SSL-Verschlüsselung im Online-Casino

Der Name stammt von Secure Sockets Layer, einem Protokoll, das Netscape in den Neunzigerjahren entwickelt hat. Seit 1999 heisst der Nachfolger TLS, im Sprachgebrauch von Hosting-Anbietern und Casinos ist aber «SSL» geblieben.

Bei jedem Verbindungsaufbau läuft zuerst ein sogenannter Handshake ab. Dabei weist sich der Server mit einem Zertifikat aus, das eine Zertifizierungsstelle digital signiert hat. Browser und Server handeln anschliessend einen gemeinsamen Sitzungsschlüssel aus, mit dem alle weiteren Daten dieser Verbindung verschlüsselt werden.

Das Ergebnis hat zwei Seiten, die man auseinanderhalten sollte. Wer im selben WLAN oder beim Provider mitliest, sieht nur verschlüsselte Datenpakete statt Passwörtern oder Kartennummern. Zudem erkennt das Protokoll, wenn Daten unterwegs verändert wurden. Was mit den Daten nach der Ankunft auf dem Server geschieht, regelt TLS hingegen nicht: Speicherung, Zugriffsrechte und Weitergabe an Dritte liegen ausserhalb seiner Reichweite und unterstehen dem Datenschutzrecht.

Verschlüsselt wird der Transport, nicht der Betreiber.

Sichtbar wird TLS zuerst in der Adresszeile des Browsers. Seiten ohne Verschlüsselung, die noch über reines HTTP laufen, markiert Chrome ausdrücklich als «Nicht sicher».

Das bekannte Schloss-Symbol ist dabei keine verlässliche Orientierung mehr. Google hat es mit Chrome 117 im September 2023 auf Desktop und Android durch ein neutrales Einstellungssymbol ersetzt und unter iOS ganz entfernt. Als Grund nannte Google, dass viele Nutzer das Schloss als Zeichen für eine vertrauenswürdige Seite missverstanden hatten.

Wer das Zertifikat selbst ansehen will, öffnet über das Symbol links der Adresse die Verbindungsdetails. Dort stehen der Domainname, für den das Zertifikat gilt, die ausstellende Zertifizierungsstelle und die Gültigkeitsdauer. Bei einem Domain-Validierungs-Zertifikat, wie es etwa Let’s Encrypt ausgibt, hat die Stelle nur geprüft, ob der Antragsteller die Domain kontrolliert. Eine Prüfung des Unternehmens, das hinter der Domain steht, gehört bei diesem Zertifikatstyp nicht zum Verfahren.

Für Betreiber in der Schweiz gilt zusätzlich Art. 8 Abs. 1 des Datenschutzgesetzes (DSG, SR 235.1). Danach gewährleisten Verantwortliche durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Nach dem Wortlaut schreibt das Gesetz keine bestimmte Technologie vor; Fachpublikationen zum DSG nennen die Verschlüsselung bei der Übertragung aber ausdrücklich als Beispiel einer solchen Massnahme.

Die Übersicht ordnet die Protokollversionen nach ihrem Status bei der Internet Engineering Task Force (IETF). Die Angaben stammen aus den RFC-Dokumenten, mit denen die IETF Versionen festlegt oder ausser Gebrauch setzt.

Massgeblich ist die Version, die eine Verbindung tatsächlich nutzt, nicht das Wort «SSL» in einem Werbetext.

Die häufigste Verwechslung betrifft die Legalität eines Angebots. Ein gültiges Zertifikat kann jede Domain erhalten, auch eine, die auf der Sperrliste der Eidgenössischen Spielbankenkommission (ESBK) oder der Interkantonalen Geldspielaufsicht (Gespa) steht.

Ob ein Online-Casino Spielern in der Schweiz offenstehen darf, regelt das Geldspielgesetz (BGS, SR 935.51). Online-Spielbankenspiele bieten Schweizer Spielbanken an, deren Konzession der Bundesrat erweitert hat und deren Spiele von der ESBK bewilligt wurden. Die ESBK veröffentlicht eine Übersicht dieser zugelassenen Online-Casinos auf ihrer Website.

Was wir bei einer Lizenzprüfung zuerst abgleichen, ist deshalb die Domain mit dieser Liste der ESBK, erst danach das Zertifikat. Ein Anbieter mit einer ausländischen Lizenz kann eine einwandfreie TLS-Verbindung betreiben und für den Schweizer Markt trotzdem keine Bewilligung haben. Umgekehrt wäre eine fehlende Verschlüsselung bei einem bewilligten Casino ein Mangel der Datensicherheit nach DSG, keine Frage der Konzession.

Über RTP oder Auszahlungsfristen gibt die Verschlüsselung ebenfalls keine Auskunft.