TL;DR für den Datenschutzbeauftragten
Drei Punkte. Erstens: ein in einer Analyse festgehaltenes und nie geschlossenes Risiko wird zum Beweis dafür, dass Sie es wussten, und die IMY hat es als erschwerenden Umstand gewertet. Zweitens: Art. 32 gilt für Verantwortliche und Auftragsverarbeiter identisch, und die IMY weigerte sich, Zeit mit der Trennung beider Rollen zu verlieren. Drittens: das Bußgeld wurde auf den Konzernumsatz berechnet, nicht auf den der Gesellschaft, denn 85 % der Anteile plus eine Vereinbarung über den Rest genügen für eine wirtschaftliche Einheit.
Was passiert ist
Sportadmin stellt Sportvereinen und anderen Organisationen ein Webwerkzeug für Mitgliederverwaltung, Rechnungsstellung und Websites bereit, dazu eine App, die von Vereinsleitungen, Mitgliedern und Eltern genutzt wird. Am 16. Januar 2025 entdeckte das Unternehmen einen Einbruch und meldete ihn am Tag darauf der IMY. Die Protokollanalyse zeigte, dass der Angreifer über eine SQL-Injection gegen eine Variable auf einer der Webseiten eindrang, die keinen Schutz gegen diese Angriffsart hatte, und dass die Versuche am Morgen des 14. Januar begonnen hatten. Am 14. März 2025 erschienen sämtliche abgeflossenen Daten im Darknet.
Erfasst waren vollständige Namen, Kontaktdaten, Geschlecht, Personennummer, das Verhältnis zwischen Erziehungsberechtigtem und Mitglied, Staatsangehörigkeit, Sportart und Verein. Und, unter den besonderen Kategorien, Allergien und Behinderungen. Da Sportvereine vor allem Angebote für Kinder und Jugendliche organisieren, ist das die in den Beständen am stärksten vertretene Gruppe.
Die Variable vom 28. Juni 2022
Der Mangel geht auf eine Änderung des Anmeldeverfahrens für Vereinswebsites vom 28. Juni 2022 zurück. Diese Änderung führte eine Variable auf einer Webseite ein, und weil dabei eine vom Unternehmen als sicher betrachtete Variable wiederverwendet wurde, wandte niemand die Schutzmethode gegen SQL-Injections an, die das Unternehmen durchaus besaß. Anfang 2023 führte Sportadmin eine verstärkte Schutzmethode ein, wusste aber nicht, dass jene Variable ungeschützt war, sodass die Methode auf sie nie angewandt wurde.
Zwei weitere Faktoren vergrößerten den Schaden: das SQL-Konto hatte aus Kompatibilitätsgründen mit dem älteren System höhere Rechte als nötig, und das Windows-Konto, das den SQL-Dienst ausführte, hatte mehr, als dem Unternehmen bekannt war. Der SQL-Server erlaubte zudem die Ausführung externer Programme, etwa PowerShell-Skripte.
Der Punkt, der die Art ändert, Risikoanalysen zu schreiben
Sportadmin ist kein Unternehmen ohne Prozesse. Es führte 2021, 2022 und zum Jahreswechsel 2023/2024 umfassende Prüfungen durch, und in diesen Prüfungen identifizierte es durchgängig ein erhöhtes Risiko von Einbrüchen über SQL-Injections wegen des vorhandenen älteren Codes. Im Mai und Juni 2024 hatte es auch die Einführung einer Web Application Firewall geprüft, dann aber verworfen, weil sie zu viel manuelle Bearbeitung verlangte und hohe Umsetzungskosten bedeutete.
Wie die IMY das Argument umgedreht hat
Das Unternehmen legte diese Prüfungen zu seiner Verteidigung vor: sehen Sie, wie viel wir für Sicherheit tun. Die IMY las sie umgekehrt. Wenn Sie jahrelang genau dieses Risiko identifiziert und jahrelang die dafür nötigen Maßnahmen aufgeschoben haben - Maßnahmen, die Sie nach dem Vorfall dann in wenigen Tagen umgesetzt haben -, hatten Sie kein Pech: Sie waren grob fahrlässig. Die grobe Fahrlässigkeit ging als erschwerender Umstand in die Berechnung ein.
Hier lohnt ein Innehalten, denn es ist kontraintuitiv und hat praktische Folgen. Ein Risikoregister ist kein neutrales Dokument, das man in einer Prüfung vorzeigt. Es ist eine datierte Erklärung darüber, was Sie wussten. Steht neben dem Risiko keine Maßnahme mit Datum und Ergebnis, arbeitet dieses Dokument gegen Sie.
Verantwortlicher oder Auftragsverarbeiter: Art. 32 ist das gleichgültig
Die IMY stellt fest, dass Sportadmin überwiegend als Auftragsverarbeiter und nur in begrenztem Umfang als Verantwortlicher handelt, und sagt dann etwas Nützliches: da die Pflicht aus Art. 32 Verantwortliche und Auftragsverarbeiter identisch trifft, wird sie nicht ermitteln, welche Rolle für welche Tätigkeit galt. Wer den Dienst gestaltet und bereitstellt, hat die tatsächliche Möglichkeit, die Maßnahmen umzusetzen, und das genügt.
Die Kaskade der 72 Stunden
Ein betrieblicher Aspekt verdient Aufmerksamkeit. Der Vorfall betraf einen Dienstleister, aber jeder Sportverein war für seine eigenen Mitglieder Verantwortlicher und hatte damit eine eigene Meldung abzugeben. Sportadmin schaltete etwa eine Stunde nach der Entdeckung alle Dienste ab, führte dann über 2.000 Telefonate mit den Vereinen, um ihnen bei der Meldung zu helfen, und rund 1.700 von ihnen reichten innerhalb von 72 Stunden nach dem Vorfall ein.
Was das Bußgeld nicht gemindert hat und was doch
Die IMY hat Selbstanzeige und Zusammenarbeit mit der Behörde nicht als mildernd gewertet, weil das von jedem erwartet wird. Sie hat auch die nach dem Vorfall getroffenen technischen Maßnahmen nicht gewertet, mit knapper Begründung: zum großen Teil war das, was vorher hätte geschehen müssen. Als einzigen mildernden Umstand hat sie die aktive koordinierende Rolle gegenüber den Sportvereinen anerkannt, um ihnen die fristgerechte Erfüllung der eigenen Pflichten zu ermöglichen.
Der zugrunde gelegte Umsatz war nicht der der Gesellschaft
Sportadmin machte geltend, eine selbständige Einheit zu sein: eigener Vorstand, eigener Sitz, eigene technische Umgebung, und eine Muttergesellschaft, die 85 % der Anteile hält, ohne bestimmenden Einfluss auszuüben. Die IMY antwortete mit einer Rekonstruktion der Verbindungen: die am 9. Januar 2024 erworbenen 85 % mit Vereinbarung über die restlichen 15 % im dritten Quartal 2027, die im Jahresabschluss der Mutter durchgehend unter dem Konzernnamen geführte Gesellschaft, zwei von fünf Verwaltungsratsmitgliedern mit Funktionen in beiden Gesellschaften, vier in der Konzernleitung, der Chefjurist des Konzerns als Rechtsvertreter im Verfahren, und vom Konzern bereitgestellte dokumentierte Verfahren für Codeänderungen.
Ergebnis: eine wirtschaftliche Einheit im Sinne der Art. 101 und 102 AEUV, Berechnungsgrundlage der Konzernumsatz 2024 von rund 685.700.000 Kronen. Zwei Prozent davon sind 13.714.000 Kronen und damit weniger als der statische Höchstbetrag, sodass die anwendbare Obergrenze bei 10 Millionen Euro bleibt. Das endgültige Bußgeld beträgt 6.000.000 Kronen, mit der hohen Schwere und dem Konzernumsatz auf der einen und der Milderung durch die Koordination auf der anderen Seite.
Was jetzt konkret zu tun ist
1) Nehmen Sie die Risikoanalysen Ihrer Mandanten der letzten drei Jahre und suchen Sie die Risiken, die sich Jahr für Jahr identisch wiederholen: das sind die gefährlichsten, nicht weil sie die schwersten sind, sondern weil sie beweisen, dass man es wusste. Neben jedem muss eine Maßnahme mit Datum und Ergebnis stehen. 2) Fragen Sie Softwareanbieter, wie das Code-Review organisiert ist: ist es nicht verpflichtend und sind die Risikokriterien subjektiv, haben Sie den Mangel gerade gefunden. 3) Prüfen Sie die Rechte von Dienst- und Datenbankkonten: hier haben sie den Schaden vervielfacht. 4) Nutzt ein Mandant eine mit anderen Organisationen geteilte Plattform, legen Sie jetzt schriftlich fest, wer wen in welcher Frist benachrichtigt: im schwedischen Fall hatten 1.700 Verantwortliche jeweils ihre eigene 72-Stunden-Frist. 5) Denken Sie daran, dass ein Auftragsverarbeiter für Art. 32 wie ein Verantwortlicher haftet und dass bei Konzernzugehörigkeit das Bußgeld auf den Konzernumsatz berechnet werden kann.
Die Entscheidung kann binnen drei Wochen beim Verwaltungsgericht Stockholm angefochten werden, der Betrag ist also nicht endgültig.
Offizielle Quelle:IMY - Beschluss nach Aufsichtsverfahren gemäß DSGVO, Sportadmin i Skandinavien AB, Az. IMY-2025-7801 (26. Januar 2026)Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
