Wir haben Curacaos neues Lizenzportal getestet: Zugang gibt es nur noch mit Einladung

Was wir am 21. Oktober gesehen haben

Wir haben die Adresse des Portals, portal.cga.cw, am 21. Oktober 2026 um 21:13 Uhr aufgerufen. Sie leitete uns direkt auf eine Anmeldeseite mit der Überschrift „Sign in to the CGA Licensing Portal“, die sich an Antragsteller und Lizenznehmer der Curacao Gaming Authority richtet. ^[1]

Die Seite bietet zwei Wege hinein:

• Sign in with Microsoft, mit dem Microsoft-Konto der E-Mail-Adresse, die die Behörde eingeladen hat
• I have an invitation code, für alle, die von der CGA einen Einladungscode bekommen haben

Es gibt kein Formular zur Registrierung, kein Menü und keine öffentlichen Informationen auf der Seite, nur die beiden Anmeldewege, einen Kontaktlink und einen Datenschutzhinweis. Anmelden haben wir uns nicht, denn das können nur Antragsteller und Lizenznehmer mit Einladung.

Die Lizenzzertifikate funktionieren weiterhin. Wir haben das Zertifikat der Lizenz CGA/2025/2375/1259 geöffnet, und cert.cga.cw zeigte den Lizenznehmer, die genehmigten Domains und den Status „Active“. ^[8]

Im alten Portal konnte sich jeder registrieren

Der Unterschied zum alten System ist der Kern der Umstellung. Am 13. September 2026, wenige Tage bevor der Vorfall bekannt wurde, war portal.cga.cw ein offenes „License Management Portal“ mit einem Menü für Veröffentlichungen, häufige Fragen und Lizenzen und zwei Buttons: Login und Register. ^[7]

Über diese offene Registrierung kam es zum Datenleak. Nach Angaben der CGA gelangte die Forscherin über den Kundenbereich des Portals hinein, mit einem Konto, das im Dezember 2025 unter falscher Identität angelegt wurde: mit einer Abwandlung des Namens einer realen Person und einer bestehenden Firma aus dem Handelsregister von Curacao. Der Zugriff dauerte von Dezember 2025 bis September 2026. ^[6]

^[1][2][6][7]

Vom Hack zum neuen Portal in fünf Wochen

• 17. September: Die CGA meldet einen unbefugten Zugriff auf ihr Online-Portal und teilt mit, dass der Zugriff gestoppt ist. ^[5]
• 22. September: Die CGA bestätigt, dass die Angaben einer deutschen Sicherheitsforscherin zu ihren eigenen Ermittlungen passen. ^[6]
• 2. Oktober: Das Portal ist offline. Betreiber sollen Unterlagen für das Portal nicht per E-Mail schicken, und Fristen werden verschoben, bis das Portal wieder verfügbar ist. ^[4]
• 7. Oktober: Die CGA kündigt an, dass ihr bisheriges Online-Portal „nicht wieder in Betrieb genommen wird“ und die Verträge über die Dienste dahinter beendet sind. Sie warnt außerdem, dass das digitale Lizenzsiegel betroffen ist. Bestehende Lizenzen bleiben gültig. ^[3]
• 19. Oktober: In einer Pressemitteilung schreibt die CGA, dass das Übergangsportal am selben Tag starten soll. Das Lizenzregister und das System für das digitale Lizenzsiegel sollen gleichzeitig zurückkommen. ^[2]

In der Pressemitteilung vom 19. Oktober schreibt die CGA außerdem, dass sie den Vorfall bei Behörden in Curacao, Deutschland und den Niederlanden angezeigt hat, Fachfirmen damit beauftragt hat, die geleakten Informationen aus dem Internet entfernen zu lassen, eine unabhängige technische Untersuchung in Auftrag gegeben hat und eine Zivilklage prüft. ^[2]

Was noch offen ist

Das Übergangsportal ist eine Notlösung. Die CGA bereitet nach eigenen Angaben ein neues Portal vor, das sie selbst entwickeln und betreiben will, statt wie nach der Reform 2024 auf ein externes Unternehmen angewiesen zu sein. Wann es fertig ist, hat die CGA nicht gesagt. ^[2]

„Das Übergangsportal muss sorgfältig vorbereitet werden, bevor es genutzt werden kann“, schrieb die CGA am 19. Oktober. Das interne System, das digitale Lizenzsiegel und das Lizenzregister seien demnach bereit für Sicherheitsprüfungen durch unabhängige Fachleute, während das Kundenportal noch angepasst werde und erst danach geprüft werden sollte. ^[2] Am 21. Oktober stand auf der Startseite der CGA weiterhin, das Portal werde am 19. Oktober „starten“, und eine Bestätigung des Starts hatte die CGA nicht veröffentlicht. ^[1]

Wie viele Daten abgeflossen sind, ist ebenfalls nicht geklärt. Die CGA schreibt, sie werde „keine Zahlen wiederholen, die sie nicht überprüfen kann“, und erst dann sagen, was abgeflossen ist, wenn die Untersuchung das stützt. ^[6] Die Dokumente selbst hat das Medienbündnis hinter CasinoSecrets veröffentlicht, der Recherche dazu, wem Curacaos Online Casinos gehören.

Was das für dich als Spieler bedeutet

Für dein Konto in einem Casino mit Curacao-Lizenz ändert sich nichts. „Die Schließung des bisherigen Portals macht bestehende Lizenzen nicht ungültig“, schrieb die CGA am 19. Oktober, und dasselbe sagt sie, seit das Portal offline ging. ^[2][3][4]

Wichtig für dich ist die Lizenzprüfung. Am 7. Oktober warnte die CGA, dass das digitale Lizenzsiegel betroffen sein werde, und kündigte einen anderen Weg an, mit dem Betreiber zeigen können, dass eine Domain lizenziert ist. ^[3] Am 21. Oktober ließen sich die Zertifikate hinter dem Siegel ganz normal öffnen. Klick auf das Lizenzsiegel im Footer des Casinos: Es sollte ein Zertifikat auf cert.cga.cw öffnen, in dem genau die Domain steht, auf der du gerade bist. In unserem Artikel zur Lizenz für dbdbet.com und hi5win.com gehen wir die Prüfung Schritt für Schritt durch. Wenn du Online Casinos ohne Limit vergleichst, mach die Prüfung vor deiner ersten Einzahlung. ^[8]