Warum ihr NIEMALS personalisierte Freispiel-Links aus Mails posten solltet

Freecash891 schrieb:

SICHERHEITSUNTERWEISUNG
Schutz vor unbefugtem Kontozugriff durch personalisierte Promotion-Links

Hi zusammen,

hier im Forum kommt es leider immer wieder vor, dass personalisierte Promotion-Links (meist No-Deposit-Freispiele) aus privaten Casino-Mails gepostet werden. Ich möchte das Thema mal ruhig und übersichtlich erklären, damit jeder versteht, warum das so gefährlich ist.

1. Das technische Grundproblem: Autologin-Token

Ein personalisierter E-Mail-Link ist kein normaler Werbelink.
Er funktioniert wie ein digitaler Generalschlüssel.

Klickt jemand auf diesen Link, loggt der Casino-Server den Klicker automatisch in das zugehörige Konto ein.
Passwort und sogar 2FA werden dabei komplett übersprungen.

2. Anatomie eines solchen Links (Beispiel: Max Mustermann)

Damit man es genau sieht, hier ein komplett erfundener Beispiel-Link für ein fiktives Konto von Max Mustermann:

text

https://email.casino-beispiel.de/e/c/eyJ1c2VyX2lkIjoibWF4X211c3Rlcm1hbm4xMjMiLCJlbWFpbF9pZCI6Ijk4NzY1NCIsImhyZWYiOiJodHRwczovL2Nhc2luby1iZWlzcGllbC5kZS9wbGlua28iLCJsaW5rX2lkIjoiYm9udXMtMTAwLWZyZWlzcGllbGUifQ==/a1b2c3d4e5f67890123456789abcdef0123456789abcdef0123456789abcdef0

Zerlegt sieht das so aus:

Teil 1 – Die Basis-URL
https://email.casino-beispiel.de/e/c/
→ Sagt dem Server: „Hier kommt ein verschlüsselter Aktions-Link, kein normales Spiel.“

Teil 2 – Der codierte Datenblock (Base64)
eyJ1c2VyX2lkIjoibWF4X211c3Rlcm1hbm4xMjMiLCJlbWFpbF9pZCI6Ijk4NzY1NCIsImhyZWYiOiJodHRwczovL2Nhc2luby1iZWlzcGllbC5kZS9wbGlua28iLCJsaW5rX2lkIjoiYm9udXMtMTAwLWZyZWlzcGllbGUifQ==

Dieser lange Zeichensatz sieht kryptisch aus, lässt sich aber in Sekunden decodieren.
Danach steht im Klartext:

JSON

{ "user_id": "max_mustermann123", "email_id": "987654", "href": "https://casino-beispiel.de/plinko", "link_id": "bonus-100-freispiele" }

• user_id → die feste Kundennummer von Max
• email_id → die Kennung der genauen Werbe-Mail
• href → wohin der Link weiterleitet (hier Plinko)
• link_id → der eigentliche Befehl: „Bonus gutschreiben und User ohne Passwort einloggen“

Teil 3 – Die Signatur
/a1b2c3d4e5f67890123456789abcdef0123456789abcdef0123456789abcdef0
→ Der digitale Stempel des Casinos. Er bestätigt: „Dieser Link ist echt und gehört zu Max Mustermann.“

3. Was andere damit anrichten können

Sobald so ein Link öffentlich liegt, braucht ein Angreifer weder Passwort noch Handy. Ein einziger Klick reicht und er ist im Account. Dann kann er:

• E-Mail und Passwort ändern → komplette Account-Übernahme
• Guthaben oder Gewinne auszahlen lassen
• alle hinterlegten KYC-Dokumente und persönlichen Daten einsehen

4. Wie wir uns hier im Forum verhalten sollten

Damit das nicht mehr passiert, einfach diese drei Regeln beachten:

1. Niemals den direkten Link aus einer Casino-Mail posten.
2. Wenn ihr ein Angebot teilen wollt, schreibt nur den Text:
   „Casino XY hat gerade Freispiele per Mail verschickt – schaut mal in euer Postfach.“
3. Seht ihr trotzdem einen solchen Riesen-Link, meldet den Beitrag kurz, damit er entfernt werden kann.

So bleibt der Spaß erhalten und niemand verliert seinen Account.

Passt auf euch auf.

Ich bin selbst kein Experte und habe das gerade mal in nischen Recherche mit KI zusammenfassen und erklären lassen.

An die echten Experten: meldet euch gerne, falls hier noch was nicht ganz stimmt – aber ich hab die wichtigsten Infos denke ich mal richtig zusammengetragen.

Mfg Freecash891

ich habe den support mal geschrieben, ob sie eine sperr funktion einführen können.

Der Grundgedanke stimmt auf jeden Fall. Solche Links aus privaten Mails sollte man lieber nicht öffentlich posten, weil sie unter Umständen sensible Daten oder gültige Login-Tokens enthalten können.

Nur die Aussage, dass man damit grundsätzlich Passwort und 2FA umgeht und direkt den kompletten Account übernehmen kann, würde ich nicht pauschal so stehen lassen. Das kommt eben darauf an, wie der Link technisch aufgebaut ist und was der Server beim Aufrufen tatsächlich damit macht.

Base64 kann man zwar einfach decodieren, aber daraus allein lässt sich noch kein automatischer Login ableiten.

Und vielen Dank für den Hinweis im Forum ;)

btssultan schrieb:

Der Grundgedanke stimmt auf jeden Fall. Solche Links aus privaten Mails sollte man lieber nicht öffentlich posten, weil sie unter Umständen sensible Daten oder gültige Login-Tokens enthalten können.

Nur die Aussage, dass man damit grundsätzlich Passwort und 2FA umgeht und direkt den kompletten Account übernehmen kann, würde ich nicht pauschal so stehen lassen. Das kommt eben darauf an, wie der Link technisch aufgebaut ist und was der Server beim Aufrufen tatsächlich damit macht.

Base64 kann man zwar einfach decodieren, aber daraus allein lässt sich noch kein automatischer Login ableiten.

Danke für die Ergänzung! Ich würde es trotzdem erst mal so stehen lassen. Mir ging es gar nicht um die genauen technischen Details, sondern eher darum, ein Bewusstsein dafür zu schaffen, dass man beim kurz nachdenkt bevor man was teilt.