Prüfsiegel bei digitalen Spielen sichern nur den eingereichten Stand ab
Die Unterhaltungssoftware Selbstkontrolle hat am 17. März 2026 ihre Jahresbilanz für 2025 vorgelegt. Im klassischen Verfahren kamen 1.675 Prüftitel zusammen. Über das automatisierte System der International Age Rating Coalition vergab dieselbe Einrichtung im selben Zeitraum rund 1,3 Millionen Kennzeichen.
Beide Zahlen stehen unter demselben Logo. Für die 1.675 Titel sichtet ein Gremium das Spiel. Die 1,3 Millionen entstehen aus einem Fragebogen, den der Anbieter selbst ausfüllt.
Chi-Quadrat, Runs-Test und ein Konfidenzniveau von 99 Prozent
Chi-Quadrat-Test, Gleichverteilungstest, Gap-Test, Runs-Test, serieller Korrelationstest. Diese Verfahren tauchen in den technischen Normen der Prüflabore weltweit in nahezu identischer Zusammenstellung auf. Sie vergleichen die erzeugte Zahlenfolge mit dem, was echter Zufall statistisch liefern müsste, und arbeiten mit festgelegten Konfidenzniveaus, üblicherweise 99 Prozent.
Vorgeschrieben ist dabei kein bestimmter Generator. Die Normen beschreiben das Ergebnis, nicht den Weg dorthin. Ein Hersteller darf jedes Verfahren einsetzen, solange die Ausgabe die Tests besteht.
Bildet die Software ein physisches Vorbild nach, kommt eine zweite Prüfung hinzu. Simuliert sie ein Roulette mit Null und Doppelnull, muss jede Zahl mit einer Wahrscheinlichkeit von 1 zu 38 fallen. Abweichungen fallen im Test sofort auf.
Ein bestandener Test bescheinigt, dass die geprüfte Zahlenfolge sich statistisch nicht von Zufall unterscheiden ließ. Über den Code dahinter sagt er nichts.
Sind unabhängige Einordnungen besser als offizielle Behördenberichte?
Prüfsiegel und behördliche Zulassungen schaffen überprüfbare Mindeststandards. Sie bestätigen jedoch immer nur den jeweils geprüften Zustand eines Spiels oder einer Software und können nicht jede spätere Änderung oder jede denkbare Schwachstelle ausschließen. Die Beispiele aus der Praxis zeigen zudem, dass selbst statistisch unauffällige Zufallszahlen oder bestandene Prüfverfahren keine Garantie dafür sind, dass die gesamte technische Umsetzung fehlerfrei oder unangreifbar ist.
Vor diesem Hintergrund ist eine unabhängige fachliche Einordnung für Spieler oft die bessere Alternative, wenn diese von Branchenprofis mit jahrelanger Erfahrung durchgeführt wurde. Experten wie die casino.org-Redaktion, die eine professionell geprüfte Online Casino Auswahl hier bereitstellen, bewerten Anbieter anhand verschiedener Kriterien wie Lizenzierung, Transparenz, Sicherheitsstandards, Spielerschutz, Zahlungsabwicklung und Nutzererfahrung. Solche redaktionellen Bewertungen ersetzen zwar keine behördlichen Zulassungen oder technischen Prüfungen, können aber dabei helfen, seriöse Angebote leichter von weniger vertrauenswürdigen Anbietern zu unterscheiden.
Die Prüfplakette am Gerät und die 24-Monats-Frist
Bei Geldspielgeräten in Spielhallen und Gaststätten liegt die Zuständigkeit bei der Physikalisch-Technischen Bundesanstalt, dem nationalen Metrologie-Institut. Deren Arbeitsgruppe Spielgeräte prüft die Bauart und erteilt die Zulassung. Zu den Antragsunterlagen gehört ein IT-Sicherheitsgutachten einer vom BSI zertifizierten oder gleichwertigen Stelle, und welche Angriffsszenarien darin mindestens untersucht sein müssen, hat die Behörde gemeinsam mit dem Fraunhofer-Institut AISEC festgelegt.
Jede Zulassung wird veröffentlicht, einmal im Monat, jeweils zum Ersten. Neben dem Zulassungsschein liegt in der Datenbank eine gesonderte Datei mit den Prüfsummen der zugelassenen Software. Damit lässt sich abgleichen, ob auf einem Gerät noch der genehmigte Stand läuft.
Mit der Zulassung ist die Sache nicht erledigt. Spätestens 24 Monate nach Aufstellbeginn muss der Aufsteller jedes Gerät auf Übereinstimmung mit der zugelassenen Bauart überprüfen lassen, durch einen öffentlich bestellten und vereidigten Sachverständigen oder eine zugelassene Stelle, auf eigene Kosten. Das Ergebnis trägt das Gerät danach als Prüfplakette, gesichert mit Farbkippeffekt und UV-Merkmal.
In den Hinweisen zu ihren Zulassungen hält die Behörde fest, dass diese ausschließlich auf Gewerbeordnung und Spielverordnung beruhen. Arbeitsschutz, Sicherheitstechnik und Gesundheitswesen bleiben unberührt.
Ein Pokerdeck mit 86 Millionen statt 52 Fakultät Möglichkeiten
Im September 1999 veröffentlichte die Sicherheitsgruppe von Reliable Software Technologies eine Analyse der Mischsoftware von ASF Software, die damals mehrere Online-Pokerräume belieferte. Das Unternehmen hatte den Algorithmus zuvor selbst auf seiner Website publiziert, als Beleg für die Fairness des Spiels.
Ein Kartendeck lässt sich auf 52 Fakultät Arten anordnen, eine Zahl mit 68 Stellen. Die untersuchte Software erreichte davon einen winzigen Bruchteil. Sie nutzte einen 32-Bit-Generator, dessen Startwert aus der Uhrzeit des Rechners stammte. Nach der Analyse blieben rund 86 Millionen mögliche Mischungen übrig. Dazu kam ein Fehler in der Tauschschleife, durch den einzelne Anordnungen häufiger auftraten als andere.
Wer die Serveruhr kannte und wenige offene Karten sah, konnte die verbliebenen Kandidaten auf einen einzigen eingrenzen und die Blätter der Mitspieler mitlesen.
Der Fehler steckte nicht im Zufallsgenerator, sondern in allem, was um ihn herum gebaut war.
Der Code, der nur im Dezember anders rechnete
Eddie Tipton verantwortete als Sicherheitsdirektor der Multi-State Lottery Association die Software, die für die Lotterien mehrerer US-Bundesstaaten die Gewinnzahlen zog. In die Programmbibliothek des Ziehungsrechners fügte er Code ein, der das Systemdatum abfragte. An bestimmten Tagen im November und Dezember der Jahre 2005 bis 2011 lieferte der Generator nur noch eine kleine, vorhersagbare Auswahl. An allen übrigen Tagen arbeitete er normal.
Darin liegt das Problem, das jedes statistische Verfahren an dieser Stelle hat. Eine Verteilungsprüfung misst die Ausgabe. Eine Bedingung, die an wenigen Tagen im Jahr greift, kann sie nicht sehen.
Aufgefallen ist die Manipulation ohnehin nicht durch eine Prüfung. Ein Gewinnschein über 14,3 Millionen Dollar, gekauft im Dezember 2010, blieb fast ein Jahr liegen und sollte danach anonym eingelöst werden. Erst die Ermittlungen führten zur Rekonstruktion des Codes. Tipton wurde 2015 verurteilt und gestand 2017 mehrere manipulierte Ziehungen.
