Zwei-Faktor-Schutz fürs Casinokonto einrichten

Ein Casinokonto ist mehr als ein Login für Slots und Live-Casino, denn dort liegen Ihr Guthaben und die Daten aus dem KYC-Prozess (Know Your Customer, die Identitätsprüfung des Anbieters). Wer Ihr Passwort kennt, kann im ungünstigen Fall Limits ändern oder eine Auszahlungsmethode austauschen, ohne dass Sie es rechtzeitig bemerken.

Genau an dieser Stelle setzt die zweite Stufe an. Neben dem Passwort, also etwas, das Sie wissen, verlangt das Casino einen Nachweis über etwas, das Sie besitzen – in der Praxis fast immer Ihr Handy. Das BSI empfiehlt, 2FA überall dort einzurichten, wo ein Dienst sie anbietet, und onlinesicherheit.gv.at betont, dass der zusätzliche Schritt über einen gesonderten Übertragungskanal laufen muss.

Ein gestohlenes Passwort allein öffnet ein so geschütztes Konto in der Regel nicht mehr.

Ob Ihr Casino 2FA überhaupt anbietet, ist keine Selbstverständlichkeit, und die Auswahl der Verfahren fällt oft schmal aus. Häufig stehen genau zwei Wege offen: ein Code per SMS oder eine Authenticator-App (ein Programm am Handy, das Einmalcodes erzeugt). Das BSI bewertet daneben auch Passkeys, die gängigen Phishing-Angriffen widerstehen, doch im Casinobereich sind sie in den meisten Fällen nicht verfügbar. Ein Werbebanner mit „höchster Sicherheit“ ersetzt deshalb keinen Blick ins Kontomenü, wo sich zeigt, was tatsächlich angeboten wird.

Bevor Sie beginnen, brauchen Sie ein Smartphone mit korrekt eingestellter Uhrzeit und, falls Sie den App-Weg wählen, eine Authenticator-App wie Google Authenticator oder Microsoft Authenticator. Die BSI-Bewertung nennt keine bestimmte App, sie beurteilt das zugrunde liegende Verfahren als solches.

Dieses Verfahren heißt TOTP (Time-based One-time Password, ein zeitbasiertes Einmalpasswort nach dem Standard RFC 6238). Die App berechnet aus einem geheimen Schlüssel und der aktuellen Uhrzeit einen meist sechsstelligen Code, der standardmäßig 30 Sekunden gilt. Weil Handy und Casino-Server den Code unabhängig voneinander berechnen, braucht die App dafür weder WLAN noch mobiles Netz.

Die Menüs heißen von Anbieter zu Anbieter anders, der Ablauf bleibt aber fast immer derselbe.

In mobilen Casino-Apps sitzt die Option häufig unter „Konto“ oder „Sicherheit“, in der Browser-Version manchmal unter „Profil“ oder „Einstellungen“. Finden Sie sie in keinem der Menüs, lohnt eine kurze Anfrage beim Support, weil manche Betreiber die Funktion erst auf Wunsch freischalten oder sie schlicht nicht anbieten.

Die meisten Schwierigkeiten mit 2FA entstehen nicht beim Einrichten, sondern Monate später, wenn das Handy kaputtgeht oder ausgetauscht wird. Das BSI weist ausdrücklich darauf hin, dass die Wiederherstellung meist vom Anbieter abhängt und nicht vom gewählten Verfahren.

Neues Handy, alte Codes

Übertragen Sie die Einträge der Authenticator-App, solange das alte Gerät noch funktioniert. Manche Apps bieten dafür einen Export oder eine verschlüsselte Cloud-Sicherung, andere verlangen, jedes Konto einzeln neu zu verknüpfen. Im zweiten Fall richten Sie 2FA im Casino mit dem neuen Gerät neu ein und löschen erst danach den alten Eintrag.

Ist das Handy bereits weg, bleiben Ihnen die Backup-Codes oder der Kundenservice.

Beim Weg über den Support müssen Sie damit rechnen, dass der Anbieter Ihre Identität erneut prüft, typischerweise mit Ausweiskopie oder Fragen zu Ihren letzten Einzahlungen. Das kostet Zeit, ist aber ein gutes Zeichen: Ein Casino, das 2FA nach einer einfachen E-Mail abschaltet, hebelt den eigenen Schutz aus. Das BSI nennt solche einstufigen Wiederherstellungswege kritisch, weil Angreifer genau dort ansetzen. Wer zwischen mehreren Anbietern wählt, darf diesen Punkt ruhig höher gewichten als die Zahl der Slots in der Lobby, denn zweitausend Spiele schützen kein einziges Guthaben.

Wenn der Code nicht akzeptiert wird

Ein häufiger Grund ist eine falsch gehende Uhr am Handy, weil TOTP-Codes von der genauen Zeit abhängen. Stellen Sie Datum und Uhrzeit auf automatisch und tippen Sie den Code erst ein, wenn die App einen frischen anzeigt.