Eigentlich sollte heute parallel mit meiner Reportage zu Lottoland ein Interview mit mir zu den Hintergründen der Recherche bei heise online erscheinen. Leider legte die Chefredaktion nachdem das Interview bereits produziert war, Veto gegen dieses ein, da man das Rechtsrisiko nicht eingehen wolle. Das wurde unter anderem damit begründet, dass es zu aktivistisch sei und man nicht näher beschriebene juristische Risiken sehe.

Heise bekam Option zur Stellungnahmen, wollte sich dazu aber nicht weiter äußern. Heise hat sich mit der Veröffentlichung der Antworten — allerdings nicht der Fragen — an dieser Stelle einverstanden erklärt.

Heise: ████ ████████, ███ ████ ███ ███ ███ █████████ ████████? █████ ███ ███ █████ ████████████ ██ ██████████ ████████ ███ ██████-███████ ████████?

Lilith Wittmann: Nicht direkt, allerdings bin ich im Rahmen der Recherche 2025 das erste Mal an Daten zu in Deutschland illegalen maltesischen Casinos gekommen. Nach meiner damaligen Veröffentlichung hatten sich so viele Behörden bei mir gemeldet, wie noch bei keinem meiner bisherigen Projekte. Das hat dann tatsächlich dazu geführt, dass ich so langsam das Ausmaß dieser Industrie begriffen habe. Und dann habe ich auch versucht, herauszufinden, warum es diese Industrie denn überhaupt geben kann, wie sie funktioniert und warum der deutsche Staat bisher nicht wirksam gegen sie vorgeht.

Dabei fand ich heraus, dass eines der Hauptprobleme der Strafverfolgung in Deutschland ist, herauszufinden, wer hinter den Unternehmen steht sowie wie viel Geld diese mit deutschen Spieler*innen genau verdienen. Denn nur wenn es eine Bemessungsgrundlage gibt, kann die Steuerfahndung auch wirklich Steuern erheben.

Nachdem ich erst auf verschiedensten Wegen erfolglos versucht hatte, über öffentliche Register oder Insider an solche Daten zu gelangen, entschloss ich mich dazu, stattdessen diese direkt von der dortigen Glücksspielaufsicht zu beschaffen.

Heise: ███ █████ ████ ███ ██ ███ █████ ███████?

Lilith Wittmann: Die maltesische Glücksspielaufsicht hat ein Webportal, in dem sich jede*r einfach einen Account anlegen kann. Es dient den dort lizenzierten Unternehmen dazu, der Behörde Daten zukommen zu lassen. Da gibt es zum Beispiel monatliche Berichte zu Umsätzen, die ausgefüllt werden müssen, oder Beschwerdemeldungen von Spieler*innen, die an die MGA weitergeleitet werden müssen.

Natürlich hatte ich mir dort einen Account angelegt und konnte dann bei Unternehmen anfragen, ob ich ihrer Organisation beitreten kann. Eine solche Anfrage führte zu einer E-Mail an die Administratoren der Organisation. Aber wenn eine „Lilith Wittmann“ einer Organisation beitreten will, ist das vielleicht etwas auffällig. Deshalb habe ich mich in dem System einfach „MGA Support Access“ genannt. Nach der Anfrage an ein Unternehmen fand ich durch das Erraten von API-Endpunkten heraus, dass es einen mit dem Namen „ApproveOrDeclineAccountAccess“ gibt. Und mit dem konnte ich mir einfach selbst Zugang zu den Organisationen geben. Danach fand ich durch ein bisschen weiterraten die URL, unter welcher ich meine exakten Privilegien in der Organisation verwalten kann. Dort konnte ich mich — mithilfe der Developer-Tools des Browsers, um ein paar Elemente auf der Website zu aktivieren — zum Admin der Organisation machen.

Weil das Ganze ein schreckliches Sharepoint-basiertes Portal ist, war es zu aufwendig, einen Scraper zu schreiben. Deshalb lud ich über viele Wochen hinweg insgesamt über 3000 aus meiner Sicht für Berichterstattung und Strafverfolgung relevante Dokumente aus mehreren Unternehmen herunter.

Heise: ██████ █████ ██████ ████ █████ ███ ███████████ ██████. █████ ██████ ███████ ███ █████ ███ ███ ███ ██████ ████ ████ █████████ ████ ███ „█████████████ ███ ████████████ █████████”. ███ ███ █████ ███████?

Ich habe im Rahmen dieser Recherche die Handelsregister mehrerer europäischer Staaten, die bisher nur kostenpflichtig und als Einzelabruf verfügbar waren, heruntergeladen und die Datensätze für investigative Recherchen aufbereitet; insgesamt über 2 Terabyte an Daten.

Diese Register sind für solche Recherchen elementar, da sich nur so Eigentümerstrukturen von Firmen sauber recherchieren lassen. Und dass diese nicht einfach so für journalistische Recherchen zur Verfügung stehen, ist ein großes Problem und meiner Ansicht nach auch ein Verstoß gegen die EU-Richtline zur Datentransparenz aus dem Jahr 2019.

Im Fall von Malta konnte ich über die API des Bezahlvorgangs das gesamte Handelsregister für einen Cent bestellen. Weil meine gekauften Downloads aber nur für zwei Stunden verfügbar waren und die Kapazität des Servers der Malta Business Authority nicht ausreichte, alles in dieser Zeit herunterzuladen, musste ich das mehrfach wiederholen und zahlte so insgesamt etwa 30 Cent für das komplette maltesische Register. Was immer noch 30 Cent zu viel sind, aber deutlich weniger als die halbe Million Euro, die das sonst gekostet hätte.

Vorwürfe gegen Lottoland

Heise: ███ ██████ ███ ███ █████ █████████ ████████ ███ ██████████ ███?

Lilith Wittmann: Dass sie in den 13 Jahren ihrer Geschäftsaktivität in Deutschland mutmaßlich systematisch Steuern in Höhe von über einer halben Milliarde Euro hinterzogen hat. Alleine in den Jahren 2019 bis 2023, in denen wir das jetzt dank der Dokumente genauer abschätzen können, sind dem Staat so mutmaßlich etwa 400 Millionen Euro an Steuern sowie mindestens 200 Millionen Euro Lotterieabgaben für soziale Zwecke entgangen.

Des Weiteren werfe ich Lottoland vor, dabei höchst organisiert vorgegangen zu sein. Beispielsweise mit Maßnahmen, um Zahlungsblockaden der Glücksspielbehörde zu entgehen. Indem man einfach mal ein Dutzend verschiedener Zahlungsserviceunternehmen in Zypern gründet, oder durch wiederholte Wechsel der operativ tätigen Unternehmen sowie Lizenzjurisdiktionen.

Lottoland sieht sich selbst gerne als ein seriöses, international agierendes Unternehmen. Dabei entspricht das, was sie da machen, aus meiner Perspektive der Definition von organisierter Kriminalität des BKA. Sie verwenden dieselben Tricks, wie wir sie schon aus vielen anderen Bereichen der organisierten Wirtschaftskriminalität kennen. Allen voran versuchen sie aus meiner Perspektive, einfache und klare Sachverhalte — etwa, dass sie in Deutschland illegales Glücksspiel betreiben und Steuern hinterziehen — komplexer und die Rechtslage deutlich umstrittener darzustellen, als sie eigentlich ist. Es ist aber wirklich ganz einfach: In Deutschland ist es verboten, eigene Lotterien anzubieten. Wenn man das trotzdem macht, dann muss man das hier versteuern. Und daran hat sich auch in den all den Jahren und Prozessen die Lottoland führte, wenig geändert.

Lottoland ist aber nur einer aus einer ganzen Reihe von Fällen. Es ist nun auch der erste Fall, aus meiner Recherche zu illegalem Glücksspiel, die ich in Kooperation mit RTL Extra veröffentliche.

Heise: ███ █████████ ████████ ███ ███ ████ ██████████ ███████████████. ███ ████ █████ ███ ███ ███ ███?

Lilith Wittmann: Die Malta Gaming Authority hat gegen mich, nachdem ihnen nach Monaten dann doch aufgefallen war, dass ich Zugang zu ihren Systemen hatte, eine einstweilige Verfügung auf Basis des Presserechts erwirkt.

Um genau zu sein: Die Malta Gaming Authority und deren Chef Charles Mizzi persönlich vertreten durch den Anwalt Niels Lutzhöft der internationalen Großkanzlei Bird & Bird. Von dem erreichte mich eines Abends ein mit Anhängen etwa 500 Seiten langer Schriftsatz via E-Mail, in dem ich unter anderem aufgefordert wurde, einige Aussagen in Bezug auf die Malta Gaming Authority im Kontext von organisierter Kriminalität zu unterlassen und nicht mehr in ihre IT-Systeme einzudringen. Dazu möchte ich auf den Wikipedia-Artikel der MGA verweisen. Dort kann sich jede*r ein eigenes Bild davon machen.

Weil der Antrag außerhalb der Frist für die Beantragung einer einstweiligen Verfügung in Berlin lag, ich viel Vertrauen in die Berliner Gerichte habe und vor allem auch, weil es sehr schnell sehr teuer wird, sich gegen eine staatliche Behörde im einstweiligen Rechtsschutz zu wehren, entschloss ich mich nach Rücksprache mit meiner Kanzlei für Presserecht erst mal dazu, gar nichts zu machen und abzuwarten, ob da noch irgendwas passiert.

Und es passierte so lange nichts, dass wir schon fast davon ausgingen, dass die ungerechtfertigte einstweilige Verfügung nicht erlassen wurde. Doch dann hatte ich eines Abends einen Brief — eingeworfen von einer Gerichtsvollzieherin — in meinen Briefkasten. Mit der Information, dass sie für mich einen Schriftsatz in Bezug auf ein Zivilverfahren mit dem Gegner MGA habe und ich ihn mir bei Gericht abholen könne.

Also war es Zeit, den Schriftsatz bei Gericht abzuholen und Akteneinsicht zu beantragen.

Heise: ████ ████████████ █████████ ██████ █████████, ███████ ████ ████████████. █████ █████ ███ ███ █████?

Lilith Wittmann: Weil am Ende sonst die Gerichtsvollzieherin versuchen wird, ihn weiter zuzustellen. Und ein Foto „Lilith im Glück: Meine erste Pressesache“ mit einem großen Paket Akten — immerhin 1300 Seiten — in der Hand wollte ich mir auch nicht entgehen lassen. Die hat somit auch nicht in den Briefkasten gepasst und nur deshalb musste ich die jetzt abholen.

Lilith im Glück: “Meine erste einstweilige Verfügung! 1300 Seiten schwer.”

Risiken der Recherche

Heise: ██████ █████ ███ ████████ ████████████████ █████████ ███ ████████████ ███████████ ██████████. ███ █████████, ██ █████ ██████ █████ ███ ██ ████ █████ █████████ ██████. ███ █████ ███ ███ ████████████ ███████ ███████ █████ ██? █████ ███████████████ ███ ███████████ █████ ██████?

Lilith Wittmann: Also erst mal weiß ich auch weiterhin nicht, ob es gerade strafrechtliche Ermittlungen oder Auslieferungsersuchen des maltesischen Staats gibt. Diese Gefahr besteht weiter. In Malta ist der Hackerparagraf weit gefasst und auf das Hacking von öffentlichen Institutionen stehen bis zu zehn Jahre Haft. Ich habe aber vollstes Vertrauen in deutsche Behörden, dass sie erkennen werden, dass die hier erlangten Daten für sie einen großen Wert haben und daher in diesem Fall der Zweck die Mittel legitimiert.

Grundsätzlich beschäftige ich mich ja mit solchen Systemen wie dem der MGA nicht der Systeme wegen, sondern weil ich zu gesellschaftlichen Missständen recherchiere und diese — oft mit Bezug auf technologische Systeme — offenlege. Oder eben in diesem Fall Hacking als eine Methode verwende, um gewisse Informationen zu erlangen, die anders nicht erlangbar waren. Ich sehe also erst mal keinen Grund, warum das in einem Rechtsstaat nur anonym möglich sein sollte.

In diesem Fall habe ich mich dazu entschieden, diesen Weg der Informationsbeschaffung zu wählen, weil alle anderen milderen Mittel zum Belegen des hier vorherrschenden großen gesellschaftlichen Missstands ausgeschöpft waren. Das heißt, alle klassischen journalistischen Methoden führten zwar dazu, dass sich die Hinweise in Bezug auf Straftaten in erheblichem Ausmaß verdichteten, allerdings fehlten Steuerbemessungsgrundlagen sowie Belege darüber, dass der Staat Malta beziehungsweise die Malta Gaming Authority tatsächlich Kenntnis über die Straftaten in Deutschland hatte. Daher halte ich die Maßnahme, mir Zugang zu dieser Plattform zu verschaffen und dort Informationen auszuleiten, für das mildeste Mittel — vergleichbar mit einer Undercover-Recherche — um die nötigen Informationen zu erlangen.

Nur in Fällen, in denen ich diesen Anfangsverdacht für den deutschen Markt hatte, habe ich mir tatsächlich auch Zugang zu den Unternehmen auf der MGA-Plattform verschafft und Dokumente ausgeleitet. Das war nur ein Bruchteil aller Unternehmen, die in Malta über eine Glücksspiellizenz verfügen.

Ich halte das also alles für vom Presserecht gedeckt und bin mir keinerlei Schuld bewusst. Die Lex-Wallraff hat klargestellt, dass es in Deutschland durchaus möglich ist, Informationen verdeckt und unter Vortäuschung einer anderen Identität zu erlangen. Nichts anderes ist der „Hack“ der Malta Gaming Authority. Juristisch sehe ich also keinen guten Grund, das anonym zu machen. Im Gegenteil: Man wird am Ende anonym überhaupt keinen Weg haben, das presserechtlich sauber machen zu können — weil man die notwendige Vorrecherche nicht spurlos erledigen kann. Und wenn man die erledigt hat, kann man das mit dem anonymen Hack vergessen, schließlich beschäftigen sich nicht so viele Leute mit diesen Fragestellungen. Mein Ziel ist, sowas juristisch sauber statt irgendwie zu machen. Auch, weil es sicherstellt, dass die Informationen dann von deutschen Ermittlungsbehörden genutzt werden können — was sie hoffentlich auch tun werden.

Außerdem ist es gar nicht so einfach, den Ermittlungsbehörden Daten anonym zukommen zu lassen. Das könnte man zum Beispiel über den Verfassungsschutz machen. Aber der Verfassungsschutz und ich haben sowohl Vorgeschichte als auch eine Meinung voneinander, die einer Kooperation im Wege steht. Und ich finde es auch demokratietheoretisch schlimmer, so was mit einem Geheimdienst als über das Presserecht zu machen. Denn da unterliege ich immerhin einer gewissen demokratischen Kontrolle.

Am Ende muss man sich natürlich auch überlegen, wenn man so was anonym macht, ob man genug Möglichkeiten hat, diese Anonymität langfristig sicherzustellen. Gerade wenn die, zu denen man recherchiert, über nahezu unlimitierte Ressourcen verfügen, ist das eher schwierig.

Heise: ██████████████████ █████ ███ ███ ██████ ███ ███ █████████ ███ ████████████████ ██████████ ███████ ███, █████ ████?

Lilith Wittmann: Ja, allerdings ist das primäre Risiko, das ich aktuell für mich sehe, nicht juristisch, sondern besteht einfach darin, von Unternehmen in diesem Feld auf der Straße erschossen zu werden. Denn unter den Unternehmen sind auch solche, die eindeutig der organisierten Kriminalität zuzuordnen sind. Und Fälle wie die Ermordung von Daphne Caruana Galizia (2017) oder Cemil Önal (2025) zeigen, dass das keine unberechtigte Sorge ist.

Das bedeutet, wenn man sich in einer solchen Recherche entscheidet, weiter zu gehen als andere Leute bisher, dann muss man gewisse Vorkehrungen treffen und Risikomanagement betreiben. Am Ende wird man aber nicht alle Risiken kontrollieren können und dann kann man sich zum Beispiel entscheiden, für längere Zeit im Untergrund zu leben oder gewisse Risiken schlicht zu akzeptieren.

Dagegen ist so eine einstweilige Verfügung natürlich erst mal nur ein Witz. Und um ehrlich zu sein, ging ich davon aus, dass das Landgericht Berlin II die einstweilige Verfügung mangels Dringlichkeit nicht erlassen wird. Danach sah es dann auch zunächst aus. Aber offenbar hat sich das Gericht von der Gegenseite einlullen lassen. Da man — wenn man gegen eine solche vorgeht — eigentlich direkt Kosten in fünfstelliger Höhe hat, entschied ich mich dazu, sie erst mal weitestgehend zu ignorieren. Und zu hoffen, dass am LG Berlin II jemand mal für 5 Minuten nachdenkt oder gar den Wikipediaartikel der Malta Gaming Authority liest. Da hatte ich das Gericht leider völlig überschätzt.

Deshalb darf ich nun nicht noch einmal in die Systeme der MGA eindringen und eine Aussage in Bezug auf von mir wahrgenommenes Verhalten der MGA, nicht mehr treffen. Ich hielt diese Aussage — die ich in den sozialen Medien traf, fälschlicherweise bereits zu diesem Zeitpunkt von öffentlich bekannten Fakten gedeckt. Denn die Liste der Affären um die MGA und Verbindungen zur organisierten Kriminalität ist aus meiner Perspektive wirklich, wirklich lang. Das sah das LG Berlin II im einstweiligen Rechtsschutz nicht so.

Eigentlich ist das Verhalten des LG Berlin II aber garnicht sooo verwunderlich. Weil die deutsche Justiz gemeinhin im Bereich SLAPP-Klagen auf beiden Augen blind zu sein scheint. So schreibt der Deutsche Richterbund z.B. in einer Stellungnahme zur Anhörung zum “Gesetzentwurf zur Umsetzung der AntiSLAPP-Richtlinie”, dass Ihrer Auffassung nach das Phänomen sog. SLAPPs an deutschen Zivilgerichten
unbekannt sei. Lieber Deutscher Richterbund, ich habe hier eine SLAPP für euch, schaut sie euch gut an.

Heise: ████████████ ████████ ███████ ███████████ ██████ ███ █████ █████████████ █████████ ██ ███████████, ████ ███ ███ „█████” (█████████ ██████████ ███████ ██████ █████████████) ██████████. ██████ ███ █████, ███ ███ ████ ████ ███ ████?

Lilith Wittmann: Ja, das ist eine ganz klassische SLAPP. Das Ziel der MGA ist in diesem Fall Einschüchterung. Deshalb hat man aus meiner Sicht auch den Weg über die einstweilige Verfügung am Landgericht gewählt. Das ist eine Methode, bei der auch im Vergleich zu anderen Rechtswegen unheimliche Kosten anfallen, die man, selbst wenn man einen Prozess am Ende gewinnt, auf keinen Fall mehr zurückbekommt.

Ich gehe davon aus, dass mit der heutigen Veröffentlichung der Recherche die MGA auch weiter gegen mich vorgehen wird. Und natürlich muss man dann schauen, wie lange man solche Veröffentlichungen realistisch machen kann, wenn man von staatlichen Akteuren bedroht wird. Ich habe da allerdings das Privileg, dass mich schon seit Jahren Menschen Monat für Monat über die Plattform Patreon unterstützen. Genau um solche Projekte unabhängig und ohne Unterstützung aus Redaktionen oder dergleichen umzusetzen.

Heise: ███ █████ ██████ „███ ████████” ███████. ██████ ███ █████, ████ ██████ „██████” ████ ███ ██████:█████ ██████ ██████?

Lilith Wittmann: Aus meiner Sicht sollte es das nicht nur, sondern das tut es sogar schon. Es wird nur eben nicht angewendet und daher fehlt uns vielleicht auch noch ein BGH-Urteil, das da eine gewisse Rechtssicherheit in Redaktionen bringen würde. Die Lex-Wallraff deckt ganz explizit die Einsichtnahme und Dokumentation von internen Unterlagen — auch unter Tarnidentität — ab. Und nichts anderes ist Hacking zur Informationsbeschaffung.

Nur leider sind die meisten Redaktionen in Deutschland absolute Schisser — auch was ursprünglich von der Lex-Wallraff gedeckte Undercover-Recherchen angeht. Deswegen haben wir hier ja im Vergleich zu anderen Ländern auch gar nicht mal so viele Undercover-Recherchen.

Wenn wir es schaffen würden, Hacking als journalistische Methode in Deutschland besser zu etablieren, dann würde das auch bedeuten, dass es für die Menschen, die heute öfter mal die Informationsbeschaffung außerhalb der Redaktionen erledigen, deutlich besseren Schutz geben könnte. Denn während in Redaktionen, die sich ernsthaft um ihre Mitarbeiter kümmern, mittlerweile der Schutzkodex gilt, ist diese Datenbeschaffungs-Rolle weiterhin selbst in den meisten progressiven Redaktionen formal eine Rolle als Quelle. Und zu einer Quelle hält man im Journalismus ja traditionell gerne formal eine gewisse Distanz. Das heißt auch, dass — wenn’s mal sehr schlecht läuft — man nicht davon ausgehen kann, irgendwie von der Redaktion unterstützt zu werden. Auch wenn die gerade auf Basis der Drecksarbeit der Quelle einen renommierten Preis gewonnen hat.

Neben der zusätzlichen Sicherheit könnte man dann aber auch mit Compliance-Prozessen sicherstellen, dass man Hacking als Recherchemethode nur da nutzt, wo es wirklich geboten ist. Ich glaube, dass es für alle Seiten ein Gewinn wäre, diese Methoden formal in die Redaktionen zu holen.

Die heise Redaktion hatte neben dem etwa eine Woche vor Veröffentlichung beantworteten Interview bereits Wochen vorher exklusiven Zugang zu der kompletten Recherche, allen Quellen, Konfrontationen und Berechnungen. Sie durfte auch Einblick in die Verfahrensakte nehmen. Es gab also eigentlich keine Überraschungen für die Redaktion. Dennoch entschieden sich Chefredakteur und Justiziar gemeinsam äußerst kurzfristig dazu, das Interview nicht zu veröffentlichen. So kurzfristig, dass kein neuer Partner für diese Aufgabe gesucht werden konnte.

Die noch nicht durch mich final freigegebenen Antworten wurden minimal redaktionell bearbeitet, an einer Stelle wurde ein konkreter Vorwurf aus juristischen Gründen weiter umschrieben und zweimal das Wort “mutmaßlich” eingefügt, um klarzustellen, das es sich um einen Verdacht handelt. Es wurde ein Vorwurf an den deutschen Richterbund eingefügt sowie Informationen zur Lex-Wallraff präzisiert.

Ich werde in Zukunft nicht mehr für Anfragen des heise Verlags zur Verfügung stehen. Das ich nicht wieder bezahlt für ihn schreiben werde, kündigte ich bereits an, nachdem ich bekannt machte, dass Verlagsinhaber Ansgar Heise Mitglied im Verband der Familienunternehmer ist.

Dies soll nicht als Kritik an Journalist*innen bei heise gesehen werden. Die erledigen wichtige Arbeit und ich bin einigen auch freundschaftlich verbunden. Meine Kritik bezieht sich ausschließlich auf die Chefredaktion und den Verlagsinhaber Ansgar Heise.

Wenn ihr also Kritik an Heises Redaktion habt, dann richtet diese doch gerne direkt an Volker Zota (vza@heise.de) und nicht an Einzelne.