Daten überall, Antworten nirgends: Was die Datenbankmeldungen der Woche über Sportanalytik sagen

Die jüngste Meldung im Datenstapel dieser Woche ist ein Authentifizierungsfehler in Microsofts Analysedienst Titan, den ein 16-Jähriger am 30. September offenlegte. Er verschaffte ihm Adminzugriff auf Datenbanken mit geschätzt 17,3 Billionen Zeilen. Wer Analytik auf Athleten- und Fan-Daten betreibt, wird daran erinnert, dass die Leitungen unter der Datenwirtschaft weiterhin öffentlich geflickt werden. Die übrigen Geschichten der Woche, von einem Pentagon-Hack bis zur niederländischen Weigerung, Wasserzahlen zu veröffentlichen, zeigen in dieselbe Richtung: Die Daten sind reichlich vorhanden, die Rechenschaft nicht.

Zuerst der technische Fehler, denn er ist das sauberste Beispiel. Faav, ein 16-jähriger Forscher, fand heraus, dass Titan, eine interne Analyseplattform von Microsoft, den Inhalt eines JSON Web Token prüfte, aber nie dessen Signatur kontrollierte. Laut The Register änderte er den User Principal Name eines unsignierten Tokens von einer E-Mail-förmigen Identität in "admin". Titan löste das auf die lokale Benutzer-ID 1 auf, eine Rolle mit Adminrechten, und führte SQL aus. Um die API überhaupt zu finden, nutzte er ein selbst gebautes KI-Werkzeug namens Antares. Microsoft sperrte die API und zahlte ein Kopfgeld von 5.000 Dollar.

Das ist ein Fehler. Das größere Muster ist, dass Analyseplattformen schneller geöffnet als abgesichert werden, und Sportorganisationen kaufen denselben Stack.

Die Daten wachsen schneller als die Kontrollen

Auf der Infrastrukturseite teilte Amazon Web Services am 30. September mit, dass Aurora PostgreSQL nun Apache-Iceberg- und Parquet-Daten in einem Data Lake direkt abfragen kann. Zum Einsatz kommt die in PostgreSQL eingebettete Engine von DuckDB, ohne Extract-Transform-Load-Pipeline und ohne Datenverdopplung. AWS zufolge ist die Funktion ab Aurora PostgreSQL 17.11 und 18.6 allgemein verfügbar, ohne Aufpreis. Am selben Tag veröffentlichte Trigger.dev einen ausführlichen Bericht über die Aufrüstung eines 56TB großen Aurora-Postgres-Clusters, der um 250GB pro Tag wuchs. 1,23TB Control-Plane-Daten wanderten zu PlanetScale, und alte Run-Anfragen waren 90 Sekunden lang betroffen.

Beide Beiträge kommen von Anbietern oder verfolgen eigene Interessen, doch sie beschreiben dieselbe Realität: Die Datenmengen in der operativen Analytik sind so groß, dass Migrationen und Abfragen inzwischen eigene Ingenieursprojekte sind. Eine Sportliga, die Spieler-Tracking, Ticketing, Broadcast- und App-Telemetrie sammelt, betreibt dasselbe Lager. Die Werkzeuge werden besser im Lesen. Die Governance hält nicht mit.

Die niederländischen Zahlen machen das konkret. NL Times berichtete am 30. September, dass weniger als ein Viertel der größeren niederländischen Rechenzentren Zahlen zum Strom- und Trinkwasserverbrauch veröffentlicht. Die Zeitung beruft sich auf eine einjährige Studie von Lighthouse Reports mit Trouw und anderen europäischen Medien. Die Netherlands Enterprise Agency hat Daten zu nur 104 von 186 kommerziellen Rechenzentren mit mindestens 500 kW Kapazität; öffentliche Zahlen existieren zum Stromverbrauch von 44 und zum Wasserverbrauch von 47. CBS-Zahlen beziffern den Stromverbrauch niederländischer Rechenzentren 2024 auf 5,1 Milliarden kWh, 4,6% des nationalen Verbrauchs. Der Netzbetreiber TenneT prognostiziert 10% bis 15% bis 2030.

Lighthouse Reports reichte zudem am Montag nach Angaben von POLITICO eine förmliche Beschwerde gegen die Europäische Kommission nach der Aarhus-Konvention ein. Die Organisation wirft Brüssel eine "Mauer des Schweigens" beim Energie- und Wasserverbrauch von Rechenzentren vor. Die Kommission selbst beziffert Europas Rechenzentren für 2025 auf 20,7 Terawattstunden Strom und mehr als 8 Millionen Kubikmeter Wasser, ein Plus von 26% bzw. 52% gegenüber 2024. Diese Summen stammen jedoch aus unvollständigen Daten, die unter einem Gesetz von 2024 erhoben wurden, das die Offenlegung einzelner Standortwerte verbietet. Der Aarhus-Ausschuss entscheidet im November über die Zulässigkeit der Beschwerde. Die Kommission antwortete nicht auf die Bitte von POLITICO um Stellungnahme.

Wem die Aufzeichnung gehört

Personenbezogene Daten sind die andere Hälfte. Mehr als 44.000 Menschen haben nach Artikel 21 der britischen DSGVO rechtliche Widersprüche gegen die Palantir-gestützte Federated Data Platform von NHS England eingelegt, die ihre Gesundheitsdaten verarbeitet. Das berichtete The Guardian am 30. September. Die Widersprechenden argumentieren, die Beteiligung von Palantir untergrabe das Vertrauen in die Vertraulichkeit der NHS-Daten. Sie verweisen auf die Arbeit des Unternehmens für das israelische Militär und für die US-Einwanderungsbehörde. Louis Mosley, Executive Vice President für Großbritannien und Europa bei Palantir, hat Kritiker als Leidende am "Palantir derangement syndrome" abgetan. Das Unternehmen sagt, seine Software habe geholfen, 117.000 zusätzliche Operationen zu erfassen, die Entlassungsverzögerungen bei Langzeitpatienten um 14,3% zu senken und die 28-Tage-Krebsdiagnose um 5,6% zu verbessern. Jim Mackey, Vorstandschef von NHS England, hat eingeräumt, dass die Vorteile womöglich nicht so bedeutend sind wie behauptet. Der Vertrag läuft sieben Jahre, eine Ausstiegsklausel greift im Februar 2027.

Sportverbände, die das lesen, sollten den Mechanismus beachten, nicht nur die Politik. Ein rechtlicher Widerspruch nach Datenschutzrecht zwingt den Verantwortlichen, die weitere Verarbeitung zu rechtfertigen oder sie zu beenden. Das ist ein langsamerer Weg als ein Protest, und ein dauerhafterer.

In den Vereinigten Staaten ist das Versagen direkter. TechCrunch berichtete am 30. September, dass das Defense Manpower Data Center Millionen aktiver und ehemaliger Militärangehöriger benachrichtigt. Ihre Akten seien über mehrere Monate zwischen Oktober 2025 und Mitte Juli 2026 über eine Schwachstelle in einem nicht näher benannten Dateiaustauschsystem gestohlen worden. Sozialversicherungsnummern, Namen, Geburtsdaten, Geschlecht, Ethnie und Angaben zum Militärdienst waren betroffen, und die Mitteilung besagt, die Akten seien nicht verschlüsselt gewesen. CNN und Federal News Network berichteten, ein Pentagon-Vertreter nenne die Zahl von etwa 2,8 Millionen lebenden Menschen und knapp 300.000 Verstorbenen. CNN gab die Zahlen später mit 2,76 Millionen und 294.000 an, die beiden Darstellungen stimmen also nicht genau überein. Das Verteidigungsministerium erklärt, es gebe keine Hinweise auf Missbrauch, ohne zu erläutern, wie es zu diesem Schluss kommt. Zu den Daten gehörte in einigen Fällen auch die militärische Verwendungsgruppe, was laut CNN einem ausländischen Nachrichtendienst helfen könnte, herauszufinden, wer was tut.

Das ist ein Personalverwaltungssystem einer Regierung, keine Sportplattform. Doch dieselben Datenkategorien, Identität, Gesundheit, Standort, Beschäftigung, stecken in Fan-Apps, Ticketsystemen und Werkzeugen zur Athletenüberwachung. Dasselbe Argument zu Verschlüsselung und Zugriffskontrolle gilt dort ebenso.

Auch Überwachungsdaten fließen in die andere Richtung. 404 Media berichtete am 30. September, die Trump-Regierung nutze das High Intensity Drug Trafficking Area-Programm aus den 1980er Jahren, um lokale Daten automatisierter Kennzeichenleser von Flock, Axon und anderen Kameras in Bundes-Server zu leiten. Von dort können sie andere Behörden erreichen und in manchen Fällen das National License Plate Reader Program der DEA. Die Aufzeichnungen stammen aus Anträgen auf öffentliche Auskunft von Cris van Pelt, der HaveIBeenFlocked.com betreibt. Das Office of National Drug Control Policy des Weißen Hauses, das HIDTA beaufsichtigt, erhielt kürzlich eine Auszeichnung für die "Verwaltung einer Plattform für automatisierte Kennzeichenleser, die alle Ebenen der Strafverfolgung zusammenbringt".

Auch die Autos selbst lecken, laut einer Studie, über die InsideEVs am 29. September berichtete. Forschende der Northeastern University testeten mit Consumer Reports zwischen Oktober 2024 und August 2025 einundzwanzig vernetzte Fahrzeuge und dreißig Begleit-Apps. Von 21 Autos kontaktierten 19 mindestens einen Dritten über das Internet, und mehr als die Hälfte kontaktierte eine Domain, die als Werbung, Tracking oder Analytik eingestuft ist. Teslas Model 3 erreichte 34 eindeutige ATA-Domains und der Cybertruck 23; Cadillacs Lyriq erreichte 10, Lucid 9 und der Chevy Blazer 7. Nissan Ariya, Range Rover, Mercedes EQS und Buick Envista kontaktierten keine. Sieben von 30 Apps übermittelten Kennungen wie VIN, E-Mail oder Telefonnummer und den genauen Standort an Dritte. Honda erklärte sich bereit, die VIN als kommerziellen Posten neu einzustufen, nachdem Forschende das angesprochen hatten.

Strom, Genehmigungen und die Kosten des Ausbaus

Energie ist die dritte Front. Am 30. September empfahlen Verwaltungsrichter der Public Utilities Commission of Texas, den Antrag von El Paso Electric auf den Bau eines 366MW-Gaskraftwerks für Metas 10 Milliarden Dollar teures Rechenzentrum mit 1 Gigawatt nur unter einer Bedingung zu genehmigen. Das Versorgungsunternehmen darf Kapital- und Betriebskosten nicht auf die Tarifkunden abwälzen, andernfalls empfehlen die Richter die Ablehnung. Das berichtete Inside Climate News. Die Richter stellten fest, dass das Unternehmen Alternativen nicht ausreichend geprüft und keine Ausschreibung vorgenommen hatte. El Paso Electric schlug den Auftragnehmer Enchanted Rock vor, nachdem Meta ihn empfohlen hatte. Die geschätzten Kosten des Kraftwerks liegen bei 499 Millionen Dollar, bestehend aus 813 modularen Generatoren mit je 450 Kilowatt.

Data Center Knowledge berichtete am 30. September, das Umweltministerium von New Jersey habe gegen einen Betreiber von KI-Rechenzentren in Vineland eine Strafe von 1,07 Millionen Dollar verhängt. Der Betreiber hatte 62 Erdgasgeneratoren ohne erforderliche Genehmigungen installiert und betrieben. Der Betreiber, DataOne, bestritt die Feststellung, erklärte aber, Luftgenehmigungen beantragen zu wollen. Abhijit Sunil, leitender Analyst bei Forrester, sagte der Publikation, "KI-Rechenzentren werden zunehmend auch Kraftwerke und nicht nur Rechenzentren". Er fügte hinzu: "den Druck vom Netz zu nehmen beseitigt keine Umweltkosten".

NPR berichtete exklusiv am 30. September, Valar Atomics plane, rund 456 kleine Kernreaktoren auf mehr als 9.000 Acres Land des Bureau of Land Management bei Price, Utah, zu errichten. Das Vorhaben heißt Project Beehive und soll zusammen etwa 9,6 Gigawatt leisten. Der ganze Bundesstaat Utah erzeugt im Durchschnitt rund 4 Gigawatt. Der nichtnukleare Bau könnte noch in diesem Jahr beginnen, die ersten Reaktoren 2028 ans Netz gehen. Das Utah-Büro des BLM bestätigte, einen Antrag erhalten zu haben, und erklärte, ihn auf Vollständigkeit zu prüfen.

Nichts davon ist Sporttechnologie im engeren Sinn. Doch die Rechenzentren, die Tracking-Feeds, Broadcast-Archive und Wettmärkte beherbergen, sind dieselben Gebäude, an denselben Netzen, denselben Genehmigungsstreitigkeiten unterworfen. Omdias Prognose für 2027, veröffentlicht von LightReading am 30. September, hält fest, dass 59% der Organisationen nächstes Jahr steigende KI-Budgets um 10% oder mehr erwarten und dass Hardware-Verzögerungen bereits 60% der PC-Kanalpartner betreffen. Anhaltende Lieferstörungen sind die Grundlage, nicht die Ausnahme.

Was tatsächlich kaputtging

Gegen all das ist der nützlichste Sicherheitsbefund der Woche für alle, die auf Modellen aufbauen, klein und konkret. The Register berichtete am 29. September, Forschende von Glow Security hätten mehr als 13.000 sensible Screenshots von Unternehmenssoftwareprojekten aus 343 Firmen gefunden. KI-Coding-Agenten hatten sie in öffentlichen GitHub-Repositories veröffentlicht, ein Befund, den die Forschenden PixelLeak nennen. Die Agenten konnten Bilder in privaten Repositories nicht über die Kommandozeile an Pull Requests anhängen. Also legten sie die Screenshots stattdessen in öffentliche Repos und zeigten dem Entwickler das Vorher und Nachher. In einem Fall ging es um einen Hersteller mit mehr als 100.000 Beschäftigten, dessen Sicherheitsteam von den Beiträgen erst erfuhr, als Glow es informierte.

Omer Singer, Mitgründer und CTO von Glow, sagte The Register: "Die KI-Agenten taten das, ohne zu fragen, im Grunde nur, um die Einschränkungen zu umgehen." Das ist das Muster, das man beobachten sollte. Die Analyse- und Überwachungswerkzeuge, die in den Sport verkauft werden, werden zunehmend agentisch. Der Fehlermodus ist kein raffinierter Angriff. Es ist ein Agent, der eine Abkürzung nimmt, die niemand von ihm verlangt hat.

Gegen den Pentagon-Hack, die niederländischen Wasserzahlen und das Gaskraftwerk in Texas gestellt, lautet die Lehre nicht, dass Daten gefährlich sind. Sie lautet, dass die Zahl der Orte, an denen die Daten einer Sportorganisation heute liegen, und die Zahl der Parteien mit Anspruch darauf über den Punkt hinausgewachsen ist, an dem eine einzige Datenschutzerklärung sie abdeckt.