Wie viel Steuern entgehen dem deutschen Staat durch illegales Glücksspiel? Unter anderem zu dieser Frage recherchiert die IT-Sicherheitsexpertin Lilith Wittmann und wurde dabei auf die maltesische Glücksspielbehörde, die Malta Gaming Authority (MGA), aufmerksam. Sie beschaffte sich Dokumente und gab diese an Medien sowie Ermittlungsbehörden weiter. Daraufhin beantragte die MGA am Landgericht II in Berlin gegen Wittmann eine einstweilige Verfügung.

Die bestand im Wesentlichen aus zwei Forderungen: Wittmann sollte sich erstens nicht erneut ein Tarnkonto im Webportal der MGA erstellen und sich keinen Zugang mehr zu dort gespeicherten Dokumenten verschaffen dürfen. Dazu zählen etwa Jahresabschlüsse, Finanzberichte und Steuerunterlagen. Zudem forderte die MGA, dass Wittmann diese Dokumente nicht an Dritte wie Journalist*innen weitergeben darf.

Zweitens sollte Wittmann laut Verfügungsantrag der MGA nicht mehr öffentlich sagen dürfen, die MGA unterstütze „Netzwerke organisierter Kriminalität“ und habe „Strukturen geschaffen, die organisierte Kriminalität ermöglichen“ („organized crime enablement schemes you created“). Das postete Wittmann im März auf LinkedIn.

Am 24. September urteilte das Gericht. Es bestätigt die einstweilige Verfügung in Teilen: Wittmann darf demnach das Webportal der MGA nicht erneut „hacken“. In Teilen hat das Gericht die Verfügung aufgehoben: Wittmann darf die Dokumente an Presse und Ermittlungsbehörden weitergeben. Und sie darf sich über die MGA so äußern, wie sie es auf LinkedIn getan hat.

Firmenstandort Malta

Wittmann recherchiert zu illegalem Glücksspiel. Teile ihrer Recherche hat sie in ihrem Blog und in Kooperation mit RTL Extra veröffentlicht. In einem im Juli ausgestrahlten Beitrag des TV-Magazins berichtete Wittmann über ihre Recherchen zur Lottoland-Gruppe. Die Gruppe bietet in Deutschland über die Websites lottoland.com und lottohelden.de sogenannte Zweitlotterien an. Spieler*innen schließen hier Wetten auf die Ziehung der Lottozahlen ab, setzen also nicht selbst Lottozahlen. Zweitlotterien sind in Deutschland verboten.

Dass Spieler*innen damit an illegalem Glücksspiel teilnehmen, ist für sie nicht ohne Weiteres erkennbar. Da die Websites unter anderem denen der staatlichen Lotterie ähneln, wirken sie auf den ersten Blick seriös. Auch können Nutzer*innen nur dem Kleingedruckten entnehmen, dass sie wetten, statt an einer Lotterie teilzunehmen.

Im Impressum der beiden Websites ist die „Deutsche Lotto- & Toto-Agentur“ angegeben und als Firmenstandort Malta. Unten auf der Website findet sich zudem das Logo der MGA. Die Behörde hat die Glücksspiel-Lizenz an Lottoland vergeben.

Was steckt in den Dokumenten?

Die Geschäftspraktiken der Lottoland-Gruppe hätten den deutschen Staat zwischen 2019 und 2023 um Steuereinnahmen in Höhe von rund 400 Millionen Euro gebracht, schätzt Wittmann. Dabei stützt sie sich auf interne Dokumente wie Jahresabschlüsse der auf Malta ansässigen European Lotto and Betting Limited, die das Deutschlandgeschäft von Lottoland betreibt. Die Dokumente konnte Wittmann vom Portal der maltesischen Glücksspielbehörde extrahieren. Sie enthalten Zahlen zu den Umsätzen, die Lottoland in Deutschland erwirtschaftet hat.

Deutsche Ermittlungsbehörden haben Lottoland offenbar schon länger im Visier. Um steuerrechtlich gegen die Unternehmen hinter dem Angebot vorgehen zu können, hätten bisher aber Belege über die in Deutschland generierten Einnahmen gefehlt, sagt Thomas Dünchheim im RTL-Beitrag. Er ist Jurist und Experte für Glücksspielrecht. Diese Information sei wichtig, um die Höhe der Steuern bestimmen zu können, die Lottoland hätte zahlen müssen.

Unklar bleibt, ob die MGA Kenntnis von dem Vorgehen der Lottoland-Gruppe hatte. Auf unsere Nachfrage gab die Behörde lediglich an, „in Deutschland entstehende Steuerverbindlichkeiten fallen in den Zuständigkeitsbereich der zuständigen deutschen Behörden“. Es ist bislang kein Urteil in dieser Angelegenheit ergangen.

Im Sinne der Pressefreiheit

„Die MGA als Klägerin wollte ein möglichst umfassendes Verbot umsetzen. Das ist ihnen im Beschlusswege zunächst auch geglückt“, sagt Jonas Kahl gegenüber netzpolitik.org. Nach der öffentlichen Verhandlung sei davon aber wenig übrig geblieben. Der Rechtsanwalt von der Kanzlei Spirit Legal vertrat Wittmann vor Gericht.

„Das Gericht stellt jetzt im Urteil klar, dass sämtliche angegriffenen Äußerungen von Lilith Wittmann zulässige Meinungsäußerungen und keine unwahren Tatsachenbehauptungen sind“, sagt Kahl. Auch Wittmann zeigt sich erleichtert. „Ich darf sagen, dass die MGA unter Umständen das organisierte Verbrechen ermöglicht und das ist extrem wichtig für die Berichterstattung“, sagt die Sicherheitsexpertin gegenüber netzpolitik.org.

Die MGA hat zudem ein weiteres wesentliches Ziel verfehlt, das sie mit ihrer einstweiligen Verfügung angestrebt hatte. Denn laut dem Urteil dürfen Journalist*innen die Dokumente verwerten, die Wittmann aus dem System der Behörde extrahiert hat.

Die maltesische Glücksspielbehörde hatte argumentiert, dass Hacken auch umfasst, Dritten – zum Beispiel Journalist*innen – Zugang zu Dokumenten zu verschaffen. Das Gericht stellt nun klar: Dritten den Zugang zu Dokumenten ermöglichen, ist nicht das Gleiche wie Dritten den Zugang zum System ermöglichen.

Sicherheitsexpertin bleibt auf Kosten sitzen

Aus Sicht von Rechtsanwalt Jonas Kahl war die MGA in einer Hinsicht indirekt erfolgreich. „Das Vorgehen der Gegenseite spricht dafür, dass es ihr nicht in erster Linie darum geht, ihr Recht durchzusetzen, sondern dass sie es Lilith Wittmann möglichst schwer machen und viele Verfahrenskosten verursachen will“, sagt Kahl. Die werden sich vermutlich auf 15.000 bis 20.000 Euro belaufen.

Neben Anwaltskosten fallen auch Kosten für das Verfahren bei der Zivilkammer an. Wegen der Besonderheiten im zivilrechtlichen Verfahren trägt Wittmann diese Kosten größtenteils selbst, auch wenn das Urteil des Gerichts zum Teil zu ihren Gunsten ausgefallen ist.

Weitere Kosten kämen hinzu, wenn die MGA in Berufung gehen würde. Ob sie solche Pläne verfolgt, wollte die Behörde auf Anfrage nicht kommentieren. Aus Sicht von Wittmann ist es das eigentliche Ziel der Behörde, „mich davon abzuhalten, weiter zu recherchieren und zu berichten. Deswegen gehe ich auch nicht davon aus, dass sie von mir ablassen wird.“

MGA hat Detektei eingeschaltet

Im Vorfeld der einstweiligen Verfügung beauftragte die MGA eine Detektei damit, Wittmann zu beobachten. Ein Bericht der Detektei ist den Verfahrensakten beigefügt. Auf Anfrage begründete die MGA die Beauftragung gegenüber netzpolitik.org damit, dass sie die „physische Adresse von Wittmann“ ermitteln wollte, um „relevante Rechtsdokumente“ zustellen zu können.

Daneben führte die Detektei Gespräche mit ehemaligen Arbeitgebern von Wittmann. „Wenn du da auf einmal einen Bericht über mehrere Seiten siehst, wo jemand mit deinen alten Arbeitgebern gesprochen, alte Adressen von dir abgeklappert hat – das ist einschüchternd“, sagt Wittmann.

Klagen, um einzuschüchtern

Sie und ihre Rechtsanwälte gehen davon aus, dass es sich bei dem Vorgehen der MGA um SLAPP handelt.

SLAPP bezeichnet das Vorgehen, wenn etwa Unternehmen Journalist*innen mit inhaltlich unbegründeten Klagen an ihrer Arbeit hindern. Die Abkürzung steht für „strategic lawsuit against public participation“, also strategische Klagen gegen öffentliche Beteiligung. Um Journalist*innen vor solchen Klagen zu schützen, hat die EU 2024 die Anti-SLAPP-Richtlinie beschlossen.

Die Richtlinie sieht vor, dass Beklagte potenzielle Einschüchterungsklagen frühzeitig von einem Gericht prüfen lassen können. Die Klägerin muss dann begründen, warum das Verfahren fortgesetzt werden muss. Zudem schützt die Richtlinie vor hohen Verfahrenskosten und soll Parteien mittels drohender Sanktionen von SLAPP-Klagen abhalten.

Wittmann und ihre Anwälte konnten sich jedoch nicht auf die Richtlinie stützen, weil sie in Deutschland noch nicht in nationales Recht umgesetzt wurde. Deutsche Gerichte könnten die darin enthaltenen Bestimmungen noch nicht ohne Weiteres anwenden.

Gegenüber netzpolitik.org weist die MGA den SLAPP-Vorwurf zurück. Das Ziel ihrer einstweiligen Verfügung sei es, die ihr anvertrauten Informationen vor unbefugtem Zugriff zu schützen.

Von öffentlichem Interesse

Laut Gericht kann die Art und Weise, wie Wittmann sich Informationen von der Behörde beschafft hat, als Verstoß gegen den sogenannten Hackerparagrafen 202a Strafgesetzbuch gewertet werden. Ein solcher Verstoß liegt vor, wenn eine Person Sicherheitshürden überwinden muss, um sich unberechtigterweise Zugang zu einem IT-System zu verschaffen.

Um an die Dokumente im Portal der MGA zu kommen, gab Wittmann eine andere Identität vor. Und sie fand zufällig eine Schnittstelle, über die sie Zugang zu den Organisationen der MGA erhielt, wo sie dann Dokumente herunterladen konnte. Das Vorgehen beschreibt die Sicherheitsexpertin in einem Blog-Beitrag. Die Sicherheitslücke hat die MGA inzwischen geschlossen.

Ihr Vorgehen begründet Wittmann damit, dass die Dokumente von öffentlichem Interesse seien. Sie beruft sich auf das „Lex Wallraff“, das nach dem Investigativjournalisten Günther Wallraff benannt ist. Wallraff ließ sich für eine Recherche mit gefälschter Identität bei der Bild-Zeitung anstellen. Laut einer Entscheidung des Bundesgerichtshofs dürfen Journalist:innen in begründeten Einzelfällen Informationen auch mit verbotenen Mitteln beschaffen und verbreiten, sofern es darum geht, Missstände aufzudecken, die der Öffentlichkeit schaden. In solchen Fällen wiege die Pressefreiheit schwerer als die Interessen der Betroffenen, so der BGH.

Ist das Hacking?

Das Landgericht II in Berlin erachtet die „Sicherheitsvorkehrungen“, die die MGA für ihre Website getroffen habe, als „hinreichend“. Bei „ordnungsgemäßer Nutzung“ des Portals sei der Zugang zu Organisationen sowie Dokumenten nicht gegeben. Dagegen argumentieren Wittmanns Anwälte, dass das System offen gewesen sei und nicht die unionsrechtlichen Vorgaben an IT-Sicherheit erfüllt habe. „Behörden müssen ihre Systeme per Gesetz schützen“, so Peter Hense, der ebenfalls Wittmanns Rechtsanwalt ist. Da die MGA personenbezogene Daten verarbeite, unterliege sie der Datenschutzgrundverordnung, die diesbezüglich strenge Vorgaben macht.

Diese Einschätzung stützt ein Prüfbericht der Beratungsfirma PricewaterhouseCoopers aus dem Jahr 2024, den die MGA eingereicht hat. Der größtenteils geschwärzte Bericht lässt aus Sicht von Wittmanns Anwälten den Schluss zu, dass die MGA ihr IT-System nicht ausreichend vor fremdem Zugriff geschützt habe.