Die Slotmaschine rattert, blinkt und klingelt, während ihre Walzen rotieren. Die Lootbox schüttelt sich und pulsiert, als würde sie gleich explodieren, begleitet von anschwellenden Glockenklängen. Für viele Gamer*innen bedeutet das Spaß und Nervenkitzel, ob beim klassischen (Online-)Glücksspiel für Erwachsene oder in Glücksspiel-ähnlichen Games, die teils sogar für Kinder freigegeben sind.
Für die Psychologin und Neurowissenschaftlerin Elke Smith bedeutet Glücksspiel dagegen Arbeit. Denn sie erforscht an der Universität zu Köln menschliche Entscheidungs- und Lernprozesse – darunter jene Mechanismen, die beim Zocken im Hintergrund ablaufen. In ihrem Vortrag auf dem 39. Chaos Communication Congress erklärt Smith die zentralen Tricks von Glücksspiel, die sich inzwischen auch in klassischen Online-Games ausbreiten.
Geschätzt 2,4 Prozent der deutschen Bevölkerung zwischen 18 und 70 Jahren sind laut Gesundheitsministerium süchtig nach Glücksspielen, haben also eine als Krankheit anerkannte Verhaltensstörung. Derweil liegen die Umsätze für legales Glücksspiel in Deutschland bei knapp 63,5 Milliarden Euro. Dennoch kommt der Vortrag der Glücksspiel-Forscherin Smith ohne Verteufelung aus. Vielmehr umreißt sie den Graubereich zwischen Spaß und Suchtgefahr.
Ein besonders auffälliger Glücksspiel-Mechanismus, den Smith hervorhebt, sind audiovisuelle Effekte, die bei hohen Gewinnen noch stärker werden. Darunter fallen zum Beispiel die zu Beginn erwähnten klingelnden und glitzernden Slotmaschinen und Lootboxen. Gerade bei einem Gewinn können virtuelle Funken sprühen, Goldmünzen hageln und Fanfaren blasen. Solche Elemente sind kein bloßes Beiwerk, sondern tragen dazu bei, Menschen durch Reize zu belohnen und damit zum Weiterspielen zu motivieren.
Sogenannte Near Misses sind Fälle, in denen Spieler*innen den Eindruck bekommen, nur ganz knapp verloren zu haben, etwa wenn bei der Slotmaschine das Gewinnsymbol fast getroffen wurde. Zwar macht es finanziell keinen Unterschied, ob man knapp oder deutlich verliert – es fühlt sich aber anders an.
Ein weiterer Mechanismus, den Smith hervorhebt, sind als Verluste getarnte Gewinne, auf Englisch: losses disguised as wins. In diesem Fall bekommen Spielende einen Bruchteil ihres Einsatzes als scheinbaren Gewinn zurück, begleitet mit audiovisuellen Belohnungsreizen.
Bei der Jagd nach Verlusten („chasing losses“) versuchen Spieler*innen wiederum, das verlorene Geld aus vorigen Runden durch immer weitere Einsätze wieder zurückzuholen.
Nicht zuletzt kann sich Glücksspiel auch der sogenannten Kontroll-Illusion („illusion of control“) bedienen. Das ist eine kognitive Verzerrung: Üblicherweise können Menschen durch ihre Entscheidungen tatsächlich ihre Umwelt beeinflussen, dazu lernen und ihre Fähigkeiten verbessern. Beim Glücksspiel dagegen haben Entscheidungen oftmals keinen Einfluss auf das Ergebnis – es fühlt sich nur so an. Als Beispiel nennt Smith die Entscheidung, wann genau man bei einer Slotmaschine den Knopf drückt, um die rollenden Walzen zu stoppen.
Diese und weitere Mechanismen sind nicht auf (Online-)Casinos begrenzt, sondern verbreiten sich auch in klassischen Spiele-Apps, wie Smith ausführt. Die Integration von Glücksspiel-Elementen wie Zufall, Risiko und Belohnung nennt sie „Gamblification“ – und deren Effekte hat sie selbst untersucht.
Gemeinsam mit Forschungskolleg*innen hat Smith gemessen, wie Zuschauer*innen auf YouTube-Videos reagieren, in denen Gamer*innen sich beim Öffnen von Lootboxen filmen. Solche Videos erreichen auf YouTube ein Millionenpublikum und zeigen: Glücksspiel-Mechanismen wirken möglicherweise sogar dann, wenn man anderen nur beim Spielen zuschaut.
Konkret haben die Forschenden Views, Likes und Kommentare von 22.000 Gaming-Videos mit und ohne Lootboxen miteinander verglichen. Das Ergebnis: Der Lootbox-Content hat das Publikum messbar stärker eingenommen als anderer Gaming-Content: mehr Views, mehr Likes, mehr Kommentare. „Dieses erhöhte Engagement könnte mit den Glücksspiel-ähnlichen Eigenschaften der durch Lootboxen vermittelten Belohnungsstruktur zusammenhängen“, heißt es auf Englisch in dem Paper, das im Mai 2025 beim Journal Scientific Reports erschienen ist.
Um ihre Online-Spiele zu optimieren, können Anbieter auf A/B-Testing mit großen empirischen Datenmengen zurückgreifen, erklärt Smith in ihrem Vortrag. Das heißt: Sie können Features einfach ausprobieren und messen, was am besten funktioniert. Schließlich bekommen sie täglich kostenlos neue Daten von Millionen Gamer*innen. Auf diese Weise entstehen Produkte, die von Anfang an so gestaltet sind, dass sie die Belohnungsmechanismen der Spieler*innen am besten ausnutzen. Smith nennt das „Neuroexploitation by design“.
Gegen Ende ihres Vortags geht Smith auf Ansätze ein, um die Gefahren von Glücksspiel-Mechanismen einzudämmen. In Deutschland gibt es etwa den Glücksspielstaatsvertrag. Manche Normen zielen direkt auf Glücksspiel-Mechanismen ab: So muss bei einem virtuellen Automatenspiel etwa ein einzelnes Spiel mindestens fünf Sekunden dauern, der Einsatz darf einen Euro pro Spiel nicht übersteigen. Das soll das Feuerwerk aus Risiko und Belohnung eindämmen.
Ob Lootboxen in die Kategorie Glücksspiel fallen, beschäftigt internationale Gerichte und Gesetzgeber bereits seit Jahren. In Deutschland hatte jüngst der Bundesrat strengere Regeln gefordert. Am 21. November hielten die Länder fest, dass Lootboxen und andere Glücksspiel-ähnliche Mechanismen in Videospielen besser reguliert werden sollen, um Suchtgefahr zu reduzieren. In Belgien und den Niederlanden gibt es bereits strengere Regeln.
Auf EU-Ebene gibt es derzeit kein spezifisches Recht zur Regulierung von Lootboxen, wie die Wissenschaftlichen Dienste des Bundestags den Sachstand im Herbst 2024 zusammenfassen. Allerdings kommen je nach Kontext verschiedene EU-Gesetze in Frage, etwa das Gesetz über digitale Dienste (DSA), das manche Anbieter dazu verpflichtet, Risiken für ihre Nutzer*innen zu erkennen und zu minimieren. Derzeit plant die EU-Kommission zudem den Digital Fairness Act, der Lücken im Verbraucherschutz schließen soll.
„Ich denke, es wäre wichtig, vor allem junge Menschen vor diesen Mechanismen zu schützen“, warnt Smith mit Blick auf Glücksspiel-Mechaniken in Spielen. Damit verweist die Forscherin auf eine Leerstelle in den aktuellen Debatten um Jugendschutz im Netz, die vor allem um Alterskontrollen für soziale Medien kreisen.
Ein fertiges Regulierungs-Konzept für Glücksspiel-Mechanismen hat die Forscherin zwar nicht. In welchem Spannungsfeld man sich bei dem Thema bewegt, bringt sie jedoch in Reaktion auf eine Frage aus dem Publikum auf den Punkt: „Gibt es einen Bereich vom Spieldesign, der Spaß macht, Nervenkitzel birgt, profitabel ist für die Anbieter und im Bereich des sicheren Spielens liegt?“
Diverse Businesssoftware von SAP ist verwundbar. Angreifer können unter anderem an „kritischen“ Lücken in CRM and SAP S/4HANA (Scripting Editor) und NetWeaver Application Server ABAP and ABAP Platform ansetzen.
Weiterlesen nach der Anzeige
Aufgrund eines Fehlers können authentifizierte Angreifer im Kontext von CRM and SAP S/4HANA (Scripting Editor) SQL-Anweisungen ausführen und so Datenbanken vollständig kompromittieren (CVE-2026-0488 „kritisch“).
Bei NetWeaver Application Server ABAP and ABAP Platform spinnt die Rechtevergabe. Verfügen Angreifer über niedrige Nutzerrechte, können sie Funktionen ausführen, die eigentlich nur für höher privilegierte Nutzer nutzbar sind. Das kann die Verfügbarkeit der Anwendung einschränken (CVE-2026-0509 „kritisch“).
Sicherheitslücken mit dem Bedrohungsgrad „hoch“ bedrohen unter anderem Supply Chain Management (DoS CVE-2026-23689) und Commerce Cloud (DoS CVE-2025-0508). Der Großteil der verbleibenden Schwachstellen ist mit „mittel“ eingestuft und bedroht unter anderem Document Management System und Business One.
Die an diesem Patchday geschlossenen Sicherheitslücken listet der Softwarehersteller in seinem Portal auf. Weiterführende Informationen zu den Lücken und abgesicherten Versionen sind nur im Kundenportal einsehbar.
Weiterlesen nach der Anzeige
(des)
Das IT-Unternehmen OpenSlides unterstützt Parteien, Gewerkschaften und Vereine bei der Organisation von Rednerlisten und Abstimmungen. Die Produkte von OpenSlides werden bei Bundesparteitagen genutzt und auch bei zahlreichen kleineren Veranstaltungen. Nun will erstmals ein deutsches Parlament ein Digitales Wahlsystem des Herstellers einsetzen.
Der Düsseldorfer Stadtrat will heute seine Geschäftsordnung so ändern, dass künftig Abstimmungen digital durchgeführt werden können. Auch geheime Abstimmungen sollen über einen Internet-Dienst möglich sein. Laut einem Rechtsgutachtens sei das rechtskonform. Oberbürgermeister Stephan Keller (CDU) hat auf eine netzpolitik.org-Anfrage nicht reagiert.
Immer wieder gibt es Menschen und Gruppen, die demokratische Prozesse digitalisieren wollen. In zahlreichen Nationen werden bereits Wahlen digital durchgeführt. Doch die Praxis stößt auf massive Kritik. Laut Chaos Computer Club beispielsweise sind geheime, digitale Wahlen problematisch, weil ihre Integrität vom ordentlichen Funktionieren und der Manipulationssicherheit der Technologie abhängt. Diese elementaren Kriterien können von Wähler*innen, Wahlhelfenden und Wahlvorständen nicht überprüft werden.
In Deutschland wurden Wahlcomputer seit 1999 eingesetzt. Das Bundesverfassungsgericht stoppte 2009 ihre Verwendung. „Der Grundsatz der Öffentlichkeit der Wahl, der sich aus den verfassungsrechtlichen Grundentscheidungen für Demokratie, Republik und Rechtsstaat ergibt, gebietet, dass alle wesentlichen Schritte der Wahl öffentlich überprüfbar sind“, erklärte es dazu. Diese Überprüfung dürfe keine besonderen Kenntnisse benötigen.
Es gibt Ideen dazu, wie geheime, digitale Wahlen nachprüfbar ablaufen könnten. Doch diese beinhalten eine pseudonyme Identifikation der einzelnen Stimme. „Das wäre wie ein individuell gekennzeichneter Wahlschein“, sagt Emanuel Schütze, einer der Gründer von OpenSlides. Er sieht in solchen Ideen eine Gefahr für die Anonymität einer Wahl, da derartige Pseudonyme mit Klarnamen in Verbindung gebracht werden und eine freie Wahl verunmöglichen könnten. Ein Aufbrechen des Wahlgeheimnisses sei nicht akzeptabel.
Das Dilemma: Ohne solche Pseudonyme könne die Überprüfbarkeit nicht sichergestellt werden. Für Schütze bleibt nur ein Ausweg: „Wir müssen auf das System vertrauen“, sagt er. Im analogen System müsse man schließlich auch vertrauen, dass der Wahlschein nicht getauscht wird.
Sein Unternehmen sichere den Kunden vertraglich zu, dass es keine Daten manipuliere und auch nicht registriere, wer wofür stimmt. Es sei auch vertraglich ausgeschlossen, dass die Kunden Zugriff auf die Wahldaten bekommen. Protokolliert würde nur, wer seine Stimme abgegeben hat und wie viele Stimmen welche Option erhalten habe. Nicht: wer wofür stimmt.
Um die Manipulationssicherheit zu erhöhen, arbeite man an der Umsetzung eines kryptografischen Konzepts, das auch Kontrollstimmen beinhaltet, anhand derer man sehen kann, ob alle Stimmen sauber erfasst wurden.
Folgt man der Argumentation des Online-Wahl-Herstellers, kann in anonymen digitalen Wahlen immer nur eins garantiert werden: Anonymität oder Fälschungssicherheit. OpenSlides setzt dabei vorrangig auf Anonymität. Eine Wahlfälschung beispielsweise könnte demnach nicht anhand einer Neuauszählung der Stimmen nachgewiesen werden. Das ist problematisch, denn wie alle informationstechnischen Systeme, die am Internet hängen, ist auch das von OpenSlides angreifbar.
Selbst wenn man Administratoren und Servern von OpenSlides vertraut, bleibt eine Unsicherheit. Die digitalen Endgeräte, an denen die Abstimmungen vollzogen werden, sind ebenfalls ein Einfallstor für mögliche Angreifer. Oft werden zur Nutzung von OpenSlides private Geräte verwendet. Wer sich Zugriff auf ein solches Gerät verschafft, kann die Stimmabgabe registrieren und sogar manipulieren.
Schütze sieht die Sicherheitsprobleme durchaus. Er sagt, sein Unternehmen veranstalte absichtlich keine politischen Wahlen, bei denen es um die Zusammensetzung von Parlamenten geht. „Wir haben nicht vor, eine Landtagswahl oder Bundestagswahl zu unterstützen. Dafür ist aktuell keine Software bereit“, sagt er.
Dabei sind geheime Abstimmungen innerhalb von Parlamenten ja ebenso sensibel wie die zu deren Aufstellung. Chris Demmer, Fraktionsvorsitzender der Linksfraktion im Düsseldorfer Stadtrat sagt: „Die geheimen Abstimmungen sind mitunter die bedeutendsten. Da wählen wir zum Beispiel Politikerinnen und Politiker in die Aufsichtsräte unserer kommunalen Unternehmen. Schon eine Stimme mehr oder weniger ist dann sehr entscheidend. Eine unbemerkte Manipulation wäre fatal!“
Demmer wehrt sich dagegen, im politischen Prozess einer Software vertrauen zu müssen. „Anonyme digitale Abstimmungen sind in besonderem Maße der Gefahr von Manipulation unterworfen, weil jedes elektronische System angreifbar ist und es keine Möglichkeit gibt, die Ergebnisse unabhängig zu verifizieren“, sagt er.
Die Linksfraktion fordert: „Bei geheimen Abstimmungen sollte Düsseldorf aus Gründen der Sicherheit weiterhin auf Stift, Stimmzettel und Wahlurne setzen“. Demmer fügt hinzu: „Bei der Abstimmung mit Urne ist das Verfahren transparent. Im Zweifel öffnen wir den Deckel und zählen nach.“
Adobe hat seine Anwendungen Bridge, After Effects, Audition, DNG Software Development Kit (SDK), InDesign, Lightroom Classic, Substance 3D Designer, Substance 3D Modeler und Substance 3D Stager repariert. Wer die Sicherheitsupdates nicht installiert, riskiert, dass Angreifer Schadcode auf Computern ausführen. Adobe gibt an, dass ihnen derzeit keine Hinweise auf Angriffe vorliegen.
Weiterlesen nach der Anzeige
Der Softwarehersteller stuft den Großteil der Sicherheitslücken als „kritisch“ ein. In den meisten Fällen sind die Versionen für macOS und Windows verwundbar, und Angreifer können Schadcode ausführen. Das führt in der Regel zur vollständigen Kompromittierung von Systemen.
Beispiele dafür sind etwa Schwachstellen in Substance 3D Stager (CVE-2026-21341 „hoch“) und After Effects (CVE-2026-21318 „hoch“). Damit Schadcode auf Systeme gelangen kann, müssen Angreifer auf einem nicht näher beschriebenen Weg Speicherfehler auslösen (etwa Use After Free).
Adobes Entwickler versichern, die Sicherheitsprobleme in den folgenden Versionen gelöst zu haben:
(des)
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Schnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
Huawei Mate 80 Pro Max: Tandem-OLED mit 8.000 cd/m² für das Flaggschiff-Smartphone
Fast 5 GB pro mm²: Sandisk und Kioxia kommen mit höchster Bitdichte zum ISSCC
Kommentar: Anthropic verschenkt MCP – mit fragwürdigen Hintertüren
Syncthing‑Fork unter fremder Kontrolle? Community schluckt das nicht
Die meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
Weiter billig Tanken und Heizen: Koalition will CO₂-Preis für 2027 nicht erhöhen
