Der Französische Handballverband verwaltet ein beträchtliches Datenvolumen: Lizenzen, Spielpläne, Ergebnisse, Verwaltungsdokumente. Seit mehreren Saisons zentralisieren das Tool Gesthand und sein Extraktionsmodul diese Datenströme für die Vereine, Komitees und Ligen. Die Plattform extraction.gesthand.net ermöglicht den Export von CSV- oder XLS-Dateien, die die für den täglichen Betrieb der Strukturen erforderlichen Informationen enthalten. Doch die jüngsten Entwicklungen, insbesondere im Bereich der Cybersicherheit, verändern grundlegend, wie die Vereine auf diese Daten zugreifen und sie nutzen.
Doppelte Authentifizierung Gesthand: Was die Vereine konkret ändern müssen
Eine der strukturellsten Veränderungen der letzten Saisons betrifft die Sicherung der Zugänge. Die verpflichtende Aktivierung der doppelten Authentifizierung (2FA) für alle Nutzer von Gesthand (Vereine, Komitees, Ligen) verändert grundlegend die Gewohnheiten beim Datenexport.
Bis vor kurzem arbeiteten viele Vereine mit einem gemeinsamen generischen Konto, das zwischen dem Schatzmeister, dem Sekretär und dem Lizenzverantwortlichen geteilt wurde. Diese Arbeitsweise ist nicht mehr konform. Die Passwortpolitik verlangt nun eine Länge von 13 bis 16 Zeichen, verbietet die Begriffe “Handball” oder “Hand” und verhindert das Teilen derselben E-Mail-Adresse und dasselbe Passwort zwischen mehreren Konten eines Vereins.
Für einen Verein mit einigen Dutzend Mitgliedern, der von Ehrenamtlichen geleitet wird, stellt dies einen echten organisatorischen Aufwand dar. Jede Person, die berechtigt ist, einen Export durchzuführen, muss über eine eigene Identifikation, ein konformes Passwort und ein Gerät zur doppelten Authentifizierung verfügen. Das Ziel ist klar: Nachverfolgen, wer auf die Daten zugreift, und die Risiken im Falle einer Kompromittierung eines Kontos zu minimieren.
Die Vereine, die es gewohnt waren, die Gesthand-Extraktion für die FFHandball einer einzigen Person mit gemeinsamem Zugang anzuvertrauen, müssen ihre interne Organisation überdenken. Dies erfordert die Schulung mehrerer Ehrenamtlicher, die Dokumentation der Verfahren und die Verwaltung der Zugangsrotation im Falle eines Wechsels im Vorstand.
Cyberangriff FFHandball und Vereinsdaten: Die offenen Fragen
Die Verstärkung der Sicherheit kam nicht von ungefähr. Die Angriffe, die von der Gruppe ZeroBytes beansprucht wurden, zielten auf die über Gesthand verwalteten Daten ab: Namen, Kontaktdaten, Lizenznummern, Ausweisdokumente, ärztliche Atteste. Die Cyberkriminellen gaben an, dass mehr als eine Million betroffene Mitglieder betroffen seien, eine Zahl, die nicht offiziell bestätigt wurde.
Dieses Ereignis wirft mehrere Fragen für die Vereine auf, die das Extraktionsmodul täglich nutzen. Die erste betrifft die Verantwortung der Vereine hinsichtlich der DSGVO. Wenn ein Sekretär eine CSV-Datei mit den Kontaktdaten aller Mitglieder exportiert, zirkuliert diese Datei oft per E-Mail, verbleibt auf einem persönlichen Computer oder landet in einem Google Drive-Ordner ohne Zugangsbeschränkungen.
Die verfügbaren Daten erlauben keine Schlussfolgerungen über das genaue Ausmaß des Lecks oder über die von Verein zu Verein ergriffenen Korrekturmaßnahmen. Im Gegenteil, das Ereignis hat eine Diskrepanz zwischen der Sensibilität der aus Gesthand extrahierten Informationen und den tatsächlichen Speicherpraktiken in den Vereinsstrukturen aufgezeigt.
- Die Exportdateien enthalten sensible persönliche Daten (Identität, Adresse, ärztliche Atteste), die der DSGVO unterliegen
- Die meisten Vereine haben keine Richtlinie zur Aufbewahrung oder Löschung alter Exporte
- Die Ehrenamtlichen, die mit diesen Dateien umgehen, haben in der Regel keine Schulung zum Datenschutz erhalten
- Der Austausch von Dateien über persönliche Nachrichten bleibt eine gängige Praxis, ohne Verschlüsselung
CSV-Export Gesthand und Integration in Drittanbieter-Tools: Ein noch handwerklicher Prozess
Das Gesthand-Extraktionsmodul generiert Dateien im CSV- und XLS-Format. Diese Formate sind universell, aber ihre Nutzung durch die Vereine zeigt, dass der Betrieb nach wie vor weitgehend manuell erfolgt.
Einige Drittanbieter-Plattformen, wie Kalisport, bieten einen direkten Import der Gesthand-Dateien an, um die Kalender und Ergebnisse auf der Website des Vereins zu aktualisieren. Das Verfahren existiert und funktioniert, erfordert jedoch bei jedem Update einen menschlichen Eingriff: Die Datei muss von extraction.gesthand.net heruntergeladen, bei Bedarf konvertiert und dann in das Ziel-Tool importiert werden.
Im Gegensatz dazu haben Entwickler Scraping-Tools erstellt, um die automatisierte Abholung öffentlicher Daten von der Website der FFHandball zu ermöglichen. Das Vorhandensein dieser Initiativen zeigt einen echten Bedarf an Automatisierung, den das offizielle Extraktionsmodul noch nicht abdeckt. Die Vereine und Ligen, die mehrere Dutzend Teams verwalten, verlieren erheblich Zeit bei diesen manuellen Transferoperationen.
Die Rückmeldungen aus der Praxis sind diesbezüglich unterschiedlich. Einige Vereine sind der Ansicht, dass der aktuelle Prozess für ihre Bedürfnisse ausreichend ist. Andere, die strukturierter sind oder in regionalen Ligen mit hohem Wettbewerbsvolumen tätig sind, fordern eine offizielle API, die eine direkte Verbindung von Gesthand zu ihren Verwaltungstools ermöglichen würde, ohne dass Dateien heruntergeladen werden müssen.
Modernisierung Gesthand und Digitalisierung: Wo steht das Bundesprojekt wirklich?
Die FFHandball hat ein Ziel der vollständigen Digitalisierung über Gesthand, unterteilt in sieben Module, kommuniziert. Die neue Version verspricht eine überarbeitete Ergonomie und eine erweiterte Zugänglichkeit für die verschiedenen Nutzerprofile. Regionale Ligen wie Bourgogne-Franche-Comté oder Pays de la Loire geben diese Entwicklungen jede Saison weiter.
Das Projekt schreitet voran, aber die Diskrepanz zwischen den bundesweiten Ankündigungen und der Realität, die die Vereine erleben, sollte notiert werden. Die verpflichtende doppelte Authentifizierung stellt beispielsweise einen Fortschritt in der Sicherheit dar, erschwert jedoch den Zugang für Ehrenamtliche, die das Tool nur einige Male pro Saison nutzen.
- Der Übergang zu 2FA schützt die Daten, erschwert jedoch den Zugang für gelegentliche Ehrenamtliche
- Die Exportformate bleiben flache Dateien (CSV/XLS) ohne native Interkonnektivität mit gängigen Verwaltungstools
- Die Sicherheit der extrahierten Daten beruht weiterhin weitgehend auf den individuellen Praktiken der Vereine, nicht auf einem technischen Rahmen, der von der Föderation auferlegt wird
Die Modernisierung von Gesthand beschränkt sich nicht auf eine Neugestaltung der Benutzeroberfläche. Sie erfordert eine vollständige Überarbeitung der gesamten Kette, von der Datenausgabe bis zur Nutzung und Vernichtung. Für die Vereine besteht die Herausforderung nicht nur darin, ein neues Tool zu beherrschen, sondern auch ihre ehrenamtliche Organisation an Sicherheits- und Compliance-Anforderungen anzupassen, die ständig steigen. Das Extraktionsmodul bleibt das Tor zu diesen Daten. Die Frage ist, ob die Vereine über die Ressourcen verfügen, um dieses Tor ordnungsgemäß zu durchschreiten.
