Organisation und Technik bei bwin

Marco Falchetto, Director of Sportsbook bei bwin, befürwortet im Online-Wettgeschäft im Bereich "Sicherheit" eine Mehrfrontenstrategie: "Die Herausforderungen sind durchaus mehrdimensional. Wir haben aber bereits über 10 Jahre Erfahrung im Online-Geschäft und sind in der Security, organisatorisch wie technisch, immer Vorreiter gewesen."

Die größte Herausforderung liegt nach Falchetto sicherlich bei der Schnittstelle zum Kunden. Kundenseitig eingesetzte Webapplikationen stellen eine die potentiell größten Angriffsflächen dar. bwin konzentriert deshalb einen erheblichen Teil der Security-Maßnahmen auf diesen Bereich. Unterstützt werden sie dabei von State-of-the-art Anwendungen wie Fortify oder IBM AppScan.

"Erst wenn eine Applikation, egal ob interne Supportapplikation oder kundenorientierte Webapplikation, aus Sicherheitssicht als einwandfrei befunden wurde, darf sie ausgerollt werden", erläutert Falchetto. bwin´s "Corporate Security" auditiert die entwickelte Software und weist die Entwickler auf Sicherheitslücken hin. Die Entwickler müssen daraufhin die Sicherheitslücken schließen, ansonsten wird die Freigabe zum Rollout verweigert.

Manipulationen ausschließen

Ein Spezifikum sind die Sicherheitsrisiken im Zusammenhang mit möglichen Manipulationen von Wettergebnissen, dazu Falchetto: "Unser Geschäftsmodell basiert auf Sport, von daher sehen wir es in unserer Verantwortung alle technischen Möglichkeiten zu nutzen, um die Integrität des Sports zu schützen. Im Onlinegeschäft sind die technischen Möglichkeiten Betrugsszenarien (sogenannte "fraud-patterns") zeitnah zu erkennen und Betrug zu verhindern vielfältig. Neben der Transaktionssicherheit ist daher bei bwin der Bereich "Manipulationssicherheit" eine wichtige Dimension. Wir haben in der letzten Dekade auch darin sowohl organisatorisch wie technisch eine Vielzahl von Anstrengungen unternommen um Wettbetrug präventiv zu verhindern."

In Folge des bekannten "Hoyzer Skandals" in Deutschland wurde die ESSA (http://www.eu-ssa.org) gegründet, die "European Sports Security Association", eine europäische NGO der Sportwettenanbieter deren Aufgabenbereich der Schutz des Sportes und des Wettgeschäfts vor betrügerischen Erscheinungen darstellt. Marco Falchetto wurde vor kurzem als "Technical Director" der ESSA designiert und sieht den Stellenwert der Organisation in Zukunft immer gewichtiger.

Die ESSA betreibt ein Frühwarnsystem, welches bei Unregelmäßigkeiten am Markt anspringt. ESSA Mitglieder scannen ihre Transaktionsdaten auf mögliche "fraud-patterns" und alarmieren einander im Falle des Betrugsverdachts. Die abschließende Bewertung auffälliger Wettmuster erfolgt zentral durch die Rolle des "ESSA Head of Security". Bestätigt sich ein Manipulationsverdacht werden Wettanbieter angewiesen, Transaktionen rückabzuwickeln und der betroffene Sportverband wird informiert. ESSA schützt daher sowohl Sportförderationen als auch Sportwetten-Anbieter.

Zu den bekanntesten Sportföderationen im Partnernetz zählen das IOC, die FIFA und UEFA sowie die ATP. Das Verfahren, welches hier angewandt wird, nennt sich in der Fachsprache "Cross-linked networked operations", alle Daten werden hier in das Netzwerk eingebracht und ausgewertet, für die rasche Krisenkommunikation werden eigene gesicherte Kommunikationskanäle genutzt.

Fraud-Detection-System

Bei bwin-intern liegt die Verantwortung der Betrugsprävention gleich in mehreren Abteilungen. Hand in Hand arbeiten Statistiker, technische Sicherheitsarchitekten und die Systemoperatoren zusammen, um die Sicherheitssysteme intern wie extern zu überwachen.

Falchetto bestätigt, dass die steigenden Anforderungen an das Fraud-Detection-System den Pfad des Möglichen von Standardsoftware längst verlassen haben - "die Komplexität ist so hoch, dass schon früh eigene Inhouse-Entwicklungen den Großteil der Systeme ausmachten".

In Expertensystemen werden Abweichungen der tatsächlichen Transaktionsbewegungen von statistischen Richtwerten gemessen und ausgewertet. Die Grundlogik ist, wie bei jedem guten System, einfach und besteht aus drei Layern - der "Detection"-Layer, ein Business-Intelligence-Tool für das Echtzeit-Tracing, zum Erkennen von Auffälligkeiten in den Transaktionsdaten. Im darauf folgenden "Analyse"-Layer werden sämtliche für eine Bewertung relevanten Daten in Verbindung gebracht. Der "Response"-Layer umfasst das Set sämtlicher möglicher Systemreaktionen - vom Report bis zum automatisierten Alarm.

Die wichtigste Grundlage für das System sind die Bewertungsparameter aus denen die unüblichen Marktverhalten gemessen werden können, z.B. eine hohe Anzahl von Wetten auf Außenseiter, eine plötzliche hohe Anzahl von neuen Anmeldungen (User) am Markt, ein hohes Maximum bei Einsätzen, eine hohe Anzahl von Wettplatzierungen in einem gewissen Zeitraum wie auch generell unüblich hohe Summen auf den Wettmärkten.

Als Informationsbasis werden vor allem Profildaten, Statistiken von Einsätzen und die dazugehörigen Wetttypen, vernetzte Statistiken auf Quoten und Sportbranchen sowie historisierte Transaktionsaufzeichnungen verwendet. Zur erweiterten Analyse fließen zudem Berichtsdaten von professionellen Akteuren aus der Sportswelt ein. Diese Daten sind wichtig, da dadurch ein eigener Informationsbereich direkt aus der Branche zur Verfügung steht. Aufwändige Recherchetätigkeiten, auch dafür gibt es ein eigenes Spezialistenteam bei bwin, werden dadurch deutlich verringert. Der erwähnte Hoyzer-Skandal ist übrigens ein gutes Beispiel dafür, die initialen Informationen über mögliche Unregelmäßigkeiten wurden durch Schiedsrichter selbst übermittelt.