Kurz gesagt: so sicher wie der Betreiber — und nicht sicherer. Was Sie im Casino als Krypto-Guthaben sehen, liegt nicht in einer Wallet, die Ihnen gehört, sondern auf Adressen des Anbieters; Sie haben lediglich einen vertraglichen Anspruch auf Auszahlung. Dass auch große Häuser angegriffen werden, belegt der Fall Stake.com: Laut FBI wurden dort am oder um den 4. September 2023 rund 41 Millionen US-Dollar entwendet. Anders als bei einer Börse mit MiCA-Zulassung gibt es für Casino-Guthaben weder eine gesetzliche Trennung vom Betreibervermögen noch eine geregelte Haftung. Ihr wirksamster Schutz ist deshalb, wie viel und wie lange Sie dort liegen lassen.
Bei der Einzahlung zeigt Ihnen die Kasse eine Adresse, die meist nur für Ihr Konto erzeugt wird. Das wirkt wie eine persönliche Wallet, ist es aber nicht: Den privaten Schlüssel zu dieser Adresse hält der Betreiber. Kurz nach dem Eingang werden die Coins in der Regel auf Sammeladressen des Casinos weitergeleitet. Ihr Spielkonto ist von da an eine Zahl in der Datenbank des Anbieters — eine Forderung, kein Coin auf der Blockchain, der Ihnen zugeordnet ist.
Technisch teilen die meisten Anbieter ihre Bestände in zwei Töpfe. Die Hot Wallet ist dauerhaft mit dem Internet verbunden, weil aus ihr die schnellen Auszahlungen laufen. Die Cold Wallet liegt offline und wird nur von Zeit zu Zeit angezapft, um die Hot Wallet aufzufüllen. Je größer der Anteil im Hot-Topf, desto schneller kann ein Casino auszahlen — und desto mehr steht bei einem Angriff im Feuer. Wie ein Anbieter diese Aufteilung handhabt, veröffentlicht praktisch keiner; von außen lässt sie sich nicht prüfen.
Das erklärt auch einen Teil der Wartezeiten, die Spieler aus manchen Kassen kennen: Wer sofortige Auszahlungen anbietet, hält zwangsläufig mehr Liquidität online. Ein Anbieter, der größere Beträge erst nach manueller Freigabe auszahlt, schützt damit unter Umständen auch seine Bestände. Lange Wartezeiten sind trotzdem kein Sicherheitsbeweis — sie können genauso gut auf Liquiditätsprobleme hindeuten. Wer einen Anbieter nach Auszahlungstempo auswählt, findet die Unterschiede in unserer Übersicht zur schnellen Auszahlung.
Der bekannteste Angriff auf ein Krypto-Casino ist gut dokumentiert. In einer Pressemitteilung vom 6. September 2023 ordnete das FBI den Diebstahl bei Stake.com der Lazarus Group zu, einer Hackergruppe, die US-Behörden Nordkorea zurechnen. Die Mitteilung nennt im selben Atemzug zwei weitere Vorfälle — und gerade der Vergleich ist lehrreich, weil er drei verschiedene Orte zeigt, an denen Krypto gestohlen wurde:
| Datum (laut FBI „on or about“) | Betroffen | Art des Ziels | Schaden laut FBI |
|---|---|---|---|
| 2. Juni 2023 | Atomic Wallet | Wallet-Software, Schlüssel beim Nutzer | rund 100 Mio. US-Dollar |
| 22. Juli 2023 | Alphapo und CoinsPaid | Krypto-Zahlungsabwickler, u. a. für Glücksspielanbieter | rund 60 Mio. US-Dollar (zusammen) |
| 4. September 2023 | Stake.com | Online-Casino, Bestände auf Ethereum, BNB Smart Chain und Polygon | rund 41 Mio. US-Dollar |
Quelle: FBI-Pressemitteilung vom 6. September 2023 (fbi.gov), Beträge und Daten als gerundete Angaben des FBI; Spalte „Art des Ziels“: eigene Einordnung der Redaktion. Laut derselben Mitteilung erbeuteten die Täter im Jahr 2023 insgesamt mehr als 200 Mio. US-Dollar.
Drei Lehren lassen sich daraus ziehen. Erstens: Die Angriffe zielen auf die Infrastruktur der Betreiber, nicht auf einzelne Spielerkonten — gegen einen solchen Angriff können Sie als Kunde nichts tun. Zweitens: Auch ein Zahlungsdienstleister im Hintergrund ist ein Risiko, das Sie in der Kasse gar nicht sehen. Drittens: Die eigene Wallet ist kein Freifahrtschein; der Fall Atomic Wallet traf Nutzer, die ihre Schlüssel selbst hielten.
Für Spieler bei Stake ging der Vorfall nach Angaben des Anbieters glimpflich aus: Das Unternehmen erklärte, den Schaden aus eigenen Reserven gedeckt zu haben, Kundenguthaben seien unberührt geblieben. Das war eine freiwillige Entscheidung eines finanzstarken Betreibers, keine Pflicht. Ein kleineres Casino hätte einen Verlust dieser Größenordnung womöglich nicht tragen können. Mehr zur Marke, die deutsche Spieler ohnehin nicht annimmt, steht in unserem Stake-Bericht.
Seit die Krypto-Verordnung MiCA (VO (EU) 2023/1114) voll anwendbar ist, gelten für zugelassene Krypto-Verwahrer in der EU klare Pflichten. Art. 75 Abs. 7 verlangt, dass Kundenbestände auf der Blockchain getrennt von den eigenen Beständen des Anbieters geführt und rechtlich so von seinem Vermögen getrennt sind, dass Gläubiger im Insolvenzfall nicht darauf zugreifen können. Nach Abs. 8 haftet der Verwahrer für Verluste aus Vorfällen, die ihm zuzuschreiben sind — begrenzt auf den Marktwert der verlorenen Kryptowerte zum Zeitpunkt des Verlusts. Hinzu kommen eine Verwahrstrategie, die das Risiko von Cyberangriffen minimieren muss (Abs. 3), und eine Aufstellung der Positionen mindestens alle drei Monate (Abs. 5).
Ein Offshore-Casino mit Lizenz aus Curaçao oder Anjouan ist kein solcher Verwahrer. Ihr Guthaben dort ist ein Anspruch aus dem Spielvertrag, für den keine dieser Regeln gilt:
| Wo das Guthaben liegt | Getrennt vom Betreibervermögen? | Haftung bei einem Hack | Ihr Hebel |
|---|---|---|---|
| Spielkonto im Offshore-Casino | nicht vorgeschrieben | nicht geregelt — hängt am Willen und an den Reserven des Betreibers | wenig liegen lassen, zügig auszahlen |
| Börse mit MiCA-Zulassung | ja, Art. 75 Abs. 7 | ja, bei zurechenbaren Vorfällen bis zum Marktwert, Art. 75 Abs. 8 | Zulassung im ESMA-Register prüfen |
| Eigene Wallet (Software oder Hardware) | Sie halten den Schlüssel selbst | keine — der Verlust trifft Sie | Seed offline sichern, für größere Beträge Hardware-Wallet |
Quelle: VO (EU) 2023/1114 (MiCA), Art. 70 und 75 im Wortlaut von eur-lex.europa.eu, abgerufen am 20. Oktober 2026; Zeile „Offshore-Casino“: eigene rechtliche Einordnung der Redaktion, keine Rechtsberatung. Eine Einlagensicherung wie für Bankguthaben gibt es für Kryptowerte in keiner der drei Zeilen.
Der Wortlaut der Verordnung steht auf EUR-Lex. Für die Praxis heißt die Tabelle: Wer Gewinne über eine zugelassene Börse in Euro tauscht, steht dort deutlich besser geschützt da als im Casino. Welche Coins sich für den Weg vom Casino zur Börse eignen, zeigt unser Überblick zu den Zahlungsmethoden.
Gegen einen Angriff auf die Hot Wallet eines Casinos hilft kein Passwort. Das größere Alltagsrisiko für Spieler ist aber ein anderes: die Übernahme des eigenen Kontos. Wer Zugangsdaten abgreift, braucht keinen Server-Hack, sondern nur eine geänderte Auszahlungsadresse. Dagegen können Sie viel tun:
Bei der Wahl des Anbieters zählt die Substanz hinter der Marke: wer ihn betreibt, unter welcher Lizenz, seit wann. Ein Casino, das Betreiber und Lizenznummer offen nennt, ist nicht automatisch sicher, aber im Ernstfall greifbar. Diese Angaben stellen wir in jedem Bericht unseres Casino-Vergleichs zusammen.
Eine Pflicht dazu gibt es nicht. Stake hat den Schaden von rund 41 Mio. US-Dollar im September 2023 nach eigenen Angaben aus Reserven gedeckt — das war eine freiwillige Entscheidung. Ob ein anderer Anbieter das könnte oder wollte, hängt allein von seinen Reserven und seiner Geschäftspolitik ab.
Nein. Die Pflichten zur Trennung der Kundenbestände und die Haftung nach Art. 75 MiCA gelten für zugelassene Krypto-Verwahrer wie Börsen. Ein Casino mit Offshore-Lizenz ist kein solcher Anbieter; Ihr Guthaben dort ist ein vertraglicher Auszahlungsanspruch gegen den Betreiber.
Sie verlagert das Risiko zu Ihnen: Kein Betreiber kann pleitegehen oder Auszahlungen verzögern, aber wer Ihren Seed kennt, hat Ihr Geld. Der Fall Atomic Wallet (rund 100 Mio. US-Dollar laut FBI, Juni 2023) zeigt, dass auch Software-Wallets angegriffen werden. Für größere Beträge ist eine Hardware-Wallet die solidere Wahl.
Unsere Redaktion pflegt Ranking, Testberichte und Ratgeber. Grundlage sind Anbieterseiten, öffentliche Register und benannte Drittquellen; jede Tabelle nennt Quelle und Datenstand.