Die Swiss Ice Hockey Federation ist Opfer eines Datenabflusses geworden. Über die zentrale Verbandsplattform MySIHF griff eine unbekannte Person auf Personendaten zu – nach Angaben der Täter auf Datensätze von 87 000 Personen. Der Verband hat den Zugang gesperrt, den Datenschutzbeauftragten informiert und Strafanzeige erstattet. Für Vereine, Eltern und Schiedsrichter beginnt nun die Phase, in der aus gestohlenen Adressen Betrug werden kann.
Der Schweizer Eishockeyverband hat einen gravierenden Datenabfluss bestätigt, der weite Teile seiner Mitgliederverwaltung betrifft. Betroffen sind Angaben, die über die zentrale Plattform MySIHF erreichbar waren: Namen, Adressen, Clubzugehörigkeiten, Funktionen als Spieler, Trainer oder Schiedsrichter – und bei einzelnen Nutzern auch Bankverbindungen. Nach Darstellung des Verbands wurde dafür kein Server angegriffen, sondern ein einzelnes Benutzerkonto missbraucht.
Ein fremdes Konto, zwei Tage Zugriff
Am Montag, 26. Oktober, erfuhr die Swiss Ice Hockey Federation (SIHF), dass Daten aus MySIHF in einem Internetforum zum Verkauf angeboten wurden 1. In der am Dienstag publizierten Mitteilung an die Nutzer heisst es, eine unbefugte Person habe sich zwischen dem 17. und dem 19. Oktober mit den Zugangsdaten eines MySIHF-Benutzers angemeldet und über diesen Zugang Personendaten abgerufen 1.
Der Verband reagierte nach eigenen Angaben noch am selben Tag: Er sperrte den missbrauchten Zugang, schloss die Schwachstelle, informierte den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und erstattete Anzeige bei der Polizei 1. Zudem will er den Betreiber des Forums auffordern, das Angebot zu entfernen 1. Gegenüber SRF bestätigte die SIHF, die Sicherheitslücke sei inzwischen geschlossen; sie warnte die Betroffenen vor Phishing-Versuchen per E-Mail, SMS oder Telefon 2.
«Die abgerufenen Daten sind im Umlauf und lassen sich nicht zurückholen.»
So steht es in der Mitteilung. Die Angaben könnten genutzt werden, um Nachrichten zu verschicken, die scheinbar von der SIHF, einem Club oder einem Verband stammen, aber auch für Anrufe oder Briefe, mit denen sich jemand Vertrauen erschleichen will 1.
250 Franken für einen tiefen Einblick in fremde Leben
Betroffen sein können laut Verband Name und Vorname, Geburtsdatum, Postadresse, E-Mail-Adresse, Telefonnummer, Club- und Teamzugehörigkeit, die Funktion als Spielerin, Spieler, Coach oder Schiedsrichter, das Profilbild sowie bei wenigen Nutzern die IBAN 1. Passwörter seien nicht abgerufen worden. Die Untersuchung habe keine Hinweise ergeben, dass Server oder Programme von MySIHF verändert wurden 1.
Die «Neue Zürcher Zeitung» hat einen Teil der zum Verkauf angebotenen Beispieldaten geprüft und kommt zum Schluss, sie wirkten aktuell, echt und heikel 3. Der Datensatz soll 6,9 Gigabyte gross sein und für 250 Franken angeboten werden. Die Stichprobe umfasst rund tausend Adressen, darunter jene von Kindern – die jüngste betroffene Person ist neun Jahre alt, erfasst sind auch die Notfallkontakte der Eltern. Zu den Daten gehören Clubstationen und Torstatistiken aus einzelnen Spielen, ausserdem die Adresse eines Trainers des Herren-U-20-Nationalteams und die eines Schiedsrichterverantwortlichen aus der Zentralschweiz. Von Schiedsrichtern sind teilweise Kontoangaben und Entschädigungsabrechnungen enthalten; ein Referee aus dem Kanton Zürich erhielt demnach im März und April 120 Franken 3.
Die Täter behaupten, Daten von über 87 000 Personen, von 9000 Trainerinnen und Trainern, knapp 5000 Schiedsrichtern sowie 106 000 Spielinformationen erbeutet zu haben 3. Diese Zahlen stammen aus dem Verkaufsangebot und sind nicht unabhängig bestätigt. Die SIHF zählt nach Angaben der NZZ mehr als 70 000 Mitglieder 3. Der Verband bestätigt den Abfluss dem Grundsatz nach: «Die bisherigen Erkenntnisse deuten darauf hin, dass die angebotenen Daten echt sind und aus den Systemen von Swiss Ice Hockey stammen», sagte Mediensprecher Finn Sulzer der Zeitung 3.
Ein kompromittiertes Konto als wahrscheinlicher Einstieg
Die NZZ fand in den gestohlenen Daten zahlreiche Verweise auf das Schiedsrichtersystem «Refadmin», das der Verband neben MySIHF betreibt. Das könnte auf den Einstiegspunkt hindeuten 3. Sulzer formulierte es zurückhaltend: «Nach derzeitigem Kenntnisstand wurden die Systeme nicht direkt angegriffen. Vielmehr könnten die Daten über ein kompromittiertes Benutzerkonto abgegriffen worden sein» 3.
Das entspricht einem verbreiteten Muster: Am Anfang stehen gestohlene oder im Darknet gekaufte Zugangsdaten; ist der Angreifer einmal im System, lassen sich mit automatisierten Abfragen grosse Datenbestände exportieren. MySIHF ist dafür ein besonders ergiebiger Fund, weil dort Lizenzen, Club- und Teamzugehörigkeiten sowie Spieldaten für Profi- und Amateurligen zusammenlaufen 1 2 3.
Strafanzeige ja. Transparenz über den Zeitpunkt nein.
Die zuständigen Behörden seien informiert, schreibt die SIHF, und die Anzeige bei der Polizei sei erstattet 1. Ganz deckungsgleich sind die Angaben nicht: Die NZZ zitierte den Verbandssprecher am Dienstagmorgen mit den Worten, eine Strafanzeige werde folgen; SRF und watson berichteten, der Verband habe sie angekündigt 2 4. Ob die Anzeige zu diesem Zeitpunkt bereits eingereicht war, lässt sich deshalb nicht abschliessend klären. Zu Ermittlungsbehörden, Verfahrensstand oder einer Schadenssumme machte die SIHF keine Angaben.
Datenschutzrechtlich relevant ist die Meldung an den EDÖB: Das revidierte Datenschutzgesetz verlangt bei Verletzungen mit hohem Risiko für die Persönlichkeitsrechte eine möglichst rasche Meldung an die Aufsichtsbehörde. Ob der EDÖB ein Verfahren eröffnet, ist offen. Betroffene können gegenüber dem Verband Auskunft über die zu ihrer Person bearbeiteten Daten verlangen.
Die Folgen für den Schweizer Eishockeysport
Hinweise auf eine Unterbrechung des Spielbetriebs gibt es nicht. Der Verband betont, Server und Programme seien unverändert, Passwörter unberührt; in der Mitteilung verweist er Nutzer direkt auf die Login-Seite von MySIHF, um ein neues Passwort zu setzen 1. Die Lizenzverwaltung und der Meisterschaftsbetrieb dürften damit weiterlaufen. Die Belastung verschiebt sich auf die Clubs: Sie müssen Mitglieder, Eltern und Funktionäre informieren, ohne selbst Urheber der Nachricht zu sein – und genau das macht sie angreifbar.
Kritisch ist die Kombination aus Namen, Clubzugehörigkeit, Funktion und teilweise IBAN. Sie erlaubt es, Zahlungsaufforderungen glaubwürdig zu personalisieren, etwa an Eltern von Nachwuchsspielern oder an Schiedsrichter. Die SIHF weist zutreffend darauf hin, dass mit einer IBAN allein niemand Geld von einem Konto abheben kann; sie bittet die Nutzer dennoch, in den kommenden Monaten Kontoauszüge auf unbekannte Belastungen zu prüfen 1. Praktisch bedeutet das für Vereine: Zahlungen nur auf Konten leisten, die über einen bekannten Kanal bestätigt wurden, und niemals Zugangsdaten oder zusätzliche Angaben aufgrund eingehender Nachrichten preisgeben. Die SIHF stellt klar, sie frage nie per E-Mail, SMS oder Telefon nach einem Passwort 1.
Ein Angriffsmuster, das sich 2026 häuft
Der Fall reiht sich in eine Serie von Datenabflüssen in der Schweiz. Die NZZ nennt den Marktplatz Ricardo, den Telekomanbieter Salt und das Magazin «Republik»; bei allen waren in den vergangenen Monaten Nutzerdaten abgeflossen 3. Ein Teil dieser Angriffe wird inzwischen mit KI-Agenten ausgeführt, die autonom nach Schwachstellen suchen 3. Der Preis von 250 Franken für einen Datensatz dieser Grösse zeigt, worum es den Tätern geht: nicht um Erpressung des Verbands, sondern um Masse, die sich weiterverkaufen und für Folgeangriffe nutzen lässt.
Lesen Sie auchDatenleck bei Ricardo: 890'000 Nutzerkonten betroffen→
Für die SIHF bleibt die Frage, wie belastbar ihre Zugangskontrollen sind. «Weitere Schutzmassnahmen setzen wir laufend um», heisst es in der Mitteilung, ohne dass konkrete Massnahmen genannt werden 1. Ob der Verband eine externe Forensik beauftragt, Mehrfaktor-Authentifizierung für MySIHF einführt und ob der EDÖB tätig wird, ist derzeit offen.
