Cyberangriff auf die MGA: Hackerin erhebt schwere Vorwürfe

Die Malta Gaming Authority, kurz MGA, hat einen Einbruch in eines ihrer Systeme bestätigt. Wie die Behörde am 17. März mitteilte, wurden nach Entdeckung des Vorfalls umgehend interne Abläufe zur Bearbeitung von Sicherheitsvorfällen aktiviert. Zudem seien Maßnahmen zur Eindämmung und Schadensbegrenzung eingeleitet worden. Nach Angaben der Behörde konzentrieren sich seither alle relevanten technischen und operativen Ressourcen auf die Untersuchung des Falls.

Die MGA erklärte weiter, erste Hinweise deuteten darauf hin, dass die Aktivität möglicherweise einer Person zuzuordnen sei, die sich als Sicherheitsforscherin oder Sicherheitsforscher dargestellt habe. Zugleich betonte die Behörde, sie arbeite eng mit technischen Teams und zuständigen Behörden zusammen.

Unklarheit über betroffene Systeme und mögliche Datenabflüsse

Welche Systeme konkret betroffen waren und ob dabei sensible Informationen abgeflossen oder kompromittiert wurden, ist bislang nicht öffentlich bekannt. Auch der Umfang des Vorfalls bleibt offen. Wie die Times of Malta berichtet, machte die MGA zunächst keine näheren Angaben dazu, welche Systeme betroffen waren oder ob sensible Informationen kompromittiert wurden.

Damit steht zwar fest, dass es einen Sicherheitsvorfall gegeben hat. Wie weitreichend dieser war, lässt sich derzeit aber noch nicht belastbar einschätzen.

Lilith Wittmann beansprucht laut Bericht die Verantwortung

Neue Dynamik bekam der Fall am 20. März. Laut einem Bericht der Times of Malta erklärte die in Deutschland ansässige IT-Sicherheitsforscherin Lilith Wittmann auf X, sie habe die MGA gehackt. Dem Bericht zufolge schrieb Wittmann außerdem, die erlangten Daten seien mit Medienpartnern und Behörden geteilt worden. Ein öffentlicher Nachweis dafür liegt bislang nicht vor.

Im selben Zusammenhang wird Wittmann zudem mit der Ankündigung zitiert, sie wolle Missstände rund um Strukturen offenlegen, die organisierte Kriminalität begünstigen könnten.

Behörde weist Vorwürfe zurück

Die MGA reagierte noch am selben Tag mit einer weiteren Erklärung. Darin verurteilte sie jeden unautorisierten Zugriff auf ihre Systeme sowie jede Entnahme, Verarbeitung oder Verbreitung von Daten, die auf diesem Weg erlangt wurden. Vorwürfe, die im Zusammenhang mit dem Vorfall erhoben würden, seien nach Darstellung der Behörde nicht ausreichend belegt.

Zugleich stellte die MGA klar, dass es sich aus ihrer Sicht nicht um eine anerkannte Meldung in redlicher Absicht gehandelt habe. Damit widerspricht die Behörde einer möglichen Einordnung des Vorgangs als klassische Offenlegung einer Sicherheitslücke.

Wittmann ist in Deutschland keine Unbekannte

Lilith Wittmann ist in Deutschland durch frühere Recherchen zu IT-Sicherheitslücken bekannt. Wie heise im März 2025 berichtete, hatte sie bei Online-Casinos erhebliche Sicherheitsprobleme entdeckt und darüber öffentlich informiert. Auch die Times of Malta verweist auf einen Fall aus dem Vorjahr, in dem Wittmann Schwachstellen in der Software eines maltesischen Unternehmens ausgenutzt haben soll, das Online-Casinos bedient.

Diese Vorgeschichte erklärt, warum der aktuelle Fall auch über Malta hinaus Aufmerksamkeit erzeugt. Sie ersetzt allerdings keine unabhängige technische Aufarbeitung des jetzigen Vorfalls.

Belastbare Bewertung derzeit noch nicht möglich

Fachleute weisen seit Langem darauf hin, dass sich Ausmaß, betroffene Daten und mögliche Verantwortlichkeiten bei Sicherheitsvorfällen in der Regel erst nach einer forensischen Auswertung verlässlich beurteilen lassen. Leitlinien internationaler Fachstellen wie NIST und ENISA betonen, dass genau diese Analyse entscheidend ist, um Schwere und Folgen eines Vorfalls bewerten zu können.

Im Fall der MGA ist eine solche Bewertung öffentlich bislang nicht möglich. Dafür fehlen bisher belastbare Informationen darüber, welche Daten betroffen sein könnten und welche Auswirkungen der Vorfall tatsächlich hatte.

Fest steht damit bislang vor allem eines: Die MGA hat einen Einbruch in ein System bestätigt. Ebenso steht fest, dass Lilith Wittmann laut Medienberichten die Verantwortung dafür beansprucht. Nicht geklärt ist dagegen weiterhin, welche Systeme betroffen waren, ob Daten abgeflossen sind und wie schwer der Vorfall tatsächlich wiegt.