Sports-Apps wurden schwer. Die Analytik dahinter wurde kompliziert

Sporttechnologie wird als Datengeschichte verkauft. Die Pitches, die diesen Monat in Redaktionen eintreffen, sprechen von KI auf Sportmärkten, Fan-Wachstums-Dashboards und Leistungsanalysen. Das ist die Marketing-Ebene. Die Ingenieurs-Ebene sieht anders aus und lässt sich leichter prüfen, weil ein Großteil davon als Open Source, Bug-Bounty-Berichte oder Produktnotizen veröffentlicht wird.

Betrachte das sichtbarste Konsumentenbeispiel. Slate veröffentlichte im Juni einen Artikel, der argumentiert, dass Apples Sports-App die beste App ist, die das Unternehmen seit Jahren veröffentlicht hat, gerade weil sie fast nichts tut. Die App, schlicht „Sports“ genannt, enthält keine Schlagzeilen, keine Streaming-Guides und kaum Werbung. Slates Rezensent merkt an, sie zeige Teamnamen und Logos, Rekorde, Spielzeiten und Punkte, plus eine Tabelle. Wettscheine erscheinen auf dem Scoreboard, aber ein Einstellungsschalter entfernt sie dauerhaft.

Das ist das gesamte Produkt. Der interessante Teil für jeden, der mit Sportdaten arbeitet, ist, warum es sich schnell anfühlt: Die App ist von Design her schmal, daher muss die Daten-Pipeline dahinter nie Feeds, redaktionelle Inhalte und Video-Inventar in derselben Ansicht abgleichen.

Das Scoreboard ist der einfache Teil

Slates Autor beschreibt die Anpassung als perfekt: Man wählt Ligen und Teams, sie erscheinen auf einer Startseite und in einer Seitenleiste, und ihre Punkte können als Live Activities auf dem Sperrbildschirm erscheinen. Die Abdeckung erstreckt sich weit über die WM hinaus zu MLS, NWSL und etwa 30 anderen Fußballligen, plus Herren- und Damentennis sowie der LPGA Tour. Ein Klick auf ein Spiel öffnet ein grundlegendes Boxscore, eine Leaderboard oder ein Kader.

Die App wurde im Winter 2024 angekündigt. Slate zitiert einen Apple-Manager, der damals die Prämisse darlegte: „Wir haben Apple Sports erstellt, um Sportfans das zu geben, was sie wollen, eine App, die unglaublich schnellen Zugriff auf Punkte und Statistiken bietet.“ Kein agentischer Rahmen, keine Versprechen, Fans näher an das Geschehen zu bringen.

Da steckt eine nützliche Lektion in dieser Zurückhaltung. Die meisten Sport-Properties tragen nun Jahre angesammelter Funktionen. Slates Rezensent hebt die offizielle App der Major League Baseball hervor, einst ein Favorit, für die um Punkte und Video herum gelegte Dekoration, und die App von ESPN, die ihr Live-TV-Angebot und einen TikTok-ähnlichen Feed namens „Verts“ über den Punktsektion schiebt. Die Reibung ist kein Datenproblem. Es ist ein Produktproblem, verkleidet als Datenproblem.

Hier wird die Plumbing interessant, und hier sind die öffentlichen Aufzeichnungen diesen Monat ungewöhnlich reich.

Am 8. September veröffentlichte eine Software-Beratung namens Adaca Adaca Analytics, eine selbst gehostete Dashboard-Ebene für Google Analytics 4 und BigQuery, die auf Cloudflare Workers läuft. Laut GitHub-README des Projekts landen tägliche Rollups aus der GA4 Data API oder einem BigQuery-Export in einer D1-Datenbank, die der Betreiber besitzt, während Echtzeitdaten live auf Google bleiben. Das Repository bringt sechs Dashboards und einen vierstufigen Builder für eigene mit.

Die Details sind wichtiger als der Pitch. Jede Zahl im Dashboard öffnet sich zu einer Detailseite mit ihrem eigenen Trend und Aufschlüsselungen, vorberechnet, damit sie in einer Rundreise laden. Es gibt einen Filter für ein ganzes Dashboard, gespeicherte Segmente und schreibgeschützte Share-Links, die einen Filter fixieren können. Vergleiche laufen gegen die vorherige Periode, das Vorjahr oder ein beliebiges Fenster. Die Einrichtung erfordert die Erstellung eines Google-Service-Kontos mit Viewer-Zugriff auf eine GA4-Eigenschaft, das Herunterladen seines JSON-Schlüssels und die Bereitstellung auf Cloudflare, die das Repository forkt und D1 und KV bereitstellt. Das README ist explizit, dass es keine Anmeldung gibt, und rät Betreibern, Cloudflare Access oder die eingebaute Basic Auth vor die Bereitstellung zu stellen. Das Projekt ist MIT-lizenziert.

Lies das im Sportkontext, und die Form des Problems wird klar. Ein Verein, eine Liga oder ein Broadcaster, der seine eigene Analytik-Ansicht will, setzt sie nun aus Commodity-Teilen zusammen: eine Worker-Runtime, eine kleine Datenbank, ein Service-Konto mit schreibgeschütztem Zugriff und ein Cron-Job. Der teure Teil ist nicht die Query-Engine. Es ist das Zugriffsmodell und die operative Disziplin.

Wenn der Token-Check fehlt

Tom's Hardware berichtete am 28. September, dass ein Teenager mit dem Handle Faav einen nicht authentifizierten Endpunkt innerhalb von Microsofts internem Titan-Analytik-Plattform fand. Der Bericht sagt, ein von ihm gebauter Bot, genannt Antares, fand eine Endpunkt-URL, die einen Fehler zurückgab, der ein VPN verlangte. Antares enumerierte dann Subdomains und stieß auf eine auf einem Azure-Cloud-Host, zusammen mit einer Swagger/OpenAPI-Datei, die vier Routen auflistete. Drei erforderten Azure Active Directory-Authentifizierung. Eine nicht, und sie hieß /v2/Query. Sie akzeptierte rohe SQL.

Laut dem Bericht verwendete Faav die Wayback Machine, um eine 2023-Version einer Login-Seite zu finden, die eine Apache Superset-Konfigurationsdatei trug, die das Datenbankschema beschrieb, einschließlich 56 Tabellendefinitionen. Der Endpunkt lehnte seine Abfragen wegen fehlendem JWT ab, also fuhr er Antares 10 Tage lang dagegen ohne Erfolg. Dann bemerkte er, dass die Server-Antworten implizierten, dass die digitale Signatur des Tokens nicht geprüft wurde, präsentierte ein Token mit behauptetem Administratorzugriff und wurde eingelassen. Ein einzelner SHOW DATABASES-Befehl lieferte 25.000 Datensätze von Mitarbeiterdaten, plus Organisationsdaten, Dashboards und Charts.

Beim weiteren Graben fand er eine Datenquelle für Bing-Analytik. Die Zeilen über Tabellen summierend, berichtet Tom's Hardware, zählte er insgesamt Zugang zu 17 Billionen Datensätzen. Er meldete das Problem an Microsofts Bug-Bounty-Programm und erhielt 5.000 Dollar. In seinem Blog-Post schrieb er: „KI und menschliche Intuition haben sich hier multipliziert. Antares erledigte zehn Tage Arbeit, die ich nicht machen musste [...] Ihre Ausdauer plus ein menschlicher Verdacht machten diese Entdeckung möglich.“

Zwei Dinge sind hier zu trennen. Das erste ist die Verwundbarkeit selbst: ein Endpunkt, der rohe SQL akzeptierte und keine Token-Signatur verifizierte. Das zweite ist die Entdeckungsmethode. Die brute-force-Subdomain-Enumeration war automatisiert. Die Einsicht, dass der Signatur-Check fehlte und dass eine gefälschte Administrator-Behauptung daher funktionieren würde, war es nicht.

Starburst veröffentlichte am 11. September eine Analyse, die dieselbe Spannung von der Architekturseite rahmt. Der Beitrag geht zwei Wege durch, um einen Enterprise-KI-Agenten zu füttern: die Daten extrahieren und übergeben, oder dem Agenten direkten Datenbankzugang geben und ihn seine eigenen Queries schreiben lassen. Die erste Option, die der Autor als „Option 0“ bezeichnet, wird schnell teuer, weil Agenten, die pro verarbeiteten Dateneinheit abrechnen, nicht Terabytes übergeben werden können. Der Autor nennt es außerhalb ungewöhnlicher Umstände unpraktikabel.

Die zweite Option lässt die Datenbank-Engine tun, wofür sie optimiert ist, während der Agent aufeinanderfolgende oder parallele Anfragen sendet. Es vermerkt auch ein reales Risiko: Agenten können viel fordernder sein als menschliche Nutzer und eine Datenbank mit spekulativen Queries überlasten, während sie ihren Fokus verfeinern. Das Supermarkt-Beispiel des Posts ist eine gute Illustration, warum die Frage schwer ist. Zu fragen, ob ein Eier-Aktionsangebot profitabel war, erfordert Transaktionsdaten aus einem System, Loyalitäts- und demografische Daten aus einem anderen, und eine Kette von Folgefragen zur Korbzusammensetzung und Wiederbesuchen.

Das ist dieselbe Form wie das Sport-Analytik-Problem. Ticketing, Streaming, Merchandise, App-Telemetrie und Stadiondaten sitzen in verschiedenen Systemen, und die Queries, die zählen, spannen sich über alle. Der Starburst-Artikel argumentiert, moderne Datenbanksysteme seien zunehmend in der Lage, agentische Workloads zu handhaben, aber dass Agenten die Optimierung von lang abgestimmten Datenbank-Engines auf Terabytes strukturierter Daten noch eine Zeit lang nicht erreichen werden.

Die stillen Tools sind die zu beobachten

Abseits der Enterprise-Ebene zeigen zwei kleinere Projekte, wohin die Tooling sich bewegt. Plainoldanalytics, am 13. September auf Hacker News gepostet, ist eine selbst gehostete Analytik-Middleware für Go-Anwendungen. Ihr README beschreibt sie als geistig ähnlich zu Umami, Plausible oder PostHog, aber in die App selbst eingebettet. Das Kernpaket ist speicher-agnostisch, so dass das Importieren nie ein Backend mitzieht; Betreiber wählen ein Speicherpaket, wie DuckDB oder einen In-Memory-Store, oder implementieren die Schnittstelle selbst. Traffic wird etwa einmal pro Sekunde auf die Platte gespült, und die Middleware zeichnet Pfadparameter auf, außer eine Route ist so eingewickelt, dass der wörtliche Pfad aufgezeichnet wird. Adapter existieren für gin und chi.

DataZen, am 29. August gepostet, geht den anderen Weg: ein local-first Desktop-Client für Cross-Datenbank-Arbeit. Seine Site listet PostgreSQL, MySQL, SQLite und Redis als eingebaut, mit optionalen Treibern für MongoDB, ClickHouse, DuckDB und SQL Server. Es bietet Natural-Language-SQL, Ein-Klick-Fehlerdiagnose, EXPLAIN-Visualisierung, YAML-Workflows und einen eingebauten MCP-Server, der Queries, Schemaprüfung und Workflows als Tools für Agenten wie Claude Desktop, Cursor und Cline offenlegt. Die Site stellt fest, dass Credentials mit AES-256-GCM verschlüsselt und im OS-Keychain gespeichert werden, dass nur Schema- und Query-Kontext an den KI-Anbieter gesendet wird, und dass der vollständige Quellcode unter GPLv3 verfügbar ist. Es vermerkt auch, dass kein Konto erforderlich ist und kein Cloud-Datenbank-Dienst betrieben wird.

Setzt man die vier zusammen, entsteht ein Muster, das Marktprognosen tendenziell glätten. Die konsumentenzugewandte Ebene konsolidiert sich um radikale Einfachheit, wie Apples Sports-App zeigt. Die Ebene darunter fragmentiert sich in kleine, überprüfbare, selbst gehostete Komponenten, die Betreiber prüfen und steuern können. Und die Sicherheitsbilanz, wie der Microsoft-Fall zeigt, hängt weniger davon ab, ob eine Organisation eine Analytik-Plattform kaufte, als davon, ob sie die Signatur auf einem Token prüfte.

Kein davon taucht in einer Marktgrößen-Charta auf. Es taucht auf, in dem Moment, in dem eine Bereitstellung schiefgeht.