Gutachten. Was kann das Internet. bwin e.k. Rudolf-Breitscheid-Straße Neugersdorf. Bericht Nr

Transkript

1 Gutachten Was kann das Internet bwin e.k. Rudolf-Breitscheid-Straße Neugersdorf Bericht Nr Köln, Juni 2009 TÜV Rheinland Secure it GmbH

2 Allgemeine Informationen zur durchgeführten Untersuchung Auftraggeber: bwin e.k. Rudolf-Breitscheid-Straße Neugersdorf Beauftragtes Institut: TÜV Rheinland Secure it GmbH Unternehmensgruppe TÜV Rheinland Group Competence Center IT Prozesse IT Security Köln Tel / Fax secureit@de.tuv.com Scope/Umfang der Untersuchung: Regulierungs- und Selbstverpflichtungsmöglichkeiten beim Online-Spiel Bericht Nr.: Projektleiter: Klaus M. Rodewig, Geschäftsfeldleiter Technik Projektleiter Köln, 3. August 2009 Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 2 von 30

3 Inhaltsverzeichnis 1 Zusammenfassung Einführung Internet-Architektur Online-Spiele und Online-Wetten Benutzerregistrierung Prüfen der Stammdaten Missbrauch und Datenschutz Micro Deposit Prüfen der Spiel- und Wettvorgänge Finanzielle Transaktionen Spielbetrug Wettbetrug Geldwäsche Verpflichtende Registrierung der Kunden Identifizierung Risikoabwägung Politisch exponierte Personen Meldepflicht Ernennung ausgewiesener Money Laundry Reporting Officers Aufbewahrungsfristen Schulungen Monitoring und Analyse von Finanztransaktionen Know Your Customer (KYC) Kooperation mit Finanzinstituten Verbot von Bargeldtransaktionen Sperrdatei Spielsucht Literaturverzeichnis Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 3 von 30

4 1 Zusammenfassung Die TÜV Rheinland Secure it GmbH, ein Mitglied der TÜV Rheinland Group, wurde von der bwin e.k. (im Folgenden bwin ) mit der Erstellung eines Gutachtens beauftragt, mit dem untersucht werden sollte, ob anonymes Online-Spiel im Internet bei entsprechender Regulierung und Selbstverpflichtung möglich ist oder ob sich anonymes Spielen durch geeignete technische Maßnahmen erkennen und unterbinden lassen kann. Im Rahmen des Gutachtens wurden die folgenden Fragen betrachtet: Wie funktioniert Glücksspiel im Internet? Welche Authentifizierungs- und Identifizierungsmethoden stehen im Internet zur Verfügung? Wie kann die Volljährigkeit eines Kunden verifiziert werden? Wie lässt sich auffälliges Kundenverhalten (Betrug, problematisches Spielverhalten) im Internet erkennen? Neben diesen Fragen wurden die Risiken und Möglichkeiten betrachtet, die das Internet als Vertriebsweg für Online-Spiele mit sich bringt. Gegenstand der Betrachtung waren in diesem Zusammenhang Online-Wetten (Sportwetten, Gesellschaftswetten), Kartenspiele (Poker, etc.) und Geschicklichkeits- und Casino-Spiele. Ausdrücklich nicht Gegenstand dieses Gutachtens waren Online-Rollenspiele und von Spielbanken angebotene Computerspiele. 1. Wie kann das Spielverhalten eines Online-Spielers kontrolliert werden? Systembedingt werden beim Online-Spiel alle Aktivitäten eines Spielers erfasst und können daher durch geeignete Methoden auf Aufälligkeiten hin überprüft werden. Im eigenen Interesse, um Betrug oder Missbrauch vorzubeugen, haben verschiedene Anbieter umfangreiche Analysemethoden etabliert, um Auffälligkeiten entdecken und die betreffenden Spieler vom Spielbetrieb ausschließen zu können. Im Gegensatz zu konventionellen Spielkasinos, wo ein Tracking aller Spiel-Aktivitäten nicht möglich ist, bietet das Online-Spiel daher eine ideale Möglichkeit, das Spielverhalten von Spielern zu kontrollieren. Prüfungen gegen das Spielverhalten eines gesamten Kollektivs und gegen das invidivuelle Spielverhalten eines Spielers erlauben genaue Aussagen über eventuelle Probleme wie Betrug, Geldwäsche oder Spielsucht. Die Spielsuchtforschung liefert Hinweise, wie sich problematisches Spielverhalten äußert. Bestimmte Verhaltensmuster, wie etwas das Hinterherjagen von Verlusten können auf problematisches Spielverhalten hindeuten. Beim Online-Spiel wird das Spielverhalten vollständig aufgezeichnet, so dass hier sehr genaue Prüfungen auf auffälliges Spielverhalten und ein Gegensteuern möglich ist. 2. Ist anonymes Online-Spielen möglich? Es ist möglich, dass sich ein Spieler unter Angabe falscher Daten anmeldet und Spiele, bzw. Wetten durchführt. Auch ist es möglich, anonym Geld einzuzahlen, um damit zu spielen oder zu wetten. Durch Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 4 von 30

5 die Verwendung von Informationsdienstleistern zur Identifizierung von Kunden können Anbieter von Online-Spielen und Wetten allerdings in Echtzeit prüfen, ob die von einem Kunden angegebenen Daten korrekt oder schlüssig sind. Falsche Angaben lassen sich auf diese Weise umgehend identifizieren und die betreffenden Spielkonten sperren. Darüber hinaus ist es nicht möglich, sich Geldbeträge aus Spiel- und Wett-Gewinnen auszahlen zu lassen, ohne dass vorher ein Nachweis über die eigene Identität erbracht wird. Spätestens zur Auszahlung muss ein Spieler daher seine Identität preisgeben. Anonymes Spielen mit Auszahlung von Gewinnen ist daher nicht möglich, so dass es für Spieler keinen Anreiz gibt, ihre Identität zu verbergen. 3. Wie kann beim Online-Spiel die Volljährigkeit eines Spielers geprüft und gewährleistet werden? Im Rahmen der Identifizierung von Spielern über geeigente Logik- und Querprüfungen und über Datenbanken externer Dienstleister (Abschnitt 3.1.1) kann neben den sonstigen Stammdaten auch zuverlässig das Alter eines Spielers bestimmt werden. Firmen wie die GB Group bieten Dienstleistungen zur Personen- und Altersverifikation an, die in Echtzeit über das Internet verwendet werden können, so dass eine Gewährleistung des Jugendschutzes beim Einsatz dieser Dienstleistungen gegeben ist. 4. Ist eine Einrichtung einer Anbieter-übergreifenden Sperrdatei möglich und sinnvoll? Zur Überprüfung der Identität von Spielern und Wett-Kunden ist die Verwendung externer Informationsquellen und Datenbanken (Abschnitt 3.1.1) notwendig. Diese Datenbanken enthalten ausreichende Informationen, um Personen eindeutig zu identifizieren. Das Einrichten einer eigenen Sperrdatei für Online-Spiele und -Wetten wird als sinnvoll gesehen, noch besser wäre - unter Beachtung datenschutzrechtlicher Bestimmungen - eine Rückmeldung an die Betreiber der genannten Datenbanken, um (auch branchenweit oder -übergreifend) auffällige Spieler und Kunden identifizieren zu können. Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 5 von 30

6 2 Einführung Die TÜV Rheinland Secure it GmbH, ein Mitglied der TÜV Rheinland Group, wurde von der bwin e.k. (im Folgenden bwin ) mit der Erstellung eines Gutachtens beauftragt, mit dem untersucht werden sollte, ob anonymes Online-Spiel im Internet bei entsprechender Regulierung und Selbstverpflichtung möglich ist oder ob sich anonymes Spielen durch geeignete technische Maßnahmen erkennen und unterbinden lassen kann. Das Gutachten umfasst eine Betrachtung der folgenden Themen: Wie kann das Spielverhalten eines Online-Spielers kontrolliert werden? Ist eine Einrichtung einer Anbieter-übergreifenden Sperrdatei möglich und sinnvoll? Ist anonymes Online-Spielen möglich? Wie kann beim Online-Spiel die Volljährigkeit eines Spielers geprüft und gewährleistet werden? Ein Online-Spiel ist ein Computerprogramm, das so beschaffen ist, dass ein Spieler dieses Programm nur aus dem Internet erreichen und benutzen kann. Der Spiele-Anbieter betreibt eine aus dem Internet erreichbare Server-Infrastruktur, auf die ein Spieler über das Internet zugreifen kann, um Online- Spiele zu nutzen. Der Inhalt eines Online-Spiels kann dabei beliebiger Natur sein und sich als beliebiges Spiel darstellen. Die in diesem Gutachten neben Online-Spielen ebenfalls betrachteten Sportwetten sind bei der Konzeption als Online-Angebot ebenfalls vom Kunden ausschließlich über eine Internetverbindung erreich- und nutzbar. Das Internet in der heutigen Form ist aus einem Forschungsprojekt des amerikanischen Verteidigungsministeriums in den 60er Jahren des letzten Jahrhunderts hervorgegangen. Die anfänglich ausschließlich militärische und akademische Nutzung hat sich im Laufe der 90er Jahre zu einer überwiegend kommerziellen Nutzung durch Firmen und private Anwender entwickelt. Das Internet ist als Medium aus dem täglichen Leben nicht mehr wegzudenken, und Angebote wie Online- Banking, E-Commerce in allen Formen, , Chat und Freizeitgestaltung wie Online-Spiele werden von einem Großteil der Bevölkerung genutzt. Bei der kommerziellen Nutzung des Internet stellen sind zwei Themenkomplexe von besonderer Wichtigkeit: Anonymität und Datenschutz. Anbieter kommerzieller Dienstleistungen im Internet haben ein vitales Interesse daran, dass ihre Kunden nicht anonym bleiben. Auch wenn die Internet- Technologie in sich auf technischer Ebene ein anonymes Bewegen im Internet ermöglicht, ist es aber insbesondere bei der Nutzung von Diensten auf nicht-technischer Ebene mit entsprechenden Mitteln möglich, die Benutzer sehr genau zu identifizieren, um damit Anonymität zum Zwecke des Missbrauches zu verhindern. Datenschutz muss im Internet an zwei Stellen betrachtet werden: auf dem Weg der Daten durch das Internet und beim jeweiligen Systembetreiber. Die Sicherheit von Daten während ihrer Übertragung im Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 6 von 30

7 Internet lässt sich durch geeignete und gängige Verschlüsselungsmechanismen wie SSL/TLS 1 sicherstellen. Der Schutz von Daten bei Systembetreibern, z.b. Anbietern kommerzieller Dienste im Internet, kann ebenfalls durch geeignete und vielfältige Methoden sichergestellt werden. 2.1 Internet-Architektur Voraussetzung für die Nutzung eines Online-Spiels oder eines Online-Wettangebotes ist das Vorhandensein einer Internetverbindung zwischen Spiele-Anbieter und Spieler. Eine solche Internetverbindung charakterisiert sich dadurch, dass keine direkte Verbindung zwischen Spieler und Anbieter besteht, wie sie z.b. bei einer Telefonwählverbindung besteht, sondern dass sowohl Spieler als auch Anbieter über technische voneinander unabhängige Anbindungen an das Internet angebunden sind, wobei das Internet als Vermittler- und Trägermedium zwischen diesen beiden Anbindungen fungiert, ohne dass Spieler und/oder Anbieter Einfluss auf Art und Weg der Verbindung im Internet haben (Abbildung 1). Abbildung 1: Aufbau der Internetverbindung. Während der Anbieter in der Regel über Festverbindungen mit dem Internet verbunden ist oder seine Server-Infrastruktur bei speziellen Dienstleistern mit direkter Anbindung ans Internet betreiben lässt, kann der Spieler seine Verbindung zum Internet über verschiedene Wege aufbauen. Gängige Arten der Verbindung zum Internet für Endkunden und Privatverbraucher sind die Digital Subscriber Line (DSL), analoge Modem-Verbindungen, ISDN-Einwahl, Mobilfunk oder Verbindungen über WLAN- Hotspots. WLAN-Hotspots stellen Zugangsmöglichkeiten zum Internet dar, bei denen ein Kunde entweder bei öffentlich zugänglichen Hotspots - kostenlos und anonym oder gegen Bezahlung und/oder Identifikation - bei geschlossenen Hotspots - Zugang zum Internet erhalten kann. Weitere Möglichkeiten für den Zugang zum Internet stellen für Spieler Firmennetzwerke dar, bei denen ein Spieler die Infrastruktur z.b. seines Arbeitgebers nutzt, um Dienste im Internet zu nutzen. Beim Internet handelt es sich um einen dezentralen Zusammenschluss voneinander unabhängiger Netzwerke und Computersysteme. Eine gemeinsame Verwaltung oder Regulierung für Betrieb und der durch diese Netze transportierten Daten existiert, mit Ausnahme länderspezifischer gesetzlicher Regelungen, nicht. Insbesondere existiert keine zentrale Verwaltungs- und Kontrollinstanz für das Internet. 1 Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 7 von 30

8 Die Gemeinsamkeit aller zum Internet zusammengeschlossenen Netzwerke ist die Verwendung der TCP/IP-Protokollsuite für die Kommunikation. Diese Protokollsuite umfasst verschiedene Netzwerkprotokolle, über welche die Kommunikation im Internet abläuft. Diese Protokollsuite wurde vor dem Hintergrund entwickelt und implementiert, dass Ausfälle in Netzwerkbereichen nicht zu einem Zusammenbruch der gesamten Kommunikation führen dürfen. Die Implementierung von TCP/IP ist aus diesem Grund paketbasiert. Das bedeutet, dass die vom Sender zum Empfänger zu übertragenden Datenströme vom Sender in Datenpakete aufgeteilt werden, die unabhängig von einander übertragen werden. Der Empfänger setzt die Datenpakete wieder zu einem durchgängigen Datenstrom zusammen. Die Ausfallsicherheit des Netzes wird dabei dadurch realisiert, dass Datenpakete über verschiedene, vorher nicht festgelegte Wege vom Sender zum Empfänger gelangen können. Fällt ein Weg aus, werden die Datenpakete über einen alternativen Weg übertragen. Abbildung 2 zeigt ausschnittsweise schematisch die Struktur des Internet. Die dargestellten Netze symbolisieren die verschiedenen Netzwerke, aus denen sich das Internet in Gesamtheit zusammensetzt. Zwischen den Netzen gibt es direkte und indirekte Verbindungen. Für die Kommunikation zwischen zwei Endpunkten, z.b. Online-Spieler und Anbieter, ist keine direkte Verbindung zwischen beiden Kommunikationspartnern notwendig. Die Übertragung der Daten kann über beliebige Wege verlaufen. In der vorliegenden Abbildung 2 sind unter anderem folgende Verbindungswege zwischen Spieler und Anbieter möglich: Spieler Netz 1 Netz 2 Netz 6 Netz 9 Anbieter Spieler Netz 1 Netz 5 Netz 6 Netz 9 Anbieter Spieler Netz 1 Netz 4 Netz 9 Anbieter Abhängig von der Verfügbarkeit von Wegen und Faktoren wie zur Verfügung stehender Bandbreite und Auslastung erfolgt die Wegewahl im Internet dynamisch mit Hilfe von sog. Routing-Protokollen. Dabei suchen die als Vermittler zwischen den einzelnen Netzwerken positionierten Router selbständig den besten Weg für ein Datenpaket. Router sind Vermittlungsrechner, welche Datenpakete zwischen Netzwerken transferieren. Das Wissen über die Verfügbarkeit angeschlossener Netze und die Wahl von Routen wird über Routing-Protokolle abgebildet, mit denen Router untereinander kommunizieren und Informationen über eben diese Parameter austauschen. Aufgrund dieser dynamischen Kommunikation und der daraus resultierenden dynamischen Wegewahl ist eine Vorhersage über den Weg eines Datenpaketes im Internet nicht möglich. Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 8 von 30

9 Abbildung 2: Struktur des Internet. Abbildung 3 zeigt die Route von einem Einwahlpunkt in das UMTS-Netz von Vodafone zum Server Die Abbildung zeigt, dass die Datenpakete durch vier verschiedene Netzwerke verlaufen, die von vier verschiedenen, voneinander unabhängigen Firmen betrieben werden. Übergabepunkt zwischen Netzen können dedizierte Netzübergänge sein oder aber zentrale Internet- Konten2, bei denen viele Netzwerke zusammenlaufen und über Router miteinander verbunden werden. 2 Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 9 von 30

10 Abbildung 3: Route UMTS-Einwahl zu Für das Verständnis der Internet-Technologie ist neben der Struktur des Internet und der Fähigkeit des Netzes zur dynamischen Wegewahl auch eine Darstellung der TCP/IP-Protokollsuite notwendig. Diese wird durch das TCP/IP-Referenzmodell (Tanenbaum, Seite 35ff.) repräsentiert. Im Zusammenhang mit der Darstellung der Internet-Technologie wird häufig fälschlicherweise das OSI- Referenzmodell verwendet. Diese hat in Bezug auf das TCP/IP-Referenzmodell allerdings keine Relevanz und stellt lediglich ein abstraktes Modell zum Aufbau von Netzwerken dar. Das TCP/IP-Referenzmodell (siehe Abbildung 4) definiert fünf Schichten, über welche die Netzwerkkommunikation läuft. Von der niedrigsten zur höchsten Schicht werden die Daten der jeweils höheren Schicht als Daten in die Pakete der jeweils niedrigeren Schicht gekapselt. Auf der untersten Ebene befindet sich die Netzzugangsschicht. Diese besteht aus der physikalischen Verbindung und einem Protokoll zur Verbindung von Hosts im lokalen Netzwerk. Die Protokolle dieser Schicht sind kein Bestandteil der TCP/IP-Protokollsuite. Mögliche Protokolle dieser Schicht sind, insbesondere bei privaten Anwendern, Ethernet (lokales Netzwerk), IEEE (WLAN) und PPP (Modem- oder Mobilfunk-Verbindungen). Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 10 von 30

11 Abbildung 4: TCP/IP-Referenzmodell auf Ethernet-Basis. Die TCP/IP-Protokollsuite beginnt auf der dritten Schicht, der Internetschicht. Diese Schicht wird durch das IP-Protokoll ( Internet Protocol ) repräsentiert. Die Aufgaben dieser Schicht sind der Transport der Daten der höheren Schichten und die Wegewahl über das lokale Netzwerk hinaus. Dazu bietet IP die Möglichkeit des Routings, über das Wege zum Versand der Datenpakete im Internet definiert werden können. IP kapselt die Daten der höheren Schichten in Datenpakete und sendet diese unabhängig voneinander ab. Dabei ist es nicht die Aufgabe der Internet-Schicht, beim Sender die Reihenfolge der Pakete zu beachten. Diese können, in Abhängigkeit der jeweiligen Wegewahl und damit einhergehend durch Verzögerungen in der Übertragung, durchaus in einer anderen Reihenfolge beim Empfänger eintreffen als vom Sender vorgesehen. Die korrekte Reihenfolge herzustellen und damit für die Korrektheit der übertragenen Daten sicherzustellen, ist Aufgabe der nächsthöheren Schicht, der Transportschicht. Die Transportschicht wird im TCP/IP-Referenzmodell durch die beiden Protokolle TCP (Transmission Control Protocol) und UDP (User Datagram Protocol) repräsentiert. TCP ist ein verbindungsorientiertes Protokoll, das eine zuverlässige Verbindung zwischen Sender und Empfänger etabliert und die Integrität der übertragenen Daten sicherstellt. Dazu prüft es die übertragenen Pakete beim Empfänger und stellt die korrekte Reihenfolge nach der Übertragung wieder her. Fehlen Pakete oder treten Fehler bei der Übertragung auf, ist es die Aufgabe der Transportschicht, die erneute Übertragung der betreffenden Pakete beim Sender anzufordern. UDP ist ein verbindungsloses Protokoll, bei dem der Sender ohne den Aufbau einer Verbindung zum Sender, UDP-Pakete an den Empfänger schickt. Die Übertragung dieser Pakete kann aufgrund einer fehlenden und kontrollierenden Verbindung nicht geprüft werden, so dass UDP nur bei speziellen Diensten zum Einsatz kommt. Für Applikationen wie Online-Spielen und Online-Wetten ist daher nur TCP von Interesse. Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 11 von 30

12 Die Transportschicht führt die sog. Ports ein. Darunter versteht man virtuelle Anschlüsse auf einem Host, hinter denen sich bestimmte Dienste verbergen. So ist ein Webserver in der Regel unter dem Port 80 erreichbar. Verschlüsselte Kommunikation mit einem Webserver verwendet in der Regel Port 443. Über der Transportschicht liegt im TCP/IP-Referenzmodell die Anwendungsschicht. Diese kapselt die Daten der Applikation, von der die zu übertragenden Daten stammen. Bei einem Webserver ist das Protokoll der Anwendungsschicht das Hypertext Transfer Protocol (HTTP). Sämtliche Funktionalitäten einer Anwendung wie z.b. Session-Management, Verschlüsselung auf Anwendungsebene, etc. werden in dieser Schicht durch das jeweilige Protokoll abgebildet. Weitere gängige Protokolle der Anwendungsschicht sind POP3 ( -Empfang), SMTP ( -Versand), DNS (Domain Name System) und SSH (Secure Shell). Im Zusammenhang mit Online-Diensten wie Online-Spielen und Wettangeboten ist die Namensauflösung im Internet von Belang. Alle Kommunikationspartner im Internet besitzen eine eindeutige Kennung in der Internetschicht, die IP-Adresse, die sie als eindeutiges Mitglied eines mit dem Internet verbundenen Netzwerkes auszeichnet. Die Adressierung von Kommunikationspartnern im Internet erfolgt ausschließlich über die IP-Adresse. Die IP-Adresse ist bei der heutzutage vorherrschenden IP-Version 4 eine 32-stellige Binärzahl. Um die Adressierung für Internet-Benutzer zu vereinfachen, wurde das Domain Name System implementiert, mit dem IP-Adressen Namen zugewiesen werden können, so das ein Benutzer eines Online-Angebotes sich für dieses nicht eine IP-Adresse, sondern nur einen Namen merken muss. Diese Namen werden als Fully Qualified Domain Name (FQDN) bezeichnet. Abbildung 5: Startseite von Google über IP-Adresse. Abbildung 5 zeigt die Startseite von Google, die über das Eingeben der IP-Adresse des Google- Servers ( ) in der Adresszeile des Browsers aufgerufen worden ist. Im Gegensatz dazu Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 12 von 30

13 ist in Abbildung 6 die Startseite über den DNS-Eintrag aufgerufen worden, dem im DNS die IP-Adresse zugewiesen ist. Abbildung 6: Startseite von Google über DNS. Abbildung 7 zeigt den Ablauf einer DNS-Anfrage nachdem ein Benutzer in das Adressfeld seines Browsers die Adresse eingegeben hat (Schritt 1). Im Schritt 2 fragt das Betriebssystem des Benutzers den zuständigen DNS-Server (Rodewig, Seite 115ff.) nach der IP- Adresse für den Namen Der DNS-Server liefert diese Adresse in Schritt 3 zurück, so dass das System des Benutzers in Schritt 4 den Server unter seiner IP-Adresse adressieren kann. Die Namensauflösung im Internet dient nur zur Vereinfachung der Bedienung durch den Benutzer und ist keine technsiche Notwendigkeit für die Kommunikation zwischen Rechnersystemen. Abbildung 7: DNS-Abfrage für einen HTTP-Request. Der DNS-Namensraum im Internet ist hierarchich gegliedert. Große Bereiche sind in Toplevel- Domains gegliedert. Das sind beispielsweise Toplevel-Domains für einzelne Länder. Nach der Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 13 von 30

14 Toplevel-Domain kommt in der DNS-Hierarchie die Domain, die einer Firma, Person oder Organisation zugeordnet sein kann. Unter der Domain können sich noch Subdomains anschließen, gefolgt schließlich von einem Host-Namen dem Namen eines bestimmten Systems. Die Bestandteile eines DNS-Namens setzen sich in der Hierarchie absteigend von rechts nach links zusammen. Im vorhergehenden Beispiel der DNS-Adresse ist die Endung de die Toplevel- Domain für den Namensraum, welcher der Bundesrepublik Deutschland zugeordnet ist. Toplevel- Domains für Staaten entsprechend in der Regel den internationaln Länderkürzeln. Der Namensbestandteil google im DNS-Namen stellt die Domain google.de dar, eine auf die Firma Google registrierte Domain unterhalb der Toplevel-Domain de. Der führende Bezeichner www im DNS-Namen steht für das System mit dem Namen www innerhalb der Domain google.de. Dadurch lässt sich durch Aufruf des DNS-Namens genau dieses System adressieren. Die Verwaltungshoheit über eine Toplevel-Domain besitzt der Registrar der jeweiligen Toplevel- Domain. In Deutschland, für die Toplevel-Domain de ist dies die DENIC eg 3. Die Verwaltungshoheit über eine Domain besitzt der Inhaber der jeweiligen Domain, im Falle die Firma Google. Für die Beantwortung von DNS-Anfragen stehen im Domain Name System zwei verschiedene Arten von DNS-Servern zur Verfügung. Die erste Art sind autoritative DNS-Server. Darunter versteht man DNS-Server, die für die Veraltung einer bestimmten Domain zuständig sind und welche Anfragen zu dieser Domain aus ihrem eigenen Datenbestand, der sog. Zone, heraus beantworten. Für jede Domain steht nur eine begrenzte Anzahl von autoritativen DNS-Servern zur Verfügung. Um das Antwortverhalten von DNS-Server im gesamten Internet mit einer akzeptablen Geschwindigkeit gewährleisten zu können, gibt es neben den zahlenmäßig begrenzten autoritativen DNS-Server die nicht-autoritativen DNS-Server. Diese befinden sich häufig in den Zugangsnetzwerken von Internet-Providern und dienen den jeweiligen Benutzern als DNS-Server. Nicht-autoritative Server halten keinen eigenen originären Datenbestand vor, sondern fragen beim Eintreffen einer DNS-Anfrage durch einen Benutzer in einer Kette von Hierarchien andere DNS- Server, bis hin zum autoritativen DNS-Server der betreffenden Domain. Das Ergebnis dieser Anfrage speichern die nicht-autoritativen DNS-Server zwischen, so das sie bei einer erneuten Anfrage die Antwort aus ihrem Zwischenspeicher liefern können. Erst nach Ablauf der vom autoritativen DNS- Server einer Domain für diese Domain definierten Zeitspanne muss der nicht-autoritative DNS bei einer erneuten Anfrage den autoritativen DNS-Server erneut kontaktieren. 3 Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 14 von 30

15 3 Online-Spiele und Online-Wetten Bei der Nutzung von Online-Spielen und -Wetten sind die Anmeldung, das Spielen selber und Tätigkeiten und Abläufe nach Beendigung eines Spieles oder einer Wette zu differenzieren. Bei der Betrachtung von Online-Angeboten für Spiele und Wetten sind in Bezug auf die Benutzer dieser Angebote zwei Begrifflichkeiten zu trennen. Der erste Begiff ist der des Spielers oder Benutzers beide Begriffe werden hier synonym gebraucht. Der Benutzer repräsentiert eine natürliche Person, die Kunde eines Anbieters von Online-Spielen oder Online-Wetten sein kann. Der zweite Begriff ist der des Benutzerkontos. Voraussetzung für die Nutzung des Online-Angebotes ist die Einrichtung eines persönlichen Benutzerkontos beim Anbieter. Ein Spieler, der ein Spiele- oder Wettangebot im Internet benutzen möchte, hat in der Regel kein Interesse daran, bei der Einrichtung eines Benutzerkontos unrichtige Angaben zu seiner Person zu machen. Die Überprüfung der vom Spieler getätigten Angaben und damit der Identität eines Spielers durch den Anbieter ist hingegen für solche Fälle angezeigt, in denen die Möglichkeit von Missbrauch oder Betrug besteht. Dies umfasst die Verwendung von Angeboten durch Minderjährige, Verdacht auf Geldwäsche, Wettbetrug, Spielsucht und andere Auffälligkeiten. 3.1 Benutzerregistrierung Die Identifikation von Kunden erfolgt vor dem Spielen oder Wetten durch einen Registierungsprozess, innerhalb dessen ein Kundenkonto mit kundenbezogenen Stammdaten angelegt wird und der Kunde einen Benutzernamen und ein Passwort erzeugt, mit denen er sich für Spiele und/oder Wetten beim Online-Angebot identifizieren und authentifizieren kann. In der Regel ist pro Spieler nur ein Benutzerkonto erlaubt, so dass alle spiel- oder wettbezogenen Transaktionen genau einem Kunden zugeordnet werden können. Typische Angaben, die ein Kunde bei einem Registrierungsprozess machen muss, sind die folgenden: Name/Vorname Anschrift des Wohnortes (inkl. Land) Geburtsdatum Telefonummer -Adresse Die -Adresse ist bei Online-Spiel und -Wetten von zentraler Bedeutung, da im Internet die Kommunikation zwischen Geschäftspartnern in der Regel ausschließlich per abgewickelt wird. Allerdings ist die -Adresse kein eindeutiges Merkmal, da -Adressen wie im Abschnitt beschrieben nicht fälschungssicher sind. Ein zusätzliches Sicherheitsmerkmal neben dem Passwort ist bei Online-Spielen und -Wetten häufig die sog. Sicherheitsfrage. Dabei hinterlegt der Benutzer eine Frage, deren Antwort nur er kennt. Damit kann sich der Benutzer beim Verlust seines Passwortes gegenüber dem Anbieter identifizieren. Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 15 von 30

16 3.1.1 Prüfen der Stammdaten Ein Spieler kann beliebige Daten angeben, um sich als Benutzer eines Online-Angebotes zu registrieren. Einfach umzusetzende Überprüfungsmöglichkeiten im Rahmen der jeweiligen datenschutzrechtlichen Regelungen, z.b. ob Strasse, Ort, Postleitzahl und Telefonnummer zusammenpassen, können direkt bei Eingabe der Daten durchgeführt werden. Weitergehende und umfassende Überprüfungsmöglichkeiten bieten auf Identitätsüberprüfungen spezialisierte Unternehmen wie z.b. die GB Group 4 in Großbritannien oder auch 192.com. Unter dem Stichwort KYC ( Know your customer ) konsolidieren diese Anbieter Daten über Personen aus den verschiedensten Quellen in eine Datenbank. Durch Quer- und Logiküberprüfungen lässt sich die Identität von Personen sehr genau überprüfen. Die erste mögliche und grundlegendste Überprüfung ist die Korrektheit der vom Spieler angegebenen Adresse (Straße, Stadt, Postleitzahl). Stimmen diese Angaben nicht überein, gibt es also z.b. in der angegebenen Stadt die betreffende Straße nicht, handelt es sich um eine falsche, mindestens aber fehlerhafte Angabe. Nach der Überprüfung der Adresse können über entsprechende Dienstleister weitere Überprüfungen durchgeführt werden. Über eine Datenbank wie die der GB Group lässt sich verifizieren, ob eine Person auch tatsächlich an der von ihr angegebenen Adresse wohnt. Diese Aussage ist mit einer recht hohen Wahrscheinlichkeit möglich, da sich die Datenbank der in diesem Fall exemplarisch genannten GB Group, vergleichbar mit den Datenbanken von Unternehmen wie Creditreform 5, Schufa 6 oder Bürgel 7, aus unterschiedlichen und unabhängigen Quellen speist, die einen gegenseitigen Abgleich ermöglichen und so eine hohe Trefferquote erlauben. Mögliche Datenquellen, die in solchen Datenbanken für Überprüfungen herangezogen werden, sind Angaben über Bankverbindungen, Kreditkarten, Geburtsdatum, Gesetzesverstöße, Geschäftsbeziehungen, Kredite, etc. Damit lässt sich mitunter nicht nur feststellen, ob eine Person an der von ihr angegebenen Adresse tatsächlich wohnhaft ist, sondern auch, ob die von ihr angebene Bankverbindung oder Kreditkarte zu ihr gehört und auch für die angegebene Adresse registriert ist, ob das angegebene Alter korrekt ist und ob Auffälligkeiten zu dieser Person bekannt sind. Die elektronische Verarbeitung der Daten bei Online-Spielen und -Wetten in Echtzeit erlaubt vorstehend beschriebene Prüfung umgehend nach der Eingabe der Daten durch einen Spieler. Falsche Angaben können somit erkannt werden, bevor ein Spieler die Möglichkeit der unbefugten Nutzung von Diensten oder des Betruges hat. Regelmäßige Prüfungen der Daten der bereits registrierten Spieler können auch im Nachhinein aufgetretene Unregelmäßigkeiten oder Auffälligkeiten zu Tage fördern und ermöglichen somit eine umfassende und wirksame Kontrolle aller Spieler. Legt es ein Spieler darauf an, falsche Daten anzugeben, kann er dies tun, aber diese Daten werden erst durch eine nachgelagerte Überprüfung als falsch identifiziert. Für die Überprüfung der vom Spieler bei einer Registrierung angegebenen -Adresse wird häufig im Anschluss an die Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 16 von 30

17 Registrierung eine vom Anbieter an diese -Adresse geschickt, in der sich ein vom Spieler zu aktivierender Hyperlink befindet. Auf diese Weise kann zumindest die Echtheit der angegebenen -Adresse verifiziert werden. Dazu ist zu beachten, dass eine -Adresse als Identifikationsmerkmal nicht zuverlässig ist. Bei Anbietern kostenloser -Dienste wie z.b. GMX, Yahoo, Google, Hotmail, etc., ist es möglich, -Konten mit falschen Daten einzurichten. Auf diese Weise kann ein Spieler, der seine Identität nicht preisgeben möchte, ein -Konto mit falschen Angaben eröffnen und dieses anschließend für die Eröffnung eines Benutzerkontos mit ebenfalls falschen Daten verwenden. Die verwendete - Adresse ist bei diesem Vorgehen voll funktionstüchtig, so dass die Prüfung auf Gültigkeit der - Adresse erfolgreich verläuft. Verwendet ein Spieler für alle Aktionen im Internet einen Anonymisierungsdienst wie z.b. JAP, kann seine Identität beim - und Spiele-Anbieter auch nicht über die IP-Verbindung festgestellt werden Missbrauch und Datenschutz Die Kombination aus Benutzername, Passwort und Sicherheitsfrage stellt eine ausschließliche Authentifizierung über Wissen dar. Diese Art der Authentifizierung kann von unbefugten Dritten missbraucht werden, z.b. über das Erraten oder Ausspähen dieser Anmeldeparameter. Eine Möglichkeit zum Sichern von Anmeldedaten besteht darin, den Faktor Wissen zusätzlich um den Faktor Besitz zu erweitern. Dies kann in Form von Tokens, Mobiltelefonen oder sog. Unique Hardware Devices (UHD) realisisert werden. Ein gängiges Beispiel für Transaktionen mittels Wissen und Besitz ist Online-Banking mit SMS-Versand für TAN-Nummern. Dabei benötigt der Benutzer seine aus Benutzername und Passwort bestehenden Anmeldedaten für die Anmeldung an das Online-Banking. Sobald er eine Transaktion durchführen möchte, sendet die Bank eine SMS mit der für die Transaktionen gültigen TAN an das Mobiltelefon des Benutzers. Auf diese Weise ist sichergestellt, dass nur jemand, der die gültigen Anmeldedaten kennt und im Besitz des für den TAN-Versand definierten Mobiltelefons ist, Transaktionen durchführen darf. UHD kommen in verschiedenen Formen vor. In allen Fällen ist die Frage der Sicherheit gegen die der Bequemlichkeit abzuwägen. Ein UHD, das an einen bestimmten Computer gekoppelt ist, würde verhindern, dass ein Spieler auch von anderen Geräten aus im Internet spielen oder wetten kann. UHD in Form von Token, wie z.b. das RSA SecurID-Token 8, sind portabel, können überall genutzt werden und verhindern die missbräuchliche Benutzung von Spielerkonten durch Unbefugte, die sich in den Besitz der Anmeldedaten gebracht haben. Zu einer Identifizierung von Spielern hingegen tragen Token und UHD hingegen nicht bei Micro Deposit Eine Möglichkeit zur Verifizierung der Korrektheit einer von einem Spieler angegebenen Bankverbindung sind sog. Micro Deposits. Dabei überweist der Anbieter auf die vom Spieler 8 Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 17 von 30

18 angegebene Bankverbindung einen Kleinstbetrag und vermerkt im Verwendungszweck der Überweisung eine eindeutige Kennung, die der Spieler zur Aktivierung seines Kontos online eingeben muss. Auf diese Weise lässt sich überprüfen, dass der betreffende Spieler Zugriff auf die Kontoauszüge der Bankverbindung hat. 3.2 Prüfen der Spiel- und Wettvorgänge Auffälliges Verhalten wie z.b. ungewöhnlich hohe Wetteinsätze, auffällig hohe Einzahlungen können automatisiert erkannt und in einem nachgelagerten Verfahren eingehend analysiert werden. Durch die eindeutige Zuordnung von Einzahlungen zu Spielerkonten lässt sich sehr einfach überwachen, wieviel Geld ein Spieler einzahlt und ausgezahlt bekommt. Abweichungen von Durchschnittswerten können umgehend erkannt werden. Im Zusammenhang mit Spielsucht lässt sich auffälliges häufiges oder langes Spielen von Spielern ebenso erkennen und die betreffenden Spielkonten sperren. Um Spieloder Wettbetrug zu erkennen und zu verhindern lassen sich Wett- und Spielverläufe automatisiert auf aufällige Muster untersuchen, so dass der Betreiber eingreifen kann. Auch ist die bloße Analyse der Spielzeit ein wichtiger Hinweis auf die Gefährung eines Spielers durch Spielsucht. Diese Punkte stehen im Kontrast zu den Kontroll- und Eingriffsmöglichkeiten bei einem realen Spielcasino, bzw. einer Spielhalle oder Wettbüro, wo durch die fehlende elektronische Verarbeitung der Daten und die nicht oder nur rudimentär vorhandene Zuordnung von Personen zu Transaktionen solche Kontrollmöglichkeiten nicht vorhanden sind. Ab der erstmaligen Registrierung kann bei allen nachfolgenden Logins jede einzelne Aktivität eines Kunden aufgezeichnet und gespeichert (geloggt) werden. Derart können neben bevorzugten Einstellungen, wie zum Beispiel der Sprache, auch die favorisierten Spiel- (z. B. Sportwetten), aber auch Sportarten (z. B. Fußball, vornehmlich Deutschland) geloggt werden. Zusätzlich werden auch jegliche Änderungen der Benutzerdaten gespeichert, sofern diese überhaupt zulässig sind. Eine nachträgliche Änderung des Namens ist zum Beispiel nicht erlaubt, es sei denn, es kann mittels offizieller Dokumente belegt werden, dass sich der Name, etwa im Zuge einer Hochzeit, geändert hat. Im Laufe der Zeit entstehen auf die Weise Kundenprofile, die Aussagen über das Spielverhalten der einzelnen Kunden zulassen. Die Aufzeichnung dieser Spielaktivitäten erlaubt nicht nur, Schlüsse über das Kundenverhalten anzustellen, sondern unterstützt den Anbieter auch dabei, auffälliges, von der Norm abweichendes Spielverhalten zu registrieren und entsprechende Verifikationsprozesse einzuleiten. Abweichendem Spielverhalten können verschiedene Ursachen zugrunde liegen. Einerseits kann problematisches Spielverhalten sich beispielsweise durch längere und intensivere Spielaktivitäten erkennen lassen. Andererseits kann Wettbetrug mittels auffällig hoher Spieleinsätze auf prädestinierte Sportarten oder Geldwäsche dank ungewöhnlicher Transaktionen eruiert werden. Zu den geloggten Daten zählen unter anderem: Zeitpunkt des Logins und des Logouts (Zeitspanne dazwischen ergibt die Spieldauer), Zeitpunkt und Art der abgegebenen Wetten, Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 18 von 30

19 Zeitpunkt und Art der gespielten Hände im Fall von Poker oder anderen virtuellen Kartenspielen, Zeitpunkt und Spielverlauf anderer virtueller Spiele, Gewählte Sprache. Dank dieser geloggten Daten kann beispielsweise im Nachhinein im Streitfall genau nachvollzogen werden, welcher Spieler zuerst welches Blatt ausgespielt hat oder wann ein Wetter eine Wette abgegeben hat (z. B. fünf Minuten, bevor das entscheidende Tor gefallen ist oder fünf Tage vor dem Match). 3.3 Finanzielle Transaktionen Für das Verwenden von Online-Spielen und Online-Wetten sind finanzielle Transaktionen notwendig, um Einsätze und Gewinne zwischen Spieler und Anbieter transferieren zu können. Die Einzahlung von Guthaben vom Spieler zum Anbieter kann über verschiedene Wege laufen. Gängige Verfahren hierfür sind die Verwendung einer Kreditkarte, Bankeinzug, Überweisung, Paypal 9, Click&Buy 10, etc. All diesen Verfahren ist gemeinsam, dass eine Person sie nur nach einer Identifizierung durch den jeweiligen Zahlungsanbieter nutzen kann. Es ist auf legalem Weg nicht möglich, sich mit einer falschen Identität eine Kreditkarte oder Bankverbindung zu verschaffen. Daher ist die Angabe einer dieser Zahlungsmöglichkeiten bei der Einrichtung eines Benutzerkontos für Online-Spiele oder Online- Wetten eine durch den Anbieter überprüfbare Angabe, lässt sich direkt in Zusammenhang mit weiteren Angaben des Spielers (Name, Adresse, etc.) in Verbindung setzen und erlaubt so eine direkte Prüfung der Angaben. Selbst wenn die neben den Zahlungsdaten angegebenen Daten nicht korrekt sind, kann der Anbieter durch eine Überprüfung der Zahlungsdaten den Spieler identifizieren. Neben der erhöhten Sicherheit für Anbieter, Zahlungs- und Adressdaten über Geolokalisation zu korrelieren, können Anbieter diese Informationen überdies nutzen, um Kunden über mögliche Fälle von Identitätsdiebstahl zu unterrichten. Der Großteil der von Identitätsdiebstahl Betroffenen bemerkt diesen Umstand erst mit großer Verzögerung. Stellt ein Anbieter fest, dass aufgrund seiner Sicherheitschecks ein Kunde möglicherweise Opfer von Identitätsdiebstahl geworden ist, z.b. durch die unbefugte Verwendung von Zahlungsmitteln, kann der Anbieter sowohl das Benutzerkonto des Betrügers sperren als auch den betroffenen Kunden darüber unterrichten. Dieses Vorgehen stellt einen großen Mehrwert für Kunden dar und kann diese dazu ermutigen, alle Angaben wahrheitsgemäß abzugeben, um die größtmögliche Sicherheit zu erhalten und von den Frühwarnmöglichkeiten des jeweiligen Anbieters zu profitieren. Neben den personalisierten Zahlungsmethoden existieren auch solche, die das Einzahlen von Beträgen ohne Überprüfung der Identität erlauben. Ein Beispiel hierfür ist die Paysafecard 11. Bei diesem Verfahren erwirbt eine Person an einer Verkaufsstelle einen PIN-Code, mit dem sich im Internet ein nicht personenbezogenes Guthaben freischalten lässt. Der Kauf kann bei der Verwendung von Bargeld anonym ablaufen. Erworben werden können die PIN-Codes z.b. in Drogeriemärkten, Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 19 von 30

20 Tankstellen und Supermärkten. Mit Hilfe dieser Zahlungsmöglichkeit kann ein Spieler anonym Geld auf ein Spiel- oder Wettkonto einzahlen. Essentiell an Online-Spielen und Online-Wetten sind die potentiellen Gewinnmöglichkeiten. Das Auszahlen von erhaltenen Gewinnen aus Online-Spielen und Online-Wetten ist nur durch Angabe einer gültigen Bankverbindung und je nach Anbieter nach separater Prüfung der Spieler-Identität, z.b. durch Einsenden einer Ausweis-Kopie, möglich. Selbst wenn ein Spieler sich also mit nicht korrekten Daten anmeldet und über ein Verfahren wie Paysafecard anonym Geld einzahlt, muss er zur Auszahlung von Gewinnen seine wahre Identität preisgeben anonymes Spielen ist damit zwar möglich, führt aber in keinem Fall zu einem finanziellen Gewinn, was es für Spielsüchtige und Spieler mit Betrugsabsichten unattraktiv macht. Im Zusammenhang mit der Gefahr des Identitätsdiebstahls ist zu bemerken, dass Anbieter im Rahmen von Anti-Geldwäschemaßnahmen Ein- und Auszahlungen nur auf Konten oder Kreditkarten zulassen, die dem Land zugeordnet sind, in dem der Spieler registiert ist. Ein deutscher Spieler kann also nur deutsche Bankverbindungen oder deutsche Kreditkarten verwenden. Generell gilt für Anbieter von Online-Spielen und -Wetten die Richtlinie 2005/60/EG des europäischen Parlaments und des Rates vom 26. Oktober 2005 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung. Zur Erfüllung dieser Richtlinie müssen Anbieter umfassende Maßnahmen durchführen, um Auffälligkeiten bei finanziellen Transaktionen entdecken, unterbinden und ggf. an Strafverfolgungsbehörden weiterleiten zu können. Dies umfasst beispielsweise den regelmäßigen Abgleich mit Terrorismusdatenbanken (z.b. UrU 12 der GB Group) und die Überwachung ungewöhnlicher, von der Norm und vom üblichen Spielverhalten des jeweiligen Spielers abweichende Aktivitäten und Transaktionen. Von der Norm abweichende Aktivitäten sind beispielsweise ungewöhnlich hohe Einzahlungen und Einsätze, Einzahlungen, die ohne Spielen oder Wetten wieder ausgezahlt werden sollen und der Wechsel der Ein- oder Auszahlungsmittel. Auch sind regelmäßig AGB-widrige Praktiken wie die Nutzung mehrerer Konten durch einen Spieler oder die Verwendung von einem Konto durch mehrere Spieler auffällig. Vom üblichen Spielverhalten eines einzelnen Spielers abweichende Aktivitäten sind z.b. das plötzliche Erhöhen von Einsätzen über das bisher von diesem Spieler verwendete Maß oder ein plötzlicher Wechsel von Spielen oder Wetten mit einer einhergehenden Änderung der Einsatzhöhe. Sowohl Spiele und Wetten selber als auch die Verarbeitung aller Stamm- und Bewegungsdaten erfolgen bei Online-Angeboten systembedingt elektronisch und erlaubt daher die umgehende Verarbeitung im Hinblick auf Auffälligkeiten. Anbieter von Online-Spielen und Online-Wetten können daher das Spielverhalten ihrer Kunden durch die bei Spielen und Wetten anfallenden Daten automatisiert und effizient auf Auffälligkeiten untersuchen und auf diese Weise auffällige Spieler identifizieren. Durch geeignete Quer- und Logikprüfungen der Stammdaten lassen sich falsche Angaben finden, durch stochastische Untersuchungen von Spiel- und Wettverhalten können Rückschlüsse auf einzelne Spieler gezogen werden Bericht Nr.: Dieses Dokument darf nicht auszugsweise vervielfältigt werden. Seite 20 von 30