World Triathlon Datenleck: Welche Daten betroffen sind, was der Weltverband unternimmt und welche Schritte du jetzt gehen solltest, um dich vor Phishing zu schützen.
Ein Datenleck entsteht oft nicht durch einen spektakulären Hackerangriff auf die komplette Website, sondern durch ein einzelnes schwaches Glied. Genau das meldet World Triathlon: Im Internet hat ein externer Angreifer eine Schwachstelle im Reporting-Tool Metabase ausgenutzt, das offenbar für Auswertungen und Abfragen genutzt wurde. Über diesen Weg konnten Datenbanken unbefugt ausgelesen werden, darunter auch die Kontaktliste der nationalen Verbände.
Hacking-Forum bietet Daten von Triathleten zum Download an
Nach Angaben von World Triathlon wurden am 6. November komplette Datenbanktabellen kopiert. Entdeckt wurde der Vorfall zwei Tage später, am 8. November. Noch am selben Tag hat World Triathlon das betroffene Tool abgeschaltet, um weiteren Zugriff zu stoppen und die Lage zu stabilisieren. Zusätzlichen Druck erzeugt ein Hinweis vom 7. November: Demnach sollen die erlangten Daten in einem Hacking-Forum zum Download angeboten worden sein. Das erhöht das Risiko, dass Informationen weiterverbreitet und für Betrug missbraucht werden.
Auch medizinische Daten betroffen
Nach Angaben von World Triathlon betrifft das Datenleck Datensätze von Mitgliedern, Athleten und Teilnehmenden. Dazu zählen typische Kontakt- und Profildaten wie Name, E-Mail-Adresse, Postanschrift, Land und zugehöriger Verband. Ebenfalls können sportbezogene Informationen betroffen sein, etwa Meldungen zu Veranstaltungen und die Ergebnis-Historie. Darüber hinaus nennt World Triathlon auch Daten zu Technischen Offiziellen und Coaches, zum Beispiel hinterlegte Rollen, Bewertungen sowie Zertifizierungen. Besonders sensibel ist, dass auch medizinische Angaben, die Athleten für Events in Systemen hinterlegt haben, heruntergeladen wurden, etwa Allergien, Erkrankungen oder Informationen zu Medikamenten.
Passwörter seien laut World Triathlon nur verschlüsselt gespeichert worden. Das Original ist damit nicht direkt auslesbar, ein Passwortwechsel bleibt dennoch wichtig, vor allem bei Wiederverwendung auf anderen Website-Logins. Finanzdaten sollen nicht betroffen sein, trotzdem können die erbeuteten Identitäts- und Kontaktdaten gezieltes Phishing im Internet erleichtern.
Was World Triathlon unternimmt und was du beachten solltest
World Triathlon hat nach eigenen Angaben das betroffene Reporting-Tool umgehend abgeschaltet, Beweise gesichert und die Zugangsdaten zu den betroffenen Datenbanken geändert, um weiteren unbefugten Zugriff auf Systeme und Website-Dienste zu verhindern. Zusätzlich wurden Konten zurückgesetzt, Nutzer aktiv abgemeldet. Damit soll ausgeschlossen werden, dass ein Angreifer mit bestehenden Sessions oder Zugangsdaten weiterarbeiten kann. Den Vorfall hat World Triathlon bei den zuständigen Behörden gemeldet. Außerdem wurde eine externe Cybersecurity-Firma beauftragt, um Forensik, Eindämmung und die Aufklärung des Datenlecks zu unterstützen.
Wenn du betroffen bist, wirst du laut World Triathlon direkt per E-Mail informiert. Prüfe Absender, Domain und Links sehr genau, denn Betrüger nutzen solche Ereignisse häufig für täuschend echte Phishing-Mails. Besonders kritisch sind Zahlungsaufforderungen oder angebliche Kontoänderungen.
Was du jetzt konkret tun kannst und wo du Hilfe bekommst
World Triathlon empfielt seinen Usern einige Vorsichtmaßnahmen, die auch an anderer Stelle gelten:
- Ändere vorsorglich deine Passwörter rund um World Triathlon. Wichtig ist das vor allem, wenn du dasselbe Passwort auch auf anderen Websites im Internet nutzt. Verwende am besten ein einzigartiges, langes Passwort und, falls möglich, einen Passwortmanager.
- Aktiviere überall, wo es angeboten wird, die Zwei-Faktor-Authentifizierung. Bleib außerdem wachsam gegenüber typischen Warnzeichen nach einem Datenleck: Nachrichten mit Zeitdruck, unerwartete Anhänge, neue Bankverbindungen oder „dringende“ Zahlungslinks. Im Zweifel nicht klicken, sondern unabhängig nachprüfen.
- Wenn du in Verband oder Verein Mitgliederdaten verwaltest, kläre intern, ob durch die Weitergabe an World Triathlon eigene Meldepflichten entstehen und welche Schutzmaßnahmen jetzt nötig sind.
- Verdachtsfälle meldest du an technology@triathlon.org, rechtliche Fragen an legal@triathlon.org.
