Lotterie & Online-Glückspiel

Die Lotterie- und Glücksspielbranche braucht Hardware-basierte Sicherheit

Digitalisierung erfordert verstärkte Sicherheitsmaßnahmen wie HSM

Die Lotterie- und Glücksspielbranche durchläuft, wie andere Branchen, in den letzten 2 Jahrzehnten einen starken Wandel. Die kontinuierliche Digitalisierung des Marktes bietet neue Möglichkeiten für Firmen und Spieler:

• schnellere Marktreife,
• breitere Zielgruppen,
• Zugriff jederzeit und von jedem Ort,
• gesteigerte Effizienz und Transparenz,
• Vereinfachung von Audits.

Einfach nur Online-Dienste anzubieten, ist nicht mehr zeitgemäß. Die Spieler von heute wollen sicheren und einfach verfügbaren mobilen Zugriff auf ihre Konten, jederzeit und mit jedem Gerät.
Utimaco bietet manipulationssichere Hardware-Sicherheitsmodule (HSM) mit FIPS 140-2 Level 3- und 4-Zertifizierungen an. Sie bilden den Vertrauensanker für zahlreiche Anwendungen in der Lotterie- und Glücksspielbranche.

Vorschriften und Standards im Kampf gegen Betrug und Manipulation

Betrug und Manipulation gibt es schon genau so lange wie die ersten Kasinos. Die Digitalisierung bietet Hackern und Cyberkriminellen allerdings neue und ausgefeiltere Angriffsvektoren – das Sicherheitsrisiko steigt. Das Image und der Erfolg einer Firma hängt stark davon ab, Risiken wie Betrug und Manipulation, Diebstahl von persönlichen Daten, Account- oder Zahlenkarteninformation sowie Insider-Bedrohungen zu minimieren. Der Markt wurde in den letzten Jahren stark reguliert, auch in Bezug auf die IT-Sicherheit. Regulierungsbehörden und andere Interessengruppen haben nationalen und internationalen Standards den Weg geebnet, die sensible und geschäftskritische Daten schützen. Hier zwei Beispiele für geltende Vorschriften:

• Datenschutzgesetze wie der US Data Protection Act oder die EU Datenschutz-Grundverordnung (GDPR/DSGVO) sollen die persönlichen Daten von Einzelpersonen schützen. Sie gelten für alle Branchen, einschließlich der Lotterie- und Glücksspielbranche.
• Viele Lotterie- und Glücksspielbetreiber und -Plattformen benötigen für die Teilnahme die Zahlungskartendaten ihrer Kunden. Hier findet der Payment Card Industry Data Security Standard (PCI DSS) Er schreibt vor, dass Zahlungskartendaten immer geschützt sein müssen – während ihrer Verwendung, Übermittlung sowie nach der Speicherung.

Sicherheit durch Papierdokumente ist keine tragfähige Option mehr!

Lange Zeit hat sich die Lotterie- und Glücksspielbranche dagegen gewehrt, auf elektronische Dokumente und Systeme umzustellen. Denn ein Zugriff auf letztere ist einfacher. Zudem sind sie leichter zu manipulieren. Das ist heute undenkbar: Produkte und Services online anzubieten ist inzwischen auch in dieser Branche selbstverständlich.

Das muss die IT- und Sicherheitsstruktur berücksichtigen und entsprechende Mechanismen zur Verfügung stellen:

• Eine Benutzerauthentifizierung, um auf ein Konto zugreifen zu können, basiert auf einer eindeutigen Kennung (ID) des einzelnen Nutzers. Die Nutzer-ID kann als Teil einer Public-Key- Infrastruktur erstellt werden, die für jeden Anwender eine digitale Identität bereitstellt. Die dazugehörigen kryptographischen Schlüssel sind maximal sicher in einem Hardware-Sicherheitsmodul gespeichert. Zwei-Faktor-Authentifizierung und starke Passwörter (Einmal-Passwörter oder engl. one-time passwords, OTP) sorgen zusätzlich für sicheren Zugang zum Benutzerkonto.
• Die Erzeugung echter Zufallszahlen ist Grundvoraussetzung, um einerseits kryptographische Schlüssel für Verschlüsselung, Authentifizierung und Signatur zu erzeugen. Andererseits ist sie notwendig, um die erforderliche Zufälligkeit und die Entropie für den Betrieb von Online-Lotterie und -Spielen zu gewährleisten.
• Die digitale Signatur von Dokumenten und Transaktionen identifiziert den Autor und weist die Authentizität des Inhalts nach. Ein digital unterschriebener Zeitstempel belegt die Gültigkeit und die chronologische Abfolge.
• Das Erstellen manipulationssicherer Zeitstempel ist z. B. wichtig für die Ausgabe von Lotterie- oder Sport-Wettscheine. Spieler wetten auf ein zukünftiges Ereignis, d.h. sie geben ihren Tipp ab, bevor das Ereignis stattfindet. Der Zeitstempel beweist, dass der Wettschein des Spielers vor der Lottoziehung oder dem Ende des Fußballspiels ausgegeben wurde. Zurückdatieren oder Protokolle verändern ist mit sicheren und überprüfbaren Zeitstempeln nicht möglich. Die Europäische eIDAS-Verordnung nennt zahlreiche Anforderungen an Zeitstempel-Services.
• Datenbankverschlüsselung stellt sicher, dass nicht autorisierte Personen niemals auf Kunden, Konto- und Transaktionsdaten in Klartext (unverschlüsselt) während und nach der Speicherung zugreifen können. Die dazugehörigen Schlüssel werden in einem HSM sicher generiert und gespeichert und getrennt von den verschlüsselten Daten aufbewahrt. Weder nicht autorisierte Personen noch der Administrator selbst können darauf zugreifen.

Utimaco bietet manipulationssichere Hardware Sicherheitsmodule (HSMs) mit FIPS 140-2 Level 3 und 4-Zertifizierungen an. Sie bilden den Vertrauensanker für die hier genannten Anwendungen in der Lotterie- und Glücksspielbranche.

Haben sie noch Fragen? Benötigen Sie Unterstützung bei der Auswahl der passenden IT-Sicherheitslösung? Kontaktieren Sie uns über das Kontaktformular oder unter hsm@utimaco.com.