Ausgesperrt vom eigenen Konto: der Weg zurück und seine Sackgassen

Ein vergessenes Passwort ist ein Ärgernis, mehr nicht.

Es sei denn, die Mailadresse, an die der Rücksetz-Link geht, gehört zu einem Postfach, das seit dem Jobwechsel niemand mehr für dich öffnet. Dann ist aus dem Ärgernis eine Frage geworden. Und liegt der zweite Faktor zusätzlich auf einem Telefon, das im Taxi geblieben ist, ist aus der Frage eine Lage geworden.

Das Unangenehme daran hat System. Genau die Mechanik, die verhindern soll, dass jemand anders in dein Konto kommt, kennt keinen Unterschied zwischen jemand anderem und dir. Sie sperrt aus, wen sie nicht wiedererkennt, und ob der Ausgesperrte der rechtmäßige Inhaber ist, entscheidet sie nicht selbst.

Drei Stufen, und nur die erste ist harmlos

Ein Spielerkonto erkennt dich an höchstens drei Dingen: an einem Passwort, an einer Mailadresse und, sofern eingerichtet, an einem zweiten Faktor. Diese drei sind nicht gleichwertig. Sie stehen hintereinander, und jedes hält das nächste.

Das Passwort ist der schwächste Teil dieser Kette, und das ist beabsichtigt. Es lässt sich ersetzen, ohne dass jemand ein Dokument vorlegen müsste, weil hinter ihm noch etwas steht: die Mailadresse. Der Rücksetz-Link geht dorthin, und wer das Postfach öffnen kann, gilt in diesem Moment als der Inhaber.

Damit trägt die Mailadresse eine Last, die ihr niemand ansieht. Sie ist nicht bloß die Stelle, an die Benachrichtigungen gehen. Sie ist der Ersatzschlüssel für alles, was über das Passwort läuft. Fällt sie aus, fällt der übliche Weg zurück ins Konto mit ihr aus.

Der zweite Faktor liegt eine Ebene tiefer, und er ist bewusst so gebaut, dass er sich nicht per Mail ersetzen lässt. Wäre er das, wäre er kein zweiter Faktor, sondern eine zweite Schreibweise des ersten. Genau die Eigenschaft, die ihn wertvoll macht, solange man ihn hat, macht ihn hart, wenn er fehlt.

Passwort weg, Postfach offen

Dieser Fall braucht wenige Sätze, weil er dafür gebaut ist. Auf der Anmeldeseite steht ein Link, der so ähnlich heißt wie Passwort vergessen. Du gibst die Mailadresse ein, die zum Konto gehört, öffnest die Nachricht, die daraufhin ankommt, und vergibst ein neues Passwort. Danach bist du wieder drin.

Zwei Dinge lohnen trotzdem einen Gedanken. Das erste ist das neue Passwort selbst. Wer die alte Zeichenfolge nimmt und eine Ziffer anhängt, hat kein neues Passwort vergeben, sondern dasselbe noch einmal. Ein Passwortmanager nimmt einem diese Entscheidung ab, und er löst nebenbei den Grund, aus dem man überhaupt hier gelandet ist. Was sonst noch zu einem belastbaren Zugang gehört, steht unter Kontosicherheit im Online Casino.

Das zweite betrifft die Geräte, auf denen du angemeldet geblieben bist. Ein gesetzter Haken bei der Anmeldung hinterlässt eine Kennung auf genau diesem Gerät, und ob ein Passwortwechsel solche bestehenden Anmeldungen beendet, entscheidet der Anbieter; von außen ist das nicht abzulesen. Wie dieser Haken arbeitet und was er sonst noch nach sich zieht, ist unter Angemeldet bleiben beschrieben.

Ein Sonderfall gehört noch hierher: Wenn eine Rücksetz-Mail ankommt, die du nicht angefordert hast, hat jemand deine Mailadresse in das Formular getippt. Der Link darin bleibt dann ungeklickt, und das Passwort wird über die selbst eingetippte Adresse des Anbieters geändert, nicht über die Nachricht.

Wenn das Postfach nicht mehr aufgeht

Hier endet der bequeme Teil. Der automatische Weg zurück ins Konto führt über die Mailadresse, weil sie der einzige Kanal ist, den das Konto von sich aus kennt. Ist sie nicht mehr erreichbar, läuft der Rücksetz-Link ins Leere, und niemand kann daran etwas ändern, indem er das Formular noch einmal ausfüllt.

Die Gründe für so eine Lage sind unspektakulär. Eine Adresse gehörte zum alten Arbeitgeber und wurde mit dem letzten Arbeitstag abgeschaltet. Ein Mailanbieter hat den Dienst eingestellt. Ein Postfach wurde beim Aufräumen gelöscht, weil ohnehin nur Werbung darin lag. Oder es hat sich bei der Registrierung schlicht ein Tippfehler eingeschlichen, der bis zum ersten Anlass unbemerkt blieb. Ob ein lange ungenutztes Postfach dauerhaft bestehen bleibt, regeln übrigens die Bedingungen des jeweiligen Mailanbieters und nicht das Casino.

Verschärfend kommt hinzu, dass die Mailadresse zugleich der Anmeldename sein kann. Dann fehlt nicht nur der Ersatzschlüssel, sondern schon die Möglichkeit, sich überhaupt anzumelden und die Adresse von innen zu korrigieren. Und der reguläre Weg, eine hinterlegte Adresse zu ändern, setzt genau diese Anmeldung voraus. Wie ein Wechsel der Kontaktdaten aussieht, solange man noch hineinkommt, steht unter Kontodaten im Casino ändern.

Was bleibt, ist der Kontakt zum Anbieter. Dass eine Umstellung auf eine neue Adresse nicht allein auf Zuruf laufen kann, liegt in der Sache: Ein Konto umzuhängen, weil jemand darum bittet, wäre der kürzeste denkbare Weg für eine Übernahme. Was ein Anbieter stattdessen vorsieht, legt er selbst fest; es steht in den Bedingungen des jeweiligen Hauses und ist von außen nicht einsehbar. Es hier aufzuzählen wäre geraten, und geraten hilft niemandem weiter.

Der zweite Faktor liegt im alten Gerät

Der zweite Faktor ist die Stufe, an der ein Wiederherstellungsversuch endgültig stecken bleiben kann, und er ist die einzige, die sich nicht über einen zweiten Kanal umgehen lässt. Das liegt daran, wie er funktioniert.

Bei der Einrichtung einer Authenticator-App wird ein Geheimnis zwischen Konto und App vereinbart und auf dem Gerät gespeichert. Aus diesem Geheimnis und der aktuellen Uhrzeit rechnet die App ihre Codes aus. Das Konto rechnet dasselbe und vergleicht. Das Geheimnis liegt dabei auf dem Gerät, nicht im Konto, und ein neues Telefon beginnt deshalb mit einer leeren App, auch wenn sie genauso aussieht wie vorher. Es wandert nichts von selbst mit; es muss ausdrücklich übertragen oder aus einer Sicherung zurückgeholt werden, sofern die App das vorsieht.

Ein zweiter Faktor per SMS verhält sich anders, weil er an der Rufnummer hängt und nicht am Gerät. Wandert die Nummer auf ein neues Telefon, wandert der Faktor mit. Geht die Nummer verloren, geht er verloren. Beide Varianten teilen also dieselbe Schwäche an unterschiedlichen Stellen.

Der Zeitpunkt, an dem das auffällt, ist denkbar ungünstig. Solange das alte Gerät funktioniert, gibt es keinen Anlass, über den zweiten Faktor nachzudenken; er tut ja, was er soll. Bemerkt wird die Lücke erst an der Codeabfrage, und da ist das alte Gerät bereits weg, zurückgesetzt oder verkauft. Deshalb gehört der zweite Faktor auf die Liste der Dinge, die vor dem Wechsel erledigt werden, und nicht danach. Was beim Umzug auf ein neues Telefon mitkommt und was zurückbleibt, ist unter Neues Handy, altes Konto im Einzelnen aufgeschlüsselt.

Wer bei der Einrichtung Wiederherstellungscodes angezeigt bekommen und gesichert hat, ist an dieser Stelle fein heraus. Genau dafür sind sie da: Sie ersetzen den Faktor einmalig, damit er neu eingerichtet werden kann. Wer sie weggeklickt hat, weil sie zwischen dem Konto und dem ersten Spiel standen, hat den Ausweg weggeklickt.

Nicht jede abgewiesene Anmeldung ist ein Passwortproblem

Bevor irgendetwas zurückgesetzt wird, lohnt eine Frage, die nicht als Erstes auf der Hand liegt: Ist das Konto überhaupt offen? Denn ein Zugang, der nicht funktioniert, weil der Schlüssel fehlt, sieht auf dem Bildschirm fast genauso aus wie einer, der nicht funktioniert, weil die Tür zu ist. Nur hilft im zweiten Fall kein neues Passwort.

Ein brauchbares Unterscheidungsmerkmal ist die Reihenfolge der Reaktionen. Läuft das Zurücksetzen sauber durch, kommt die Mail an, wird ein neues Passwort akzeptiert, und die Anmeldung scheitert danach trotzdem, dann liegt es nicht am Passwort. Auch der Wortlaut der Meldung trennt: Ein Hinweis auf falsche Zugangsdaten ist etwas anderes als ein Hinweis auf den Status des Kontos.

Für einen gesperrten Zugang gibt es sehr verschiedene Hintergründe, von einer offenen Verifizierung über eine vorübergehende Sicherheitsmaßnahme nach mehreren Fehlversuchen bis zu einer Schließung auf eigenen Wunsch. Die üblichen Gründe und was sie voneinander unterscheidet, stehen unter Casino-Konto gesperrt.

Ein Fall darin ist ausdrücklich kein Zugangsproblem: Wer sich über OASIS hat sperren lassen, ist bei allen in Deutschland lizenzierten Anbietern gesperrt, und das ist die Wirkung, die dieses System nach dem Glücksspielstaatsvertrag 2021 haben soll. Solange ein Eintrag läuft, führt kein Passwortweg daran vorbei, und er soll auch nicht daran vorbeiführen.

Was vorher eingerichtet ist, entscheidet hinterher

Dieser Abschnitt bringt praktisch am meisten, und er ist zugleich der, den man im Moment des Problems nicht mehr nutzen kann. Alles, was den Weg zurück leicht macht, wird eingerichtet, solange der Zugang funktioniert.

Der erste Punkt sind die Wiederherstellungscodes. Sie werden bei der Einrichtung des zweiten Faktors einmal angezeigt, und dieser eine Moment ist die Gelegenheit. Sie gehören an einen Ort, der von dem Gerät unabhängig ist, das sie ersetzen sollen: ausgedruckt zu den Unterlagen, im Passwortmanager, in einer Notiz auf einem anderen Gerät. Ein Bildschirmfoto auf demselben Telefon ist keine Sicherung, sondern eine Kopie im selben Boot.

Der zweite Punkt ist eine zweite erreichbare Kontaktmöglichkeit, sofern das Konto eine vorsieht. Eine hinterlegte Rufnummer oder eine zweite Adresse ist deshalb wertvoll, weil sie ausgerechnet dann noch da ist, wenn der Hauptkanal ausfällt. Ob es eine solche Möglichkeit gibt, steht in den Kontoeinstellungen und nicht in einem Ratgeber.

Der dritte Punkt ist der langweiligste und der wirksamste: die Mailadresse aktuell halten. Das ist keine Aufgabe, an die man denkt, sondern eine, die an ein Ereignis gehört. Beim Jobwechsel, beim Wechsel des Mailanbieters, beim Aufräumen alter Postfächer: An genau diesen Tagen fällt eine hinterlegte Adresse aus, und an genau diesen Tagen ließe sie sich noch mit zwei Klicks ersetzen, weil man ja noch in beides hineinkommt. Wie das im Konto abläuft, steht unter Kontodaten im Casino ändern.

Der vierte Punkt betrifft die Vorsicht in die andere Richtung. Ein zweiter Faktor ist kein Ballast, den man sich sparen sollte, weil er im Verlustfall stört. Er ist der Grund, warum ein gestohlenes Passwort allein nichts wert ist. Die Antwort auf sein Risiko sind gesicherte Codes, nicht sein Weglassen.

Der Kontakt zum Support, aus Sicht des Inhabers

Wenn der automatische Weg ausfällt, bleibt der persönliche. Er beginnt an einer Stelle, die man selbst wählt: auf der Seite des Anbieters, deren Adresse man eintippt, nicht über einen Link aus irgendeiner Nachricht. Diese Reihenfolge ist kein Detail, sondern der Unterschied zwischen einem Support und jemandem, der sich als einer ausgibt.

Was du selbst dazu beitragen kannst, ist Genauigkeit über die eigene Lage. Welcher Zugang klemmt, seit wann, was sich geändert hat, ob die hinterlegte Adresse noch existiert oder nicht mehr, ob ein Gerät verloren ging. Das sind Angaben über dich und deine Situation, und sie kosten nichts außer der Mühe, sie vollständig aufzuschreiben statt in drei Nachrichten nachzureichen.

Nicht öffentlich aufgeschrieben gehört dagegen eine Liste der Angaben, mit denen sich eine Kontoinhaberschaft belegen lässt. Was ein Anbieter als Nachweis akzeptiert, legt er selbst fest, und es hat einen guten Grund, dass so etwas nirgends als Anleitung herumsteht: Jede solche Liste wäre auch eine Vorlage für den, der ein fremdes Konto will. Was gebraucht wird, sagt dir der Anbieter, wenn du dich meldest.

Umgekehrt gilt dasselbe für dich. Unterlagen, Ausweisbilder oder Kontodaten gehen niemals auf Zuruf an eine Adresse, die sich von sich aus gemeldet hat. Eine Nachricht, die im richtigen Moment auftaucht und anbietet, den Zugang wiederherzustellen, ist kein glücklicher Zufall, sondern der klassische Aufhänger. Wer ein Zugangsproblem hat, ist für dieses Angebot besonders empfänglich, und darauf ist es angelegt.

Wie lange so ein Vorgang dauert und wie er im Einzelnen abläuft, ist von außen nicht einsehbar und unterscheidet sich von Anbieter zu Anbieter. Jede Zahl an dieser Stelle wäre erfunden. Sichtbar ist nur der Grund, aus dem der bequeme Weg vorher versperrt war: Was für dich schnell ginge, ginge für einen Fremden genauso schnell.

Ein mühsamer Rückweg ist auch eine Antwort

Es gibt eine Variante dieser Geschichte, die anders anfängt. Da ist niemand versehentlich ausgesperrt, sondern hat sich selbst eine Pause gesetzt, ein Limit gezogen oder das Konto ruhen lassen. Und stellt beim Versuch zurückzukehren fest, dass der Weg zurück Aufwand kostet.

Diese Erfahrung ist unangenehm, und sie ist trotzdem eine Information. Die Hürde wirkt. Sie war dazu gedacht, zwischen dem Impuls und der nächsten Einzahlung eine Strecke zu legen, und dass sie sich anfühlt wie eine Strecke, ist ihr Erfolg und nicht ihr Fehler. Wer in diesem Moment merkt, wie viel Energie er in das Wiederhineinkommen steckt, hat eine ziemlich genaue Auskunft darüber bekommen, welchen Platz die Sache gerade einnimmt.

Was beim Zurückkommen nach einer Pause sofort geht und was Zeit braucht, ist unter Zurück ins Konto nach einer Pause beschrieben. Der Unterschied ist wichtig: Dort ist die Hürde gewollt und der Zugang absichtlich schwer, in allen Fällen davor ist er versehentlich schwer. Beides fühlt sich in der Anmeldemaske gleich an und ist doch etwas völlig anderes.

Und wenn das Ringen um den Zugang wichtiger wird als das, was hinter ihm liegt, dann ist das der Punkt, an dem sich das Nachfragen lohnt. Woran sich das erkennen lässt, steht unter Spielsucht erkennen und Hilfe finden; die Beratung der BZgA ist kostenlos, vertraulich und anonym unter 0800 1 37 27 00 erreichbar, weitere Angebote stehen auf buwei.de und unter verantwortungsvolles Spielen.

Offene Punkte rund um den Zugang

Ich komme nicht mehr in mein Postfach. Kann der Support die Mailadresse einfach ändern?

Einfach nicht, denn genau diese Änderung wäre der kürzeste Weg für jemanden, der das Konto übernehmen will. Was ein Anbieter an dieser Stelle stattdessen vorsieht, legt er in seinen Bedingungen fest. Es unterscheidet sich von Haus zu Haus, ist von außen nicht einsehbar und lässt sich hier weder aufzählen noch versprechen. Der Weg führt über den offiziellen Kontakt des Anbieters, und dort wird gesagt, was gebraucht wird.

Ich habe ein neues Handy und die Authenticator-App ist leer. Sind meine Codes weg?

Eine Authenticator-App erzeugt ihre Codes aus einem Geheimnis, das bei der Einrichtung auf dem Gerät gespeichert wurde. Ein neues Gerät kennt dieses Geheimnis nicht, solange es nicht ausdrücklich übertragen oder aus einer Sicherung zurückgeholt wurde. Die App auf dem neuen Telefon startet deshalb leer, auch wenn sie denselben Namen trägt. Was in dieser Lage hilft, sind die Wiederherstellungscodes aus der Einrichtung, und wer sie nicht hat, kommt um den Kontakt zum Anbieter nicht herum.

Woran erkenne ich, ob mein Konto gesperrt ist und nicht nur das Passwort falsch?

Ein deutliches Zeichen ist, dass das Zurücksetzen des Passworts durchläuft und die Anmeldung danach trotzdem scheitert. Dann liegt es nicht am Schlüssel. Auch der Wortlaut der Meldung hilft weiter: Ein Hinweis auf falsche Zugangsdaten meint etwas anderes als ein Hinweis auf den Status des Kontos. Sicherheit gibt am Ende nur die Auskunft des Anbieters, denn nur dort ist zu sehen, in welchem Zustand das Konto steht.

Hilft es, das Passwort mehrfach hintereinander zu probieren?

Nein, und es kann die Lage verschlechtern. Anmeldesysteme können auf wiederholte Fehlversuche mit einer zeitweiligen Blockade reagieren; ob, ab wann und nach welchen Regeln das geschieht, ist von außen nicht einsehbar. Wer sein Passwort nicht auf Anhieb trifft, greift deshalb besser gleich zur Zurücksetzen-Funktion, statt weitere Varianten durchzuprobieren.

Wo soll ich Wiederherstellungscodes aufbewahren?

An einem Ort, der von dem Gerät unabhängig ist, das sie ersetzen sollen. Codes, die als Bildschirmfoto auf demselben Telefon liegen, das verloren gehen kann, sind im Ernstfall genauso weg wie die App selbst. Ausgedruckt zu den Unterlagen gelegt oder in einem Passwortmanager abgelegt, der von einem anderen Gerät aus zu öffnen ist, erfüllen sie ihren Zweck. Wichtig ist nur, dass du dich später erinnerst, wo sie liegen.

Ich habe eine Mail bekommen, die mir anbietet, den Zugang wiederherzustellen. Ist das seriös?

Behandle sie zunächst als unseriös, gerade weil sie im richtigen Moment kommt. Wer ein Zugangsproblem hat, ist empfänglich für ein Angebot, das genau dieses Problem löst, und das ist der Grund, warum solche Nachrichten geschrieben werden. Der sichere Weg ist immer derselbe: die Adresse des Anbieters selbst eintippen und den Kontakt von dort aus suchen, statt einem Link oder einer Rückrufnummer aus einer Nachricht zu folgen.

Mein Guthaben liegt auf einem Konto, an das ich nicht komme. Ist es verloren?

Ein Guthaben verschwindet nicht dadurch, dass eine Anmeldung scheitert, denn es steht im Konto und nicht im Browser. Der Zugriff darauf läuft allerdings über denselben Zugang, der gerade klemmt, und deshalb ist die Frage nach dem Guthaben dieselbe wie die nach dem Zugang. Ob und unter welchen Bedingungen ein Anbieter außerhalb des normalen Weges auszahlt, ist eine Frage an ihn und an seine Bedingungen, und sie lässt sich hier nicht allgemein beantworten.