Der Weltverband World Triathlon (TRI) wurde Opfer eines schwerwiegenden Cyberangriffs. Wie Generalsekretär Jon Wyatt in einem offiziellen Schreiben an die nationalen Verbände mitteilte, haben sich unbefugte Dritte illegal Zugang zu den Datenbanken des Verbandes verschafft. Dabei wurden zahlreiche personenbezogene Daten von Athleten, Mitgliedern,Trainern, Kampfrichtern und Verbandsmitarbeitern entwendet – darunter auch hochsensible medizinische Informationen.

Wie es zum Datenleck kam

Ursache des Sicherheitsvorfalls war eine Sicherheitslücke in dem von World Triathlon genutzten Reporting-Tool Metabase. Angreifer nutzten diese Schwachstelle aus, um wiederholt Daten aus den TRI-Datenbanken zu extrahieren.

  • 6. November: Die Angreifer kopierten vollständige Datenbank-Tabellen.
  • 7. November: In einem bekannten Hacking-Forum wurde ein Beitrag veröffentlicht, in dem die gestohlenen Daten zum Download angeboten wurden.
  • 8. November: World Triathlon identifizierte den Einbruch und stellte das betroffene Tool am selben Tag umgehend offline.

Welche Daten betroffen sind

Der Datenabfluss ist umfangreich und betrifft verschiedene Personengruppen innerhalb der globalen Triathlon-Community:

  • Athleten & Mitglieder: Namen, Kontaktdaten, Nationalität, Zugehörigkeit zum Nationalverband sowie Historie von Startplätzen und Rennergebnissen.
  • Medizinische Daten: Besonders kritisch ist der Diebstahl von medizinischen Angaben, die von Athleten für medizinische Delegierte bei Wettkämpfen hinterlegt wurden (z. B. Allergien, Vorerkrankungen, erforderliche Medikamente).
  • Trainer & Offizielle: Informationen zu Positionen, Bewertungen und Zertifizierungen.
  • Verbandsdaten: Kontaktdaten von Nationalverbänden und Kontinentalverbänden.
  • Zugangsdaten: Passwörter für das NF-Portal und das Meldewesen (Entries). Diese waren laut World Triathlon in gehashter Form gespeichert, wodurch die ursprünglichen Passwörter nicht direkt auslesbar sind.

Entwarnung bei Finanzdaten: Finanzdaten oder Bankverbindungen waren nach aktuellem Kenntnisstand nicht vom Zugriff betroffen.

Erste Maßnahmen von World Triathlon

Der Weltverband hat unmittelbar nach Aufdeckung des Vorfalls Gegenmaßnahmen eingeleitet:

  • Das betroffene System wurde vom Netz getrennt und digitale Beweismittel wurden gesichert.
  • Alle Zugangsdaten für das NF-Portal und die Meldesysteme wurden zurückgesetzt und sämtliche aktiven Sitzungen beendet.
  • Die Zugangsdaten der betroffenen Datenbanken wurden ausgetauscht.
  • Der Vorfall wurde bei den zuständigen Behörden gemeldet (Schweizer Polizei, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB sowie den Datenschutzbehörden in der EU und im Vereinigten Königreich).
  • Eine spezialisierte Cybersecurity-Firma wurde mit der forensischen Untersuchung beauftragt. Betroffene Personen werden direkt per E-Mail informiert.

Warnung vor Phishing und Handlungsaufforderung

World Triathlon ruft alle Nationalverbände, Vereine und Athleten zu erhöhter Vigilanz auf. Es wird ausdrücklich vor Phishing-Versuchen gewarnt: Betrüger nutzen bereits ähnlich klingende E-Mail-Domains (Lookalike Domains), um im Namen des Verbandes gefälschte Zahlungsaufforderungen auf neue Bankkonten zu versenden.

Empfehlungen für die Community:

  1. Zahlungsaufforderungen prüfen: Jede Aufforderung zu Überweisungen sollte vorab telefonisch oder über direkte, verifizierte Kanäle beim jeweiligen Ansprechpartner hinterfragt werden.
  2. Mitglieder informieren: Nationalverbände sind aufgerufen, ihre Mitarbeiter und Mitglieder über den Vorfall aufzuklären und offizielle Mitteilungen weiterzuleiten.
  3. Rechtliche Pflichten prüfen: Verbände müssen prüfen, ob durch die Weitergabe von Daten an TRI nach nationalem Datenschutzrecht eigene Meldepflichten entstanden sind.
  4. Verdachtsfälle melden: Verdächtige Aktivitäten oder E-Mails können direkt an technology@triathlon.orggemeldet werden. Rechtliche Anfragen nimmt legal@triathlon.org entgegen.