Lizenzverlängerung und Audit

1) Warum es wichtig ist

Die Lizenz ist kein statisches Dokument, sondern eine Verpflichtung zur Einhaltung der RG/AML, Sicherheits-, Daten- und Berichtsstandards. Erfolgreiche Erneuerungen und Audits bestätigen die Beherrschbarkeit der Risiken, die Reife der Prozesse und die Bereitschaft zur Skalierung.

Grundprinzipien: evidence-first, no-humans-in-prod, policy-as-code, traceability.

2) Arten von Verlängerungen und Audits

Lizenzverlängerung (Erneuerung): nach Kalender (in der Regel jährlich/alle N Jahre) - Einreichung des Formulars, der Gebühren und des Nachweispakets für die Kontrollen.
Variationen/Änderungen (Variation): Änderung der Begünstigten, Hinzufügen von Vertikalen, Hosting-Standorten, Schlüsselpersonen - erfordern eine separate Vereinbarung.
Regulatorisches Audit: Überprüfung von Richtlinien/Reporting, Marketing/Affiliates, RG/AML, Incident Logs.
Technische Audits/Labore: RNG/RTP, SDLC/Releases, Schwachstellen/Pentest, DR/BCP, Hosting und Logs.
Finanzaudit: GGR/Steuern/Rücklagen, Korrektheit der Bonusabschreibungen, Auszahlungsregister.
DSGVO/DPA-Audit: DPIA, Register der Behandlungen, Antworten an Themen, Lecks/Benachrichtigungen.
PCI DSS (wenn Sie mit PAN arbeiten): Segmentierung, Tokenisierung, Zugriffsprotokolle, ASV-Scans.

3) Verlängerungskalender: indikative Skala

T-90...60 Tage - Gap-Analyse, Aktualisierung der Richtlinien, Buchung von Labors/Auditoren.
T-60...30 - Sammlung von Artefakten (Protokolle, SBOM, Berichte von Scans/Pentests, DR-Acts), Bestätigung von Schlüsselpersonen.
T-30...14 - das Finale des Pakets, interne Stichprobe von Beweisen (Sampling), Vorbereitung der Verantwortlichen für das Interview.
T-14...0 - Einreichung des Erneuerungspakets, Zahlung von Gebühren, SLA-Fenster auf die Antworten der Regulierungsbehörde.
T + 0... + 30 - Q & A/Anfragen, Remediationen, Verlängerungsbestätigung.

4) Evidence-Paket: was im Voraus vorzubereiten

Org/Recht: Eigentümerstruktur, SoF/SoW (bei Änderungen), Lebenslauf und Schlüsselpersonenbescheinigungen, Delegationsregister.
Richtlinien: aktuelle AML/CTF, RG, Werbung/Affiliates, Datenschutz (DPIA), Vorfälle, DR/BCP; Prüfungs- und Trainingsprotokoll.

• Veröffentlichungsprotokoll mit SBOM und Artefakt-Signaturen;
• SAST/SCA/DAST-Berichte, Remediationsplan, keine „critical/high“ ohne aktive Ausnahmen;
• Beobachtbarkeit: SLO/SLI-Dashboards, synthetische Kontrollen „Einzahlung/CUS/Ausgabe“;
• Protokollierung: strukturierte Protokolle ohne PII/PAN, Retention und Suche;
• DR/BCP: Wiederherstellungstestakte, RTO/RPO, Notfallübungsprotokolle.
• RG/AML: Interventions- und Outcome-Register, Selbstausschluss (lokal/national), verdächtige Transaktionsberichte (STR/SAR), Sanktions-/PEER-Log.
• Marketing/Affiliates: Whitelists der Kanäle, Sampling von Creatives mit Appruvals, Protokoll von Verstößen und Maßnahmen.
• Finanzen/Steuern: GGR-Berichte zu Vertikalen, Bonus-/Jackpotanpassungen, Abstimmungen mit PSPs/Banken.

5) Format und Traceability

Jede Richtlinie ↔ Kontrollen ↔ Beweisen (Screenshots, Uploads, Berichte mit Hash und Datum).
Einheitlicher Index „Evidence Map“: Kontrolle → wo → → Datum der Aktualisierung verantwortlich gespeichert wird.
Paketversionierung (Git/Repository) + Zugriffskontrolle, damit Auditoren Artefakte selektiv anzeigen können.

6) IT/Datenanforderungen (was am häufigsten angesehen wird)

SDLC/Releases: Staging-Pipelines, manuelle/Auto-Quality-Gates, Rollback-Richtlinien, Verbot direkter Änderungen am Produkt.
Supply chain: Artefakt-Signaturen, SBOM, Überprüfung auf Admission, Schwachstellenrichtlinie.
Geheimnisse und Zugang: SSO/MFA/PAM, kurzlebige Token, Protokolle von privilegierten Sitzungen.
Netzwerk: Segmentierung, WAF/Bot-Management, DDoS, mTLS/egress-control.
Beobachtbarkeit: OTel-Traces, SLO-Dashboards, Error-Budget-Alerts, SRM-Check in Experimenten.
Daten: DPIA, Minimierung, Daten nach Regionen (residency), PII/PAN-Zugriffsprotokolle.
DR/BCP: Backups, regelmäßige Restore mit Protokollen, Schaltübungen.

7) Bestehen des Audits: Taktik

1. Kickoff und Scope: Vereinbaren Sie den Umfang, die Liste der Stichproben, das Format der Beweise.
2. Datenraum: Bereiten Sie einen strukturierten Zugriff auf die Evidence Map vor.
3. Dry-Run Interview: MLRO/DPO/RG-Lead/CTO/SRE - Run auf Q&A und Demos.
4. Live-Sessions: Wir zeigen Protokolle, SLO-Dashboards, Release-Artefakte, DR-Skripte.
5. Remediation: Wir vereinbaren Prioritäten und Termine, wir erfassen im Tracker.
6. Closure: Auditbericht, Lektionen, Aktualisierung der Richtlinien/Kontrollen, retro.

8) Remediationsplan (Vorlage)

9) RACI (Beispiel: Verlängerungsprogramm)

10) Checklisten

10. 1 Definition of Ready (60-90 Tage vor Deadline)

• AML/RG/Advertising/Data/Incident Policies aktualisiert; Schulungen durchgeführt.
• Bestätigt durch Key Persons, SoF/SoW relevant (falls erforderlich).
• SAST/SCA/DAST und Pentest Berichte gesammelt, geschlossen critical/high ohne überfällige Ausnahmen.
• Veröffentlichungsprotokolle mit SBOM/Signaturen verfügbar; admission-policy im Status enforce.
• SLO/SLI Dashboards und synthetische „Deposit/CUS/Output“ Inspektionsberichte sind verfügbar.
• Handlungen von DR/Restore-Tests innerhalb der SLA RTO/RPO.
• RG/AML-Register: Interventionen, SAR/STR, Selbstausschluss; Sanktionsberichte/RER.
• Marketing/Affiliates: Channel-Whitelists, Sampling von Creatives mit Appruval.
• GGR-Abschlüsse/Steuern werden mit PSPs/Banken abgeglichen.

10. 2 Definition of Done (nach Bestätigung der Verlängerung/Prüfung)

• Brief/Verlängerungsbescheinigung erhalten, Register/Website/Dokumente aktualisiert.
• Remediationsplan geschlossen, Richtlinien und Evidence Map aktualisiert.
• Retro gehalten: Lektionen, Prozessänderungen, Kalender aktualisiert.
• Benachrichtigungen an Anbieter/PSP gesendet (falls erforderlich).

11) Umgang mit Affiliates und Werbung während des Auditzeitraums

Bereiten Sie ein Kanalregister, eine Stichprobe von Kreativen, einen 18 +/21 + Targeting-Nachweis, ein Genehmigungsprotokoll vor.
Stop-List-Verfahren für verletzende Partner, Bedingungen in RG/AML-Compliance-Verträgen.
Dashboard für Anzeigefrequenz/Randbedingungen und Blocklisten.

12) Risikomanagement (Register)

13) Mini-Vorlagen

Control,Policy Ref,Artifact,Location,Owner,Updated At,Retention
RG-Limits,RG §4.2,Dashboard URL,obs://rg/limits,RG Lead,2025-10-15,24m
SDLC-SBOM,SDLC §3.1,sbom_2025Q4.json,repo://release/sbom,Platform Lead,2025-10-30,36m
DR-Restore,BCP §5.3,restore_report_Q4.pdf,doc://dr/reports,SRE Lead,2025-10-20,36m

• Scope/Ziele
• Stichprobenliste und Beweisformat
• Sitzungs-/Interviewkalender
• Rollen und Kontakte
• Q & A-Kanal und SLA-Antworten

14) Häufige Fragen

Muss ich alle Artefakte auf einmal einreichen? Nein: Reichen Sie die Basis ein, und geben Sie Proben auf Anfrage - aber halten Sie alles bereit.
Kann ich das Fehlen eines Teils der Protokolle kompensieren? Nur mit erklärbarem Grund und Korrekturplan (und Fristen).
Was ist für die Regulierungsbehörde wichtiger - Politik oder Beweise? Immer Beweise, die bestätigen, dass die Politik tatsächlich funktioniert.

15) Kurzer Plan für 30 Tage (beschleunigter Track)

Woche 1: abschließende Gap-Analyse, Policy-Aktualisierung, SLO/Logs-Messung, Auditor-Reservierung.
Woche 2: Sammlung von SBOMs/Signaturen/Releaseprotokollen, Schwachstellen-/Pentestberichten, DR-Akten.
Woche 3: Konsolidierung von RG/AML/Marketing, Zusammenfassungen von Dashboards, Dry-Run-Interviews.
Woche 4: Einreichung, Q&A, schnelle Remediationen und Verlängerungsbestätigung.

Kurzes Fazit

Die Verlängerung und Auditierung ist keine einmalige „Berichtsübergabe“, sondern ein regelmäßiger Nachweis der Prozessreife. Erstellen Sie einen Kalender, führen Sie Evidence Map, automatisieren Sie Kontrollen als Code, halten Sie die Beobachtbarkeit und DR in Schuss. Dann wird sich die Verlängerung von einem Risiko in eine Routine verwandeln, und die Prüfung wird zu einer Quelle der Verbesserung und des Vertrauens von Regulierungsbehörden, Partnern und Akteuren.