Wie läuft ein Casino-Audit ab, bevor Sie eine Lizenz erhalten?

Vor der Erteilung einer Lizenz überprüfen die Regulierungsbehörde (und/oder akkreditierte Auditoren) nicht nur die „Papiere“, sondern auch die Funktionsweise der Prozesse und Technologien des Betreibers: Integrität der Spiele, Datensicherheit, Zahlungen, Spielerschutz und Vorsorge für Vorfälle. Im Folgenden finden Sie eine praktische Prüfkarte: Was wird in welcher Reihenfolge betrachtet, welche Artefakte werden angefordert und welche Fehler werden am häufigsten gefunden.

Allgemeine Logik der Vorlizenzprüfung

1. Pre-screen/dossier: Eigentümerstruktur, Begünstigte, Mittelquellen, Schlüsselpersonen (fit & proper).

2. Technischer Zweig: RNG-Zertifizierung/Mathematiker und Plattformen, Protokolle, Telemetrie, Versionskontrolle.

3. Operativer Zweig: AML/KYC/KYT, Responsible Gaming, Zahlungen, Werbung/Affiliates, Sapport.

4. Sicherheit und Datenschutz: Infobead, Zugriffsmanagement, Incident Response Plan, DPIA.

5. Finanzen und Berichterstattung: Segregation von Kundengeldern, GGR/Nettiva-Bilanzierung, Kontrolle von Schlussfolgerungen.

6. Interview und Walkthrough: Demonstration von Prozessen „live“, selektive Falldurchläufe.

7. Remediation: Beseitigung von Bemerkungen, wiederholte Proben, endgültige Schlussfolgerung.

Was überprüft wird: nach Reisezielen

1) Rechtliche Due Diligence und Corporate Governance

Transparenz der Struktur, Herkunft der Gelder, Sanktions-/Peer-Reviews.

Zweck der Schlüsselfunktionen: Compliance Officer, MLRO, InfoSec Lead, RG Lead, Zahlungsaufseher.

Richtlinien: AML/KYC/KYT, RG, IB/Datenschutz, Marketing/Werbung, Risikomanagement, Change-Management.

Artefakte: Organisationsstruktur, Register der Begünstigten, Lebenslauf von Schlüsselpersonen, Richtlinien und Vorschriften der Stufen 1-2, Risikoregister.

2) Integrität der Spiele: RNG, RTP und Versionskontrolle

RNG-Zertifizierung und mathematische Modelle von Slots/Tischen/Live-Spielen.

Schwellenwerte/RTP-Korridore, Veröffentlichung der theoretischen Rendite, Faktenüberwachung.

Release & change management: Bildhashes, Umgebungskontrolle, Verbot von „heißen“ Bearbeitungen der Mathematik.

Logging: Unveränderliche Protokolle von Runden/Wetten/Auszahlungen und technischen Ereignissen.

Artefakte: Laborzertifikate, Liste der Spiele mit Versionen und Hashes, Matem. Modelle, Deployschema, Beispiele für RTP-Protokolle/Berichte.

3) Plattform und Zuverlässigkeit

Architektur, Redundanz, Überwachung, Alerts, SLO/SLI.

Belastungstests, Fehlertoleranz, Anti-Fraud und Anti-Bots.

Integrationen mit Content Providern und Payment Gateways: Testacts, SLAs.

Artefakte: Architekturdiagramme, BCP/DR-Plan, Lasttestergebnisse, Liste der Integrationen und Handlungen.

4) Informationssicherheit und Datenschutz

Zugriffskontrolle (RBAC/ABAC), MFA, Secret Management, Verwaltungsprotokoll.

Schwachstellen und Patch-Management, Pentests, statische/dynamische Analyse.

Datenverschlüsselung im Ruhezustand/im Transit, Datenklassen, DPIA/PIA.

IR-Verfahren (Incident Response): Klassifizierung, SLA, Benachrichtigungen, Post-Mortems.

Artefakte: IP-Richtlinien, Pentestergebnisse, Scannerberichte, Zugriffsmatrix, Ereignisprotokoll (anonymisiert).

5) AML/KYC/KYT und Zahlungen

Identifizierungsverfahren, Überprüfung des Alters und der Persönlichkeit vor dem Rückzug (oft vor dem Spiel).

Transaktionsüberwachung (KYT): Limits, Schwellenwerte, Eskalationsszenarien, Meldung verdächtiger Transaktionen.

Segregation von Kundengeldern, Register der Rückschlüsse, Kontrolle von Chargebacks/Retouren.

Krypto-Politik (falls zutreffend): Kettenanalyse, gezielte Risiken, Off-Ramp.

Artefakte: KYC/EDD-Playbook, Screenshots von Verfahren, KYT-Berichte, Kundenkontenregister, Verträge mit Zahlungsanbietern.

6) Responsible Gaming (RG)

Einzahlungs-/Wett-/Zeitlimits, Timeouts, Selbstausschluss (inkl. Inter-Operator-Register, wo vorhanden).

Verhaltensmonitoring: Schadensauslöser (Einzahlungsbeschleunigung, Nachtsitzungen, „Verlustspirale“), Interventionsszenarien.

Kommunikation: Warnungen, Hilfebereich, Saport-Training, Falldokumentation.

Artefakte: Screencasts von RG-Instrumenten, Interventionsprotokoll (unpersönlich), RG-KPIs und Trainingsberichte.

7) Werbung, Boni und Affiliates

Anti-Mislead: Verbot von „garantierten Gewinnen“, klare T&C (Lieferung, Spielbeitrag, Timing, Max-Einsatz, Auszahlungslimits).

Alter Targeting 18 +/21 +; schwarze Listen von Sites und Look-Alike-Beschränkungen.

Affiliate-Kontrolle: Verträge, Pre-Approval von Kreativen, Traffic-Tracking und Beschwerden.

Artefakte: Bonusregeln, kreative Kataloge, Approvals-Prozess, Partnerregister, Ad-Monitoring-Berichte.

8) Sapport und Streitbeilegung

Antwort SLA, Multichannel, Eskalation an Ombudsmann/ADR (falls vorgesehen).

RG/AML-Skripte, Anspruchsprotokoll, FCR/CSAT/NPS-Metriken.

Artefakte: Sapport-Vorschriften, Wissensdatenbank, Ticket-Uploads (anonymisiert), ADR-Berichte.

Wie der Prozess aussieht: Zeitleiste „nach Wochen“

Wochen − 8... − 4: Pre-Audit - Gap-Analyse, Sammlung von Artefakten, Fixierung von Versionen, interne Tests, Korrekturen.

Wochen − 3... − 2: Dock Revue - Auditoren fordern Richtlinien/Zeitschriften/Verträge an, eine Demonstration der Umgebungen wird vorbereitet.

Woche − 1: Tech-walkthrough - Anzeige der Plattform, Protokolle, Überwachung; Selektive Datenextraktion.

Woche 0: On-Site/Remote Audit - Interviews Key Functions, Sampling/Traceability Tests, Abfragen von Zusatzdaten.

Woche + 1: Auditorenbericht - Liste der Nichtkonformitäten (MAJOR/MINOR/OBS), Empfehlungen.

Wochen + 2... + 6: Remediation - Korrekturmaßnahmen, Proben, Bestätigungen; Schlussbemerkung.

Was genau wird gebeten, zu zeigen: „Liste an der Tür“

Registrierung von Spielen mit Versionen/Hashes und Zertifikaten.

Protokolle der Runden/Einsätze/Auszahlungen (Samples, Ticket-ID-Abrufe).

Change-Management: Anwendungen, Approval-Ketten, Release Notes.

Zugriffsmatrix und Admin-Aktivitätsprotokoll.

BCP/DR-Pläne + Übungsergebnisse (Tabellenspitze/technisch).

KYT-Regeln und Berichte zu Ausfällen/Eskalationen.

Aufzeichnungen von Personalschulungen (RG/AML/IB) und Credits.

Werbekreative, T & C-Boni, Affiliate-Register.

Testfälle, mit denen das System „untersucht“ wird

RNG/RTP: Überprüfung der Konformität der Version im zertifizierten Verkauf, Abgleich des RTP-Berichts für den Zeitraum.

RG: Setzen eines Limits, Überschreiten eines Limits, Timeout, Selbstausschluss → Überprüfen von Sperren und Kommunikation.

KYC: Onboarding ohne Dokumente → Abweichung; erneute Überprüfung bei der Ausgabe; EDD für „hohes Risiko“.

Zahlungen: Einzahlungen/Abhebungen mit Schwellenwerten → Auslösen von AML-Triggern; Rücksendungen; Charjbeki.

IB: Versuch der Einreise ohne MFA; Eskalation der Rechte; Lesen von Zeitschriften; IR-Reaktion auf ein „simuliertes“ Leck.

Marketing: selektive Prüfung von Kreativen auf Mislead/“ fast gewonnen“; Überprüfung der Zielgruppen.

Typische Bemerkungen und wie man sie schließt

Papierkonformität: RG/AML-Tools sind auf Papier, aber nicht im Produkt → in UX implementieren, Saport trainieren, Fälle zeigen.

Schwache Change-Control: Releases ohne Approval/Tests → Release-Matrix einführen, Verbot der „Hot-Fix-Mathematik“.

Protokolle ohne Unveränderlichkeit: Keine Hashes/Retention → WORM-Speicher/Archive, Aufbewahrungsrichtlinien.

Zugriffslöcher: allgemeine Konten, kein MFA → SSO/MFA, persönliche Konten, Zugriffsrevisionen.

Nicht offensichtliche Bonus-T & C: versteckte Limits/Fuzzy-Beiträge von Spielen → Regeln umschreiben, Rechner in der Benutzeroberfläche erstellen.

IR/BCP „zum Abhaken“: keine Übungen, keine Post-Mortems → Kalender, Berichte und Verbesserungen.

Checklisten (speichern)

Checkliste für Artefakte zu Beginn des Audits

Register der Begünstigten und fit & proper.
AML/KYC/KYT Richtlinien, RG, IB/Datenschutz, Werbung/Affiliates, Change-Management.
RNG/RTP-Zertifikate + Liste der Spiele mit Versionen/Hashes.
Architekturdiagramme, BCP/DR, Pentestberichte und Scans.
Zugriffsmatrix, Admin-Aktivitätsprotokoll, SSO/MFA.
Protokolle der Runden/Einsätze/Auszahlungen (Samples), RTP-Berichte, GGR-Berichte/Steuern.
Saport-Verfahren, Beschwerderegister/ADRs, SLA/CSAT-Metriken.
Werbekreative, T & C-Boni, Affiliate-Register und Zulassungen.
Mitarbeiterschulungsberichte (RG/AML/IB).

Checkliste für das Produkt selbst

Limits/Timeouts/Selbstausschluss funktionieren und spiegeln sich in der Benutzeroberfläche wider.
KYC/EDD/ECDD sind in den Einzahlungs-/Ausgabeflow integriert.
Versionskontrolle und Verbot von „heißen“ Bearbeitungen der Mathematik.
Payment SLAs und Fondssegregation werden eingehalten.
Anti-Fraud/Anti-Bots sind aktiv und protokolliert.
Transparente Bonus T&C und Wettrechner.
Incident Management: Bereitschaftsdienst, RACI, Übungen, Post-Mortems.

Wie man sich vorbereitet: 6 Tipps, um beim ersten Mal durchzukommen

1. Führen Sie ein internes Mock-Audit per Checkliste mit einem „roten Team“ aus Compliance und Ingenieuren durch.

2. Sperren Sie Releases 1-2 Wochen vor dem Audit (Freeze) und dokumentieren Sie alles, was bereits ausgerollt wurde.

3. Bereiten Sie eine Demo-Umgebung mit „Kampf“ -Protokollen (unpersönlich) und Traces vor.

4. Üben Sie die Schlüsselfunktionen: kurze, spezifische Antworten, Prozessbesuchskarten, fertige Links/Screenshots.

5. IR/BCP Kultur zeigen: Übungskalender, Incident-Analyse, Verbesserungen.

6. Schließen Sie "Quick Wins': MFA/SSO, WORM-Protokolle, verständliche Bonus-T & C, Weiger-Rechner, sichtbare RG-Buttons.

Was nach dem Audit

Sie erhalten einen Bericht mit der Klassifizierung von Nichtkonformitäten und Empfehlungen. Machen Sie einen Plan der Aktionen: Termine, verantwortlich, Erfolgsmetriken. Nach der Remediation - Bestätigen Sie die Korrekturen mit Artefakten (Screenshots, Richtlinien, Protokolle, Testhandlungen) und führen Sie gegebenenfalls eine erneute Stichprobenprüfung durch.

Bei einem erfolgreichen Pre-Licensing-Audit geht es nicht darum, „verifiziert“ zu werden, sondern Nachhaltigkeit zu beweisen: ehrliche Mathematik und Versionskontrolle, echte RG/AML-Prozesse, eine sichere Plattform, transparente Zahlungen und eine Marketingdisziplin. Wenn diese Elemente in ein Produkt und eine Kultur eingebettet sind, verwandelt sich die Lizenzierung von Stress in eine Formalität - und das Vertrauen der Spieler und Partner wird zu Ihrem langfristigen Kapital.