Sportanalytik hat ein Infrastrukturproblem, und die Daten fehlen

Diese Offenlegung erschien am 30. September bei The Register. Sie ist der jüngste Eintrag in einem wachsenden Stapel von Belegen dafür, dass die Infrastruktur hinter Datenanalysen schneller auf die Probe gestellt wird, als sie repariert wird. Der Sport ist dabei eingeschlossen.

Der Forscher, ein 16-Jähriger namens Faav, fand heraus, dass Microsofts interner Analysedienst Titan den Inhalt eines JSON Web Token zwar validierte, aber nie dessen Signatur prüfte. Laut The Register gelangte er über einen Azure-Cloud-Services-Host zu Administratorzugriff. Dort konnte er SQL gegen Analysedatenbanken ausführen, die das Unternehmen auf 17,3 Billionen gespeicherte Zeilen schätzt. Microsoft sperrte die API und zahlte ihm eine Fehlerprämie von 5.000 Dollar.

Was der Fehler tatsächlich offenlegt

Faavs eigener Blog, aus dem The Register zitiert, beschreibt die Schwachstelle mit Worten, die jedes Plattformteam wiedererkennen sollte: "Die Authentifizierungsprüfungen fühlten sich an wie ein Hotel, in dem jede Tür einen funktionierenden Kartenleser hatte, aber jede Karte jedes Zimmer öffnete." Er sagt, er habe den Beitrag auf Microsofts Bitte hin umgeschrieben und dabei Abschnitte und Zahlen gestrichen. Die Zeilensumme sei eine Speicherschätzung aus Metadaten, die wahrscheinlich historische und duplizierte Daten einschließt.

Microsoft teilte Faav in einer Erklärung mit, die in seinem Blog wiedergegeben wird, die Einsendung habe "uns geholfen, unsere Kunden besser zu schützen, indem wir unsere Dienste härten".

Die Zahlen hinter diesem einen Endpunkt sind der Teil, mit dem sich Verantwortliche für Sporttechnologie befassen sollten. Allein die Metadaten umfassten 24.569 Dashboards, 425.891 Diagramme und 27.347 Dataset-Definitionen, so The Register. Dreißig aktive Routing-Werte führten über 24 Konfigurationen zu 17 verbundenen Analysedatenbanken mit 9.863 eindeutigen Tabellennamen. Das ist die Gestalt eines modernen Analysebestands: ausufernd, föderiert und zusammengehalten von Authentifizierungslogik, die nur so stark ist wie ihre schwächste Prüfung.

Sportorganisationen werden in der Titan-Offenlegung nicht genannt. Doch dasselbe Muster, eine zentrale Analyseschnittstelle, die still Daten aus vielen Quellen zusammenführt, ist genau das, was der Sektor in den letzten zwei Jahren aufgebaut hat.

Governance kommt vor der Anzeigetafel

Zwei weitere Geschichten der letzten 48 Stunden zeigen den Druck aus der anderen Richtung. Er kommt von der Öffentlichkeit und den Aufsichtsbehörden, nicht von Angreifern.

"Das Ausmaß dieser öffentlichen Gegenreaktion sollte ein gewaltiger Weckruf für die Regierung sein."

Das sagt Veronica Hawking von der Kampagnengruppe 38 Degrees. Der Guardian zitierte sie am 30. September, nachdem mehr als 44.000 Menschen nach Artikel 21 der britischen Datenschutz-Grundverordnung rechtliche Einwände eingereicht hatten. Sie wollen verhindern, dass die von Palantir betriebene NHS Federated Data Platform ihre Gesundheitsdaten verarbeitet. Palantir sagt, die Plattform helfe, Wartelisten zu verkürzen, und verweist auf 117.000 zusätzliche Operationen und einen Rückgang der Entlassungsverzögerungen bei Langzeitpatienten um 14,3%. NHS England sagt, die Organisationen behielten die Kontrolle über ihre Daten. Die Einwender sehen das anders. Der Streit ist inzwischen verfahrensrechtlich, nicht rhetorisch.

In den Niederlanden liegt das Offenlegungsproblem andersherum. Eine Studie von Lighthouse Report mit Trouw und anderen europäischen Medien, über die NL Times am 30. September berichtete, ergab, dass weniger als ein Viertel der größeren niederländischen Rechenzentren Zahlen zum Strom- und Trinkwasserverbrauch veröffentlicht. Die europäische Energieeffizienzrichtlinie verlangt seit drei Jahren eine Berichterstattung für Standorte über 500 kW. Die niederländische Unternehmensagentur hat Daten zu nur 104 der 186 qualifizierenden kommerziellen Rechenzentren, die der Branchenverband Dutch Datacenter Association identifiziert hat. Öffentliche Zahlen existieren für 44 beim Strom und für 47 beim Wasser.

Statistics Netherlands beziffert den Stromverbrauch niederländischer Rechenzentren auf 5,1 Milliarden kWh im Jahr 2024, 4,6% des nationalen Verbrauchs. Der Netzbetreiber TenneT prognostiziert 10 bis 15% bis 2030.

Die Rechenfrage hinter der Analytik

Sportanalytik sitzt am Verbraucherende dieser Lieferkette. Jedes Tracking-System, jedes Expected-Goals-Modell und jede Broadcast-Erweiterung läuft auf Infrastruktur, deren Kosten, steuerliche Behandlung und ökologischer Fußabdruck öffentlich neu verhandelt werden.

Metas Nutzung einer bundesstaatlichen Forschungssteuergutschrift ist ein Beispiel dafür. The Decoder berichtete am 30. September unter Berufung auf die New York Times, dass Meta 2025 3,9 Milliarden Dollar sparte. Das Unternehmen stufte KI-Rechenzentren als "Pilotmodelle" und Nvidia-Chips als Versuchsmaterialien ein. Im Vorjahr waren es 2 Milliarden Dollar, 2023 noch 700 Millionen Dollar. Meta warnt in SEC-Einreichungen, dass die Einsparungen angefochten werden könnten. Die Rückstellungen für unsichere Steuerpositionen stiegen um 45% auf 18,74 Milliarden Dollar. Das Unternehmen verweist auf 200 Milliarden Dollar Forschungs- und Entwicklungsausgaben über fünf Jahre. Sein Prüfer EY billigte die Strategie.

Unterdessen geht die Ingenieursarbeit weiter. Amazon Web Services teilte am 30. September mit, dass Aurora PostgreSQL nun Apache-Iceberg- und Parquet-Daten in Amazon S3, S3 Tables oder im AWS Glue Data Catalog abfragen kann. Das geschieht ohne Extract-Transform-Load-Pipelines, mithilfe der in PostgreSQL eingebetteten Abfrage-Engine von DuckDB. Die Funktion ist allgemein verfügbar auf Aurora PostgreSQL 17.11 und 18.6 und höher, ohne Aufpreis. Für Sportdatenteams entfällt damit ein Kopierschritt zwischen Data Lake und operativer Datenbank. Genau dort entstehen die meisten Latenzbeschwerden.

Nichts davon ist eine Vorhersage über den Markt für Sportanalytik. Es ist eine Beschreibung des Bodens, auf dem er steht. Die Titan-Offenlegung, die NHS-Einwände und die niederländische Berichtslücke sind drei Versionen desselben Befunds: Die Daten sind da, die Analytik läuft, und die Kontrollen um beides herum entdecken zuerst die falschen Leute.