Die Datasport AG ist von einem massiven Hackerangriff betroffen. Persönliche Daten von «bis zu einer Million Athletinnen und Athleten» wurden gestohlen, wie das Schweizer Unternehmen auf seiner Website informiert. Die Daten würden seit Kurzem in einem Forum für Cyberkriminelle zum Kauf angeboten, berichtete Inside-IT am Donnerstag.
Demnach verkaufen Unbekannte rund 1,3 Millionen Datensätze an andere Cyberkriminelle. Über 900'000 Datensätze betreffen angeblich Schweizerinnen und Schweizer, beim Rest handle es sich um Personen aus Nachbarstaaten.
Die Firma mit Sitz in Gerlafingen SO habe den Eidgenössischen Datenschutzbeauftragten (EDÖB) informiert.
Laut Mitteilung auf der Datasport-Website haben Cyberkriminelle am 22. Januar 2024 zugeschlagen. «Damals stellten wir einen Angriff auf unsere Systeme fest.»
Die Verantwortlichen versichern:
Diese Darstellung ist – vorsichtig ausgedrückt – etwas schönfärberisch. Denn bei den technischen Abklärungen nach der Cyberattacke lief einiges schief: Jedenfalls bemerkten die IT-Verantwortlichen nicht, dass der Datendiebstahl weit gravierender war als ursprünglich angenommen.
Bis zum 31. Januar hatte Datasport gemäss eigenen Angaben «keine Hinweise darauf, dass mehr als einige wenige Datensätze» betroffen waren. Auf der Firmen-Website wurde zwar ab dem 23. Januar transparent über den Cyberangriff informiert. Doch das böse Erwachen folgte später.
Datasport-Geschäftsführer Thomas Bachofner erklärte gegenüber dem IT-Newsportal inside-it.ch:
Die Verantwortlichen hatten demnach veranlasst, die in einem Rechenzentrum gespeicherten User-Daten zusätzlich in einem anderen Rechenzentrum zu speichern.
Im Zuge des Datentransfers müsse kurz vor dem 23. Januar eine sicherheitsrelevante Schwachstelle existiert haben, erklärt der CEO und versichert: «Datasport hat diese nach der Entdeckung innert weniger Minuten geschlossen.»
Inside-IT konstatiert: «Der oder die Hacker müssen das kurze Zeitfenster aber ausgenutzt haben.»
Der Datasport-Geschäftsführer versucht, die Brisanz des Datendiebstahls zu relativieren:
Die Datasport-Verantwortlichen waren am Donnerstagnachmittag telefonisch nicht zu erreichen. Inzwischen hat das Unternehmen auf eine Medienanfrage reagiert. Geschäftsführer Thomas Bachofner verweist «auf die aktualisierten Fakten und Informationen» auf der Firmen-Website. Und weiter:
In der Mitteilung auf der Datasport-Website heisst es, «potenziell Betroffene» müssten nichts unternehmen.
Nichtsdestotrotz gilt es nun für aktuelle und frühere Hobby-Sportlerinnen und -Sportler, die an solchen Events teilgenommen haben, besonders auf der Hut zu sein.
Man empfehle, «noch wachsamer zu sein, als dies leider ohnehin schon der Fall ist», so Datasport, und man solle beispielsweise keine verdächtigen E-Mails oder SMS öffnen.
Der watson-Redaktor hat am Donnerstagnachmittag eine entsprechende Anfrage per E-Mail an Datasport geschickt. Dies, weil er mutmasslich zu den Betroffenen gehört – als ehemaliger Teilnehmer des Engadin Skimarathons. Das gehackte Unternehmen reagierte innert 70 Minuten mit einer standardisierten Antwort-Mail. Darin heisst es:
Weiter teilt das Unternehmen mit: «Nach unserer Kenntnis können Ihre Daten potenziell betroffen sein.» Es könne sich hierbei um folgende Daten handeln:
Das Bundesamt für Cybersicherheit (BACS) informiert auf seiner Website über Phishing und andere Attacken, die in Zusammenhang mit gestohlenen Daten drohen.
Datasport betreut gemäss eigenen Angaben jedes Jahr über 300 Veranstaltungen «im Laufsport, Walking, Radsport, Mountainbiking, Inline-Skating, Triathlon/Duathlon, Langlauf und Ski Alpin». Als Gesamtdienstleister sei man «zuständig für Datenmanagement, Meldewesen, Inkasso, Zeitmessung, Ergebnisdienst, Speaker- und Informationssysteme sowie die Informationsverbreitung».
I am prince XY from Z. Your help would be very appreciated...