Die Swiss Ice Hockey Federation (SIHF), der Schweizerische Eishockeyverband, ist von einem Datenleck auf ihrem Portal MySIHF betroffen. Zwischen dem 17. und dem 19. Oktober 2026 hat sich eine unbefugte Person mit den Zugangsdaten eines Nutzers angemeldet und Personendaten eingesehen. Am 26. Oktober stellte der Verband fest, dass diese Daten in einem Onlineforum zum Kauf angeboten wurden. Er hat die Sicherheitslücke noch am selben Tag behoben, wie ICTjournal berichtet.

Swiss Ice Hockey: Was auf MySIHF geschehen ist

MySIHF ist das zentrale Portal des Verbands für die Administration und die Organisation der Spiele, wie das Fachportal Netzwoche schreibt. Dort verschaffte sich der Eindringling Zugang, mit einem bestehenden Konto. Die SIHF hat die Einzelheiten in einer Nachricht an die potenziell betroffenen Personen dargelegt, die von der Agentur Keystone-SDA in einer am 27. Oktober 2026 von Plattform J veröffentlichten Meldung zitiert wird.

DatumWas geschehen ist
17. bis 19. Oktober 2026Eine unbefugte Person verwendet die Zugangsdaten eines Nutzers, um auf Daten von MySIHF zuzugreifen.
26. Oktober 2026Die SIHF entdeckt, dass Informationen aus MySIHF in einem Forum zum Kauf angeboten werden. Sie sperrt den missbrauchten Zugang und behebt die Sicherheitslücke.
27. Oktober 2026Der Verband schreibt die potenziell betroffenen Personen an.

Unsere Berechnung: Zwischen dem Ende des Zugriffs am 19. Oktober und seiner Entdeckung am 26. Oktober liegen sieben Tage. Die Entdeckung ging nicht auf einen bekannten internen Alarm zurück, sondern auf das Verkaufsangebot der Daten.

Der Verband hat zudem den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informiert. Er hat angekündigt, Strafanzeige einreichen zu wollen, wie Keystone-SDA meldet.

Welche Personendaten sind betroffen?

Laut der Nachricht der SIHF können die entwendeten Daten Folgendes umfassen:

  • Namen und Geburtsdaten;
  • Postadressen und E-Mail-Adressen;
  • Telefonnummern;
  • Profilfotos;
  • die Zugehörigkeit zu Clubs und Teams.

Passwörter sind nicht darunter, präzisiert der Verband. Er betont hingegen, dass die Daten nun im Internet zirkulieren und nicht mehr zurückgeholt werden können.

Unsere Analyse: Dieser Datensatz enthält weder Bankdaten noch Passwörter. Er vereint aber für ein und dieselbe Person ihre Identität, ihre Kontaktdaten und ihren Club. Genau das ist der Stoff für eine glaubwürdige betrügerische Nachricht.

Was das Datenschutzgesetz verlangt

Das Bundesgesetz über den Datenschutz (DSG, seit seiner Revision oft nDSG genannt) definiert die Verletzung der Datensicherheit in Art. 5 Bst. h. Eine Verletzung liegt insbesondere vor, wenn Personendaten Unbefugten offengelegt oder zugänglich gemacht werden. Der von der SIHF beschriebene Fall entspricht dieser Definition.

Art. 24 DSG legt sodann zwei Pflichten für den Verantwortlichen fest:

  • die Verletzung dem EDÖB zu melden, wenn sie «voraussichtlich zu einem hohen Risiko» für die betroffenen Personen führt (Art. 24 Abs. 1);
  • die betroffenen Personen in den von Art. 24 Abs. 4 vorgesehenen Fällen zu informieren.

Der EDÖB hat am 7. Februar 2025 einen Leitfaden veröffentlicht, der diese beiden Begriffe präzisiert. Er stellt zudem ein Onlineformular, «DataBreach», zur Verfügung, um Meldungen sicher zu übermitteln. Die SIHF hat beide Wege beschritten: Sie hat den Beauftragten informiert und die potenziell betroffenen Personen angeschrieben.

Solche Meldungen nehmen zu. Der Beauftragte Adrian Lobsiger hat seit Anfang 2026 455 Meldungen von Datenschutzverletzungen erhalten, gegenüber 343 im ganzen Jahr 2025. Er hat ausserdem eine formelle Untersuchung gegen den Dienstleister PK Softech eröffnet, nach dem Angriff, der die Pensionskasse Zürich getroffen hat. Ihm zufolge liegt die Schwachstelle selten bei der Technik: In der grossen Mehrheit der Fälle handelt es sich um menschliches Versagen.

Unsere Analyse: Der Zugriff auf MySIHF erfolgte über die Zugangsdaten eines Nutzers, was sich mit dieser Feststellung deckt. Der Verband spricht allerdings auch von einer Sicherheitslücke, die er behoben hat, ohne sie öffentlich zu beschreiben.

Wie sollen sich Betroffene verhalten?

Die SIHF warnt vor Phishing-Versuchen per E-Mail, per SMS oder per Telefon. Das ist das wichtigste Risiko, das sie nennt.

Unsere Analyse: Eine betrügerische Nachricht kann Ihren Namen, Ihr Geburtsdatum, Ihren Club oder Ihr Team nennen. Diese Angaben beweisen also nicht mehr, dass sie vom Verband oder vom Club stammt. Eine ungewöhnliche Anfrage, die über diese Kanäle eingeht, sollte auf anderem Weg überprüft werden, zum Beispiel mit einem Anruf beim Club unter einer bekannten Nummer.

Die Clubs ihrerseits verwalten Konten auf dem Portal. Ein einziges missbrauchtes Konto genügte, um den Zugang zu den Daten zu öffnen. Sie können den Vorfall nutzen, um ihre Freiwilligen an die Grundlagen der Sensibilisierung für Phishing zu erinnern.

Was noch nicht bekannt ist

  • Die Zahl der Betroffenen: Die von der Presse wiedergegebene Nachricht der SIHF beziffert sie nicht, ebenso wenig ihre Verteilung auf Spieler, Trainer, Schiedsrichter und Clubverantwortliche.
  • Wie die Zugangsdaten des Nutzers beschafft wurden und welcher Art die am 26. Oktober 2026 behobene Sicherheitslücke ist.
  • Das weitere Vorgehen: die tatsächliche Einreichung der angekündigten Strafanzeige und die Reaktion des EDÖB.

Quellen