{"id":2548,"date":"2026-03-28T06:25:36","date_gmt":"2026-03-28T05:25:36","guid":{"rendered":"https:\/\/g7itchme.wordpress.com\/?p=2548"},"modified":"2026-03-28T06:25:36","modified_gmt":"2026-03-28T05:25:36","slug":"so-leicht-wie-damals-bei-der-cdu-lilith-wittmann-der-hack-der-malta-gaming-authority-und-die-grenzen-des-responsible-disclosure","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/so-leicht-wie-damals-bei-der-cdu-lilith-wittmann-der-hack-der-malta-gaming-authority-und-die-grenzen-des-responsible-disclosure\/","title":{"rendered":"\u201eSo leicht wie damals bei der CDU\u201c: Lilith Wittmann, der Hack der Malta Gaming Authority und die Grenzen des Responsible Disclosure"},"content":{"rendered":"

Ein Fall von digitalem Aktivismus zwischen ethischer Aufkl\u00e4rung und strafrechtlichem Risiko<\/strong><\/p>\n\n\n\n

Es ist ein D\u00e9j\u00e0-vu, das in der IT-Sicherheitscommunity f\u00fcr Aufsehen sorgt, aber auch tiefe ethische und rechtliche Fragen aufwirft. Im M\u00e4rz 2026 best\u00e4tigte die Berliner Sicherheitsforscherin Lilith Wittmann, dass sie hinter einem Cyberangriff auf die Malta Gaming Authority (MGA) steckt <\/a><\/a>. Ihr Statement auf der Plattform X war knapp, pr\u00e4zise und programmatisch: \u201eYes, I hacked you.\u201c Und der Vergleich, den sie anstellte, verwies auf einen Fall, der ihre Karriere als sogenannte \u201eKrawall-Influencerin\u201c (Eigenbezeichnung) vor f\u00fcnf Jahren nachhaltig pr\u00e4gte: Es sei \u201egenauso einfach wie damals beim Hack der CDU\u201c gewesen <\/a><\/a>.<\/p>\n\n\n\n

Damit ist der Fall nicht nur ein weiteres Kapitel in der Chronologie von Wittmanns Wirken, sondern wirft ein Schlaglicht auf ein wiederkehrendes Spannungsfeld: Was tun, wenn \u00f6ffentliche Institutionen oder Beh\u00f6rden im digitalen Raum versagen und die legalen Wege der Schwachstellenmeldung an ihre Grenzen sto\u00dfen oder gar mit Repression beantwortet werden? Wittmanns Vorgehen gegen die maltesische Gl\u00fccksspielbeh\u00f6rde ist ein radikaler Akt des zivilgesellschaftlichen Ungehorsams in der digitalen Sph\u00e4re \u2013 und ein Paradebeispiel f\u00fcr die Tech-Archaeologie, die das Scheitern von Sicherheitsarchitekturen seziert.<\/p>\n\n\n\n

Der Fall Malta: Zugriff auf die \u201eorganisierte Kriminalit\u00e4t\u201c<\/h2>\n\n\n\n

Im Zentrum des aktuellen Vorfalls steht die Malta Gaming Authority, eine der renommiertesten und gleichzeitig umstrittensten Gl\u00fccksspielregulierungsbeh\u00f6rden der Welt. Malta hat sich seit Jahren als \u201eHub\u201c f\u00fcr die iGaming-Branche etabliert, steht jedoch immer wieder in der Kritik, aufgrund gro\u00dfz\u00fcgiger Regulierungen auch kriminellen Strukturen eine Plattform zu bieten <\/a>.<\/p>\n\n\n\n

Wittmanns Angriff war nicht der erste ihrer Art im Kontext der maltesischen Gl\u00fccksspielindustrie. Bereits im M\u00e4rz 2025 hatte sie eine massive Sicherheitsl\u00fccke bei der maltesischen Firma The Mill Adventure aufgedeckt, die Software f\u00fcr Online-Casinos wie Slotmagie.de<\/a> bereitstellt. Damals gelangte sie \u00fcber eine schwach gesicherte GraphQL-API an die sensiblen Daten von \u00fcber einer Million Spielern, darunter Kreditkartendetails, Ausweiskopien und Schreiben der Arbeitsagentur <\/a><\/a>.<\/p>\n\n\n\n

Die aktuelle Aktion gegen die MGA selbst ist eine Eskalation. Wittmann gab an, die erlangten Daten bereits an Medienpartner und Beh\u00f6rden weitergegeben zu haben. Ihr erkl\u00e4rtes Ziel: die \u201eorganisierte Kriminalit\u00e4t\u201c zu enttarnen, die ihrer Ansicht nach durch die Beh\u00f6rde erm\u00f6glicht werde <\/a><\/a>. F\u00fcr die Beh\u00f6rde selbst ist der Vorfall eine Blamage; sie best\u00e4tigte lediglich, dass jemand, der sich als Sicherheitsforscher ausgab, Zugriff auf die Systeme erlangt habe, ohne Details zu nennen <\/a>.<\/p>\n\n\n\n

Der historische Pr\u00e4zedenzfall: \u201eCDU connect\u201c und die Strafanzeige<\/h2>\n\n\n\n

Wittmanns Verweis auf die CDU ist kein Zufall, sondern der Schl\u00fcssel zum Verst\u00e4ndnis ihrer Handlungsmotivation. Der Fall der Wahlkampf-App \u201eCDU connect\u201c im Mai 2021 gilt heute als Paradebeispiel f\u00fcr die dysfunktionale Beziehung zwischen staatlichen Stellen und der Security-Community in Deutschland.<\/p>\n\n\n\n

Die damals 25-j\u00e4hrige Wittmann entdeckte, dass die App nicht nur die Daten von 18.000 Wahlkampfhelfern ungesch\u00fctzt im Netz stehen lie\u00df, sondern dass sie sich im Web-Interface einfach selbst zum \u201eSuperadmin\u201c ernennen konnte <\/a><\/a>. Nach dem Prinzip der Responsible Disclosure<\/strong> (verantwortungsvolle Offenlegung) informierte sie die Partei, das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) und die Datenschutzbeauftragten. Die CDU nahm die App vor\u00fcbergehend vom Netz <\/a>.<\/p>\n\n\n\n

Doch dann eskalierte der Fall: Der damalige CDU-Bundesgesch\u00e4ftsf\u00fchrer Stefan Hennewig erstattete Strafanzeige gegen Wittmann, unter Berufung auf den sogenannten Hackerparagraphen (\u00a7 202c StGB). Der Chaos Computer Club (CCC) reagierte emp\u00f6rt und k\u00fcndigte an, k\u00fcnftig keine Sicherheitsl\u00fccken mehr an die Partei zu melden \u2013 ein drastischer Schritt, der die Bedeutung des gegenseitigen Vertrauens in der Sicherheitskultur unterstrich <\/a><\/a>. Nach massivem \u00f6ffentlichem Druck ruderte die CDU zur\u00fcck; Hennewig entschuldigte sich, die Anzeige wurde zur\u00fcckgezogen. Das Verfahren wurde schlie\u00dflich eingestellt, mit der Begr\u00fcndung, dass die Datenbank \u201eg\u00e4nzlich ungesch\u00fctzt\u201c und somit gar nicht im Sinne des Gesetzes \u201egehackt\u201c worden sei <\/a><\/a>.<\/p>\n\n\n\n

Der Rechtsrahmen: Zwischen Grauzone und Auslieferungsrisiko<\/h2>\n\n\n\n

Die juristischen Dimensionen der beiden F\u00e4lle k\u00f6nnten unterschiedlicher nicht sein \u2013 und doch eint sie die existenzielle Bedrohung f\u00fcr die Forscherin. W\u00e4hrend in Deutschland die Anzeige 2021 als politischer Eigentor inszeniert wurde und letztlich im Sande verlief, ist die Rechtslage in Malta eine andere.<\/p>\n\n\n\n

Wittmann zeigte sich \u00f6ffentlich besorgt \u00fcber eine m\u00f6gliche Auslieferung an Malta, wo das Hacken einer \u00f6ffentlichen Einrichtung mit bis zu zehn Jahren Haft bestraft werden kann <\/a><\/a>. Sie hofft auf die Einsicht der deutschen Beh\u00f6rden, sie nicht auszuliefern, und betont die Gemeinn\u00fctzigkeit ihrer Aktion: Die erlangten Informationen seien so wertvoll f\u00fcr den \u00f6ffentlichen Diskurs, dass der Zugriff darauf eines Tages als \u201egerechtfertigte Notwendigkeit\u201c angesehen werde <\/a>.<\/p>\n\n\n\n

Dieser Fall verdeutlicht das fortbestehende Dilemma der IT-Sicherheitsforschung: W\u00e4hrend in Deutschland nach dem Fall Wittmann\/SPD 2021 eine politische Debatte \u00fcber die Reform des Hackerparagraphen entbrannte (der SPD-Politiker Helge Lindh forderte damals eine klare rechtssichere Ausnahme f\u00fcr Sicherheitsforscher <\/a>), existiert ein solcher Schutz in internationalen Kontexten nicht. Wittmann bewegt sich bewusst in einer Grauzone, die sie mit kalkuliertem Risiko f\u00fcllt \u2013 ein Aspekt, der sie in die Tradition einer Tech-Archaeologie stellt, die nicht nur findet, sondern auch konfrontiert.<\/p>\n\n\n\n

Perspektiven und Konsequenzen<\/h2>\n\n\n\n

Wittmanns Methodik ist disruptiv. Sie selbst bezeichnet sich als \u201eKrawall-Influencerin\u201c <\/a>. Ihr Repertoire reicht von der Enttarnung von Verfassungsschutz-Legenden bis zur Schwachstellensuche in Gefangenentelefonaten <\/a>. Ihr Vorgehen gegen die MGA reiht sich in dieses Muster ein: Sie zwingt Institutionen durch offensive, \u00f6ffentlichkeitswirksame Aktionen zur Reaktion, wenn der regul\u00e4re Meldeweg versagt oder nicht existiert.<\/p>\n\n\n\n

Die Reaktionen sind zwiegespalten. W\u00e4hrend die IT-Community die technische Brillanz und den Mut zur Konfrontation anerkennt, warnen Juristen vor den Konsequenzen einer solchen \u201eSelbstjustiz\u201c im Netz. F\u00fcr die Gl\u00fccksspielbranche und die maltesische Regulierungsbeh\u00f6rde ist der Vorfall ein massiver Vertrauensverlust. Die GGL (Gemeinsame Gl\u00fccksspielbeh\u00f6rde der L\u00e4nder) hatte bereits nach dem Datenleck bei Merkur im Vorjahr gewarnt und Sicherheitstests angeordnet <\/a>. Dass nun die Aufsichtsbeh\u00f6rde selbst Opfer eines solchen Angriffs wurde, k\u00f6nnte die internationalen Bem\u00fchungen um strengere Sicherheitsstandards in der Branche beschleunigen.<\/p>\n\n\n\n

Fazit: Vom Bug-Hunter zum System-Hacker<\/h2>\n\n\n\n

Lilith Wittmanns Weg von der Security-Forscherin, die eine Strafanzeige wegen verantwortungsvoller Offenlegung erhielt, hin zu der Aktivistin, die pr\u00e4ventiv eine Auslieferung bef\u00fcrchtet, markiert einen Wendepunkt in der deutschen und europ\u00e4ischen Sicherheitskultur. Sie hat erkannt, dass der Status des \u201eWhite Hats\u201c kein rechtlich gesch\u00fctzter Raum ist, sondern ein prek\u00e4res Konstrukt, das vom Wohlwollen der betroffenen Institutionen abh\u00e4ngt.<\/p>\n\n\n\n

Indem sie den Hack der MGA \u00f6ffentlich macht und mit dem Fall CDU vergleicht, sendet Wittmann eine klare Botschaft: Wenn der Staat (wie damals die CDU) die Helfer kriminalisiert oder (wie jetzt die MGA) selbst zum Enabler von Sicherheitsl\u00fccken wird, dann zieht sie die Konsequenz \u2013 nicht durch R\u00fcckzug, sondern durch radikale Transparenz. Ihr Vorgehen ist ein riskanter Balanceakt zwischen ethischer Notwehr und strafbarer Handlung.<\/p>\n\n\n\n

Der Fall ist noch nicht abgeschlossen. Ob die deutschen Beh\u00f6rden tats\u00e4chlich eine Auslieferung verhindern und ob die von Wittmann erbeuteten Daten tats\u00e4chlich die von ihr behaupteten kriminellen Strukturen offenlegen, bleibt abzuwarten. Klar ist jedoch: Lilith Wittmann hat mit dieser Aktion eine neue Eskalationsstufe in der Auseinandersetzung zwischen digitalem Aktivismus und staatlicher (oder quasi-staatlicher) Regulierung gez\u00fcndet. Sie hat die Werkzeuge des Hackers nicht mehr nur genutzt, um Fehler zu zeigen, sondern um eine Institution zu Fall zu bringen, die sie f\u00fcr illegitim h\u00e4lt. Das ist nicht mehr nur Tech-Archaeologie. Das ist digitaler Widerstand.<\/p>\n\n\n\n

\n\n\n\n

Quellen<\/h2>\n\n\n\n