Spielers und dem Sofort-Server läuft über TLS-Verschlüsselung – den gleichen Standard, den Banken für ihr Online-Banking verwenden. TLS, Transport Layer Security, verschlüsselt die Daten während der Übertragung so, dass sie von Dritten nicht mitgelesen werden können. Selbst wenn jemand den Datenverkehr abfängt, sieht er nur verschlüsselte Zeichenketten.
Darüber hinaus verwendet Sofort AES-256-Verschlüsselung für die Speicherung sensibler Daten während der Transaktionsverarbeitung. AES-256 gilt nach aktuellem Stand der Technik als unknackbar – kein bekannter Angriff kann diese Verschlüsselung in realistischer Zeit brechen. Diese Kombination aus TLS für die Übertragung und AES-256 für die Verarbeitung entspricht dem Sicherheitsniveau, das auch im Bankensektor und bei Regierungsbehörden Standard ist.
Was die PSD2-Richtlinie hinzufügt: Seit 2018 muss jede Sofort-Transaktion durch starke Kundenauthentifizierung abgesichert sein. Das bedeutet, dass neben dem Passwort ein zweiter Faktor erforderlich ist – typischerweise eine TAN per SMS, eine Freigabe in der Banking-App oder ein biometrischer Faktor wie Fingerabdruck oder Gesichtserkennung. Diese Zwei-Faktor-Authentifizierung verhindert, dass ein gestohlenes Passwort allein für eine Transaktion ausreicht. In der Praxis erlebe ich, dass die meisten Banken mittlerweile auf App-basierte Freigabe setzen, was schneller und sicherer ist als SMS-TANs. Die SMS-TAN gilt in Sicherheitskreisen als schwächster zweiter Faktor, weil SMS-Nachrichten theoretisch abgefangen werden können – App-basierte Verfahren sind dagegen kryptographisch abgesichert.
Klarna bedient als Unternehmen 118 Millionen Nutzer in 26 Ländern und arbeitet mit mehr als einer Million Geschäftspartnern zusammen. Diese Größenordnung erfordert eine Sicherheitsinfrastruktur, die weit über das hinausgeht, was ein einzelnes Casino aufbauen könnte. Regelmäßige Penetrationstests, Compliance-Audits und die Einhaltung europäischer Datenschutzstandards sind für einen Zahlungsdienstleister dieser Größe keine Kür, sondern Pflicht.
DSGVO und Sofort: Rechte der Spieler beim Datenschutz
Die DSGVO gibt Spielern konkrete Rechte im Umgang mit ihren Daten – und diese Rechte gelten sowohl gegenüber dem Casino als auch gegenüber Sofort/Klarna. In der Praxis wissen die wenigsten Spieler, welche Rechte sie haben und wie sie diese durchsetzen können.
Das Auskunftsrecht nach Artikel 15 DSGVO erlaubt jedem Spieler, bei Sofort/Klarna eine vollständige Auskunft über alle gespeicherten Daten anzufordern. Das umfasst Transaktionshistorien, technische Logdaten und eventuelle Kommunikationsdaten. Das Recht auf Löschung nach Artikel 17 ermöglicht es, die Löschung personenbezogener Daten zu verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht – wobei Sofort aufgrund der Geldwäschegesetze bestimmte Transaktionsdaten für einen definierten Zeitraum vorhalten muss.
Ein Aspekt, der bei der Bewertung der Sicherheit oft übersehen wird: Die DSGVO verpflichtet sowohl Sofort als auch das Casino, den Spieler über Datenschutzverletzungen zu informieren. Wenn Daten kompromittiert werden, muss der Spieler innerhalb von 72 Stunden benachrichtigt werden. Das ist kein theoretisches Recht, sondern eine durchsetzbare Pflicht, deren Verletzung mit erheblichen Bußgeldern sanktioniert wird. Für den Spieler bedeutet das: Sowohl Sofort als auch das Casino haben ein starkes wirtschaftliches Interesse daran, Datenschutzverletzungen zu vermeiden – nicht nur aus ethischen Gründen, sondern weil die finanziellen Konsequenzen existenzbedrohend sein können.
Meine Empfehlung: Spieler sollten die Datenschutzrichtlinien sowohl des Casinos als auch von Sofort/Klarna lesen, bevor sie die erste Einzahlung tätigen. Kein spannender Lesestoff, aber die zwei Minuten, die das dauert, geben einen guten Überblick darüber, welche Daten erhoben, wie lange sie gespeichert und an wen sie weitergegeben werden. Wer seine Datenhoheit ernst nimmt, kann zudem die Kommunikationspräferenzen bei Klarna anpassen und Marketing-Einwilligungen widerrufen – ein Schritt, den die meisten Spieler vergessen, der aber verhindert, dass personalisierte Werbung auf Basis der Transaktionsdaten ausgespielt wird. Das Recht auf Widerruf der Einwilligung ist in der DSGVO verankert und muss vom Anbieter ohne Hürden umgesetzt werden.
Fragen zum Datenschutz
Artikel
Erstellt von der Redaktion von „Blitzbank".
