Frankreich: Datenabfluss beim Schützenverband FFTir – 64.000 Identitätsfotos und 19.000 Dokumente betroffen

Gilt nur für Frankreich. Die Fédération Française de Tir meldet einen Angriff auf zwei ihrer Dienste. Betroffen sind Stammdaten, Lichtbilder und hochgeladene Eignungsbescheinigungen – Waffenbesitzdaten führt der Verband nach eigener Angabe nicht.

Waffenrecht & Verbände · Frankreich

Gilt nur für Frankreich. Die Fédération Française de Tir (FFTir) hat am 22. Oktober 2026 einen Angriff auf zwei ihrer Online-Dienste öffentlich gemacht. Betroffen sind nach Verbandsangaben Stammdaten der Mehrzahl aktueller und früherer Lizenznehmer, rund 64.000 Identitätsfotos und knapp 19.000 hochgeladene Dokumente, darunter Eignungsbescheinigungen für das Sportschießen. Für Schützen in Deutschland, Österreich und der Schweiz ändert sich dadurch nichts – interessant ist der Fall aus einem anderen Grund: Er zeigt, welche Datenbestände ein nationaler Schützenverband tatsächlich hält.

Das Wichtigste in Kürze

– Eine Mitteilung, datiert auf den 22.10.2026; am 06.11.2026 lag keine Aktualisierung und kein zweites Statement vor.
– Betroffen sind zwei Dienste: der Lizenznehmerbereich EDEN und die Lizenzprüffunktion Cibles Couleurs.
– Mengen laut Verband: rund 64.000 Identitätsfotos, knapp 19.000 hochgeladene Dokumente, bei 55 Lizenznehmern die vollständige Akte.
– Nicht betroffen: Passwörter und Bankdaten (Verbandsangabe).
– Strafanzeige am 16.10.2026; ANSSI und CNIL nach Verbandsangabe informiert.
– Der Verband erklärt an drei Stellen, keine Daten zum Waffenbesitz zu führen.

Was der Verband zum Ablauf mitteilt

Nach der Mitteilung wurde in der Woche des 12. Oktober 2026 über Lizenznehmerkonten auf EDEN zugegriffen und dabei auf Daten weiterer Lizenznehmer; zusätzlich erfolgten massenhafte Abfragen der Lizenzprüffunktion von Cibles Couleurs. Der Verband sperrte am Abend des 12. Oktober, der Hosting-Dienstleister meldete sich am Morgen danach. Cibles Couleurs wurde am 15. Oktober wieder geöffnet, die Dokumente in EDEN sind seit dem 16. Oktober nicht mehr zugänglich. Nach einem weiteren Vorfall bei Cibles Couleurs hat der Verband die Seite geschlossen, bis die Sicherheit vollständig überprüft ist. Über zwei Tage habe man Zehntausende Anmeldeversuche bei EDEN blockiert.

Zum technischen Hergang veröffentlicht der Verband Einzelheiten, die wir hier nicht wiedergeben. Für die Einordnung zählt der Umfang, nicht der Weg hinein.

Welche Daten betroffen sind

Für die Mehrzahl der aktuellen und früheren Lizenznehmer nennt der Verband Name, Vorname, Verein und Alterskategorie, dazu gegebenenfalls die Cibles-Couleurs-Einstufung mit Validierungsdatum und einen etwaigen Handisport-Hinweis. Hinzu kommen rund 64.000 Identitätsfotos und knapp 19.000 Dokumente, die Lizenznehmer selbst in ihren Bereich hochgeladen hatten – darunter laut dem FAQ-Teil der Mitteilung Eignungsbescheinigungen für das Sportschießen.

Bei 55 Lizenznehmern wurde die vollständige Akte kopiert. Diese werden vom Verband individuell kontaktiert. Passwörter und Bankdaten seien nicht betroffen.

Das ist die Darstellung des Verbandes. Eine unabhängige Prüfung dieser Mengenangaben liegt uns nicht vor, und wir haben keine abgeflossenen Daten gesucht oder eingesehen.

Der Punkt, an dem Vorsicht geboten ist: Waffenbesitzdaten

Der Verband stellt dreimal klar, dass er über keine Daten zum Waffenbesitz verfügt – und dass sich aus den betroffenen Daten nicht ableiten lässt, ob ein Lizenznehmer eine Waffe zu Hause hat. In der Sache heißt das: Die Sorge, über einen Verbandsdatensatz ließe sich eine Liste von Waffenbesitzern erstellen, weist der Verband für sich zurück.

Wichtig ist, was dort nicht steht. Das französische Waffenregister SIA (Système d'Information sur les Armes) kommt in der Mitteilung nicht vor – weder bestätigend noch bestreitend. Ein Zusammenhang zwischen diesem Vorfall und dem SIA ist damit nicht belegt, und wir stellen keinen her. Wer so einen Bezug liest, liest ihn hinein.

Zugleich zeigt der Fall, dass auch ohne Waffenbesitzdaten ein sensibler Bestand zusammenkommt: Ein Lichtbild plus Name, Verein und eine Eignungsbescheinigung für das Sportschießen lassen erkennen, dass die betreffende Person Schützin oder Schütze ist. Das ist unsere Einordnung, keine Aussage des Verbandes.

Was der Verband seinen Mitgliedern empfiehlt

Der praktisch wichtigste Hinweis betrifft Betrugsanrufe: Polizei, Gendarmerie und Zoll werden wegen dieses Vorfalls nicht anrufen oder vorbeikommen, um Waffen abzuholen. Der Verband rät, am Telefon keine persönlichen Angaben zu machen, die Rufnummer zu notieren, aufzulegen und die 17 anzurufen.

Weiter: keine Passwörter oder Bankdaten per E-Mail herausgeben, unerwartete Links und Anhänge nicht öffnen, die Absenderdomain genau prüfen. Vereinsverantwortlichen empfiehlt der Verband, die Passwörter der Vereinskonten zu ändern, Zwei-Faktor-Authentifizierung zu aktivieren, keine Lizenznehmerlisten per E-Mail zu versenden und verdächtige Kontakte zu melden. Eltern minderjähriger Lizenznehmer sollen ihre Kinder darauf hinweisen, auf unbekannte Kontakte nicht zu reagieren, die sich als Verband oder Verein ausgeben.

Als Kontaktadressen nennt der Verband eine Vorfalladresse und die Adresse des Datenschutzbeauftragten; eine Beschwerde bei der CNIL sei ebenfalls möglich.

Der rechtliche Rahmen in Frankreich

Die CNIL beschreibt auf ihrer Informationsseite zur Meldung einer Datenschutzverletzung den geltenden Rahmen: Meldepflicht an die Behörde nach Artikel 33 DSGVO, Benachrichtigung der Betroffenen bei hohem Risiko nach Artikel 34 DSGVO. Als Frist nennt sie eine Erstmeldung möglichst innerhalb von 72 Stunden, bei Überschreitung mit Begründung und späterer Ergänzung.

Das ist geltendes Recht und keine Aussage darüber, ob der Verband es im Einzelfall eingehalten hat. Dass die CNIL informiert wurde, ist eine Verbandsangabe; eine Bestätigung der Behörde liegt uns nicht vor.

Kein eigenes Behördenstatement – ein Negativbefund

Wir haben am 6. November 2026 geprüft, ob CNIL oder ANSSI eine eigene Veröffentlichung zu diesem Vorfall haben. Auf der Nachrichtenübersicht der CNIL fand sich in den Einträgen bis zurück zum 24. August 2026 keine, auf der Nachrichtenseite der ANSSI auf der ersten Seite ebenfalls keine. Beide Seiten waren erreichbar und auslesbar; die jeweiligen Folgeseiten und das vollständige CNIL-Suchergebnis haben wir nicht durchgesehen.

Das ist ein Negativbefund und kein Gegenbeweis: Behörden äußern sich zu laufenden Verfahren regelmäßig nicht öffentlich.

Einordnung

Für Lizenznehmer in Frankreich ist die Lage unangenehm, aber begrenzt: Die wirksamste Maßnahme gegen den wahrscheinlichsten Folgeschaden – Betrugsversuche unter Berufung auf Behörden – ist der Hinweis des Verbandes selbst. Wer angerufen wird, legt auf und ruft zurück über die offizielle Nummer.

Für Schützen im deutschsprachigen Raum folgt daraus nichts rechtlich. Der Fall ist dennoch lehrreich, weil er die Frage beantwortet, welche Daten ein Verband überhaupt hält. In Deutschland sind Verbandsmitgliedschaft und waffenrechtliche Erlaubnis ebenfalls getrennt geführt: Der Verband bescheinigt das Bedürfnis, die Erlaubnis erteilt die Behörde, und das Nationale Waffenregister liegt beim Bundesverwaltungsamt. Ein Datenabfluss bei einem Verband trifft damit auch hier nicht automatisch Waffenbesitzdaten – wohl aber alles, was eine Person als Schützin oder Schütze erkennbar macht. Das ist unsere Einordnung; ein konkreter deutscher Vorfall ist damit nicht gemeint und uns nicht bekannt.

Was offen ist

– Eine unabhängige Bestätigung der Mengenangaben liegt nicht vor; alle Zahlen sind Verbandsangaben.
– Ob und wann die CNIL-Meldung erfolgte und wie die Behörden den Fall bewerten, ist nicht veröffentlicht.
– Ob EDEN und Cibles Couleurs inzwischen wieder vollständig verfügbar sind, geht aus der Mitteilung vom 22.10.2026 nicht hervor.
– Die Zahl der Lizenznehmer nennt die Verbandsseite nur über ein Zählerelement ohne Datum und Saisonangabe; wir geben sie deshalb nicht als Bezugsgröße an. Eine Vereinszahl nennt der Verband nicht.
– Der Anteil der Betroffenen an allen Lizenznehmern ist damit nicht berechenbar.
– Ob dem Vorfall strafrechtliche Ermittlungserfolge folgten, ist offen.
– Ein Bezug zum SIA ist nicht belegt und wird in der Mitteilung nicht erwähnt.

Quellen

1. "Communication relative à une cyberattaque" · Herausgeber: Fédération Française de Tir (FFTir), Frankreich · Quellentyp: offizielle Verbandsmitteilung · Veröffentlicht: 22.10.2026 (Datum auf der Seite ausgewiesen, Feed-pubDate 22.10.2026, 08:51 UTC) · Abgerufen und auf Aktualisierung geprüft: 06.11.2026
Quelle: www.fftir.org

2. Nachrichtenfeed des Verbandes, zur Prüfung auf weitere Mitteilungen zum Vorfall · Herausgeber: FFTir, Frankreich · Abgerufen: 06.11.2026; ein Eintrag zum Vorfall
Quelle: www.fftir.org

3. "Notifier une violation de données personnelles" · Herausgeber: Commission nationale de l'informatique et des libertés (CNIL), Frankreich · Quellentyp: behördliche Informationsseite · Seitendatum: 24.05.2018 · Abgerufen: 06.11.2026
Quelle: www.cnil.fr

4. Nachrichtenübersicht der CNIL, geprüft auf eine eigene Veröffentlichung zum Vorfall · Herausgeber: CNIL, Frankreich · Abgerufen: 06.11.2026; Einträge bis zurück zum 24.08.2026 ohne Treffer
Quelle: www.cnil.fr

5. Nachrichtenübersicht der ANSSI, geprüft auf eine eigene Veröffentlichung zum Vorfall · Herausgeber: Agence nationale de la sécurité des systèmes d'information (ANSSI), Frankreich · Abgerufen: 06.11.2026; erste Seite ohne Treffer, jüngster Eintrag 12.10.2026
Quelle: cyber.gouv.fr

Technische Einzelheiten des Angriffswegs geben wir bewusst nicht wieder. Abgeflossene Daten haben wir nicht gesucht, nicht eingesehen und verlinken keine Veröffentlichungsorte solcher Daten.

Redaktioneller Stand: 06.11.2026. Eigene Prüfung der betroffenen Systeme fand nicht statt.