Cyberangriff betrifft eine Million Schweizer Hobby-Sportler – das wissen wir
Die Datasport AG ist von einem massiven Hackerangriff betroffen. Persönliche Daten von «bis zu einer Million Athletinnen und Athleten» wurden gestohlen, wie das Schweizer Unternehmen auf seiner Website informiert. Die Daten würden seit Kurzem in einem Forum für Cyberkriminelle zum Kauf angeboten, berichtete Inside-IT am Donnerstag.
Demnach verkaufen Unbekannte rund 1,3 Millionen Datensätze an andere Cyberkriminelle. Über 900'000 Datensätze betreffen angeblich Schweizerinnen und Schweizer, beim Rest handle es sich um Personen aus Nachbarstaaten.
Die Firma mit Sitz in Gerlafingen SO habe den Eidgenössischen Datenschutzbeauftragten (EDÖB) informiert.
Was wissen wir zum Cyberangriff?
Laut Mitteilung auf der Datasport-Website haben Cyberkriminelle am 22. Januar 2024 zugeschlagen. «Damals stellten wir einen Angriff auf unsere Systeme fest.»
Die Verantwortlichen versichern:
Diese Darstellung ist – vorsichtig ausgedrückt – etwas schönfärberisch. Denn bei den technischen Abklärungen nach der Cyberattacke lief einiges schief: Jedenfalls bemerkten die IT-Verantwortlichen nicht, dass der Datendiebstahl weit gravierender war als ursprünglich angenommen.
Bis zum 31. Januar hatte Datasport gemäss eigenen Angaben «keine Hinweise darauf, dass mehr als einige wenige Datensätze» betroffen waren. Auf der Firmen-Website wurde zwar ab dem 23. Januar transparent über den Cyberangriff informiert. Doch das böse Erwachen folgte später.
Wie konnte das passieren?
Datasport-Geschäftsführer Thomas Bachofner erklärte gegenüber dem IT-Newsportal inside-it.ch:
Die Verantwortlichen hatten demnach veranlasst, die in einem Rechenzentrum gespeicherten User-Daten zusätzlich in einem anderen Rechenzentrum zu speichern.
Im Zuge des Datentransfers müsse kurz vor dem 23. Januar eine sicherheitsrelevante Schwachstelle existiert haben, erklärt der CEO und versichert: «Datasport hat diese nach der Entdeckung innert weniger Minuten geschlossen.»
Inside-IT konstatiert: «Der oder die Hacker müssen das kurze Zeitfenster aber ausgenutzt haben.»
Der Datasport-Geschäftsführer versucht, die Brisanz des Datendiebstahls zu relativieren:
Die Datasport-Verantwortlichen waren am Donnerstagnachmittag telefonisch nicht zu erreichen. Inzwischen hat das Unternehmen auf eine Medienanfrage reagiert. Geschäftsführer Thomas Bachofner verweist «auf die aktualisierten Fakten und Informationen» auf der Firmen-Website. Und weiter:
- Eine auf Cybersicherheit spezialisierte Unternehmung untersuche den Vorfall und überprüfe die aktuellen Sicherheitsmassnahmen von Dataport umfassend.
- Die User-Daten seien in einem Rechenzentrum in der Schweiz gespeichert, «mit Georedundanz Schweiz und Deutschland». Die Accounts würden auf Wunsch der Nutzenden oder durch diese selbst gelöscht.
Bin ich betroffen – und was ist zu tun?
In der Mitteilung auf der Datasport-Website heisst es, «potenziell Betroffene» müssten nichts unternehmen.
Nichtsdestotrotz gilt es nun für aktuelle und frühere Hobby-Sportlerinnen und -Sportler, die an solchen Events teilgenommen haben, besonders auf der Hut zu sein.
Man empfehle, «noch wachsamer zu sein, als dies leider ohnehin schon der Fall ist», so Datasport, und man solle beispielsweise keine verdächtigen E-Mails oder SMS öffnen.
cyber@datasport.com stehen wir für Fragen und Anliegen zur Verfügung und nehmen Hinweise auf verdächtige Aktivitäten entgegen.»
Der watson-Redaktor hat am Donnerstagnachmittag eine entsprechende Anfrage per E-Mail an Datasport geschickt. Dies, weil er mutmasslich zu den Betroffenen gehört – als ehemaliger Teilnehmer des Engadin Skimarathons. Das gehackte Unternehmen reagierte innert 70 Minuten mit einer standardisierten Antwort-Mail. Darin heisst es:
Leider erleiden heute weltweit Institutionen und Unternehmen ständig Cyberattacken. Wir als grosser Anbieter sind auch immer wieder damit konfrontiert. Datensicherheit hat bei uns oberste Priorität. Wir updaten unsere IT-Sicherheit ständig.»
Weiter teilt das Unternehmen mit: «Nach unserer Kenntnis können Ihre Daten potenziell betroffen sein.» Es könne sich hierbei um folgende Daten handeln:
- myDS-ID – hier gibt's Infos dazu
- Vor- und Nachnamen
- Geschlecht
- Geburtsdatum
- Nationalität und Sprache
- Postleitzahl
- Anschrift
- Telefonnummer
- E-Mail-Adresse
Das Bundesamt für Cybersicherheit (BACS) informiert auf seiner Website über Phishing und andere Attacken, die in Zusammenhang mit gestohlenen Daten drohen.
Datasport betreut gemäss eigenen Angaben jedes Jahr über 300 Veranstaltungen «im Laufsport, Walking, Radsport, Mountainbiking, Inline-Skating, Triathlon/Duathlon, Langlauf und Ski Alpin». Als Gesamtdienstleister sei man «zuständig für Datenmanagement, Meldewesen, Inkasso, Zeitmessung, Ergebnisdienst, Speaker- und Informationssysteme sowie die Informationsverbreitung».
Quellen
- inside-it.ch: Hacker verkaufen Daten von 900'000 Schweizer Hobbysportlern
- datasport.com: Firmen-Website
