Wenn nichts mehr geht: Was der Ausfall der Hit-Casinos über Verfügbarkeit als Compliance-Thema sagt

Bei der slowenischen Hit-Gruppe, einem der größten Glücksspiel- und Tourismusbetriebe des Landes, legte ein Cybervorfall ab dem 25. August 2026 sechs Casinos still. Betroffen waren nicht nur die Spielsysteme, sondern Kassensysteme, Hotelrezeption und Gastronomie. Belege wurden in den Lokalen handschriftlich ausgestellt, ein Teil der Beschäftigten wurde vorübergehend freigestellt, weil die für den Normalbetrieb nötigen Systeme fehlten.

Ab Freitag lief der Betrieb stufenweise wieder an, zunächst mit einer Auswahl an Automatenspielen. Noch am 31. August waren Tischspiele und Bingo weiterhin nicht verfügbar, ebenso das Kundenbindungssystem. Zur Angriffsart, zu einem möglichen Datenabfluss und zu einer Lösegeldforderung hat das Unternehmen mit Verweis auf die laufenden Ermittlungen nichts gesagt.

Der Fall ist deshalb interessant, weil er eine Branche trifft, die in keiner Anlage zum NISG 2026 steht und die trotzdem in wenigen Stunden vollständig arbeitsunfähig wird.

Der Ablauf und was daran typisch ist

Das Muster bei einem derartigen Vorfalls ist bekannt: Erkennung des Vorfalls, präventive Abschaltung, tagelanger Stillstand, gestufter Wiederanlauf, wochenlanger Reststand. Drei Punkte verdienen Aufmerksamkeit.

• Die Abschaltung war eine Entscheidung, keine Folge des Angriffs. Wer zentrale Serverdienste vom Netz nimmt, um eine Ausbreitung zu stoppen, verursacht den Betriebsausfall selbst. Das ist grundsätzlich meistens richtig, verlagert die Frage aber von der Technik in die Geschäftsführung: Wer darf diese Entscheidung treffen, auf welcher Grundlage, und was kostet sie pro Tag?
• Zweitens erfolgte der Wiederanlauf nach Kritikalitätsklassen, sichtbar an der Reihenfolge Automatenspiel, dann Tischspiel, Bingo und Kundenbindung zuletzt. Diese Reihenfolge ist entweder das Ergebnis einer Business Impact Analyse oder das Ergebnis dessen, was sich technisch am schnellsten wiederherstellen ließ. Nur im ersten Fall wäre sie eine Steuerungsleistung.
• Außerdem lag die spürbare Wirkung nicht im Spielbetrieb alleine, sondern auch in den essenziellen Randsystemen. Kassa, Rezeption und (bedingt) auch Gastronomie halten den Betrieb im schlimmsten Fall genauso zuverlässig an wie ein Ausfall der Spielsoftware, stehen in Schutzbedarfsanalysen aber häufig eine Kategorie tiefer.

Der blinde Fleck in der Betroffenheitsprüfung

Glücksspiel und Hotellerie finden sich weder in Anlage 1 noch in Anlage 2 zum NISG 2026. Ein großer Casino- und Hotelbetrieb erfüllt zwar mühelos die Größenkriterien, fällt aber in keinen betroffenen Sektor. Größe allein macht nicht betroffen.

Das ist gesetzgeberisch nachvollziehbar. Die Sektorlisten in NIS2 bilden gesellschaftliche Kritikalität ab, also die Frage, welcher Ausfall Versorgung, Sicherheit oder öffentliche Ordnung gefährdet. Ein geschlossenes Casino oder Hotel gefährdet nichts davon.

Die betriebliche Kritikalität kennt diese Grenze nicht. Sie bemisst sich am eigenen Geschäftsmodell: an Tagesumsatz, an vertraglichen Zusagen, an Konzessionsauflagen, an der Frage, wie lange Personal ohne Beschäftigung bezahlt oder freigestellt wird. Wer seine Verfügbarkeitsanforderungen aus der Betroffenheitsprüfung ableitet statt aus dem Geschäftsmodell, plant den Notbetrieb für den falschen Fall.

Woher trotzdem Pflichten abgeleitet werden müssen

Vier Themenbereiche sind jedoch auch ohne NIS2-Relevanz zu beachten:

• Konzessions- und Aufsichtsrecht. Nicht nur im österreichischen Glücksspielrecht sind die Kontrollpflichten selbst IT-Vorgänge: Identitätsfeststellung und Spielerschutz einschließlich Sperren nach § 25 GSpG, die Sorgfaltspflichten zur Geldwäscheprävention nach § 31c GSpG, die Aufzeichnungs- und Anbindungspflichten für Automaten und Videolotterieterminals. Fällt das System aus, das Sperrlisten abgleicht oder Umsätze aufzeichnet, ist der Spielbetrieb nicht bloß unbequem, sondern rechtlich nicht mehr zulässig. Der Ausfall zwingt dann zum Stillstand, nicht zum Notbetrieb. Diese Abhängigkeit gehört in die Schutzbedarfsfeststellung, und zwar mit derselben Aufmerksamkeit wie die umsatztragenden Systeme.
• Kreditkarten. Für Akzeptanzstellen gilt PCI DSS unabhängig von der NIS2-Betroffenheit. Anforderung 12.10 verlangt einen dokumentierten und geübten Plan zur Reaktion auf Vorfälle. Wesentlicher ist im Notbetrieb ein anderer Punkt: Werden Kartendaten händisch erfasst, wandert der Geltungsbereich auf Papier, mit allen Folgen für den Schutz gespeicherter Kontodaten und die physische Sicherung der Medien. Der Notbetrieb erzeugt eigene Risiken, die selten bewertet sind.
• Lieferkette. Firmen- und Tagungskunden, Veranstalter und Zahlungsdienstleister, die selbst wesentliche oder wichtige Einrichtungen sind, geben ihre Anforderungen vertraglich weiter. § 32 Abs. 4 lit. d NISG 2026, abgeleitet aus Art. 21 Abs. 2 lit. d NIS-2-RL, macht die Sicherheit der Lieferkette zur Pflicht des Adressaten. Beim nicht regulierten Lieferanten kommt sie als Vertragsklausel, Fragebogen und Auditrecht an. ISO 27001:2022 bildet das übrigens in A.5.19 bis A.5.22 ab.
• Datenschutz. Art. 32 Abs. 1 lit. b und c DSGVO nennt Verfügbarkeit, Belastbarkeit und die Fähigkeit zur raschen Wiederherstellung ausdrücklich als Schutzziele. Schon ein reiner Verfügbarkeitsverlust ist eine Verletzung des Schutzes personenbezogener Daten und kann nach Art. 33 DSGVO binnen 72 Stunden meldepflichtig sein. Im Casino- und Hotelbetrieb geht es dabei um Gästemeldedaten, Videoüberwachung, Zahlungsdaten und Spielerdaten einschließlich Selbst- und Fremdsperren. Letztere sind faktisch hochsensibel, weil sie Rückschlüsse auf Suchtverhalten zulassen. Wer sie nicht mehr abrufen kann, riskiert nicht nur eine Aufsichtsfrage, sondern einen realen Schaden bei Betroffenen.

Betriebskontinuität ohne IT

Die im Bericht erwähnten handschriftlichen Notizen als "Backup" im Kaffeehaus bilden das aussagekräftigste Detail. Daraus lassen sich genau zwei Lesarten ableiten.

• Lesart eins: Der Notbetrieb war vorbereitet. Es gibt einen Formularsatz mit Durchschrift, einen definierten Nummernkreis, eine Regelung für die Nacherfassung, eine Zuständigkeit für Tageslosungen und eine Frist für den Wiederanlauf. In Österreich wäre das ohnehin Pflicht: Nach § 17 Abs. 5 RKSV sind Barumsätze bei Ausfall der Registrierkasse händisch zu erfassen, Zweitschriften aufzubewahren und die Einzelumsätze nach der Behebung nachzuerfassen, wobei ein Tagessammelbeleg genügt. Dauert der Ausfall länger als 48 Stunden, ist er ohne unnötigen Aufschub, längstens binnen einer Woche, über FinanzOnline zu melden.
• Lesart zwei: Jemand hat am zweiten Tag schnell einen Block gekauft um irgendwie festzuhalten was konsumiert wurde. Dann ist der handschriftliche Beleg kein Notbetrieb, sondern Improvisation mit anschließendem abgabenrechtlichem Problem.

Der Unterschied zwischen beiden Lesarten ist genau das, was A.5.30 der ISO 27001:2022 zum Ausdruck bringen will. IKT-Bereitschaft für Betriebskontinuität heißt, dass Wiederanlaufzeiten und maximal tolerierbare Datenverluste aus einer Business Impact Analyse stammen, dass die Wiederherstellung getestet ist und dass der Übergang in den Notbetrieb und zurück beschrieben ist. Dazu kommen A.5.29 für den Erhalt der Informationssicherheit während der Störung, A.8.13 für die Datensicherung mit tatsächlich geprüfter Wiederherstellung, A.8.14 für Redundanzen und A.5.24 bis A.5.27 für Planung, Bewertung, Reaktion und Auswertung von Vorfällen. § 32 Abs. 4 NISG 2026 verlangt in seinem Maßnahmenkatalog dieselben Inhalte, unter anderem Betriebskontinuität, Backup-Management und Krisenmanagement.

Der weiterer Punkt ist die vorübergehende Freistellung von Beschäftigten. Ein Notbetriebskonzept, das nur Systeme kennt und keine Prozesse mit Personal, endet genau dort: Die Leute stehen im Haus, aber niemand hat definiert, was sie ohne IT tun sollen. Betriebskontinuität ist keine Disziplin der IT-Abteilung, sondern eine Aussage darüber, wie das Unternehmen ohne seine Systeme Geld verdient.

Vier Prüffragen für die nächste Managementbewertung

Für eine Managementbewertung nach Kapitel 9.3 der ISO27001 lassen sich daraus die folgenden vier Fragen ableiten, die ohne Vorbereitung selten gut beantwortet werden können.

1. Woher stammen die Wiederanlaufzeiten der umsatztragenden Prozesse, insbesondere Kassa, Zahlung und Rezeption: aus einer Business Impact Analyse mit Zahlen aus dem Geschäft oder aus einer Annahme der IT?
2. Welche Kontroll- und Compliance-Systeme sind selbst IT-abhängig, und ab welchem Punkt zwingt ihr Ausfall zum vollständigen Betriebsstopp statt zum Notbetrieb? Das betrifft Sperrlisten, Identitätsfeststellung, Aufzeichnungspflichten und Registrierkasse.
3. Ist der Notbetrieb dokumentiert, mit Formularen, Nummernkreisen, Nacherfassung, Personaleinsatz und Rückkehrpfad, und wann wurde er zuletzt geübt? Welche neuen Risiken erzeugt er selbst, etwa Kartendaten auf Papier, fehlende Protokollierung, entfallende Funktionstrennung?
4. Existiert eine Meldelandkarte mit Fristen und benannten Verantwortlichen? In Frage kommen je nach Fall Art. 33 DSGVO binnen 72 Stunden, § 34 in Verbindung mit § 35 NISG 2026 bei direkter Betroffenheit mit der 24- und 72-Stunden-Staffel, die Konzessions- oder Aufsichtsbehörde, die Registrierkassenmeldung binnen einer Woche sowie vertragliche Meldepflichten gegenüber Kunden. Und wer entscheidet das um drei Uhr früh?

Die Hit-Gruppe hat den Vorfall nach wenigen Tagen in einen Teilbetrieb überführt. Das ist, gemessen an vergleichbaren Fällen, kein schlechtes Ergebnis. Die eigentliche Lehre liegt woanders: Nicht reguliert heißt nicht unkritisch. Die Verfügbarkeitsanforderungen gehören aus dem Geschäftsmodell abgeleitet, nicht aus dem Ergebnis der Betroffenheitsprüfung.

Quellen: The Record, 31.08.2026, Slovenian casinos reopen after cyberattack knocked gaming systems offline; Computer Weekly, 29.08.2026, Die Cyberangriffe der KW35/2026 im Überblick.