{"id":2721,"date":"2026-10-05T19:59:06","date_gmt":"2026-10-05T19:59:06","guid":{"rendered":"https:\/\/whitelotto.com\/?p=2721"},"modified":"2026-10-06T00:18:03","modified_gmt":"2026-10-06T00:18:03","slug":"lotterieplattform-sicherheit-tests-sla","status":"publish","type":"post","link":"https:\/\/whitelotto.com\/de\/lotterieplattform-sicherheit-tests-sla\/","title":{"rendered":"Checkliste f\u00fcr Tests, Sicherheit, Zertifizierung und SLA von Lotterieplattformen"},"content":{"rendered":"\n
\n\n

Eine Checkliste f\u00fcr Sicherheit und Verf\u00fcgbarkeit einer Lotterieplattform sollte jede Anforderung mit einem Test, einem rechenschaftspflichtigen Verantwortlichen und Nachweisen f\u00fcr die k\u00fcnftig betriebene Version verbinden.<\/strong> Beginnen Sie mit dem vorgesehenen Produkt, geltenden Anforderungen, Zahlungsvereinbarungen und Vertrag. Beauftragen Sie unabh\u00e4ngige Arbeiten fr\u00fch genug, um Befunde zu beheben und erneut zu testen. Verhandeln Sie anschlie\u00dfend messbare Servicelevels f\u00fcr den gesamten Kundenablauf, nicht nur f\u00fcr einen Server, der auf einen Zustandscheck antwortet.<\/p>\n

RNG-Berichte, Penetrationstests, Zertifikate und Verf\u00fcgbarkeitszusagen beantworten unterschiedliche Fragen. Keines ersetzt die anderen. Nutzen Sie die Anbieterbewertungs-Checkliste<\/a> zum Vergleich von Angeboten und laden Sie das WhiteLotto Operator Decision Pack (XLSX) herunter<\/a>, um Anforderungen, Nachweisl\u00fccken und Entscheidungen festzuhalten.<\/p>\n

Trennen Sie Tests, Zertifizierung und betriebliche Absicherung<\/h2>\n

Erstellen Sie eine Anforderungsmatrix: Pflicht und Quelle, Komponente, Version, Umgebung, erforderlicher Standard, zul\u00e4ssiger Pr\u00fcfer, Voraussetzung, Ergebnis und Abnahmeverantwortlicher. Ermitteln Sie, was Anbieternachweise abdecken und was f\u00fcr Ihre Bereitstellung spezifisch bleibt. Interne Qualit\u00e4tssicherung unterst\u00fctzt diese Arbeit, ersetzt jedoch keine erforderliche unabh\u00e4ngige Pr\u00fcfung.<\/p>\n

\n\n
Verschiedene Pr\u00fcfungsumf\u00e4nge erfordern unterschiedliche Nachweise<\/caption>\n
Umfang<\/th>Zu pr\u00fcfende Fragen<\/th>Anzufordernde Nachweise<\/th><\/tr><\/thead>\n
Spiel und RNG<\/th>Wo Zuf\u00e4lligkeit eingesetzt wird: Generator, Zuordnung, Spielregeln und Ergebnisverarbeitung.<\/td>Bericht mit gepr\u00fcften Komponenten, Versionen, Methoden und Ausschl\u00fcssen.<\/td><\/tr>\n
Plattform und Integrationen<\/th>Losannahme, Verkaufsschluss, doppelte Anfragen, Abrechnung, Ergebnis\u00fcbernahme und Abstimmung.<\/td>Systemtestergebnisse f\u00fcr die konfigurierten Integrationen und Fehlerf\u00e4lle.<\/td><\/tr>\n
Cybersicherheit<\/th>Authentifizierung, privilegierter Zugriff, APIs, Konfiguration, Schwachstellen und Vorfallbearbeitung.<\/td>Abgegrenzte Pr\u00fcfung, Befundregister und Nachweise unabh\u00e4ngiger Wiederholungspr\u00fcfungen.<\/td><\/tr>\n
Zahlungssicherheit<\/th>Kartendatenfl\u00fcsse, diese Fl\u00fcsse beeinflussende Systeme und geteilte Zust\u00e4ndigkeiten.<\/td>Best\u00e4tigter PCI-Umfang und einschl\u00e4gige Validierungsnachweise.<\/td><\/tr>\n
Servicebetrieb<\/th>Verf\u00fcgbarkeit, Wiederherstellung, Supporteskalation und Transaktionsintegrit\u00e4t.<\/td>SLA-Definitionen, \u00dcberwachungsnachweise und Ergebnisse von Wiederherstellungs\u00fcbungen.<\/td><\/tr>\n<\/tbody><\/table><\/div>\n

Der GLI-Standardkatalog<\/a> unterscheidet Standards f\u00fcr Spiel- und Sicherheitspr\u00fcfungen. Ein Katalogeintrag beweist nicht, dass ein bestimmtes Produkt zertifiziert wurde. Best\u00e4tigen Sie den genauen Standard und die f\u00fcr Ihre Anforderung akzeptierten Nachweise; setzen Sie nicht voraus, dass ein Zertifikat jede Konfiguration oder Nutzung abdeckt.<\/p>\n

W\u00e4hlen Sie unabh\u00e4ngige Pr\u00fcfer vor dem Ver\u00f6ffentlichungsfenster<\/h2>\n

Pr\u00fcfen Sie einschl\u00e4gige Kompetenz, erforderliche Akkreditierung oder Anerkennung, Unabh\u00e4ngigkeit, Konflikte, Unterauftragnehmer und Verf\u00fcgbarkeit. Die Vermittlung eines Labors begr\u00fcndet weder dessen Zul\u00e4ssigkeit noch die garantierte Annahme seines Berichts. Vereinbaren Sie Umfang, Methoden, Ausschl\u00fcsse, Eingabeartefakte, Vertraulichkeit, zul\u00e4ssige Nutzung der Ergebnisse, Wiederholungspr\u00fcfungsgeb\u00fchren und Ergebnisse schriftlich.<\/p>\n

F\u00fcr Zahlungen beschreibt PCI SSC PCI DSS<\/a> als Schutz von Zahlungskontodaten, einschlie\u00dflich Organisationen, die die Karteninhaberdatenumgebung beeinflussen k\u00f6nnten. Setzen Sie ausgelagerten Checkout nicht mit fehlenden Verantwortlichkeiten gleich. Erfassen Sie die tats\u00e4chlichen Datenfl\u00fcsse und best\u00e4tigen Sie Ihren einschl\u00e4gigen Umfang und Validierungsweg mit der zust\u00e4ndigen Zahlungsgegenpartei und einem qualifizierten Pr\u00fcfer.<\/p>\n

Verkn\u00fcpfen Sie Testergebnisse mit der bereitgestellten Version<\/h2>\n

Die Entwicklung sollte ein Versionsmanifest mit Build-Kennungen oder Hashes, Abh\u00e4ngigkeiten, Konfiguration, Infrastruktur, Spielen und Integrationen f\u00fchren. Dokumentieren Sie die Testumgebung und erkl\u00e4ren Sie Unterschiede zur Produktion. Gew\u00e4hren Sie Pr\u00fcfern zeitlich begrenzten, protokollierten Zugriff; minimieren Sie Daten und nutzen Sie genehmigte sichere \u00dcbertragungskan\u00e4le.<\/p>\n

Das Nachweisregister muss jeden Befund mit betroffener Version, Schweregrad, Verantwortlichem, Korrekturma\u00dfnahme, vor\u00fcbergehender Kontrolle, Wiederholungspr\u00fcfung und Abschlussentscheidung verkn\u00fcpfen. Bewahren Sie Berichte und nachteilige Befunde sicher auf, auch in Managementzusammenfassungen. Sicherheit verantwortet die technische Behebung; Compliance pr\u00fcft die Anforderungsabdeckung; Versionsmanagement pr\u00fcft die \u00dcbereinstimmung von Bereitstellung und Nachweisen. Benennen Sie, wer Restrisiken akzeptieren darf, ohne externe Anforderungen zu \u00fcbergehen.<\/p>\n

Ein kritischer Befund kurz vor dem Start<\/h3>\n

Zeigt ein Penetrationstest Zugriff auf privilegierte Konten, isolieren Sie die betroffene Umgebung, bewerten Sie die Exposition und beziehen Sie Sicherheits-, Entwicklungs-, Compliance- und Rechtsverantwortliche ein. Beheben Sie die Ursache und untersuchen Sie verwandte Komponenten. Holen Sie unabh\u00e4ngige Wiederholungspr\u00fcfungsnachweise ein; senken Sie den Schweregrad nicht zum Schutz des Termins. Verschieben oder begrenzen Sie den Start, wenn die befugten Abnahmebedingungen nicht erf\u00fcllt werden k\u00f6nnen.<\/p>\n

Planen Sie Zeit f\u00fcr Umfangsfragen, Behebung und Wiederholungspr\u00fcfungen ein, nicht nur f\u00fcr die erste Pr\u00fcfung. Ein sp\u00e4terer Wechsel der Authentifizierungsbibliothek kann Sitzungen, Berechtigungen und Zahlungs-Callbacks beeinflussen: Bewerten Sie die Auswirkungen und fragen Sie die zust\u00e4ndigen Spezialisten, ob gezielte oder umfassendere Wiederholungspr\u00fcfungen erforderlich sind.<\/p>\n

Machen Sie Verf\u00fcgbarkeitsaussagen zu einem betrieblichen SLA<\/h2>\n

Ein SLA ist eine Vertragsdefinition, keine Zertifizierung. Legen Sie abgedeckte Abl\u00e4ufe, Messzeitr\u00e4ume, \u00dcberwachungsstandorte, Berechnung und Ausschl\u00fcsse fest. Verf\u00fcgbarkeit wird h\u00e4ufig als anrechenbare Zeit abz\u00fcglich gez\u00e4hlter Ausfallzeit, geteilt durch anrechenbare Zeit, berechnet. In einem beispielhaften Zeitraum von 30 Tagen erlauben 99,9 % eine gez\u00e4hlte Ausfallzeit von 43,2 Minuten. Dieser Prozentsatz sagt wenig \u00fcber einen Ausfall unmittelbar vor dem Losverkaufsschluss aus.<\/p>\n

\n\n
SLA-Fragen, die vor der Unterzeichnung zu kl\u00e4ren sind<\/caption>\n
Thema<\/th>Fragen an den Anbieter<\/th><\/tr><\/thead>\n
Abgedeckter Service<\/th>Umfasst Verf\u00fcgbarkeit Anmeldung, Losbest\u00e4tigung, APIs und Verwaltungszugriff? Wie werden Teilausf\u00e4lle gez\u00e4hlt?<\/td><\/tr>\n
Abh\u00e4ngigkeiten und Ausschl\u00fcsse<\/th>Wie werden Ausf\u00e4lle bei Zahlungen oder Ziehungsdaten eingeordnet? Welche Ank\u00fcndigungsfristen und Grenzen gelten f\u00fcr Wartung?<\/td><\/tr>\n
Vorfallreaktion<\/th>Welcher Schweregrad l\u00f6st eine Rund-um-die-Uhr-Eskalation aus? Sind Empfangsbest\u00e4tigung, Aktualisierungen und Wiederherstellung getrennte Ziele?<\/td><\/tr>\n
Wiederherstellung<\/th>Welche RTO und RPO werden f\u00fcr jeden kritischen Service vorgeschlagen? Welche \u00dcbung belegt sie?<\/td><\/tr>\n
Nachweise und Abhilfe<\/th>Wer erh\u00e4lt Messungen und Vorfallberichte? Wie werden Streitf\u00e4lle, Gutschriften und wiederholte Verst\u00f6\u00dfe behandelt?<\/td><\/tr>\n<\/tbody><\/table><\/div>\n

Recovery Time Objective (RTO) ist die angestrebte Zeit zur Wiederherstellung des Dienstes; Recovery Point Objective (RPO) ist die angestrebte, zeitlich gemessene Grenze f\u00fcr Datenverlust. Ein Sicherungszeitplan allein beweist keines von beiden. Fordern Sie beobachtete Wiederherstellungszeiten, wiederhergestellte Datenst\u00e4nde, Voraussetzungen und Ausnahmen an. Die Zahlen hier sind Beschaffungsbeispiele, keine WhiteLotto-Servicezusagen. Beziehen Sie Test- und Wiederherstellungszust\u00e4ndigkeiten in Ihren Softwarepreisvergleich<\/a> ein.<\/p>\n

Testen Sie Fehler und Wiederherstellung, nicht nur normalen Verkehr<\/h2>\n

Die Losbest\u00e4tigung geht verloren<\/h3>\n

Ein Kunde sendet eine Bestellung, aber die Antwort l\u00e4uft in eine Zeit\u00fcberschreitung. Pr\u00fcfen Sie, ob ein erneuter Versuch dieselbe Anfragekennung nutzt, den Status pr\u00fcft und ein doppeltes Los oder eine doppelte Belastung verhindert. Dokumentieren Sie die angenommene Transaktion, die Verkaufsschlussentscheidung und das Abstimmungsergebnis. Eine reagierende Startseite darf einen defekten Kaufablauf nicht verdecken.<\/p>\n

Die Datenbankwiederherstellung gelingt, aber Datens\u00e4tze widersprechen sich<\/h3>\n

Stellen Sie in einer befugten isolierten \u00dcbung Datens\u00e4tze wieder her und vergleichen Sie Bestellungen, Zahlungsreferenzen, Salden und Loszust\u00e4nde. Pr\u00fcfen Sie fehlende oder doppelte Ereignisse, erneute Integrationsverarbeitung, Auditkontinuit\u00e4t und wartende Aufgaben. Pr\u00fcfen Sie die Verf\u00fcgbarkeit von Schl\u00fcsseln und Abh\u00e4ngigkeiten, ohne Geheimnisse offenzulegen. Vereinbaren Sie, wer Abweichungen vor der Wiederaufnahme des Verkaufs abstimmt; erzeugen Sie keine echten Kundentransaktionen f\u00fcr die \u00dcbung.<\/p>\n

Stellen Sie das Nachweispaket f\u00fcr den Start zusammen<\/h2>\n