Lizenz und Sicherheitsprüfung
Im Frühjahr 2026 rücken neue Lizenz‑ und Sicherheitsanforderungen für deutsche Glücksspielanbieter verstärkt in den Mittelpunkt. Registrieren Sie sich jetzt bei einem lizenzierten Anbieter, um von einer geprüften Spielumgebung zu profitieren.
Jetzt Lizenz prüfen
Die Erlaubnis für Online-Dienste erfordert ein detailliertes Antragsverfahren, das jedes Detail des Betriebs prüft. Erst nach der abschließenden Sicherheitsanalyse erhalten Anbieter die Genehmigung für den Markteintritt.
Jetzt Lizenz prüfen
38 lizenzierte Anbieter bestanden 2026 die Sicherheitsprüfung, darunter drei Marktführer. Wir erklären Erlaubnisverfahren und Prüfungsablauf.
Was verlangt das Erlaubnisverfahren?
Ein umfassendes Sicherheitskonzept kann den Genehmigungsprozess beim Glücksspielamt deutlich beschleunigen. Zusätzlich verlangen die Behörden detaillierte Wirtschaftspläne und transparente Zahlungsabläufe, um die finanzielle Stabilität des Betreibers zu prüfen.
Antragskonzepte im Überblick
Im Erlaubnisverfahren fordert die Glücksspielbehörde detaillierte Konzepte für IT‑Sicherheit, Zahlungsabwicklung und Spielerschutz. Unterschiedliche Betreiber benötigen entweder nur leichte Systemanpassungen oder komplette Neuentwicklungen, wodurch die Antragskosten stark variieren:
- Penetrationstest - jährlich extern
- TLS‑1.3‑Verschlüsselung - für alle Verbindungen
- 24/7 Monitoring - Echtzeit‑Log‑Analyse
- ISO 27001‑Zertifizierung - Nachweis verlangt
- Separates Konto - Spielergelder getrennt
- Tägliches Limit - 5 000 € pro Spieler
- Automatisches Reporting - wöchentliche Transaktionsberichte
- Zahlungs‑Gateway‑Audit - nur zertifizierte Anbieter
- KYC‑Prozess - Ausweis + Wohnsitznachweis
- Watch‑list‑Abgleich - gegen Geldwäsche‑Datenbanken
- Verhaltens‑Monitoring - ungewöhnliche Einsätze detektieren
- Selbst‑Ausschluss‑Integration - zentrale Sperrliste
- Verlust‑/Einzahlungslimit - konfigurierbar pro Spieler
- Spieldauer‑Warnung - 60‑Minute‑Pop‑Up
- Selbst‑Ausschluss‑API - Anbindung an OASIS
- Berichtspflicht - quartalsweise Spieler‑Statistiken
Einmal die ISO‑27001‑Zertifizierung vorab sicherzustellen, spart mehrere Wochen im Prüfungsprozess. Wir empfehlen, gleich den zertifizierten Anbieter für das Zahlungs‑Gateway zu wählen, um das Reporting‑Modul nahtlos zu integrieren.
Prüfung bis zur Erlaubnis
Im Erlaubnisverfahren zeigte sich, dass Betreiber mit reinem Online‑Glücksspiel‑Portfolio durchschnittlich schneller durch die Prüfungsphase kommen als hybride Anbieter, die neben Online‑Spielen auch Live‑Casino‑ oder Wettangebote bereitstellen. Die unterschiedliche Bewertung durch die jeweiligen Landesbehörden führt zu variierenden Auflagen und Bearbeitungszeiten, was die Projektplanung stark beeinflusst. Deshalb skizzieren wir die einzelnen Prüfschritte von der Dokumentensammlung bis zur endgültigen Erlaubnisentscheidung:
- Vollständige Dokumentation zusammenstellen - IT‑Audit, Finanzplan, Spielerschutz‑Konzept und Lizenznachweis des Heimatlands.
- Einreichung beim zuständigen Landesamt für Glücksspiel - z. B. Schleswig‑Holstein für reine Online‑Anbieter, Niedersachsen für hybride Angebote.
- Formale Vorprüfung durch die Behörde - prüft Vollständigkeit, fordert ggf. Fehlende Nachweise nach.
- Technische Sicherheitsbewertung durch anerkannte Prüfstelle - häufig TÜV Rheinland oder DEKRA, inklusive Pen‑Test und Lizenz‑Software‑Audit.
- Entscheidung der Behörde - Erlaubnis erteilt mit Auflagen oder Ablehnung mit Begründung; ggf. Frist für Nachbesserungen.
Wir bemerkten, dass fehlende Zahlungsabwicklungsnachweise die Bearbeitung um mehrere Wochen verlängern.
Beim Launch eines neuen Online‑Casinos 2026 verhindert ein vorab fertiggestelltes IT‑Audit unnötige Verzögerungen. Bereiten Sie das IT‑Audit von einem TÜV‑Partner bereits im Konzeptstadium vor, um Nachreichungen zu vermeiden.
Stellen Sie sicher, dass alle Konzepte klar strukturiert und mit entsprechenden Risikoanalysen versehen sind, damit die Behörde keine Rückfragen stellt. Ein frühzeitiger Dialog mit dem Lizenzamt ermöglicht schnelle Anpassungen und erhöht die Erfolgschancen im Erlaubnisverfahren.
Wie läuft die Sicherheitsprüfung?
Die jährliche Sicherheitsprüfung eines IT‑Sicherheitskonzepts wird von unabhängigen Sachverständigen durchgeführt, die die Erfüllung der festgelegten Sicherheitsziele prüfen. Dabei werden Aspekte wie Vertraulichkeit, Integrität und Verfügbarkeit systematisch bewertet, was Betreiber vor möglichen Auflagen schützt.
Prüfumfang der IT-Sicherheit
Die Glücksspielbehörde verlangt von jedem lizenzierten Anbieter eine ISO‑27001‑Zertifizierung. Dadurch wird nicht nur der Datenschutz gewährleistet, sondern auch Manipulationsversuche von innen und außen wirksam abgewehrt. Die Prüfung gliedert sich in folgende Schwerpunkte:
- Datenverschlüsselung - TLS 1.3, AES‑256 für alles
- Zugangskontrolle - MFA für Administratoren und kritische Systeme
- Penetrationstests - quartalsweise externe Audits, Schwachstellenreport
- Systemintegrität - Echtzeit‑Monitoring, unveränderliche Log‑Archive
Ein Spieler, der häufig große Ein- und Auszahlungen tätigt, profitiert am meisten von strenger MFA‑Kontrolle. Fordern Sie das aktuelle ISO‑27001‑Zertifikat an und prüfen Sie, ob das Unternehmen Penetrationstests mindestens vierteljährlich durchführt.
Unabhängigkeit und Prüfbericht
Wir haben festgestellt, dass die Glücksspielbehörde ausschließlich extern beauftragte Stellen zulässt. Damit wird eine Interessenkollision vermieden und die Glaubwürdigkeit des Prüfberichts gesichert. Folgende anerkannte Prüforganisationen dürfen die Jahresprüfung durchführen:
- TÜV Rheinland - prüft technische Sicherheitsarchitektur
- DEKRA - bewertet Prozess‑ und Risikomanagement
- BSI - Bundesamt für Sicherheit - auditieren Systemkontrollen
- Externe Anwaltskanzlei - prüft regulatorische Konformität
Ein gut strukturierter Prüfbericht spart Nachfragen bei der Behörde. Stellen Sie sicher, dass die Unterlagen bis zum 31. März 2027 elektronisch über das Lizenzportal eingereicht werden.
Stellen Sie sicher, dass Ihr Sicherheitskonzept sämtliche geforderten Ziele abdeckt, damit der Jahresbericht von den Prüfern ohne Beanstandungen akzeptiert wird. Ein regelmäßiger Dialog mit Ihrer Prüfstelle erleichtert Nachbesserungen und verkürzt die Genehmigungsdauer.
Sicherheit im Betrieb sichern
Nach Abschluss der Lizenzprüfung muss das bestehende Sicherheitskonzept mindestens quartalsweise validiert werden, um neue Schwachstellen frühzeitig zu erkennen. Die Validierung umfasst Penetrationstests, Log‑Analysen und Mitarbeiterschulungen, die jeweils dokumentiert werden müssen.
Im Vergleich zu einmaligen Audits reduziert ein kontinuierlicher Review‑Zyklus das Risiko von Systemausfällen um ein Vielfaches. Ein Betreiber, der nach einem erfolgreichen Penetrationstest sofort ein Patch‑Management‑Update einführt, verhindert die Wiederholung bekannter Exploits.
Implementieren Sie ein automatisiertes Ticket‑System, das jede festgestellte Lücke an den zuständigen Fachbereich weiterleitet und Fristen überwacht. Regelmäßige Audits des Ticketsystems selbst stellen sicher, dass keine Rückstände übersehen werden.
Häufige Fragen
Wie oft wird die IT-Sicherheit geprüft?
Mindestens einmal jährlich prüft eine unabhängige sachverständige Stelle die Wirksamkeit des IT‑Sicherheitskonzepts. Der Prüfungsumfang umfasst Netzwerkarchitektur, Schwachstellenanalyse und Notfallprozesse. Bei Abweichungen wird ein Maßnahmenplan erstellt.
Wer bezahlt die Sicherheitsprüfung?
Die Kosten trägt der Betreiber vollständig, da die Prüfung als Teil seiner Aufsichtspflicht gilt. Die beauftragte Fachstelle muss nachweislich unabhängig vom Unternehmen sein. Eine Kostenübernahme durch Dritte ist nicht vorgesehen.
Wohin geht der Prüfbericht?
Der erstellte Prüfbericht wird der zuständigen Erlaubnisbehörde unverzüglich übermittelt. Zusätzlich wird er als Anhang im jährlichen Bericht des Erlaubnisinhabers veröffentlicht. Die Behörde prüft die Ergebnisse und fordert ggf. Nachbesserungen.
Muss das Sicherheitskonzept angepasst werden?
Das Sicherheitskonzept muss fortlaufend evaluiert und bei Änderungen der IT‑Landschaft oder nach einer Prüfung aktualisiert werden. Auch wenn die externe Wirksamkeitsprüfung erfolgt, bleibt die interne Überprüfungspflicht bestehen. Anpassungen sind schriftlich zu dokumentieren und der Behörde zu melden.
Was passiert bei Sicherheitsmängeln?
Bei festgestellten Mängeln muss der Betreiber unverzüglich Korrekturmaßnahmen einleiten und deren Umsetzung nachweisen. Die Behörde kann Auflagen, Fristen oder im Wiederholungsfall Lizenzentzug anordnen. Die Nichtbehebung kann zu Bußgeldern bis zu 500 000 Euro führen.