Wer eine Casino-App auf dem Smartphone installiert, stimmt in der Regel einer Datenschutzerklärung zu, die vor allem Ausweis, Adresse und Zahlungsdaten nennt. Was dort fast nie steht: Viele Frontends lesen beim Start zusätzlich Bildschirmauflösung, Zeitzone, installierte Schriften und sogar den Akkustand aus. Diese Werte bilden zusammen einen Fingerabdruck, der ein Gerät auch ohne Cookies wiedererkennt. Der folgende Blick auf die Praxis zeigt, welche Daten tatsächlich fließen und wo die Grenze zwischen legitimer Betrugsabwehr und verdecktem Tracking verläuft.
Was Device-Fingerprinting von Cookie-Tracking unterscheidet
Ein Cookie lässt sich löschen, ein Fingerabdruck nicht. Das ist der entscheidende Unterschied. Beim klassischen Tracking setzt der Anbieter eine kleine Datei, die der Browser bei jedem Besuch mitschickt, und der Nutzer kann sie im Safari-Menü entfernen oder blockieren. Beim Device-Fingerprinting dagegen kombiniert das Frontend eine Reihe von Signalen, die das Gerät ohnehin preisgibt, und rechnet sie zu einem Hashwert zusammen. Dieser Wert bleibt stabil, auch wenn der Nutzer den Verlauf löscht, den privaten Modus nutzt oder eine neue Sitzung startet.
Die Bausteine sind unspektakulär, in ihrer Summe aber erstaunlich eindeutig. Dazu gehören Bildschirmauflösung und Pixeldichte, die Zeitzone, die installierten Schriften, die genaue Browser-Version, die Grafikkarte über den WebGL-Renderer, die Anzahl der Prozessorkerne und die Spracheinstellung. Ein einzelner Wert wie “1920×1080” beschreibt Millionen Geräte. Kombiniert man aber Auflösung, Zeitzone, Schriftliste und GPU-Renderer, bleibt von einer Million Nutzern oft nur eine Handvoll mit identischem Profil übrig. Der Akkustand kommt als zusätzliches Signal hinzu, weil er sich in kurzen Abständen ändert und so eine Sitzung über mehrere Seitenaufrufe hinweg verknüpfen kann.
Für einen Anbieter hat das einen doppelten Nutzen. Einerseits lässt sich ein Gerät wiedererkennen, das zuvor etwa über einen Willkommensbonus mehrfach abkassiert hat, ohne dass ein Konto nötig wäre. Andererseits entsteht ein Profil, das sich mit Sitzungsverwaltung, Zahlungsverhalten und Spielhistorie verknüpfen lässt. Genau diese zweite Verwendung taucht in den Datenschutzerklärungen der meisten mobilen Casinos nicht auf.
Wie die WinHero App auf iOS und Android Daten erfasst
Die WinHero App ist eine Web-App für iOS und läuft über den Safari-Browser, nicht als native Anwendung aus dem App Store. iOS-Nutzer installieren die Web-App über die Funktion “Zum Startbildschirm” und bekommen damit ein Icon, das sich wie eine App öffnet, technisch aber eine Webseite bleibt. Android-Nutzer laden eine Installationsdatei direkt vom Anbieter herunter. Betrieben wird das mobile Portfolio von der GEFATA CORPORATION S.R.L., die ihren Sitz in Costa Rica hat. Die App ist nicht verfügbar in App Store und Google Play, was für die Datenerfassung erhebliche Konsequenzen hat.
Warum die Installationsart die Datenlage verändert
Wer eine App über den App Store oder Google Play bezieht, durchläuft eine Prüfung durch den Plattformbetreiber. Apple und Google verlangen Offenlegung der erhobenen Datenklassen und beschränken den Zugriff auf bestimmte Geräte-Identifier. Bei einer Web-App im Safari-Browser greift diese Kontrolle nicht. Der Anbieter kann die Signale, die der Browser bereitstellt, frei auslesen, solange der Nutzer nicht aktiv einschränkt. Nutzer richten den mobilen Zugang über winhero-online.de ein, und wer den winhero app download nutzt, erhält eine Android-Version, die an dieser Prüfung vorbeigeht.
Das bedeutet nicht automatisch Missbrauch. Aber es verschiebt die Beweislast. Bei einer Store-App kann der Nutzer in der Datenschutzübersicht nachlesen, welche Kategorien erfasst werden. Bei einer direkt vertriebenen Web-App oder einer APK-Datei muss er der Erklärung auf der Anbieterseite vertrauen. Fremde APK-Seiten, die eine Kopie der Casino-Software anbieten, stellen zusätzlich eine Gefahr für die Gerätesicherheit dar, weil sich in die Installationsdatei beliebiger Schadcode einschleusen lässt. Wer die Datei nicht direkt vom offiziellen Anbieter bezieht, kann nicht sicher sein, welche Module mitinstalliert werden.
Für die Datenerhebung heißt das: Die Web-App im Safari kann auf die volle Palette der Browser-Signale zugreifen, darunter Zeitzone, Bildschirmauflösung, Akkustand über die entsprechende Schnittstelle und die Schriftliste. Eine native iOS-App wäre an die Vorgaben von Apple gebunden und müsste für jeden Zugriff auf sensible Gerätedaten eine Berechtigung anfragen. Die Web-App umgeht diesen Schritt, weil der Browser die Werte im Rahmen normaler Seitenaufrufe liefert.
| Erfassungsweg | Typische Signale | Kontrolle durch Plattform | Transparenz für Nutzer |
|---|---|---|---|
| Native App aus App Store | Geräte-ID, Standort, Kontakte (mit Freigabe) | Hohe Prüfung, Datenkategorien offengelegt | Datenschutzübersicht im Store |
| Native App aus Google Play | Werbe-ID, Geräte-ID, Nutzungsdaten | Prüfung, Berechtigungssystem | Berechtigungen vor Installation sichtbar |
| Web-App im Safari | Bildschirmauflösung, Zeitzone, Schriften, GPU, Akkustand | Keine Store-Prüfung, nur Browser-Vorgaben | Nur Anbieter-Erklärung |
| APK direkt vom Anbieter | Alle vorigen plus Gerätezugriff je nach Berechtigung | Keine Prüfung | Nur Anbieter-Erklärung, Sicherheitsrisiko |
Was Nutzer gegen verdecktes Fingerprinting tun können
Ein vollständiger Schutz ist auf dem Smartphone kaum möglich, weil viele Signale für die Funktion der Seite nötig sind. Wer die Bildschirmauflösung blockiert, bekommt eine unbrauchbare Darstellung. Es gibt aber wirksame Hebel. Safari bietet in den Einstellungen unter Datenschutz die Option “Tracker und Website-Daten blockieren”, die zumindest bekannte Tracking-Skripte ausschaltet. Der private Modus reduziert die Persistenz, verhindert aber nicht das Fingerprinting innerhalb einer Sitzung. Auf iOS lässt sich der Zugriff auf den Akkustand über die Batterie-Status-Schnittstelle nicht gezielt sperren, wohl aber die Weitergabe des genauen Standorts.
Der wichtigere Schritt ist die Wahl des Zugangs. Wer die Web-App über winhero-online.de im Safari einrichtet, sollte vorher prüfen, ob die Datenschutzerklärung Angaben zu Geräte-Fingerabdrücken, Sitzungsverwaltung und Weitergabe an Dritte enthält. Fehlen diese Angaben, ist das ein Signal. Bei einer APK aus unbekannter Quelle kommt das Risiko manipulierte Software hinzu. Wer die Datei direkt vom Anbieter bezieht, reduziert zumindest dieses Risiko, nicht aber die Datenerfassung selbst.
Ein Blick auf die Zuständigkeit hilft bei der Einordnung. Der Betreiber sitzt in Costa Rica, die GEFATA CORPORATION S.R.L. betreibt das mobile Portfolio. Für Nutzer in Deutschland gilt zwar die DSGVO, die Durchsetzung gegenüber einem Anbieter außerhalb der EU ist aber aufwendig. Wer Wert auf Datenschutz legt, sollte deshalb auf Anbieter mit europäischer Niederlassung setzen oder auf Angebote, die auf eine offengelegte Datenverarbeitung verweisen. Die Verbraucherschutzangebote von Check-dein-Spiel und der BZGA geben Orientierung zu legalen Anbietern, ersetzen aber keine technische Prüfung der App.
Praktisch bedeutet das für den Alltag: Vor der Installation prüfen, ob die App im App Store oder bei Google Play gelistet ist und welche Datenkategorien dort angegeben sind. Bei Web-Apps im Safari die Datenschutzerklärung gezielt nach den Begriffen Fingerprinting, Gerätekennung und Akkustand durchsuchen. Wer die Web-App über den Startbildschirm einrichtet, sollte die Safari-Einstellungen für Tracking-Schutz aktivieren und die Sitzung nach dem Spielen abmelden, damit die Sitzungsverwaltung nicht über Tage hinweg ein Profil fortschreibt. Und bei einer APK gilt: nur die Datei direkt vom Anbieter, niemals von einer fremden Seite. Wer diese drei Punkte beachtet, senkt das Risiko einer verdeckten Wiedererkennung deutlich, auch wenn ein Rest an Erfassung technisch unvermeidbar bleibt.