Hyperino Login: Zugang, Sperren und Zwei-Faktor

Was beim Anmelden im Hintergrund abläuft

Ein Anmeldevorgang bei einem Veranstalter mit deutscher Erlaubnis besteht aus mehr als dem Vergleich zweier Zeichenketten. Nach der Eingabe folgt die Prüfung des Kontostatus, die Abfrage der bundesweiten Sperrdatei OASIS und der Abgleich mit der zentralen Erfassung LUGAS, über die der monatliche Einzahlungsrahmen von 1000 Euro je Person geführt wird.

Diese Kette erklärt zwei Beobachtungen, über die sich viele wundern. Erstens kann der Zugang verweigert werden, obwohl Benutzername und Kennwort stimmen — dann hat eine der nachgelagerten Abfragen widersprochen. Zweitens hängt am Anmeldevorgang eine Sitzung, die zentral bekannt ist; ein gleichzeitiges Spiel bei einem zweiten erlaubten Veranstalter ist deshalb nicht möglich, und eine Anmeldung dort schlägt fehl, solange die erste Sitzung offen ist.

Daraus folgt eine Gewohnheit: Wer eine Sitzung beendet, meldet sich ausdrücklich ab, statt nur das Fenster zu schließen. Eine offene Sitzung im Hintergrund erzeugt die Fehlermeldung, die nach einem technischen Defekt aussieht und keiner ist.

Zwei-Faktor-Schutz richtig einrichten

Ein Kennwort allein schützt ein Spielkonto schlecht, weil es gestohlen werden kann, ohne dass der Inhaber es merkt. Ein zweiter Faktor verlangt zusätzlich etwas, das nur physisch vorliegt: einen Einmalcode aus einer Anwendung auf dem Telefon oder, schwächer, eine Nachricht an eine Rufnummer.

Zwischen diesen beiden Wegen liegt ein echter Unterschied. Codes aus einer Anwendung entstehen auf dem Gerät selbst und laufen nach einer halben Minute ab. Codes per Kurznachricht wandern durch das Mobilfunknetz und sind angreifbar, wenn jemand eine Rufnummer auf eine neue Karte übertragen lässt. Wo beides angeboten wird, ist die Anwendung die bessere Wahl.

Zur Einrichtung gehören die Wiederherstellungscodes, und sie werden regelmäßig übersehen. Sie erscheinen ein einziges Mal, ersetzen den zweiten Faktor nach einem Geräteverlust und gehören deshalb nicht in dasselbe Gerät, sondern auf Papier.

1. In den Kontoeinstellungen den Abschnitt zur Anmeldesicherheit öffnen.
2. Verfahren mit Einmalcodes aus einer Anwendung wählen, nicht die Kurznachricht.
3. Angezeigten Schlüssel in die Anwendung übernehmen und den ersten Code bestätigen.
4. Wiederherstellungscodes notieren und getrennt vom Telefon aufbewahren.
5. Danach einmal abmelden und die Anmeldung mit zweitem Faktor durchspielen.
6. Geräteliste im Konto ansehen und unbekannte Einträge entfernen.

Zugang verweigert: die Gründe nach Häufigkeit

Die Fehlermeldung beim Anmelden ist meist allgemein gehalten, und das hat einen Grund: Ein Hinweis darauf, welcher Teil der Eingabe falsch war, würde einem Angreifer helfen. Für den rechtmäßigen Inhaber bedeutet es, dass er die Ursache selbst eingrenzen muss.

Hilfreich ist die Unterscheidung zwischen Eingabefehlern, Kontozuständen und Sperren. Eingabefehler erkennt man daran, dass ein zweiter Versuch mit sorgfältiger Eingabe hilft. Kontozustände bleiben über Tage gleich und ändern sich erst, wenn etwas erledigt wird. Sperren haben eine Laufzeit, die nicht verhandelbar ist, und dazu ist auch nichts zu empfehlen: Eine bundesweite Sperre lässt sich nicht umgehen, und wir beschreiben auch keinen Weg dazu.

Drei Arten von Sperren und ihre Reichweite

Die Begriffe werden durcheinander verwendet, obwohl sich die Wirkung stark unterscheidet. Eine Spielpause richtet man im Konto selbst ein; sie gilt bei diesem einen Veranstalter, hat eine kurze oder mittlere Laufzeit und läuft von selbst ab. Eine Sperre durch den Veranstalter geht von ihm aus, meist weil Unterlagen fehlen oder etwas geprüft wird, und endet mit der Klärung.

Der Eintrag in der bundesweiten Sperrdatei OASIS ist etwas anderes. Er verschließt den Zugang bei allen Veranstaltern mit deutscher Erlaubnis und wirkt auch in Spielhallen und Wettvermittlungsstellen. Der Antrag ist formlos, braucht keine Begründung und gilt zunächst für eine Mindestdauer; danach endet er nicht von selbst, sondern erst auf Antrag und nach einer Bedenkzeit.

Wichtig für den Alltag: Eine Sperre betrifft das Spielen, nicht zwingend den Zugriff auf vorhandenes Guthaben. In der Regel bleibt der Weg offen, ein Restguthaben ausgezahlt zu bekommen, und zwar über den Kundendienst und auf das hinterlegte Zahlungsmittel. Wer gesperrt ist und noch Geld im Konto hat, fragt das schriftlich an und bewahrt die Antwort auf.

• Spielpause im Konto: ein Anbieter, kurze Laufzeit, endet automatisch.
• Sperre durch den Veranstalter: ein Anbieter, Dauer bis zur Klärung.
• Eintrag in der Sperrdatei: alle erlaubten Anbieter, Aufhebung nur auf Antrag.
• Fremdsperre auf Anregung Angehöriger: alle erlaubten Anbieter, nach Prüfung.
• Restguthaben: in der Regel unabhängig von der Sperre auszahlbar.

Kennwort verloren oder Konto in fremder Hand

Der Weg über die Zurücksetzung führt immer über die hinterlegte Postadresse im Netz, und genau dort liegt die Schwachstelle: Wer das Postfach übernimmt, übernimmt das Spielkonto mit. Ein eigenes, nicht wiederverwendetes Kennwort für das Postfach und ein zweiter Faktor auch dort sind deshalb wichtiger als jede Einstellung im Spielkonto selbst.

Anzeichen für einen fremden Zugriff sind Anmeldungen aus unbekannten Städten in der Geräteliste, geänderte Benachrichtigungseinstellungen, ein neu hinterlegtes Zahlungsmittel und Nachrichten über Vorgänge, die man nicht veranlasst hat. Taucht eines davon auf, zählt die Reihenfolge.

Zuerst wird das Kennwort geändert und alle offenen Sitzungen beendet, dann der zweite Faktor neu eingerichtet, dann das Postfach gesichert. Erst danach folgt die schriftliche Meldung an den Veranstalter. Für unberechtigte Zahlungen ist zusätzlich der eigene Zahlungsdienstleister zuständig.

Falsche Anmeldeseiten erkennen

Rund um Markennamen aus dem Glücksspielbereich sammeln sich nachgebaute Anmeldeseiten, weil die Zugangsdaten unmittelbar Geld wert sind. Sie erscheinen in Suchanzeigen, in Nachrichten mit angeblichen Aktionen und in Verzeichnissen zweifelhafter Anwendungen. Das Aussehen taugt nicht als Unterscheidungsmerkmal, denn es ist kopiert.

Verlässlich ist nur die eigene Eingabe der Adresse oder ein selbst gesetztes Lesezeichen. Wer eine Anmeldemaske über einen Verweis aus einer Nachricht erreicht, gibt dort grundsätzlich nichts ein, auch nicht, wenn die Seite vertraut wirkt. Eine Aufforderung, Zugangsdaten zu bestätigen, stammt ohnehin nie von einem Veranstalter.

Zwei Merkmale helfen zusätzlich: Eine echte Anmeldung fragt nie nach Kartennummer und Prüfziffer, und eine Seite, die vor dem Kennwort einen Einmalcode verlangt, sammelt Codes für einen fremden Anmeldevorgang.

Ein Konto pro Person

Mehrere Konten bei einem Veranstalter sind in den Nutzungsbedingungen regelmäßig untersagt, und sie wären auch sinnlos: Der monatliche Einzahlungsrahmen gilt für die Person und wird zentral zusammengeführt, nicht pro Konto. Ein zweites Konto vergrößert also nichts, erhöht aber das Risiko, dass beide bei einer Prüfung eingefroren werden.

Ebenso wichtig ist die Namensgleichheit. Das Spielkonto, das Zahlungsmittel und die Ausweisunterlagen müssen auf dieselbe Person lauten. Eine Zahlung über das Konto eines Angehörigen führt spätestens bei der Auszahlung zu Nachfragen und im schlechteren Fall zu einer Prüfung, die Wochen kostet.

Geräte, Sitzungen und geteilte Rechner

Auf einem Gerät, das mehrere Menschen benutzen, hat ein gespeichertes Kennwort nichts zu suchen, und die automatische Ausfüllung des Anmeldefeldes ebenso wenig. Erst recht gilt das, wenn Minderjährige im Haushalt leben.

Praktisch bewährt haben sich drei Griffe: die Geräteliste im Konto regelmäßig durchsehen, eine kurze Zeitspanne für das selbsttätige Abmelden einstellen, wo sie angeboten wird, und die Spielzeitanzeige einschalten. Letztere ist kein Schutzmechanismus im engeren Sinn, aber sie beantwortet die Frage, wie lange eine Sitzung tatsächlich gedauert hat — eine Zahl, die man in der Erinnerung regelmäßig unterschätzt.