Casino Secrets: Hacking-Methoden und Datenschutz sorgen für Kritik

Aufsichtsbehörden hacken und das als Journalismus bezeichnen: Ich habe ein ernsthaftes Problem mit Lilith Wittmanns Methoden!

Ich verfolge die Arbeit von Frau Wittmann schon seit geraumer Zeit und habe Teile davon selbst verwendet. Ihre früheren Recherchen zum Glücksspiel waren hilfreich, als Malta Media Lottoland unter die Lupe nahm, und unsere eigene Berichterstattung hat sich seitdem sowohl mit den deutschen Lizenzfragen rund um Lottoland als auch mit den Grenzen der deutschen Glücksspielaufsicht befasst. Ich habe kein Problem damit, auf die Arbeit einer anderen Journalistin Bezug zu nehmen, wenn ich nachvollziehen kann, woher die Informationen stammen, die wesentlichen Punkte überprüfen und sie in den richtigen Kontext einordnen kann. Wenn Glücksspielunternehmen ihre Eigentumsverhältnisse verschleiern, Aufsichtsbehörden irreführen, Steuern hinterziehen oder rechtswidrig agieren, sollten sie untersucht werden – unabhängig davon, ob sie uns kennen, bei uns werben oder unsere Veröffentlichungen missbilligen.

Deshalb besteht mein Problem mit „Casino Secrets“ nicht darin, dass sich dessen Recherchen auf Unternehmen wie SoftSwiss, PlatinCasino oder Lottoland beziehen. Die aktuelle Serie von Frau Wittmann enthält ausführliche Beiträge über die Curaçao Gaming Authority, das SoftSwiss-Netzwerk und PlatinCasino, und einige der daraus resultierenden Fragen zur Unternehmensführung sind es wert, untersucht zu werden. Malta Media beschäftigt sich seit Jahren mit Unternehmensstrukturen und Versäumnissen der Aufsichtsbehörden, und wir werden dies auch weiterhin tun. Die Tatsache, dass eine Recherche für ein Glücksspielunternehmen unangenehm ist, ist kein Grund, die Recherche anzugreifen.

Mein Problem ist die Methode, mit der das zugrunde liegende Aufsichtsmaterial beschafft wurde, sowie die Art und Weise, wie anschließend mit vertraulichen Informationen umgegangen wurde. Wir sollten die Herkunft nicht beschönigen, indem wir dies einfach als herkömmliche Informationsleckage bezeichnen, wo doch Frau Wittmann selbst im Zusammenhang mit dem MGA-Vorfall öffentlich sagte: „Ja, ich habe euch gehackt“, während aus ihrem eigenen Curaçao-Konto hervorgeht, dass der Zugriff auf die CGA-Umgebung etwa neun Monate lang andauerte.

Es besteht ein grundlegender Unterschied zwischen einem Whistleblower, der einer Redaktion Dokumente übergibt, und einem Journalisten, der sich persönlich über einen längeren Zeitraum Zugang zum System einer Aufsichtsbehörde verschafft. Ob jedes Element dieses Verhaltens letztendlich den Tatbestand einer Straftat erfüllt, ist Sache der Staatsanwaltschaft und der Gerichte, doch das zugrunde liegende Verhalten ist schwerwiegend genug, um dieselbe kritische Prüfung zu verdienen, die Journalisten routinemäßig bei allen anderen anwenden.

Es gibt noch einen zweiten Punkt, der für mich sogar noch wichtiger geworden ist als die Unternehmensberichte, die aus dem Archiv erstellt wurden. Die Akten einer Aufsichtsbehörde enthalten weit mehr als nur die Identitäten von Kasinobesitzern. Sie enthalten Reisepässe, Geburtsdaten, Wohnadressen, Unterlagen zur Herkunft der Gelder, Beschäftigungsnachweise, Adressnachweise sowie Informationen über Compliance-Mitarbeiter, AML-Experten, Berater und Angestellte, denen möglicherweise nie etwas vorgeworfen wurde.

Das öffentliche Interesse kann die Offenlegung von Eigentumsverhältnissen oder Fehlverhalten rechtfertigen, aber es rechtfertigt nicht automatisch die Offenlegung jedes privaten Feldes, das neben diesen Beweisen steht.

Der Hackerangriff auf die MGA hätte Alarmglocken läuten lassen müssen

Der Fall der MGA hätte eine viel breitere Diskussion über diese Unterscheidung erzwingen müssen. Am 17. März 2026 bestätigte die Malta Gaming Authority einen Einbruch in eines ihrer Systeme, und drei Tage später veröffentlichte sie eine zweite Erklärung, in der sie den unbefugten Zugriff sowie die Entnahme, Verarbeitung oder Verbreitung der dadurch erlangten Informationen ausdrücklich verurteilte. Frau Wittmann hatte bereits öffentlich die Verantwortung übernommen und erklärt, dass Material an Medienpartner und Behörden weitergegeben worden sei.

Meines Wissens wurden diese Behörden bis heute nicht öffentlich so benannt, dass die offensichtlichen Fragen beantwortet würden, wer das Material erhalten hat, wann es eingegangen ist und was sie über dessen Herkunft wussten.

Die MGA hat nun direkt gegenüber Malta Media Stellung genommen, nachdem sie diesen Artikel vorab erhalten hatte. Sie teilte uns mit, dass unbefugter Zugriff auf öffentliche Systeme, das Ausgeben als autorisierte Nutzer sowie das Extrahieren, Verarbeiten oder Verbreiten vertraulicher Informationen ihrer Ansicht nach weder eine verantwortungsvolle Offenlegung noch eine legitime Interaktion mit einer öffentlichen Einrichtung darstellen.

Die Behörde erklärt außerdem, dass ihr Verfahren gegen Frau Wittmann darauf abzielte, weitere unbefugte Nutzung und Verbreitung zu verhindern, und nicht darauf, legitimen Journalismus zum Schweigen zu bringen, und dass sie keinen Schadenersatz oder keine Entschädigung zu ihrem eigenen Vorteil angestrebt habe. Das ist die Position der Aufsichtsbehörde, und sie verdient es, korrekt wiedergegeben zu werden, auch wenn Malta Media in anderen Fragen nicht mit der MGA übereinstimmt.

Die MGA widersprach zudem pauschalen Darstellungen, wonach alle grenzüberschreitenden Aktivitäten von MGA-lizenzierten Betreibern schlicht als „illegales Glücksspiel“ zu bezeichnen seien. Sie vertritt den Standpunkt, dass Glücksspiel auf EU-Ebene nach wie vor nicht harmonisiert ist und dass regulierte, innerhalb der EU oder des EWR lizenzierte Betreiber nicht automatisch in dieselbe Kategorie eingeordnet werden sollten wie Unternehmen, die außerhalb anerkannter regulatorischer Rahmenbedingungen tätig sind.

Diese Debatte geht über den Rahmen dieses Artikels hinaus, und Malta Media hat eigene kritische Berichte darüber veröffentlicht, wie die nationale Durchsetzung in der Praxis funktioniert, einschließlich Fällen, in denen illegale Domains trotz jahrelanger regulatorischer Maßnahmen weiterhin zugänglich sind. Der MGA Raum zu geben, ihren Standpunkt darzulegen, bedeutet nicht, dass wir diesen übernehmen müssen.

Schwerwiegende Vorwürfe erfordern nach wie vor stichhaltige Beweise

Frau Wittmann hat schwerwiegende Vorwürfe bezüglich organisierter Kriminalität, Versäumnissen der Aufsichtsbehörden und der Glücksspielunternehmen erhoben, die rund um Malta und Curaçao tätig sind. Sollten Dokumente Bestechung, verschleierte Eigentumsverhältnisse, manipulierte Entscheidungen, Steuerhinterziehung oder anderes rechtswidriges Verhalten belegen, sollten diese Dokumente auf ihre Echtheit geprüft und verantwortungsbewusst veröffentlicht werden. Malta Media würde solche Beweise veröffentlichen, unabhängig davon, wem sie in Verlegenheit bringen würden, und Kritik an Frau Wittmanns Methoden bedeutet keineswegs eine Verteidigung der in ihren Recherchen genannten Unternehmen.

Der gleiche Maßstab muss jedoch in beide Richtungen gelten. Ein unveröffentlichtes oder nur teilweise veröffentlichtes Archiv kann kein Ersatz dafür sein, jede damit verbundene Anschuldigung zu beweisen, und die Bedeutung einer Geschichte entscheidet nicht im Nachhinein darüber, ob jeder Schritt zur Beschaffung des Materials gerechtfertigt war. Deshalb ist die Unterscheidung zwischen Beschaffung, Überprüfung, Veröffentlichung und dem Umgang mit nicht damit zusammenhängenden personenbezogenen Daten hier so wichtig.

Curaçao macht es viel schwerer, das Ausmaß zu ignorieren

Der „Casino Secrets“-Bericht über die CGA-Untersuchung beschrieb bereits den über viele Monate hinweg bestehenden Zugang zur Lizenzierungsumgebung der Aufsichtsbehörde von Curaçao. Vor der Veröffentlichung sandte Malta Media der CGA unseren Entwurf zu und bat um sachliche Korrekturen; die Behörde lieferte eine detaillierte Antwort auf der Grundlage ihrer forensischen Untersuchungen. Eine Korrektur war wichtig: Bei der betroffenen Umgebung handelte es sich um das von einem externen Dienstleister verwaltete Online-Lizenzportal, nicht um uneingeschränkten Zugriff auf jeden CGA-Server, jeden Arbeitsplatzrechner, jedes E-Mail-Konto oder jedes interne Unternehmenssystem. Wir haben den Artikel entsprechend geändert, da Genauigkeit wichtig ist – insbesondere, wenn man die Beweisstandards anderer kritisiert.

Das umfassendere forensische Bild ist dennoch wesentlich gravierender als der Wortstreit um „die Server der Aufsichtsbehörde“. Nach Angaben der CGA wurde ein Konto mit dem Namen „Flip Humme“ und einer E-Mail-Adresse der Domain lilithwittmann.de als Administrator für die eigene Organisation freigeschaltet – es handelte sich also um eine kundenseitige Rolle und nicht um ein Mitarbeiterkonto der CGA. Der Regulierer gibt an, dass der Datenbankzugriff innerhalb weniger Stunden erfolgte. Der Zugriff blieb anschließend über einen Zeitraum von etwa neun Monaten bestehen, was eine ganz andere Situation darstellt als das Aufzeigen einer Schwachstelle und die sofortige Beendigung des Eindringens.

Das Ausmaß ist der auffälligste Aspekt der Antwort der CGA. Ihre forensischen Aufzeichnungen identifizierten 14.054 Anfragen, die Daten zurückgaben, sowie etwa 373,78 GB übertragener Informationen, wobei 369,84 GB aus Dokumentenordnern stammten, die mit 1.355 Organisationen in Verbindung standen. Da einige Ordner wiederholt abgerufen wurden, schätzt die Aufsichtsbehörde die einzigartige Informationsmenge, einschließlich der Datenbank, auf etwa 123 GB. Unabhängig davon, wie man letztendlich zu den rechtlichen Argumenten steht: Es handelte sich hier nicht um den Abruf einiger weniger Dokumente, die zum Nachweis einer Sicherheitslücke erforderlich waren.

Die CGA hat gegenüber Malta Media eingeräumt, dass der unbefugte Zugriff niemals hätte stattfinden dürfen, und erklärt, sie bedauere die durch den Vorfall ausgelöste Besorgnis und Verunsicherung. Die Aufsichtsbehörde muss daher selbst schwerwiegende Fragen in Bezug auf Sicherheit, Erkennung, Benachrichtigung und die Frage beantworten, warum eine Umgebung, die ein solches Maß an aufsichtsrechtlichen Informationen enthält, weiterhin anfällig war. Mangelhafte Sicherheit seitens einer Aufsichtsbehörde beantwortet jedoch nicht die separate Frage, wozu jemand außerhalb der Behörde berechtigt war, mit dem Material zu verfahren, sobald der Zugriff erlangt worden war. Beide Probleme können gleichzeitig schwerwiegend sein.

Die Dateien betreffen weit mehr als nur UBOs

Ein Portal für Glücksspiellizenzen enthält nicht nur Informationen über wohlhabende Kasinobesitzer. Die eigenen Antragsvoraussetzungen der CGA zeigen, dass Unterlagen zur persönlichen Vorgeschichte für UBOs, Geschäftsführer, Treuhänder, Kreditgeber und Schlüsselpersonen wie Vorstandsvorsitzende und Compliance-Beauftragte verlangt werden können. In der Praxis betreffen Aufsichtsakten auch Berater, AML-Experten und andere Mitarbeiter, die lediglich ihre Arbeit verrichten. Ihre Präsenz in der Datenbank einer Aufsichtsbehörde macht sie nicht zu Personen des öffentlichen Lebens.

Ich habe in Lissabon mit Branchenvertretern gesprochen, die mit der Compliance-Arbeit im Zusammenhang mit dem Curaçao-Verfahren vertraut sind, und diese Unterscheidung ist keineswegs theoretischer Natur. Einige Personen, die in diesen Akten aufgeführt sind, sind weder UBOs noch Anteilseigner und auch keine Personen, denen Fehlverhalten vorgeworfen wird. Möglicherweise haben sie einen Reisepass, einen Wohnsitznachweis oder Angaben zu ihrer Beschäftigung vorgelegt, weil dies im Rahmen eines behördlichen Verfahrens erforderlich war.

Die Vorstellung, dass dieses private Material dann öffentlich herunterladbar wird, nur weil eine andere Person in derselben Datenbank für Journalisten von Interesse ist, ist meiner Ansicht nach nicht zu rechtfertigen.

Selbst wenn es sich bei der Person um einen wirtschaftlich Berechtigten (UBO) oder einen Geschäftsführer handelt, hat die Relevanz dennoch ihre Grenzen. Wenn jemand 47 Prozent eines Casino-Unternehmens besitzt, sollte man die Eigentumsverhältnisse veröffentlichen, sofern dies von Bedeutung ist. Wenn mehrere vermeintlich unabhängige Unternehmen heimlich miteinander verbunden sind, sollte man diese Verbindung nachweisen und veröffentlichen. Nichts davon erfordert, dass der Öffentlichkeit die vollständige Passnummer der Person, ihre genaue Wohnadresse oder nicht relevante Unterlagen zum Adressnachweis mitgeteilt werden.

Die Veröffentlichung von Rohdokumenten ist eine separate redaktionelle Entscheidung

Malta Media hat Beispiele aus dem öffentlichen Archiv von „Casino Secrets“ unabhängig geprüft und Dokumente gefunden, die vollständige Passdaten, Geburtsdaten, genaue Wohnadressen und andere Informationen offenlegen, mit denen natürliche Personen identifiziert und ausfindig gemacht werden können. Wir haben unser eigenes Beweisdossier erstellt, ohne diese Angaben zu reproduzieren, denn die Dokumentation, dass jemand anderes private Informationen offengelegt hat, verpflichtet uns nicht dazu, dieselben Informationen erneut offenzulegen. Das ist eine normale redaktionelle Entscheidung und kein Versuch, Casino-Unternehmen vor einer genauen Überprüfung zu schützen.

Diese Unterscheidung ist im Glücksspielbereich besonders wichtig, da in dieser Branche große Geldsummen, Kryptowährungen, Betrug, Erpressungsversuche und mitunter auch organisierte Kriminalität zusammenkommen. Die Veröffentlichung der genauen Wohnadresse einer Person neben Informationen, die darauf hindeuten, dass sie ein wertvolles Glücksspielunternehmen kontrolliert, kann ein ganz anderes Risiko mit sich bringen als die bloße Nennung der Unternehmensfunktion dieser Person. Diese Bedenken gelten umso mehr für Compliance-Berater, Mitarbeiter oder AML-Experten, die möglicherweise überhaupt keine Eigentumsanteile besitzen.

Eine seriöse Redaktion verfügt routinemäßig über Informationen, die niemals im resultierenden Artikel erscheinen. Ein Gesellschafterverzeichnis kann die Eigentumsverhältnisse belegen, während die Passnummern und Privatadressen auf derselben Seite geschwärzt werden. Ein Ausweisdokument einer Aufsichtsbehörde kann helfen, zu überprüfen, ob eine Person die ist, als die sie in den Unterlagen angegeben ist, ohne den gesamten Reisepass öffentlich zum Download bereitzustellen. Bei der Berichterstattung im öffentlichen Interesse geht es darum, das zu veröffentlichen, was notwendig ist, um die Geschichte zu erklären, und nicht darum, alles zu veröffentlichen, was zufällig verfügbar ist.

Diese Unterscheidung hat nun auch neue rechtliche Relevanz auf europäischer Ebene. In der Rechtssache C-199/24, Legal Newsdesk Sweden, befasste sich der Gerichtshof direkt mit dem Verhältnis zwischen Online-Datenbanken, personenbezogenen Daten und dem Begriff der Verarbeitung zu journalistischen Zwecken gemäß Artikel 85 DSGVO. Der Sachverhalt war zwar ein anderer, und das Urteil entscheidet nicht über den Fall „Casino Secrets“, aber es bekräftigt, warum eine durchsuchbare öffentliche Datenbank sich der Prüfung nicht einfach entziehen kann, indem sie den Begriff „Journalismus“ mit ihrer Tätigkeit in Verbindung bringt. Die rechtliche Beurteilung hängt davon ab, was verarbeitet wird, warum es veröffentlicht wird und wie die konkurrierenden Rechte gegeneinander abgewogen werden.

Die rechtlichen Fragen verdienen eine gründliche Prüfung

Die Erfassungsseite wirft andere Fragen auf als die Veröffentlichung. § 202a des deutschen Strafgesetzbuchs stellt das Erlangen unbefugten Zugriffs auf Daten, die nicht für die betreffende Person bestimmt sind, unter Strafe, wenn dabei ein besonders geschützter Zugriff überwunden wird. Ob die konkreten technischen Sachverhalte im Zusammenhang mit CGA oder MGA alle Tatbestandsmerkmale dieses Delikts erfüllen, lässt sich anhand eines Zeitungsartikels nicht entscheiden, und Malta Media behauptet auch nicht, dass ein deutsches Gericht Frau Wittmann bereits deswegen verurteilt habe. Der Punkt ist, dass das öffentlich beschriebene und nun teilweise von den Aufsichtsbehörden dokumentierte Verhalten schwerwiegend genug ist, dass die Staatsanwaltschaft es untersuchen sollte, anstatt dass Journalisten selbst entscheiden, dass die rechtliche Frage geklärt sei.

Die Veröffentlichung personenbezogener Daten wirft weitere Fragen auf. § 126a StGB befasst sich mit der gefährlichen Verbreitung personenbezogener Daten einer anderen Person, wenn die gesetzlichen Umstände dazu führen können, dass diese Person oder ihr nahestehende Personen schwerwiegenden rechtswidrigen Handlungen ausgesetzt werden. Es reicht nicht aus, lediglich nachzuweisen, dass eine Adresse veröffentlicht wurde, da die Bestimmung zusätzliche Voraussetzungen enthält; doch die Kombination aus genauen Wohnadressen mit Informationen über Vermögen, Eigentumsverhältnisse und die Glücksspielbranche ist ein offensichtlicher Grund für die zuständigen Behörden, zu prüfen, ob die Bestimmung relevant ist.

Eine weitere Bestimmung, die eine Prüfung rechtfertigen könnte, ist § 42 des Bundesdatenschutzgesetzes, der strafrechtliche Vorschriften für bestimmte wissentliche, unbefugte Offenlegungen oder Verarbeitungen nicht öffentlicher personenbezogener Daten enthält, sofern zusätzliche Anforderungen hinsichtlich kommerzieller Absichten, Zahlungen oder Vorsatz erfüllt sind. Auch hier behauptet Malta Media nicht, dass diese zusätzlichen Elemente bereits bewiesen sind. Wir sagen lediglich, dass der rechtliche Rahmen mehr umfasst als eine allgemeine Debatte über Pressefreiheit, und dass nun jemand anderes als der Herausgeber die Fakten daran messen sollte.

DSGVO, journalistisches Privileg und Verhältnismäßigkeit

Die datenschutzrechtliche Position ist ebenso wichtig und lässt sich ebenso wenig auf einen Slogan reduzieren. Gemäß der Datenschutz-Grundverordnung enthält Artikel 5 Grundsätze wie Rechtmäßigkeit, Zweckbindung und Datenminimierung, während Artikel 6 die rechtmäßigen Grundlagen für die Verarbeitung regelt.

Gleichzeitig verpflichtet Artikel 85 die Mitgliedstaaten dazu, den Datenschutz mit der Meinungs- und Pressefreiheit in Einklang zu bringen, was bedeutet, dass es falsch wäre, so zu tun, als würden die allgemeinen DSGVO-Vorschriften automatisch in gleicher Weise auf jede journalistische Tätigkeit Anwendung finden. Die eigentliche Frage ist, wo der journalistische Schutz endet, wenn ein Projekt ein durchsuchbares Archiv mit Rohdokumenten betreibt, das Daten enthält, die in keinem Zusammenhang mit der Behauptung des öffentlichen Interesses stehen.

Der Gerichtshof hat zudem die Verhältnismäßigkeit betont, wenn personenbezogene Daten online frei zugänglich gemacht werden. In der Rechtssache C-474/24, NADA Austria u. a., befasste sich der Gerichtshof mit der Online-Veröffentlichung personenbezogener Daten und der Notwendigkeit, den Zweck der Offenlegung gegen deren Folgen und Zugänglichkeit abzuwägen. Der Sachverhalt war zwar ein anderer, doch der Grundsatz ist unmittelbar relevant für die Entscheidung, eine genaue Wohnadresse oder eine vollständige Reisepass-Identifikationsnummer einem unbegrenzten Publikum zugänglich zu machen, wenn der zugrunde liegende journalistische Standpunkt auch ohne diese Angaben dargelegt werden könnte.

Aus diesem Grund fordert Malta Media keinen Journalisten auf, unsere rechtliche Schlussfolgerung zu akzeptieren. Wir bitten die zuständigen Datenschutzbehörden, Medienaufsichtsbehörden und Staatsanwaltschaften, ihre eigene Beurteilung vorzunehmen. Pressefreiheit ist gerade deshalb wichtig, weil sie kritische Berichterstattung schützt, aber sie kann nicht bedeuten, dass die Person, die das Material veröffentlicht, auch die letzte Instanz dafür ist, ob alle Grenzen des Datenschutzes und des Strafrechts eingehalten wurden.

Malta Media geht über diesen Artikel hinaus

Wir haben Beweismaterial zur öffentlichen Verfügbarkeit von Passdaten, Geburtsdaten, Wohnadressen und anderen personenbezogenen Daten zusammengestellt und wenden uns an die zuständigen Behörden in Deutschland, Malta und Curaçao. Dazu gehören die Berliner Datenschutzbehörde, die zuständige Behörde in Nordrhein-Westfalen, Maltas Informations- und Datenschutzbeauftragter sowie die Datenschutzbehörde von Curaçao.

Wir wenden uns zudem an die Generalstaatsanwaltschaft in Berlin, um zu klären, ob die deutschen Behörden bereits über die Vorfälle bei der MGA oder der CGA informiert waren, ob jemand davon wusste, während der Zugriff auf Curaçao aktiv blieb, und ob die Beschaffung oder die anschließende Verbreitung der Informationen bereits geprüft wird.

Auch die Infrastruktur rund um das öffentliche Archiv spielt eine Rolle. Malta Media nutzt die entsprechenden Missbrauchsverfahren beim Registrar und anderen Dienstleistern, darunter den INWX-Meldekanal für illegale Inhalte und das Missbrauchsmeldeverfahren von Cloudflare, sofern diese Dienste beteiligt sind.

Ziel ist es, dass Anbieter und Behörden prüfen, ob ungeschwärzte Reisepässe, genaue Wohnadressen und vergleichbares privates Material weiterhin öffentlich herunterladbar bleiben sollten, wenn die zugrunde liegenden Unternehmensunterlagen auch ohne diese Felder aufbewahrt werden können.

Wenn eine Aufsichtsbehörde oder ein Dienstleister zu dem Schluss kommt, dass Dokumente nur nach einer Schwärzung online bleiben dürfen, ist dies ein verhältnismäßiges Ergebnis. Wenn eine Behörde zu dem Schluss kommt, dass die Struktur des Archivs selbst gegen geltendes Recht verstößt, sollte sie alle ihr gesetzlich zustehenden Befugnisse nutzen. Malta Media versucht nicht, sich an die Stelle dieser Behörden zu setzen; wir legen ihnen die Beweise vor und bitten sie, die Aufgabe zu übernehmen, die Journalisten, Unternehmen und Aufsichtsbehörden nicht glaubwürdig selbst erfüllen können.

Falls sich Ihre privaten Daten im Archiv befinden

Jeder, der im Archiv seine eigenen Passdaten, seine genaue Wohnadresse, sein Geburtsdatum, einen Wohnsitznachweis, Unterlagen zur Herkunft der Finanzmittel oder vergleichbare private Informationen entdeckt, sollte Beweise dafür sichern, was öffentlich zugänglich war. Notieren Sie sich die genaue URL, den Dateinamen und das Datum und erstellen Sie einen Screenshot oder eine andere Aufzeichnung, ohne das ungeschwärzte Dokument weiter zu verbreiten, als unbedingt notwendig ist. Betroffene sollten erwägen, Beschwerde bei der zuständigen Datenschutzbehörde einzulegen und gezielte Missbrauchsmeldungen an die Registrierungsstelle, den Hosting-Anbieter, das CDN oder andere relevante Infrastrukturanbieter zu richten.

Ich bin zudem der Ansicht, dass Betroffene ernsthaft in Erwägung ziehen sollten, rechtlichen Rat einzuholen und bei den zuständigen deutschen Behörden Strafanzeige zu erstatten, sofern die Sachlage dies rechtfertigt. Die Erstattung einer Strafanzeige ist keine Verurteilung und erfordert nicht, dass die betroffene Person entscheidet, welche Straftat begangen wurde. Es handelt sich um die Aufforderung an die Staatsanwaltschaft, zu prüfen, wie die Informationen beschafft und verarbeitet wurden und ob die Veröffentlichung der privaten Daten dieser Person eine strafrechtliche Grenze überschritten hat.

Für Menschen außerhalb Deutschlands können sprachliche und rechtliche Fragen diesen Prozess unnötig erschweren. Malta Media ist bereit, betroffenen Personen auf Einzelfallbasis kostenlos dabei zu helfen, das Sachmaterial zu ordnen und eine erste deutschsprachige Eingabe an die zuständige Behörde oder den Dienstleister vorzubereiten. Wir bieten keine rechtliche Vertretung an und werden für niemanden Anschuldigungen erfinden, aber Personen, die diese Unterstützung wünschen, können sich vertraulich unter ms@malta-media.com an uns wenden, und wir werden die Angelegenheit dann individuell weiterbearbeiten.

Anmerkung der Redaktion – Recht auf Gegendarstellung: Vor der Veröffentlichung hat Malta Media den Entwurf dieses Artikels an Frau Wittmann, die Malta Gaming Authority und die Curaçao Gaming Authority gesendet und um sachliche Korrekturen, Belege und Kommentare gebeten. Sowohl die MGA als auch die CGA haben geantwortet, und entsprechende sachliche Klarstellungen wurden in diese Fassung aufgenommen. Lottoland, PlatinCasino und SoftSwiss erhielten den Entwurf ebenfalls, da sie im Artikel erwähnt werden. Zum Zeitpunkt der Erstellung dieser Fassung lagen noch keine Antworten von Frau Wittmann, PlatinCasino, Lottoland oder SoftSwiss vor; etwaige spätere inhaltliche Antworten werden nach ihrem Sachverhalt geprüft.

Journalismus befreit Journalisten nicht von der Kontrolle

Ich habe kein Problem mit aggressivem investigativem Journalismus. Einige der besten Reportagen entstanden gerade deshalb, weil Journalisten bereit waren, Unternehmen, Aufsichtsbehörden und wohlhabende Personen herauszufordern, die es vorgezogen hätten, wenn unangenehme Informationen verborgen geblieben wären. Malta Media beabsichtigt, ebenfalls eine solche Publikation zu bleiben, was bedeutet, dass wir uns mit Eigentümerstrukturen, aufsichtsrechtlichen Entscheidungen und Unternehmensbeziehungen befassen, selbst wenn die Beteiligten dies lieber nicht hätten.

Unabhängigkeit bedeutet auch, denselben Maßstab anzuwenden, wenn ein Journalist Teil der Geschichte wird. Wenn ein Glücksspielunternehmen durch unbefugten Datenbankzugriff rund 123 GB an behördlichen Informationen erlangt und diesen Zugriff über viele Monate hinweg aufrechterhalten hätte, würde Malta Media dies aggressiv untersuchen. Wenn dasselbe Unternehmen anschließend Rohdaten mit Passnummern und Wohnadressen online stellen würde, würde ich erwarten, dass Datenschutzbehörden, Infrastrukturanbieter und Staatsanwälte das Vorgehen des Unternehmens prüfen. Die Tatsache, dass die Person, die diese Handlungen begeht, nicht mehr ein Glücksspielmanager, sondern ein Journalist ist, lässt die zugrunde liegenden Fragen nicht verschwinden.

Letztendlich mag es rechtliche Argumente geben, die die Verwendung des Materials durch Frau Wittmann teilweise oder weitgehend rechtfertigen, insbesondere wenn Dokumente analysiert und veröffentlicht werden, um Sachverhalte von echtem öffentlichem Interesse aufzuklären. Es mag auch wichtige rechtliche Unterschiede geben zwischen dem Erwerb der Daten, ihrem Besitz, der Weitergabe ausgewählter Informationen an andere Journalisten und der Veröffentlichung unbearbeiteter, ungeschwärzter Dokumente auf einer öffentlichen Website.

Der Aktenschrank bleibt der einfachste Test

Wenn eine Glücksspielaufsichtsbehörde einen physischen Aktenschrank mit Lizenzunterlagen unverschlossen lassen würde, würde ich sofort fragen, wie eine Behörde, der Pässe, Finanzdaten und Wohnadressen anvertraut sind, so nachlässig sein könnte. Wenn jemand diese Schwachstelle entdecken und aufzeigen würde, könnte dies zu einem berechtigten Bericht im öffentlichen Interesse über das Versagen der Aufsichtsbehörde führen. Ich hätte dennoch Schwierigkeiten zu akzeptieren, dass jemand etwa neun Monate lang immer wieder zurückkehrt, das Eintreffen neuer Akten beobachtet, große Mengen an Material kopiert und später Dokumente, die Passnummern und Wohnadressen unbeteiligter Personen enthalten, in ein öffentliches Archiv stellt.

Die Tatsache, dass es sich um einen digitalen Aktenschrank handelt, begründet keinen anderen moralischen Maßstab. Schwache Sicherheitsvorkehrungen heben die Datenschutzinteressen der Personen, deren Informationen darin gespeichert waren, nicht auf, und die journalistische Relevanz eines Teils eines Dokuments macht nicht jedes andere Feld im selben Dokument relevant. Die Aufsichtsbehörde mag schwer versagt haben, und Frau Wittmann mag dennoch ernsthafte Fragen dazu beantworten müssen, wie das daraus resultierende Material beschafft, aufbewahrt und veröffentlicht wurde.

Ich möchte, dass Malta Media eine Publikation bleibt, die unbequeme Fakten über Glücksspielunternehmen, Eigentümer und Aufsichtsbehörden veröffentlicht, wenn diese Fakten belegbar sind. Ich möchte auch, dass wir wissen, wo die Grenze liegt, denn bei Unabhängigkeit geht es nicht nur darum, wen wir bereit sind zu kritisieren; es geht auch um die Standards, an die wir uns halten, wenn wir über Informationen verfügen, die leicht zu veröffentlichen wären, aber keinem notwendigen Zweck im öffentlichen Interesse dienen. Passnummern, genaue Wohnadressen und der Adressnachweis eines Mitarbeiters erklären keine Unternehmensstruktur, und sie hätten geschwärzt werden müssen, bevor die zugrunde liegenden Dateien veröffentlicht wurden. Das ist die Grenze, die „Casino Secrets“ meiner Meinung nach überschritten hat, und nun ist es an der Zeit, dass die zuständigen Behörden entscheiden, ob auch rechtliche Grenzen überschritten wurden.