Swiss Basketball, der Schweizer Basketballverband, hat am 31. Oktober 2026 einen Datendiebstahl bestätigt, der seine Lizenzierten betrifft und über seine Plattform Basketplan erfolgte. Ein Nutzer eines Hackerforums behauptet, ein Extranet des Verbands exportiert zu haben. Laut dem Deutschschweizer Portal Inside IT zählte die Plattform French Breaches darin 52'344 Einträge, die als Angaben zu Mitarbeitenden beschrieben werden: Namen, Geburtsdaten, Adressen. Es ist der zweite Schweizer Sportverband, der innerhalb einer Woche betroffen ist.
Was Swiss Basketball bestätigt
Der Verband veröffentlichte am 31. Oktober 2026 auf seiner Website eine «Information für die Lizenzierten von Swiss Basketball». Darin räumt er «einen Sicherheitsvorfall mit Personendaten seiner Lizenzierten über Basketplan» ein.
Der Vorfall ereignete sich trotz zusätzlicher Massnahmen wie der Zwei-Faktor-Authentifizierung, heisst es in der Mitteilung. Der Verband verfüge noch nicht über alle Informationen zu Ursprung und Ausmass des Vorfalls.
Er versichert, dass Passwörter, Bankdaten und Fotos nicht gestohlen wurden. Er arbeitet mit seinen IT-Dienstleistern und den Behörden zusammen, um die Umstände zu klären. Der Datendiebstahl wurde der Cybersicherheitsbehörde des Bundes gemeldet, dem Bundesamt für Cybersicherheit (BACS).
Laut Inside IT war am 2. November 2026 kein konkreter Fall eines Missbrauchs der Daten bekannt.
Was der Hacker laut French Breaches für sich beansprucht
Die Schilderung des Angriffs stammt aus einem Hackerforum. Ein Nutzer behauptet dort, Zugang zu einem Extranet des Verbands erhalten und dessen Daten exportiert zu haben. French Breaches, eine Plattform, die Datenlecks erfasst, analysierte anschliessend die veröffentlichten Dateien, berichtet Inside IT.
Ihre Auszählung gibt eine Vorstellung vom Inhalt:
- 52'344 Einträge, die Inside IT als Angaben zu Mitarbeitenden beschreibt, mit Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen;
- mehr als 6000 Felder in der Datei der Lizenzierten, die mit einer AHV-Nummer ausgefüllt sind;
- rund 36'000 weitere Einträge im Zusammenhang mit der Buchhaltung und der Lizenzverwaltung;
- 21'648 Einträge, deren Geburtsdatum einer Person unter 18 Jahren entspricht.
Diese letzte Zahl ist mit Vorsicht zu lesen. French Breaches hat sie anhand der auswertbaren Geburtsdaten berechnet. Sie entspricht nicht unbedingt ebenso vielen verschiedenen Minderjährigen.
| Punkt | Behauptet oder von Dritten analysiert | Von Swiss Basketball bestätigt |
|---|---|---|
| Zugang | Export eines Extranets des Verbands | Sicherheitsvorfall über Basketplan |
| Umfang | 52'344 Einträge, laut French Breaches | Ausmass noch unbekannt |
| Daten | Identität, Kontaktangaben, AHV-Nummern | Keine Passwörter, keine Bankdaten und keine Fotos |
| Minderjährige | 21'648 Einträge unter 18 Jahren | Nicht erwähnt |
Unsere Einschätzung: Die Mitteilung des Verbands sagt, was nicht gestohlen wurde. Sie sagt nichts zu den Geburtsdaten und den AHV-Nummern, die French Breaches gefunden haben will.
Nach dem Eishockey ein zweiter betroffener Sportverband
Vier Tage zuvor hatte die Swiss Ice Hockey Federation (SIHF) die Personen angeschrieben, die vom Datenleck des Portals MySIHF betroffen sind. Laut Inside IT wurden dabei 540'000 Datensätze und Informationen zu rund 87'000 Personen entwendet.
Die beiden Fälle ähneln sich in einem Punkt. Bei beiden Verbänden betreffen die Daten die Identität und die Kontaktangaben der Mitglieder, nach eigenen Angaben ohne Passwörter. Die SIHF hatte den Vorfall jedoch dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet, wie die Agentur Keystone-SDA berichtete, die von 2clics zitiert wurde.
Das Muster erinnert auch an den Fall TCS Camping. Nach dem Datendiebstahl bei TCS Camping schrieben Betrüger Kundinnen und Kunden auf WhatsApp mit echten Buchungsangaben an.
Was tun, wenn Sie bei Swiss Basketball lizenziert sind?
Das Hauptrisiko ist gezieltes Phishing. Der Verband ruft seine Lizenzierten dazu auf, Nachrichten mit Misstrauen zu begegnen, die nach persönlichen Informationen fragen oder ungewöhnliche Links enthalten.
Das BACS beschreibt auf seiner Website drei Formen dieser Betrugsmaschen:
- per E-Mail führt Phishing auf eine gefälschte Website, oft im Namen eines bekannten Unternehmens: Klicken Sie nie auf den Link;
- per Telefon drängt Vishing das Opfer, im «eigenen Interesse» zu handeln, oft mit unterdrückten oder gefälschten Nummern: Brechen Sie den Anruf ab;
- per SMS kann Smishing im Verlauf der echten Nachrichten eines Unternehmens erscheinen, weil die Absendernummer gefälscht ist.
Unsere Einschätzung: Eine betrügerische Nachricht kann Ihren Namen, Ihr Geburtsdatum oder Ihren Club nennen. Diese Details beweisen nicht, dass sie vom Verband stammt. Eine Zahlungs- oder Datenanfrage sollte man beim Club über eine bekannte Nummer überprüfen.
Ein Teil der Einträge soll Minderjährige betreffen. Eltern junger Lizenzierter tun deshalb gut daran, ihnen diese Hinweise weiterzugeben. Eine verdächtige Nachricht kann dem BACS gemeldet werden, das freiwillige Meldungen aus der Bevölkerung entgegennimmt.
Für die Clubs zeigt der Fall, wie wichtig die Sensibilisierung für Phishing der Freiwilligen ist, ebenso wie ein im Voraus schriftlich festgehaltener Reaktionsplan für Cyberangriffe.
Datenleck in der Schweiz: was das nDSG vorschreibt
Die Pflicht, Verletzungen der Datensicherheit zu melden, ist laut EDÖB eine Neuerung des Bundesgesetzes über den Datenschutz (DSG oder nDSG). Sie steht in dessen Artikel 24.
Art. 5 Bst. h des Gesetzes definiert die Verletzung. Eine Verletzung liegt insbesondere vor, wenn Personendaten unbefugten Personen offengelegt oder zugänglich gemacht werden. Art. 24 legt dem Verantwortlichen zwei Pflichten auf:
- die Verletzung dem EDÖB zu melden, wenn sie «voraussichtlich zu einem hohen Risiko» für die betroffenen Personen führt (Abs. 1);
- die betroffenen Personen in den in Abs. 4 vorgesehenen Fällen zu informieren.
Der EDÖB veröffentlichte am 7. Februar 2025 einen Leitfaden, der diese Begriffe präzisiert. Er bietet zudem ein Online-Formular, «DataBreach», für die Übermittlung der Meldungen an.
Zwei Anlaufstellen des Bundes bestehen nebeneinander. Der EDÖB wacht über die Personendaten; das BACS behandelt den Vorfall aus technischer Sicht. Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen ihre Cybervorfälle dem BACS melden; für ein KMU bleibt diese Meldung freiwillig.
Die Mitteilung von Swiss Basketball erwähnt die Cybersicherheitsbehörde, nicht aber den EDÖB. Der Beauftragte, Adrian Lobsiger, hatte seit Anfang 2026 455 Meldungen von Datensicherheitsverletzungen gezählt, gegenüber 343 im gesamten Jahr 2025. Am 23. Oktober 2026 eröffnete er eine Untersuchung zu PK Softech, einem Softwareanbieter für Pensionskassen.
Was man noch nicht weiss
- Ob Swiss Basketball den Vorfall dem EDÖB gemeldet hat: Seine Mitteilung vom 31. Oktober 2026 sagt es nicht.
- Die tatsächliche Zahl der betroffenen Personen und den Anteil Minderjähriger, die der Verband nicht beziffert hat.
- Den Zusammenhang zwischen dem vom Hacker genannten Extranet und Basketplan sowie die Art und Weise, wie die Zwei-Faktor-Authentifizierung umgangen wurde.
Quellen
- Inside IT, «Datenleck bei Swiss Basketball», 2. November 2026
- Swiss Basketball, «Information destinée aux licenciés de Swiss Basketball», 31. Oktober 2026
- Bundesamt für Cybersicherheit, «Hameçonnage (Phishing), Vishing, Smishing»
- EDÖB, «La nouvelle loi fédérale sur la protection des données du point de vue du PFPDT»
