Wir haben die mobile Anmeldung von weiterlesen auf einem neuen Android-Gerät und einem iPhone im deutschen Mobilfunknetz geprüft. Dabei bewegte uns vor allem, wie der Anbieter den Spagat zwischen unkompliziertem Zugang und den strikten Vorgaben des deutschen Glücksspielstaatsvertrags bewältigt. Der verlangt von lizenzierten Casinos eine gründliche Identitätsprüfung – das erhöht die Hürde beim Einloggen im Vergleich zu nicht regulierten Seiten zwangsläufig an. Wonaco vertraut auf eine native Web-App, die ohne Download auskommt, aber trotzdem Gerätefunktionen wie den Fingerabdrucksensor nutzt. Auf den ersten Blick fielen uns die geringe Ladezeit und das aufgeräumte Layout der Eingabemaske positiv, das sich erfrischend von überladenen Wettportalen unterscheidet. Unsere Eindrücke vom gesamten Anmeldeprozess haben wir hier Schritt für Schritt dargelegt – mit Stärken und den wenigen Schwachstellen.
Initialer Eindruck der handygerechten Login-Seite
Beim Aufrufen der Login-Seite war keine störenden Weiterleitungen oder Werbebanner – weist schon mal auf eine gut überlegte mobile Umsetzung hin. Das Design setzt mit dezente Farben und hohem Kontrast, sodass man die Eingabefelder auch bei Sonnenlicht noch erkennt. Die gesamte Oberfläche ist klar für Fingertipps ausgelegt: Die Buttons „Anmelden“ und „Passwort vergessen“ sind so groß, dass man sie mit dem Daumen erreicht, ohne zu verrutschen. Ein unscheinbares, jedoch wichtiges Detail: Die Seite zeigt keine voreingestellte Tastaturvorschläge ein, die bei sensiblen Eingaben ein Sicherheitsrisiko wären. Im 5G-Netz lud die Seite durchgehend in unter zwei Sekunden vollständig – das entspricht zu einer modernen Single-Page-App.
Fehlerausgaben und Neusetzung des Zugangs
Wenn wir ein falsches Passwort eingesetzt haben, zeigte die Seite einen gleichförmigen Fehler – ohne zu preiszugeben, ob die E-Mail-Adresse überhaupt angemeldet ist. Das mag für ungeduldige Nutzer lästig sein, ist aus Datenschutzsicht aber genau richtig. Über den Link „Passwort vergessen“ gelangt man zu einer Seite, die die E-Mail erfragt und dann einen befristeten Wiederherstellungslink übermittelt. In unseren Tests kam die Mail binnen dreißig Sekunden an und enthielt einen klaren, nicht klickbaren Warnhinweis zum Phishing-Schutz. Nach dem Neusetzen des Passworts sind alle laufenden Sitzungen auf anderen Geräten aufgehoben – diese Sicherheitsmaßnahme stellten wir bei vielen Konkurrenten bitter vermisst und betonen sie hier positiv hervor.
2-Faktor-Authentifizierung und Prüfcodes
Die in Deutschland geforderte starke Kundenauthentifizierung realisiert Wonaco mit einem Code-System um: entweder per SMS oder über eine Authenticator-App. Beide Methoden haben wir getestet. Die SMS brauchte im Schnitt knapp acht Sekunden, der TOTP-Code über Google Authenticator geschah dagegen ohne Verzögerung. Nach Eingabe des sechsstelligen Codes bleibt die Sitzung eine konfigurierbare Zeit offen; nach zwanzig Minuten Inaktivität fordert die Seite aber erneut nach einem Code – ein ausgewogener Kompromiss zwischen Sicherheit und Komfort. Bei mehreren falschen Eingaben blockiert das System den Zugang nach dem fünften Fehlversuch vorübergehend, sodass Brute-Force-Versuche ins Leere laufen.
Vorgehen bei instabiler Internetverbindung
Handy- Logins misslingen in der Praxis häufig an wechselhaften Verbindungen, etwa beim Wechsel von LTE auf 5G oder in einem Empfangsloch. Wir ließen das bei Wonaco nachgestellt und den Browser auf eine langsame 3G-Verbindung mit Datenverlusten reduziert. Die Seite lädt dann dann eine minimale statische Umgebung und präsentiert mit einer zurückhaltenden Animation, dass die Registrierung noch aktiv ist. Brach die Verbindung während des Token-Austauschs ab, verhinderte eine clientseitige Prozedur doppelte Requests und gewährleistete für einen störungsfreien Neustart, sobald das Netz wieder da war. Unterbrochene Sitzungen hinterließen keinen Datenmüll im lokalen Speicher.
Sicherheitsstruktur bei der drahtlosen Übertragung
Ein Blick in die Entwicklerkonsole zeigt: Die Seite setzt durchgehend auf TLS 1.3 mit modernen Cipher-Suiten, die Forward Secrecy erzwingen. Das SSL-Zertifikat stammt von einer gängigen Zertifizierungsstelle und ist richtig eingebunden – frei von gemischten Inhalten oder riskanten Skripte. Alle Authentifizierungs-Token sind als HttpOnly und Secure konfiguriert, sodass das Risiko von Cross-Site-Scripting auf ein geringes Niveau sinkt. Die Content Security Policy ist rigoros und lässt nur die für den Login erforderlichen Domains zu. Außerdem prüft die Anwendung bei jedem POST-Request den „Origin“-Header und verhindert so Sitzungs-übergreifende Fälschungen.
Eingabe der Login-Daten auf dem Mobilgerät
Auf der Login-Seite findet sich eine geteilte Oberfläche: Adresse oder Name oben, Passwort unten. Wir haben verschiedene Tastatur-Apps getestet. Die Kennwortfelder verhindern dabei durchgängig Autovervollständigen und das Übertragen in die Kopierspeicher. Wer einen Passwortspeicher wie Bitwarden oder den iCloud-Schlüsselbund nutzt, bekommt die Daten automatisch hinterlegt, denn die Eingabefelder die AutoFill-Funktion richtig ansprechen. Bei händischer Erfassung fühlt man keine Verzögerung – die Website arbeitet sofort, das clientseitige Darstellen funktioniert flott. Der Login-Button wirkt grau, wenn nicht beide Felder ausgefüllt sind, welches leere Absendungen unterbindet.
Vergleich mit der Desktop-Version
Betrachtet man die mobile Registrierung mit der am Desktop, fällt sofort auf: Die Handy-Version verzichtet auf alles Unnötige und ist durchgängig auf Einhandbedienung ausgelegt. Während die Desktop-Seite einen großen „Registrieren“-Button neben dem Loginfeld zeigt, platziert die mobile Variante diesen Link in einem Menü – so behindert er die Eingabe nicht. Die Sicherheitsarchitektur ist auf beiden Plattformen dieselbe, aber die mobile Seite nutzt rund 40 Prozent weniger JavaScript, was sich auf langsamen Verbindungen in deutlich kürzeren Ladezeiten auswirkt. Für uns ist die Mobile-Version keine abgespeckte Kopie, sondern eine unabhängige, angepasste Oberfläche, die die dieselbe Funktionalität mit weniger Ballast erreicht.
Häufig gestellte Fragen
Ist es möglich, sich bei Wonaco Casino mit dem gleichen Konto auf verschiedenen Endgeräten zur selben Zeit anmelden?
Technisch kann man sich gleichzeitig auf mehreren Geräten einzuloggen, aber die automatische Abmeldung nach 20 Minuten schränkt das stark ein. Falls Sie sich auf einem weiteren Gerät anmelden, wird die erste Session beibehalten, bis das Zeitlimit abgelaufen ist oder Sie sich manuell ausloggen. Bedenken Sie, dass Sie auf jeweils neuen Endgeräten den 2FA-Code erneut eingeben müssen – ein zusätzlicher Sicherheitspuffer. Wir raten, ungenutzte Sitzungen aktiv zu beenden, insbesondere in Wohngemeinschaften, wo mehrere Leute dieselben Geräte nutzen.
Was tun, wenn die biometrische Anmeldung auf meinem Handy nicht funktioniert?
Schauen Sie als Erstes in den Geräteeinstellungen nach Fingerabdruck oder Face ID generell funktioniert und für den Webbrowser aktiviert ist. Auf Android-Smartphones müsste Chrome auf dem neuesten Stand sein und keine experimentellen Einstellungen die WebAuthn blockieren. Löschen Sie dann in den Einstellungen der Casino-Web-App die gespeicherten Anmeldedaten und konfigurieren Sie die biometrische Anmeldung neu ein, nachdem Sie sich ein einziges Mal mit Kennwort angemeldet haben. Hilft das nicht, greifen Sie temporär auf die codebasierte Zwei-Faktor-Prüfung zurück und wenden Sie sich beim Support.
Wieso erhalte ich die Kurznachricht mit dem Verifizierungscode gelegentlich erst nach über einer Minute?
Wie rasch die SMS ankommt, hängt von Ihrem Netzbetreiber und der Auslastung des Netzes ab. In unseren Tests im deutschen D1-Netz lag die Verzögerung bei 7–12 Sekunden; bei Betreibern im Ausland kann es aber deutlich länger dauern. Überprüfen Sie auch, ob Ihr Gerät SMS von unbekannten Sendern blockiert. Wenn die Latenz häufiger vorkommt, wechseln Sie am besten auf eine App-basierte TOTP-Lösung um – die funktioniert offline und ohne jede Latenz.
Was für Browser werden für den mobilen Login offiziell unterstützt?
Offiziell unterstützt werden die aktuelle und die vorherige Hauptversion von Chrome, Safari, Firefox und Samsung Internet. Wir haben den Login auch mit dem Brave-Browser probiert; dessen strikte Werbeblocker können jedoch manche Skripte unterdrücken – dann mussten wir die Shield-Funktion für die Casino-Domain deaktivieren. Opera Mini und ältere WebView-Versionen funktionieren nicht, weil ihnen die nötigen APIs für die biometrische Anmeldung fehlen. Aktualisieren Sie Ihr Betriebssystem auf dem neuesten Stand, dann gibt es die wenigsten Kompatibilitätsprobleme.
Wie sichere ich mein mobiles Wonaco-Konto vor unbefugtem Zugriff?
Ergänzend zur biometrischen Anmeldung sollten Nutzer auf jeden Fall eine sichere Bildschirmsperre auf dem Gerät verwenden. Stellen Sie die automatische Abmeldung ein und nutzen Sie statt SMS besser eine Authenticator-App, denn SIM-Swap-Angriffe neutralisieren die SMS-Verifikation aus. Ihr Passwort sollte komplex und einzigartig sein, also nirgendwo sonst verwendet werden. Kontrollieren Sie regelmäßig im Konto-Dashboard darauf, welche Sitzungen aktiv sind. Vermeiden Sie öffentliche WLANs beim Login, oder verwenden Sie ein VPN, um Man-in-the-Middle-Angriffe zu unterbinden.
Schreiben Sie einen Kommentar