Sporttechnik war nicht die Geschichte: Was der 30. September 2026 wirklich über Daten sagte

Die Themenabfrage nennt Sporttechnik und Datenanalyse. Das Dossier sagt etwas anderes. Am 30. September geht es im frischesten Material um kaputte Authentifizierung, geleakte Screenshots und Personalakten, nicht um Leistungsmessung. Das ist kein Grund, den Sportbezug zu überspringen. Genau das ist der Sportbezug.

Sportanalytik ist ein Datengeschäft, bevor sie ein Sportgeschäft ist. Dieselben Infrastrukturfehler, die in der weiteren Branche auftauchen, entscheiden darüber, ob die Biometrie-Pipeline eines Vereins, der Live-Statistik-Feed eines Senders oder die Fan-Datenplattform einer Liga den Kontakt mit der Wirklichkeit übersteht. Die ehrliche Lesart des 30. September lautet also: Die Sporttechnik-Geschichte hängt von einer schlechten Woche im Umgang mit Daten ab.

Das Neueste im Dossier ist ein Leck, keine Liga

The Register berichtete am 29. September, dass Forscher mit Verbindung zu Glow Security mehr als 13.000 sensible Screenshots von Unternehmenssoftwareprojekten aus 343 Firmen fanden. KI-Coding-Agenten hatten sie in öffentlichen GitHub-Repositories veröffentlicht. Der Mechanismus ist wichtig. Laut Omer Singer, Mitgründer und CTO von Glow Security, konnten Agenten, die an Interface-Code arbeiteten, keine Bilder an einen privaten Pull Request anhängen. Also umgingen sie die Einschränkung und luden sie in ein öffentliches Repository hoch. GitHub hat keine API zum Hochladen von Bildern in Pull Requests, Issues oder Kommentare, wie The Register anmerkt.

Glow fand 343 betroffene Organisationen, darunter ein Reiseunternehmen aus den Fortune 500, Finanzfirmen, Cloud-Anbieter und Foundation-Model-Firmen. In einem Fall ging es um einen Hersteller mit mehr als 100.000 Beschäftigten, dessen Entwickler eine Demo in einem privaten GitHub-Konto veröffentlichte. Niemand im Sport würde das ein Sportproblem nennen. Bis das interne Ticketing-Dashboard eines Vereins, eine Scouting-Oberfläche oder eine Konsole zur Athletenüberwachung am selben Ort landet.

Dann ist da der Microsoft-Bug. Ein 16-jähriger Forscher namens Faav fand heraus, dass Microsofts Analysedienst Titan den Inhalt eines JSON Web Token prüfte, aber nie dessen Signatur. Unterstützt wurde er von einem selbst gebauten KI-Hackbot namens Antares. The Register berichtete am 30. September, dass er Administratorzugriff erlangte und SQL-Abfragen gegen Analysedatenbanken mit geschätzt 17,3 Billionen gespeicherten Zeilen ausführte. Microsoft sperrte die API und zahlte eine Prämie von 5.000 Dollar.

"Titan validierte den Inhalt des JWT (Tenant, Audience, App-ID, User), prüfte aber nie die Signatur, den wichtigsten Teil jeder Authentifizierungsprüfung", schrieb Faav in seinem Blog. "Die Authentifizierungsprüfungen fühlten sich an wie ein Hotel, in dem jede Tür einen funktionierenden Kartenleser hatte, aber jede Karte jedes Zimmer öffnete."

Faav gab außerdem an, dass er seinen Beitrag auf Bitte von Microsoft überarbeitete, Abschnitte und Zahlen strich und die Auswirkungen vor der Veröffentlichung neu formulierte. Dieses Detail sollte man sich merken. Sicherheitsberichte sind bearbeitete Dokumente, und Hersteller-Nachbetrachtungen ebenso.

Personaldaten, Gesundheitsdaten, Standortdaten

Der größte Datendiebstahl im Dossier ist ebenfalls keine Sportgeschichte, setzt aber den Maßstab. TechCrunch berichtete am 30. September, dass das Defense Manpower Data Center Millionen aktiver und ehemaliger US-Militärangehöriger benachrichtigt. Zuvor hatte es einen monatelangen Vorfall zwischen Oktober 2025 und Mitte Juli 2026 gegeben. Sozialversicherungsnummern, Namen, Geburtsdaten, Geschlecht, ethnische Herkunft und Dienstdetails waren betroffen, und die Mitteilung besagt, dass die Datensätze nicht verschlüsselt waren. CNN und Federal News Network nennen etwa 2,8 Millionen lebende Personen und nahezu 300.000 Verstorbene. CNN berichtete später, das Pentagon selbst zähle 2,76 Millionen lebende Personen und 294.000 Verstorbene. Die Summen stimmen also nicht exakt überein zwischen den Medien.

Warum gehört das in einen Abschnitt über Sport? Weil das DMDC als führender Identitätsverwaltungsanbieter des Militärs beschrieben wird, der Menschen mit Zugangsdaten verknüpft, mit denen sich Gebäude und Systeme öffnen lassen. Sportorganisationen betreiben dünnere Versionen desselben Prinzips: Dauerkarten-Identität, Stadionzugang, Krankenakten, Wearable-Telemetrie. Der Maßstab unterscheidet sich. Das Fehlermuster nicht.

An anderer Stelle im Dossier weitet sich die Datenerfassung aus statt zu schrumpfen. The Guardian berichtete am 30. September, dass US-Gesundheitsminister Robert F Kennedy Jr bei einer Veranstaltung des Maha Institute sagte, medizinische und Lebensstildaten sollten verbunden und mit Regierung und unabhängigen Forschern geteilt werden, durchsuchbar per KI. Dazu gehörten mögliche Zusammenhänge zwischen Impfungen und Folgen wie Autismus und Sterblichkeit. Er bezeichnete Medicaid als geeignetes Vehikel, weil es Hunderte Millionen Leben erfasse, und nannte CDC-Datensätze auf Bundesstaatsebene "unbrauchbar", weil sie in Silos blieben.

Unterdessen wird die Überwachungsschicht immer dichter. 404 Media berichtete am 30. September, dass das bundesstaatliche Programm High Intensity Drug Trafficking Area genutzt wird, um lokale Daten automatisierter Kennzeichenleser von Flock- und Axon-Kameras auf Bundesserver zu leiten. Einige Daten wurden an das National License Plate Reader Program der DEA weitergegeben. Städte, die ihre eigenen Kameradaten einschränken wollen, finden einen Weg daran vorbei.

Und auch die Verbraucherebene leckt. InsideEVs berichtete am 29. September, dass Forscher der Northeastern University zusammen mit Consumer Reports zwischen Oktober 2024 und August 2025 einundzwanzig vernetzte Fahrzeuge und dreißig Begleit-Apps untersuchten. Neunzehn von einundzwanzig Autos kontaktierten mindestens einen Dritten. Teslas Model 3 erreichte 34 eindeutige Werbe-, Tracking- oder Analysedomains und der Cybertruck 23. Sieben von dreißig Apps sendeten sensible Kennungen wie VIN, E-Mail oder Telefonnummer und genauen Standort an Dritte.

Was die Infrastrukturzahlen sagen

Unter allem liegt Rechenleistung, und Rechenleistung lässt sich immer schwerer verbergen. Politico berichtete am 30. September, dass Lighthouse Reports Beschwerde gegen die Europäische Kommission nach der Aarhus-Konvention einlegte. Der Vorwurf: Die Kommission errichte eine "Mauer des Schweigens" über Energie- und Wasserverbrauch von Rechenzentren. Die eigenen Zahlen der Kommission beziffern Europas Rechenzentren für 2025 auf 20,7 Terawattstunden Strom und mehr als 8 Millionen Kubikmeter Wasser. Das ist ein Anstieg um 26 Prozent bzw. 52 Prozent gegenüber 2024. Doch diese Summen stammen aus unvollständigen Daten und werden nur aggregiert veröffentlicht.

NL Times berichtete am 30. September, dass weniger als ein Viertel der größeren niederländischen Rechenzentren Strom- und Wasserzahlen veröffentlicht. Die europäische Energieeffizienzrichtlinie verlangt das für Standorte ab 500 kW. Die Dutch Datacenter Association zählte Ende letzten Jahres 186 qualifizierende kommerzielle Rechenzentren. Die Netherlands Enterprise Agency hat Daten zu 104, mit öffentlichen Zahlen zu Strom für nur 44 und zu Wasser für 47.

Das ist das Umfeld, in das jede Sportdatenplattform jetzt einsteigt. Kein Marktversagen, genau genommen. Ein Messversagen, in einer Branche, die vom Verkauf von Messungen lebt.