Der Schweizerische Eishockeyverband hat eine Datenschutzverletzung bestätigt, nachdem persönliche Datensätze von mehr als 100.000 Personen aus dem Umfeld des Sports kompromittiert und in einem Online-Forum veröffentlicht wurden. Das Datenleck im Schweizer Eishockey ist eine Erinnerung daran, dass Sportorganisationen im Stillen große Mengen personenbezogener Daten horten und dass die Menschen in diesen Datenbanken oft wenig Einfluss darauf haben, wie gut diese geschützt werden.

Der Quellbericht ist knapp, und mehrere Details wurden nicht öffentlich gemacht. Dieser Artikel beschränkt sich auf das Bestätigte und konzentriert sich darauf, was betroffene Personen sinnvollerweise als Nächstes tun können.

Was der Schweizerische Eishockeyverband bestätigt hat

Laut dem Bericht wurden personenbezogene Daten von mehr als 100.000 Personen aus dem Umfeld des Schweizer Eishockeys von Hackern kompromittiert und anschließend in einem Online-Forum veröffentlicht. Der Verband hat den Vorfall öffentlich eingeräumt.

Die verfügbare Berichterstattung gibt nicht an, wie die Angreifer Zugang erhielten, wann der Eindringling erfolgte oder ob ein Lösegeld gefordert wurde. Sie sagt auch nicht, ob die Daten zum Verkauf angeboten oder frei geteilt werden. Bis der Verband weitere Informationen veröffentlicht, bleiben diese Fragen offen, und Leser sollten bei jeglichen Behauptungen über den Angriff vorsichtig sein, die sich nicht auf eine offizielle Erklärung zurückführen lassen.

Wer betroffen ist und welche Daten offengelegt sein könnten

Die Formulierung „Personen aus dem Umfeld des Schweizer Eishockeys" ist weit gefasst. Ein nationaler Verband hat typischerweise mit Spielern, Trainern, Schiedsrichtern, Vereinsfunktionären, Freiwilligen und manchmal auch Fans oder Ticketkäufern zu tun. Jeder in diesen Gruppen könnte unter den 100.000 gezählten Personen sein.

Die genauen Kategorien der offengelegten Daten wurden im Quellartikel nicht detailliert beschrieben. Im Allgemeinen können Sportverbände Namen, Kontaktdaten, Geburtsdaten sowie Lizenz- oder Registrierungsinformationen speichern. Da die Einzelheiten unbestätigt sind, ist der sicherste Ansatz, davon auszugehen, dass grundlegende Identitäts- und Kontaktdaten im geleakten Datensatz enthalten sein könnten, und abzuwarten, bis der Verband mehr dazu sagt.

Das ist auch der Grund, warum der Vorfall über eine einzelne Sportart hinaus von Bedeutung ist. Registrierungssysteme für Ligen und Vereine sammeln oft über viele Jahre hinweg viele Informationen, auch von jungen Athleten und ihren Eltern. Ein einziges kompromittiertes System kann Menschen offenlegen, die seit langem nicht mehr in der Sportart aktiv sind. Für weiteren Kontext dazu, wie Angreifer Sportstätten und -organisationen ins Visier nehmen, siehe unsere Berichterstattung über den Ransomware-Angriff auf das Thialf-Eisstadion.

Wie geleakte Daten Phishing und Credential Stuffing befeuern

Sobald persönliche Datensätze in einem Forum landen, bleiben sie selten an einem Ort. Andere Kriminelle können sie kopieren, neu zusammenstellen und wiederverwenden. Zwei Risiken stechen für Menschen in einem solchen Leck hervor.

Gezieltes Phishing. Wenn ein Angreifer Ihren Namen, Ihre E-Mail-Adresse und Ihre Verbindung zum Schweizer Eishockey kennt, kann er eine Nachricht verfassen, die glaubwürdig wirkt. Sie könnte sich als Ihr Verein, der Verband, ein Ticketing-Dienst oder als „Sicherheitshinweis" zum Datenleck selbst ausgeben. Diese Nachrichten drängen Sie normalerweise dazu, auf einen Link zu klicken, einen Anhang zu öffnen oder ein Passwort einzugeben.

Credential Stuffing. Wenn die geleakten Datensätze E-Mail-Adressen enthalten, könnten Angreifer sie mit häufig verwendeten Passwörtern oder mit Passwörtern aus früheren Datenlecks bei anderen Diensten wie E-Mail, Banking und sozialen Medien ausprobieren. Das funktioniert nur, wenn Menschen dasselbe Passwort an mehr als einem Ort wiederverwenden. Es ist automatisiert und günstig, weshalb es so verbreitet ist.

Keiner der beiden Angriffe erfordert, dass der Kriminelle Sie direkt hackt. Sie hängen davon ab, dass Sie schnell reagieren oder ein Passwort wiederverwenden, und beides liegt in Ihrer Kontrolle.

Was das für Sie bedeutet

Wenn Sie jemals gespielt, trainiert, als Schiedsrichter fungiert, ehrenamtlich gearbeitet oder sich bei einem Schweizer Eishockeyverein oder dem Verband registriert haben, betrachten Sie sich als potenziell betroffen, auch wenn Sie keine Benachrichtigung erhalten haben. Eltern von Juniorenspielern sollten dasselbe im Namen ihrer Kinder tun.

Das praktische Risiko ist keine dramatische Übernahme Ihres Lebens. Es ist ein Anstieg überzeugender Betrugsnachrichten und automatisierter Versuche, sich in Ihre Konten einzuloggen. Ein paar Schritte jetzt beseitigen den größten Teil dieses Risikos.

Schritte, die betroffene Personen jetzt unternehmen sollten

  • Wiederverwendete Passwörter ändern. Wenn Sie dasselbe Passwort für Ihr Sportkonto und etwas anderes verwenden, ändern Sie zuerst die anderen, beginnend mit der E-Mail. Verwenden Sie ein einzigartiges Passwort für jeden Dienst, idealerweise gespeichert in einem Passwort-Manager.
  • Multi-Faktor-Authentifizierung aktivieren. Eine Authenticator-App oder ein Hardware-Schlüssel für Ihre E-Mail-, Banking- und Social-Media-Konten bedeutet, dass ein gestohlenes Passwort allein nicht ausreicht.
  • Unerwarteten Nachrichten mit Misstrauen begegnen. Seien Sie vorsichtig bei E-Mails, Textnachrichten oder Anrufen, die das Datenleck, Ihren Verein oder den Verband erwähnen. Klicken Sie nicht auf Links darin. Gehen Sie direkt zur offiziellen Website oder kontaktieren Sie die Organisation über Details, denen Sie bereits vertrauen.
  • Auf ungewöhnliche Aktivitäten achten. Prüfen Sie Anmeldewarnungen und aktuelle Aktivitäten in Ihren Hauptkonten und überprüfen Sie Kontoauszüge auf Unbekanntes.
  • Nach offiziellen Updates Ausschau halten. Verfolgen Sie die Mitteilungen des Verbands selbst für Details dazu, welche Daten offengelegt wurden und was er empfiehlt.
  • Konten von Minderjährigen schützen. Wenn ein Kind bei einem Verein registriert ist, wenden Sie dieselben Schritte auf dessen E-Mail und alle verknüpften Konten an.

Wichtigste Erkenntnisse

Das Datenleck im Schweizer Eishockey zeigt, wie viele personenbezogene Informationen Sportverbände sammeln und wie schnell diese in die falschen Hände geraten können. Viele Details sind noch unbestätigt, daher sollten Sie Spekulationen vermeiden und sich auf offizielle Updates verlassen. Ändern Sie in der Zwischenzeit alle wiederverwendeten Passwörter, aktivieren Sie die Multi-Faktor-Authentifizierung und begegnen Sie unerwarteten Nachrichten mit Misstrauen. Für einen breiteren Blick auf die Bedrohungslage für den Sektor lesen Sie unseren Bericht über den Ransomware-Angriff auf das Thialf-Eisstadion.