Die MGA-Lizenz: wie die Malta Gaming Authority in der Praxis funktioniert

Was die MGA ist – vom Staatslotto 1962 zum Gaming Act 2018

Das Erste, was Sie verstehen müssen: Die MGA ist keine EU-Behörde. Sie ist eine eigenständige maltesische Aufsicht, deren Entscheidungen nur innerhalb Maltas Hoheitsgebiet bindend sind. Da Malta jedoch EU-Mitglied ist und das Gesellschaftsrecht mit dem AEUV vereinbar ist, kann eine MGA-Lizenz unionsweit beworben werden – mit nationalen Ausnahmen wie Deutschland, Schweden und Spanien.

Die maltesische Glücksspielaufsicht entwickelte sich in drei Etappen. Das erste staatliche Lotto wurde 1962 eingeführt. Die Lotteries and Gaming Authority (LGA) wurde 2001 gegründet und nach einer Umstrukturierung 2015 in Malta Gaming Authority umbenannt. Das geltende Gesetz – Gaming Act (Cap. 583) – trat am 1. August 2018 in Kraft und löste ein halbes Dutzend früherer Gesetze ab. Zuvor hatte Malta fünf separate Lizenztypen je nach technischer Spielform. Die Reform 2018 reduzierte dies auf zwei Grundkategorien (B2C und B2B) mit vier Lizenzklassen, was das Regelwerk vorhersehbarer für Betreiber und übersichtlicher für Spieler machte.

Die Größenordnung ist erwähnenswert, weil sie sowohl die Ressourcen als auch die Anreize der MGA prägt. Laut MGA Annual Report 2023 beaufsichtigt die Behörde über 300 aktive Lizenznehmer, die zusammen einen erheblichen Anteil am maltesischen BIP haben. Das ist zugleich Stärke und Schwäche der MGA: große Budgets für Kontrolle, aber auch eine erhebliche Abhängigkeit von Lizenzgebühren als Einnahmequelle. Berücksichtigen Sie das beim Lesen von Sanktionsentscheidungen – die MGA ist gleichzeitig Regulator und industriepolitischer Akteur.

Die vier Lizenzklassen – Class 1, 2, 3 und 4

Das Gaming Act 2018 ordnet jede MGA-Lizenz in vier Klassen. Als Spieler begegnen Sie hauptsächlich Class 1 (Casino), Class 2 (Sportwetten) und Class 3 (Peer-to-Peer), während Class 4 für Sie unsichtbar, aber kritisch ist – dort sitzen die Spielanbieter. Hier sehen Sie, wie sich die Klassen zueinander verhalten, wie hoch das Mindestaktienkapital ist und welche Spiele zu welcher Klasse gehören:

Ein Betreiber, der sowohl Slots als auch einen Sportwetten-Bereich anbietet, benötigt also sowohl Class 1 als auch Class 2 – die kombinierte Kapitalanforderung liegt damit bei 200.000 € ausgegebenem Aktienkapital plus entsprechender Deckung für Spielergelder. Class 4 ist für Sie als Spieler unsichtbar, aber es sind diese B2B-Anbieter (Evolution, Pragmatic Play, NetEnt und weitere), die die Spiele produzieren, die Sie tatsächlich spielen. Dass auch sie unter MGA-Aufsicht stehen, ist ein zentraler Grund, warum eine MGA-Lizenz den gesamten Stack abdeckt.

Kapitalanforderungen und technische Prüfungen

Das Kapital ist nur eine von drei Prüfebenen, die ein Betreiber bestehen muss, um die MGA-Lizenz zu erlangen und zu behalten. Die anderen beiden sind die technische Systemprüfung (System Audit) und die laufende Compliance-Überprüfung. Sie sollten alle drei kennen, weil sie zusammen entscheiden, ob der Betreiber Ihre Gewinne in der Praxis auszahlen kann.

Die erste Ebene ist das Kapital. Wie die Tabelle oben zeigt, beträgt das Mindestaktienkapital je nach Klasse 40.000 € oder 100.000 €. Darüber hinaus muss der Betreiber Spielergelder auf einem separaten Treuhandkonto vom Betriebskapital trennen. Das ist einer der wichtigsten Unterschiede zu einem unregulierten Betreiber: Wird der Betreiber insolvent, sollten Spielergelder theoretisch vor Gläubigern geschützt sein. In der Praxis hängt der Schutz davon ab, ob die Trennung tatsächlich konsequent eingehalten wurde – wurden die Mittel vermischt, kann der Schutz wertlos sein.

Für einen großen Betreiber ist das ein Bruchteil der UKGC-Reserveanforderung, die proportional zu den Spielerguthaben berechnet wird.

Die zweite Ebene ist die Systemprüfung. Bevor ein Betreiber die endgültige Lizenz erhält, muss er eine unabhängige technische Prüfung seiner Spielplattform, RNG-Implementierung und Berichtssysteme durchlaufen. Der Prüfbericht wird bei der MGA eingereicht. Betreiber mit vorläufiger Lizenz haben 90 Tage Zeit für die vollständige Prüfung – andernfalls wird die Lizenz entzogen. Die dritte Ebene, die Compliance-Überprüfung, ist laufend. Die Compliance & Enforcement-Abteilung der MGA prüft Lizenznehmer risikobasiert und veröffentlicht jährlich einen Überblick über Fälle, Sanktionen und zurückgegebene Lizenzen. Im öffentlichen Sanktionsregister finden sich Hunderte Maßnahmen pro Jahr – von Verwarnungen bis zur endgültigen Lizenzentziehung.

Player Protection Framework in der Praxis

Das Player Protection Framework ist die Sammelbezeichnung für die Schutzmaßnahmen, die die MGA dem Betreiber vorschreibt. Es ist keine freiwillige Richtlinie, sondern gesetzlich im Gaming Act und in der Player Protection Directive verankert; Verstöße führen zu Sanktionen. Sie haben als Spieler auf einer MGA-lizenzierten Seite mindestens sechs konkrete Rechte.

Das erste ist die Möglichkeit, eigene Limits zu setzen. Der Betreiber muss Einzahlungs-, Verlust-, Sitzungs- und Einsatzlimits anbieten – verfügbar ab der ersten Registrierung, nicht drei Klicks tief versteckt. Das zweite sind Reality Checks, die Ihnen zeigen, wie lange Sie gespielt haben und wie das Nettoergebnis aussieht. Das dritte ist eine Cooling-off-Periode: eine kurze, automatische Pause, die Sie selbst auslösen können. Das vierte ist die Selbstsperre – mindestens sieben Tage bis dauerhaft. Das fünfte ist die Altersverifizierung und KYC vor der ersten Auszahlung. Das sechste sind sichtbare Hinweise auf verantwortungsvolles Spielen, häufig per Verlinkung zu externen Hilfsorganisationen wie BZgA oder GamCare.

Es gibt jedoch eine wichtige Lücke, die Sie kennen sollten: Die MGA hat kein Pendant zu OASIS, GAMSTOP oder Spelpaus. Die Selbstsperre ist betreiberspezifisch. Sperren Sie sich bei einem MGA-Casino, können Sie sich bei einem anderen MGA-Casino weiterhin ohne Hinweis registrieren, solange Sie nicht dieselbe E-Mail oder Telefonnummer verwenden. In der Praxis kann ein Spieler trotz Sperre bei einem MGA-Casino bei 20–50 anderen MGA-lizenzierten Sites weiterspielen. Genau deshalb empfiehlt unser Leitfaden zur Wirksamkeit der Selbstsperre nationale Systeme, wo sie existieren.

Streitbeilegung und ADR-Prozess Schritt für Schritt

Die Streitbeilegung gehört zu den stärksten Schutzmechanismen der MGA – und ist zugleich der Bereich, in dem die meisten Spieler ihren eigenen Prozess verfehlen. Die Regeln sind klar: Zuerst muss intern beim Betreiber eskaliert werden, danach an eine unabhängige ADR-Stelle und zuletzt an die MGA Player Support Unit. Genau zwischen diesen Schritten bleiben die meisten Streitfälle hängen.

Kurzfassung: Nach Einreichung einer formellen schriftlichen Beschwerde beim Betreiber hat dieser 21 Tage Zeit für eine abschließende Antwort. Erhalten Sie innerhalb von 21 Tagen keine Antwort – oder ist die Antwort inakzeptabel – können Sie den Fall an die ADR-Stelle eskalieren, die der Betreiber in den AGB nennt. Die ADR-Entscheidung ist für den Betreiber bindend, sofern Sie sie akzeptieren. Sie behalten zudem das Recht, den Zivilrechtsweg zu beschreiten.

Wir sehen regelmäßig zwei Fehler in diesem Prozess. Der erste: Der Spieler chattet mit dem Support, kommt nicht weiter und gibt auf – ohne jemals eine formelle Beschwerde einzureichen. Die 21-Tage-Frist beginnt erst, wenn Sie eine formelle schriftliche Beschwerde gemäß der veröffentlichten Beschwerdeprozedur eingereicht haben. Der zweite: Der Spieler wendet sich direkt an die MGA statt an die vom Betreiber benannte ADR-Stelle. Die MGA ist die letzte Station, nicht die erste. Unsere Erfahrung: ADR-Stellen lösen die Mehrheit der Streitfälle innerhalb von 60 Tagen, während Fälle, die direkt bei der MGA landen, häufig abgewiesen werden und neu gestartet werden müssen.

KYC und AML – Geldwäscheauflagen unter der MGA

KYC (Know Your Customer) und AML (Anti-Money Laundering) sind keine bürokratische Hürde – sie schützen vor Geldwäsche, Terrorismusfinanzierung und unbefugtem Kontozugriff. Die MGA wendet die 5. EU-Geldwäscherichtlinie und die maltesischen FIAU-Regeln an, was das Regime mindestens so streng macht wie das der UKGC.

Vor Ihrer ersten Auszahlung verlangen MGA-lizenzierte Betreiber Standard-KYC: Identitätsnachweis (Reisepass oder Personalausweis), Adressnachweis (Kontoauszug oder Rechnung) sowie Nachweis über das Eigentum der Zahlungsmethode. Das passiert üblicherweise bei der Auszahlung, nicht beim Einzahlen – eine bekannte Kritik am Regelwerk: Geld rein ist reibungslos, Geld raus erfordert Dokumentation. Bei größeren Beträgen greift verstärkte Sorgfaltspflicht (EDD): Fragen zur Mittelherkunft, gegebenenfalls Arbeitsnachweise und Kontoauszüge.

Die Schwellen sind wissenswert. Eine Einzeltransaktion über 2.000 € oder kumulierte Transaktionen über 15.000 € innerhalb eines rollierenden 24-Stunden-Fensters lösen zusätzliche KYC-Prüfungen aus. Bei 35.000 € Gesamtumsatz aktiviert sich EDD nach FIAU-Vorgaben. Der Betreiber ist außerdem verpflichtet, verdächtige Transaktionen per STR an die FIAU zu melden. Ein Spieler, der plötzlich hohe Beträge über mehrere Zahlungsmethoden einzahlt, wird fast immer nach der Mittelherkunft gefragt.

MGA im Vergleich zu UKGC, SGA, Spillemyndigheden und GGL

Um zu erkennen, was die MGA ist – und was nicht – müssen wir sie mit den anderen großen europäischen Lizenzen vergleichen. Schweden (SGA), Großbritannien (UKGC), Dänemark (Spillemyndigheden) und Deutschland (GGL) stehen für vier unterschiedliche Aufsichtsphilosophien. Hier eine Übersicht der Unterschiede, die für Sie als Spieler am relevantesten sind:

Beachten Sie die vierte Zeile. Nur UKGC (GAMSTOP), SGA (Spelpaus), Spillemyndigheden (ROFUS) und GGL (OASIS) bieten eine gesetzlich verankerte nationale Selbstsperre, die alle Lizenznehmer im Markt gleichzeitig abdeckt. Die MGA tut das nicht. Für einen Spieler, der sich seines Spielverhaltens nicht sicher ist, ist das ein konkreter Unterschied – und der Grund, warum wir bei eigenem reguliertem Markt stets lokal lizenzierte Betreiber empfehlen.

Casino verifizieren auf authorisations.mga.org.mt

Die Verifizierung, ob ein Casino tatsächlich die beworbene MGA-Lizenz besitzt, dauert weniger als zwei Minuten. Wir nutzen intern bei jeder Bewertung eines MGA-Casinos dieselbe Checkliste und empfehlen Ihnen, ebenso zu verfahren, bevor Sie einen einzigen Euro einzahlen. Hier die offizielle Methode über das öffentliche MGA-Register.

1. Scrollen Sie in den Footer des Casinos und suchen Sie die MGA-Lizenznummer (typische Formate: MGA/B2C/123/2007 oder MGA/CRP/123/2018).
2. Öffnen Sie authorisations.mga.org.mt im Browser – das ist das offizielle öffentliche Register der MGA.
3. Suchen Sie nach Lizenznummer oder Firmenname. Der Firmenname muss mit dem im Impressum/AGB des Casinos genannten Unternehmen übereinstimmen, nicht zwangsläufig mit der Marke.
4. Bestätigen Sie, dass der Status "Authorised" oder "Active" lautet. Steht dort "Suspended", "Expired" oder "Cancelled", zahlen Sie nicht ein, egal was die Casino-Website behauptet.
5. Prüfen Sie, ob die Domain des Casinos (oder eine verbundene Domain) unter "Authorised URLs" gelistet ist. Dies ist die am häufigsten übersehene Prüfung – viele betrügerische Sites nutzen legitime Lizenznummern, sitzen aber auf einer nicht zugelassenen Domain.
6. Prüfen Sie, ob die Lizenzklasse zum Angebot passt. Ein Casino mit Slots und Sportwetten benötigt sowohl Class 1 als auch Class 2, nicht nur eine.
7. Notieren Sie die Daten für "License Issued" und "License Expiry". MGA-Lizenzen laufen üblicherweise 5 oder 10 Jahre. Bei nahendem Ablauf sollte eine Verlängerung sichtbar sein – wenn nicht, sprechen Sie den Support an.

Stimmt einer der Schritte nicht – fehlt die Domain im Register, ist der Status nicht "Authorised", oder deckt die Lizenzklasse das Angebot nicht ab –, sehen Sie von einer Einzahlung ab und kontaktieren Sie die MGA unter support.mga@mga.org.mt. Wir melden solche Abweichungen laufend an die MGA Player Support Unit und sehen, dass sie ernst genommen werden – mehrere Betreiber haben ihre Lizenz nach solchen Meldungen verloren.

Wenn der Betreiber nicht zahlt – Ihr Schritt-für-Schritt-Plan

Der schlimmste Fall für einen Spieler: Die Auszahlung ist gesperrt, der Betreiber antwortet nicht, mehrere tausend Euro sind blockiert. Das passiert bei allen Lizenztypen – auch bei der MGA – doch bei einem MGA-lizenzierten Betreiber haben Sie einen strukturierten Schrittplan. Hier ist er, mit Fristen, damit Sie wissen, was Sie wann verlangen können:

1. Dokumentieren Sie sofort alles: Screenshots des Kontostandes vor und nach Ereignissen, Transaktions-IDs, Datum und Uhrzeit der Auszahlungsanfrage, gesamte Korrespondenz mit dem Support. Sichern Sie auch die zum Zeitpunkt geltenden AGB – diese können nachträglich geändert werden.
2. Reichen Sie eine formelle schriftliche Beschwerde an die offizielle Beschwerdestelle (häufig complaints@operatorname.com) ein. Betreff "Formal Complaint under MGA Player Protection Directive" verwenden und Ihre Kontonummer angeben.
3. Warten Sie 21 Tage auf die abschließende Antwort des Betreibers. Erhalten Sie binnen 21 Kalendertagen keine Antwort, gilt das als Ablehnung und Sie dürfen eskalieren.
4. Eskalieren Sie an die in den AGB genannte ADR-Stelle. Am häufigsten sind eCOGRA und IBAS. Senden Sie alle bisherige Korrespondenz, Belege und AGB mit. Die ADR-Entscheidung ist für den Betreiber bindend, sofern Sie sie akzeptieren.
5. Wird die ADR-Entscheidung nicht innerhalb von 30 Tagen umgesetzt oder liegt der Fall außerhalb des ADR-Mandats, melden Sie ihn formell der MGA Player Support Unit per support.mga@mga.org.mt.
6. Die MGA prüft den Fall und kann Maßnahmen gegen den Betreiber ergreifen – von Anordnungen und Bußgeldern bis hin zum Lizenzentzug. Für Sie als Spieler bedeutet das entweder Auszahlung gemäß Bescheid oder eine schriftliche Begründung der Ablehnung.
7. Letzte Station ist das Zivilgericht in Malta. Selten, aber bei hohen Beträgen möglich. Die meisten Streitfälle werden im ADR-Schritt gelöst – deshalb empfehlen wir, Betreiber zu wählen, die von Beginn an klar eine bekannte ADR-Stelle in den AGB nennen.

Eines noch: Die genannten Fristen sind Mindestwerte, keine Maximalwerte. ADR-Stellen wie eCOGRA bearbeiten jährlich tausende Fälle, Prüfungen dauern typischerweise 30–60 Tage. Die MGA Player Support Unit braucht für komplexe Fälle oft 60–90 Tage. Rechnen Sie im schlechtesten Fall mit 3–6 Monaten von der ersten Beschwerde bis zur endgültigen Klärung. Schnell ist das nicht – aber grundsätzlich deutlich besserer Schutz als bei unregulierten Anbietern ohne ADR-Anbindung.

Häufige Fragen zur MGA-Lizenz