Gewaltige Datenlecks erschüttern Japan – wie steht es mit der IT-Sicherheit?

Als Times den Datenklau bekannt gab, war die Aufregung in Japan groß: 6,6 Millionen betroffene Accounts entsprechen rein rechnerisch immerhin rund 5 % der Gesamtbevölkerung. Richtig brisant an dem Fall war jedoch die Tatsache, dass zu den geleakten Daten auch Ausweisdokumente von rund 1,6 Millionen Accounts gehörten, darunter Kopien von Führerscheinen. Ein Führerschein wird dank des aufgedruckten Fotos in Japan für fast alles verwendet – unter anderem zur Identitätsprüfung bei Kreditaufnahmen oder zum Abschluss von Verträgen. Wer also kriminelle Absichten verfolgt, kann damit erheblichen Schaden anrichten.

In den folgenden Tagen ging es Schlag auf Schlag weiter.¹

Die Übersicht enthält sowohl bestätigte Datenlecks als auch Fälle, in denen ein Datenabfluss bislang nur vermutet wird. Die Zahlen beziehen sich je nach Unternehmen auf Datensätze, Benutzerkonten, Personen oder Anfragen und sind daher nicht unmittelbar vergleichbar. So umfassen die rund 1,83 Millionen Datensätze bei Nikkei etwa 1,68 Millionen Kennungen, die für sich genommen keine direkte Identifizierung einer Person ermöglichen. Die rund 60.000 Fälle bei Sompo Japan sind wiederum Anfragen, darunter möglicherweise mehrere derselben Person. Stand: 20. Oktober 2026.

Mit anderen Worten: Zahlreiche japanische Konsumenten dürften in den vergangenen Wochen mit mindestens einem der betroffenen Unternehmen oder Dienstleistungen in Berührung gekommen sein. Wie viele Menschen tatsächlich von einem Datenleck betroffen waren, lässt sich aufgrund möglicher Überschneidungen allerdings nicht genau sagen.

Natürlich gab es Datenlecks schon vorher – doch die Häufung in den vergangenen Wochen ist bemerkenswert und besorgniserregend. Betroffen sind auch zahlreiche große Unternehmen, von denen man erwarten sollte, dass sie ausreichend für ihre IT-Sicherheit tun.

Die jüngsten Vorfälle werfen die Frage auf, wie gut japanische IT-Systeme gegen Cyberattacken geschützt sind. Dass es hier erhebliche Schwachstellen gibt, zeigen die zahlreichen Angriffe. Ob Japan im internationalen Vergleich besonders anfällig ist, lässt sich daraus allerdings nicht ohne Weiteres ableiten. Für die Sicherheitsprobleme gibt es verschiedene, zum Teil auch japanspezifische Gründe.

Gehorsam als Schwachstelle?

Eine der größten Schwachstellen in der IT-Sicherheit ist der Mensch. Angreifer nutzen dies gezielt aus, indem sie beispielsweise E-Mails verschicken, die angeblich von Vorgesetzten, der IT-Abteilung oder einem bekannten Dienstleister stammen. Darin werden Mitarbeiter aufgefordert, ihr System auf den neuesten Stand zu bringen oder fehlende Daten einzureichen.

Wer davon ausgeht, dass die E-Mail echt sei und der Anweisung Folge zu leisten sei, klickt möglicherweise auf einen gefährlichen Link oder gibt vertrauliche Informationen preis. Das macht es Angreifern leicht, mit Phishing-Mails an Zugangsdaten zu gelangen oder Schadsoftware einzuschleusen. Auch Ransomware-Attacken können auf diese Weise beginnen.

In japanischen Unternehmen, in denen Hierarchien und klare Arbeitsanweisungen oft eine wichtige Rolle spielen, könnte die Berufung auf vermeintliche Autoritäten ein besonders überzeugendes Mittel sein. Allerdings fehlen belastbare Vergleichsdaten, die belegen würden, dass japanische Mitarbeiter häufiger auf solche Angriffe hereinfallen als Beschäftigte in anderen Ländern.

Hinzu kommt, dass die jüngsten Datenlecks keineswegs alle durch Phishing entstanden sind. Auch Sicherheitslücken, missbrauchte Schnittstellen und Angriffe auf externe Dienstleister spielten eine Rolle.

Arbeit mit nach Hause nehmen

Auch dies ist ein bekanntes Sicherheitsrisiko: Schon oft entstanden Schäden, wenn Mitarbeiter Laptops oder USB-Sticks mit nach Hause nahmen und die Hardware unterwegs verloren ging. Solche Vorfälle kommen allerdings nicht nur in Japan vor.

Manchmal ist es aber auch schlicht ein schlecht konfiguriertes VPN oder eine nicht geschlossene Sicherheitslücke, die es Angreifern ermöglicht, direkt auf das Firmennetz zuzugreifen.

Die japanische Information-technology Promotion Agency (IPA) zählt Angriffe auf Systeme und Arbeitsumgebungen für das Homeoffice auch 2026 zu den zehn größten IT-Sicherheitsbedrohungen für Unternehmen und Organisationen.

Ein besonders großes Risiko stellen zudem Angriffe auf externe Dienstleister dar. Werden deren Systeme kompromittiert, können die Auswirkungen zahlreiche Kundenunternehmen gleichzeitig treffen. Mehrere der jüngsten japanischen Vorfälle zeigen, wie weitreichend die Folgen eines solchen Angriffs sein können.

Veraltete Technik und veraltete Systeme

So sehr Japan einerseits ein High-Tech-Land ist, so sehr hält es andererseits in manchen Bereichen noch immer an veralteter Technik fest. Lange Zeit gab es sogar Vorschriften, die den Einsatz von Floppy Disks voraussetzten – erst im Juni 2024 wurden die entsprechenden Regelungen vollständig abgeschafft. Auch das Fax ist nach wie vor im Einsatz, und Excel wird für zahlreiche Aufgaben genutzt.

Das allein öffnet Hackern zwar noch nicht Tür und Tor. Problematisch wird es jedoch, wenn Unternehmen auf veraltete Systeme angewiesen sind, die seit langer Zeit keine Sicherheitsupdates mehr erhalten haben oder deren bekannte Schwachstellen nicht ausreichend behoben werden.

Hinzu kommt, dass in vielen Unternehmen ältere und neuere Technologien parallel genutzt werden, was die Wartung und Absicherung komplexer machen kann.

Kurioserweise könnte eine geringere Vernetzung in einzelnen Fällen sogar von Vorteil sein: Geräte, die nicht mit dem Internet verbunden sind, bieten weniger direkte Angriffsmöglichkeiten. Ein zuverlässiger Schutz vor Cyberattacken ist dies jedoch keineswegs. Zumal mit der zunehmenden Verbreitung von KI auch neue Risiken entstehen – von der automatisierten Suche nach Sicherheitslücken bis hin zu immer raffinierteren Betrugsversuchen.

Der Kampf gegen weltweite Hacker

Eine gern übersehene Komponente ist die Tatsache, dass Cyberkriminalität längst keine Landesgrenzen mehr kennt. Hacker können von überall auf der Welt aus agieren, während Behörden und Unternehmen ihre Systeme innerhalb unterschiedlicher rechtlicher und technischer Rahmenbedingungen schützen müssen.

In der EU kooperieren zahlreiche nationale Behörden miteinander und erlassen gemeinsame Richtlinien, Gesetze und Maßnahmen, um diesen Gefahren zu begegnen.

Japan muss zwar eigene Lösungen für seine rechtlichen und organisatorischen Herausforderungen finden, steht im Kampf gegen Cyberkriminalität aber keineswegs allein da. Das Land arbeitet mit zahlreichen internationalen Partnern zusammen, darunter auch die EU. Im Januar 2026 fand in Brüssel bereits der siebte Japan-EU-Cyberdialog statt, bei dem unter anderem über Cybersicherheit und internationale Zusammenarbeit beraten wurde.

Auch im Inland wurden die Strukturen gestärkt. Im Juli 2025 nahm das neue nationale Cybersicherheitsbüro (National Cybersecurity Office) seine Arbeit auf, das die Maßnahmen verschiedener Regierungsstellen koordinieren soll.

Dennoch steht zu befürchten, dass Behörden und Unternehmen angesichts der zunehmenden Zahl und Komplexität der Angriffe schnell an ihre Grenzen stoßen könnten. Besonders kleinere Unternehmen verfügen nicht immer über die finanziellen und personellen Ressourcen, um mit professionell organisierten Cyberkriminellen Schritt zu halten.

Allerdings ist die japanische IT-Sicherheit keineswegs grundsätzlich schlechter aufgestellt als die anderer Industrienationen. Im Global Cybersecurity Index 2024 der Internationalen Fernmeldeunion (ITU) gehört Japan zur höchsten Bewertungsgruppe. Dies zeigt, dass das Land bei gesetzlichen, technischen und organisatorischen Sicherheitsmaßnahmen durchaus Fortschritte erzielt hat. Über das tatsächliche Sicherheitsniveau einzelner Unternehmen sagt diese Einstufung jedoch nur begrenzt etwas aus.

In diesem Sinne stehen japanische Behörden, Unternehmen und Einzelpersonen vor gewaltigen Aufgaben. Denn die jüngsten Datenlecks zeigen, dass selbst große Unternehmen nicht ausreichend vor Cyberangriffen geschützt sind. Entscheidend wird sein, wie schnell es gelingt, bestehende Sicherheitslücken zu schließen, die Kontrolle über externe Dienstleister zu verbessern und die IT-Sicherheit im Unternehmensalltag zu stärken.

¹ Gekürzte und anhand der Unternehmensmeldungen korrigierte Übersicht. Grundlage war eine von Nikkei zusammengestellte Aufstellung: Nikkei.

Weitere Quellen: Unternehmensmitteilungen von Park24, Yamato Transport, SourceNext, Burger King, Aena, Ride On Express, DIP, Adventure, Daiichi Kōshō, Lawson, Sompo Japan, Citizen, MisterMax, Daiki Suisan und Secoma; IPA, japanische Digitalagentur, japanisches Außenministerium und ITU.