Die Berliner Hackerin und Cybersecurity-Forscherin Lilith Wittmann (30) hat sich öffentlich zu einem weitreichenden Hack der Curaçao Gaming Authority (CGA) bekannt.
Nach eigenen Angaben hatte sie gemeinsam mit Mitstreitern seit Dezember 2025 Zugriff auf interne Systeme der Aufsichtsbehörde, ohne dass deren Mitarbeitende davon wussten.
Auf ihrer eigenen Website schrieb sie, sie habe live mitverfolgen können, wem illegale Online-Casinos gehören, wer sie finanziert und was die Behörde über deren Geschäfte wusste.
Wittmann gibt sich als Stiftung aus und erbeutet zahlreiche Daten
Für den Zugang registrierte sich Wittmann im Lizenzportal der CGA unter dem Namen eines der Behörde bereits bekannten Treuhand-Managers, verwendete dabei aber ihre eigene Gmail-Adresse und gab vor, für die fiktive „DreamCatcher Private Foundation“ zu handeln.
Innerhalb weniger Tage erhielt sie Zugang zum Portal. Anschließend soll sie über eine Sicherheitslücke und eingeschleuste Software die volle Kontrolle über das Lizenzierungssystem erlangt haben.
In Zusammenarbeit mit Medien aus fünf Ländern, darunter der NDR aus Deutschland, sowie dem niederländischen Rechercheportal Follow the Money (FTM), veröffentlichte Wittmann unter dem Hashtag #casinosecrets erste Erkenntnisse.
Die erbeuteten Dokumente umfassen Lizenzanträge, behördliche Bewertungen, Pässe, Steuerunterlagen und Finanzinformationen zu schätzungsweise 800 Eigentümern von knapp 650 lizenzierten Glücksspielfirmen.
Zweifelhafte Eigentümerstrukturen bei Stake und 1xBet
Im Fokus stehen auch international sehr bekannte Anbieter wie Stake und 1xBet, die in Deutschland in Konkurrenz zu legalen Online Spielotheken stehen und diesen wichtige, regulierte Marktanteile nehmen.
Offiziell wird Stakes Curaçao-Gesellschaft Medium Rare NV vom Serben Mladen Vuković gehalten, der 2024 ein Vermögen von über einer Milliarde Dollar deklarierte. CGA-Prüfer selbst bezweifelten laut den Leaks jedoch, dass er tatsächlich alleiniger Eigentümer ist. Sie stießen auf Zahlungen in Millionenhöhe an Personen und Firmen, die mit den bekannten Stake-Gründern Ed Craven und Bijan Tehrani verbunden sind.
Bei 1xBet wird der Ukrainer Ihor Hniedash als Eigentümer der Firma Caecus NV geführt. Die öffentlich bekannten russischen Gründer Roman Semjochin, Dmitri Kasorin und der 2023 verstorbene Sergej Karschkow tauchen im Lizenzantrag nicht auf. CGA-Mitarbeitende vermuteten mehrere Eigentümer hinter dem Konstrukt und forderten Aufklärung. Sie erteilten die Lizenz 2024 aber dennoch.
Weitere Enthüllungen angekündigt
Wittmann kündigte zudem Enthüllungen zu Platin Casino, nach ihrer Darstellung „Deutschlands größtem illegalen Casino“, sowie zu einer angeblichen 250-Millionen-Euro-Steuerlücke an.
Zudem soll es wichtige Erkenntnisse rund um den Casino-Software-Anbieter SoftSwiss geben, der die Infrastruktur für zahlreiche illegale Online Casinos liefern soll.
Die CGA bestätigte derweil den Vorfall und erklärte, die forensische Untersuchung laufe noch. Wittmann ist zudem bereits in einen Rechtsstreit mit der maltesischen Glücksspielaufsicht MGA verwickelt, die nach einem früheren Hack eine einstweilige Verfügung gegen sie erwirkt hat.
