SSL-Verschlüsselung im Online Casino
SSL-Verschlüsselung bezeichnet das Verfahren, mit dem Daten zwischen Ihrem Browser oder Ihrer App und dem Server eines Casinos so verschlüsselt werden, dass Dritte unterwegs weder Passwörter noch Kartendaten mitlesen können. Technisch läuft das heute fast immer über TLS, den Nachfolger von SSL, der Name hat sich aber gehalten. Erkennbar ist die Verbindung an der Adresse mit https:// und am Schloss-Symbol. Was dieses Schloss garantiert und was nicht, ist der eigentliche Punkt dieses Eintrags.
Wie die SSL-Verschlüsselung technisch funktioniert
Beim Aufbau einer Verbindung schickt der Server zuerst ein Zertifikat, das eine Zertifizierungsstelle ausgestellt hat. Ihr Browser prüft, ob dieses Zertifikat gültig ist und zur aufgerufenen Domain passt. Erst danach handeln beide Seiten einen gemeinsamen Sitzungsschlüssel aus, mit dem der gesamte weitere Datenverkehr verschlüsselt wird.
Dieser Ablauf heißt Handshake und dauert in der Praxis nur Bruchteile einer Sekunde.
Wichtig ist der Begriff selbst: SSL ist eigentlich veraltet. Die letzte Version, SSL 3.0, darf laut RFC 7568 aus dem Jahr 2015 nicht mehr verwendet werden, weil sie als nicht ausreichend sicher gilt. Was heute im Hintergrund läuft, ist Transport Layer Security, kurz TLS, in den Versionen 1.2 oder 1.3. Casinos, Banken und Zahlungsanbieter schreiben trotzdem weiterhin „SSL“, weil sich das Wort bei Kundinnen und Kunden eingeprägt hat. Wenn eine Seite mit „256-Bit-SSL“ wirbt, meint sie also in aller Regel eine TLS-Verbindung mit einem bestimmten Verschlüsselungsverfahren.
Wo Ihnen SSL im Casino-Alltag begegnet
Am deutlichsten merken Sie die Verschlüsselung dort, wo heikle Daten fließen: beim Login, bei der Eingabe von Kreditkarten- oder Debitkartendaten und beim Hochladen von Ausweisdokumenten für die KYC-Prüfung vor der Auszahlung. Gerade ein Scan Ihres Reisepasses hat auf einer unverschlüsselten Verbindung nichts verloren.
Für Kartenzahlungen gibt es eine klare Vorgabe aus der Branche. Der Datensicherheitsstandard PCI DSS verlangte, dass Händler SSL und frühe TLS-Versionen bis zum 30. Juni 2018 abschalten und mindestens TLS 1.1 einsetzen, wobei TLS 1.2 ausdrücklich empfohlen wurde. Ein Casino, das Kartendaten selbst entgegennimmt, muss sich an diesen Standard halten, viele lagern die Eingabe deshalb gleich an einen Zahlungsdienstleister aus.
Bei eps-Überweisung, PayPal oder paysafecard verlassen Sie die Casino-Seite meist kurz und landen auf der Seite Ihrer Bank oder des Anbieters. Dort gilt dann deren Zertifikat, nicht mehr das des Casinos, und genau an dieser Stelle lohnt ein Blick in die Adresszeile. Was ich zuerst prüfe, ist, ob die angezeigte Domain wirklich zur Bank oder zu PayPal gehört und nicht nur ähnlich klingt.
Mobil gilt dasselbe, auch wenn eine App die Adresszeile nicht anzeigt.
SSL- und TLS-Versionen und ihr heutiger Status
Die folgende Übersicht zeigt, welche Protokollversionen es gibt und welchen Status ihnen die IETF in ihren RFC-Dokumenten zuweist. Jahreszahlen und Status stammen aus den jeweiligen RFCs.
| Protokoll | Veröffentlicht | Status |
|---|---|---|
| SSL 3.0 | 1996 | Verboten seit RFC 7568 (2015) |
| TLS 1.0 und 1.1 | 1999 bzw. 2006 | Abgekündigt durch RFC 8996 (2021) |
| TLS 1.2 | 2008 (RFC 5246) | Zulässig, weit verbreitet |
| TLS 1.3 | 2018 (RFC 8446) | Aktuelle Version |
Was das Schloss-Symbol nicht beweist
Die häufigste Verwechslung: Viele Leserinnen und Leser halten das Schloss für ein Gütesiegel des Casinos. Das ist es nicht. Ein Zertifikat bestätigt in seiner einfachsten Form nur, dass der Betreiber die Kontrolle über die Domain hat, und sagt nichts über Lizenz, Seriosität oder Zahlungsmoral.
Auch eine betrügerische Seite kann eine einwandfrei verschlüsselte Verbindung haben.
Ebenso wenig hat SSL mit Spielfairness zu tun. Ob ein Slot die angegebene RTP tatsächlich einhält, prüfen Testlabore und Aufsichtsbehörden, nicht das Verschlüsselungsprotokoll. Und schneller wird Ihre Auszahlung dadurch auch nicht: Sie hängt typischerweise an der KYC-Prüfung, an offenen Wagering-Bedingungen oder an der Bearbeitungszeit der Zahlungsmethode, egal wie modern die Verbindung verschlüsselt ist.
Klicken Sie auf das Schloss, sehen Sie den Inhaber der Domain und die ausstellende Stelle. Stimmt die Domain nicht mit der Casino-Marke überein oder meldet der Browser ein abgelaufenes Zertifikat, brechen Sie die Einzahlung ab. Eine fehlende Verschlüsselung ist ein klares Ausschlusskriterium, eine vorhandene dagegen nur die Mindestanforderung, ab der man überhaupt weiterliest.
