In Japan steigt Zahl der Anträge auf neue Führerscheine nach Datenleck bei Times Car mit 1,6 Millionen Ausweisdokumenten

Ein neuer Führerschein kann die offengelegten Daten nicht löschen

Ein Cyberangriff auf den japanischen Fahrdienst Times Car hat Ausweisdokumente in rund 1,6 Millionen Mitgliederdatensätzen offengelegt. Daraufhin beantragten Betroffene neue Führerscheine, obwohl die Polizei davor warnt, dass eine Neuausstellung nur begrenzt vor Betrug schützt. Insgesamt waren nach Unternehmensangaben, über die Medien berichteten, rund 6,6 Millionen Konten aktiver und ehemaliger Mitglieder von dem größeren Datenleck betroffen.

Das unmittelbare Problem: Eine Neuausstellung kann bestimmte Angaben nicht ändern. Bei einem japanischen Führerschein ändern sich dabei das Foto und lediglich die letzte Ziffer der zwölfstelligen Nummer, die angibt, wie oft der Führerschein neu ausgestellt wurde. Namen, Adressen und Geburtsdaten, die Kriminelle bereits kopiert haben, bleiben offengelegt. Unternehmen, die ein gestohlenes Bild prüfen, können zudem nicht zuverlässig feststellen, ob der Führerschein inzwischen ersetzt wurde.

Die Nationale Polizeibehörde fordert Finanzinstitute und andere Unternehmen auf, ihre Identitätsprüfungen zu verstärken. Betroffene sollen sich umgehend an die Polizei wenden, wenn sie einen Missbrauch ihrer Daten vermuten. Separat dazu forderte die Finanzaufsichtsbehörde die Institute am 9. Oktober auf, den Wechsel von hochgeladenen Fotos von Ausweisdokumenten zu Prüfungen zu beschleunigen, bei denen der elektronische Chip der Originalkarte ausgelesen wird.

Dieser Wechsel ist im Rahmen geänderter Vorschriften zur Umsetzung des Gesetzes zur Verhinderung der Übertragung von Erträgen aus Straftaten bereits vorgesehen. Ab dem 1. April 2027 gelten Fotos von Ausweisdokumenten nach den betroffenen Regeln nicht mehr als zulässige Methode zur Identitätsprüfung ohne persönlichen Kontakt. Das Auslesen des Chips wird zum Standard. Für Menschen ohne geeignete Dokumente oder Smartphones bleiben Alternativen bestehen.

Wie groß war das Datenleck?

Times Car wird von einem Tochterunternehmen der Park24 Co. betrieben. Der Dienst entdeckte den Angriff am 25. September. Medienberichten zufolge waren rund 6,6 Millionen Konten beziehungsweise Datensätze betroffen. Darunter waren etwa 1,6 Millionen mit Ausweisdokumenten wie Führerscheinfotos.

Die Zahlen beziehen sich auf unterschiedliche Teile des Datenlecks und sind keine konkurrierenden Schätzungen derselben Gesamtzahl. Ausgehend von den berichteten Kontenzahlen enthielten etwa 24 Prozent der betroffenen Datensätze Ausweisdokumente, also fast jeder vierte. Keine der beiden Zahlen gibt die genaue Zahl der betroffenen Personen an. Die Ermittlungen könnten zu einer Anpassung der Zahlen führen.

Zu den offengelegten Informationen können Namen, Wohnadressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen und Führerscheindaten gehören. Ein Nutzer von Times Car in Fukuoka erhielt eine Benachrichtigung, in der seine Adresse, sein Geburtsdatum, seine Telefonnummer, seine E-Mail-Adresse und sein Führerscheinfoto als offengelegte Angaben aufgeführt waren.

Auch frühere Kunden waren betroffen. Ihre Daten waren Berichten zufolge etwa sieben Jahre lang gespeichert worden. Dadurch rückt die Frage in den Fokus, ob Unternehmen sensible Dokumente weiter aufbewahren, wenn der ursprüngliche Zweck ihrer Erhebung entfallen ist. Die japanische Datenschutzkommission hat Unternehmen aufgefordert, nicht mehr benötigte personenbezogene Daten zu löschen.

Die Termine im Überblick

Die Forderung nach strengeren Identitätsprüfungen geht auf eine Regeländerung zurück, die dem Angriff auf Times Car vorausging. Das Datenleck hat den Druck erhöht, die Änderung noch vor ihrem Inkrafttreten umzusetzen.

• Juni 2025: Änderungen der Vorschriften zur Identitätsprüfung wurden verkündet. Sie sehen vor, dass die betroffenen Verfahren auf Grundlage hochgeladener Dokumentenbilder künftig nicht mehr zulässig sind.
• 25. September 2026: Times Car entdeckt den Angriff.
• 29. September: Ein betroffener Kunde in Kanazawa erhält eine E-Mail, in der das Datenleck bestätigt wird.
• 8. Oktober: Der Leiter der Nationalen Polizeibehörde, Yoshinobu Kusunoki, äußert sich auf einer Pressekonferenz zu Cybersicherheit und Betrugsprävention.
• 9. Oktober: Die Finanzaufsichtsbehörde fordert eine frühzeitige Einführung von Identitätsprüfungen mithilfe von Kartenchips.
• 11. Oktober: Medien berichten über zunehmende Anfragen und Anträge auf Neuausstellung von Führerscheinen in Japan.
• 1. April 2027: Die geänderten Vorschriften zur Identitätsprüfung sollen in Kraft treten.

Die Aufforderung vom 9. Oktober ist ein Appell, die Umstellung zu beschleunigen, und kein sofortiges Verbot der bestehenden Prüfverfahren. Von Instituten, die noch Fotos verwenden, wird erwartet, diese sowie die darauf abgebildeten Gesichter sorgfältig zu prüfen und sich zugleich auf den Wechsel vorzubereiten.

Warum immer mehr Menschen einen neuen Führerschein beantragen

Polizeiwachen und Führerscheinstellen haben seit Bekanntwerden des Datenlecks zahlreiche Anfragen erhalten. Menschen erkundigten sich nach einem Ersatzführerschein und der Änderung gespeicherter Angaben. Dahinter steht die Sorge, dass ein offengelegtes Ausweisdokument dazu verwendet werden könnte, sich als die betreffende Person auszugeben.

Ein Führerschein wird während seiner Gültigkeitsdauer üblicherweise aus Gründen wie Verlust, Diebstahl, Beschädigung oder Änderungen der eingetragenen Daten neu ausgestellt. Präfekturale Kommissionen für öffentliche Sicherheit können eine Neuausstellung auch aus anderen schwerwiegenden Gründen genehmigen. Nach dem Datenleck bei Times Car nahmen Berichten zufolge fast alle Stellen Anträge an. Das Risiko eines Missbrauchs wurde als Grund für eine Neuausstellung anerkannt.

In der Präfektur Ishikawa erhält die Führerscheinstelle täglich mehrere Anfragen. Anträge werden bei der Führerscheinstelle der Präfektur in Kanazawa sowie bei den Polizeiwachen in Wajima und Suzu angenommen. Die berichteten Gebühren betragen 2.600 Yen für einen herkömmlichen Führerschein und 1.500 Yen für einen My-Number-Führerschein, bei dem Führerscheindaten mit der My-Number-Karte verknüpft sind.

Ein Mann Anfang 30 aus Kanazawa, der Times Car zwei Jahre lang genutzt hatte, erwog nach Erhalt der Benachrichtigung vom 29. September, einen neuen Führerschein zu beantragen. Zum Zeitpunkt des lokalen Berichts sagte er, er habe noch keine ausführliche Erklärung erhalten. Ein anderes Unternehmen aus Kanazawa mit einem Firmenvertrag bei Times Car warnte alle Beschäftigten per E-Mail, nutzte den Dienst aber weiter.

Was sich bei einer Neuausstellung tatsächlich ändert

Ein Ersatzführerschein setzt die Offenlegung der persönlichen Daten nicht zurück. Zwar ändern sich das Foto und die letzte Ziffer der Führerscheinnummer, doch die übrigen Angaben auf einer kopierten Karte können weiterhin dazu dienen, sich als jemand anderes auszugeben. Eine Neuausstellung holt außerdem keine Bilder zurück und löscht sie nicht, wenn sie bereits aus den Systemen eines Unternehmens entwendet wurden.

Dieser Unterschied ist wichtig, weil der Besitz eines Fotos nicht beweist, dass die Person, die es vorlegt, auch die Originalkarte besitzt. Akzeptiert ein Unternehmen das Bild ohne ausreichende zusätzliche Prüfungen, kann ein neuer Führerschein für die rechtmäßige Inhaberin oder den rechtmäßigen Inhaber wenig dagegen ausrichten, dass jemand anderes das ältere Bild vorlegt.

Die Datenschutzkommission hat davor gewarnt, dass gestohlene Führerscheinfotos missbraucht werden könnten, um Kreditkarten zu beantragen, Bankkonten zu eröffnen oder Mobilfunkverträge abzuschließen. Dabei handelt es sich um mögliche Formen des Missbrauchs, nicht um einen Beleg dafür, dass jedes offengelegte Dokument bereits für Betrug verwendet wurde.

Die Berichte nennen weder eine landesweite Gesamtzahl der bereits neu ausgestellten Führerscheine noch bestätigte Betrugsfälle, die konkret mit dem Datenleck bei Times Car in Zusammenhang stehen. Die vorliegenden Informationen belegen verbreitete Besorgnis und zahlreiche lokale Anträge, geben aber noch keinen Aufschluss darüber, wie viele Menschen finanzielle Verluste erlitten haben.

Warum Banken aufgefordert werden, Kartenchips auszulesen

Bei einer Chipprüfung werden elektronische Daten von einem physischen Ausweisdokument wie einem Führerschein oder einer My-Number-Karte ausgelesen, statt sich allein auf ein Foto zu verlassen, das ein Antragsteller hochgeladen hat. Ein gestohlenes Bild allein reicht dann nicht aus, um die Chipprüfung abzuschließen.

Finanzministerin Satsuki Katayama forderte die Institute auf, bei der Feststellung der Kundenidentität die strengeren Prüfverfahren einzusetzen:

Identitätsprüfungsverfahren ordnungsgemäß umsetzen, einschließlich des Auslesens der Daten auf integrierten Schaltkreischips.

In ihrem Schreiben vom 9. Oktober forderte die Finanzaufsichtsbehörde die Institute außerdem auf, ihre Cybersicherheitsmaßnahmen zu überprüfen, einschließlich der Kontrolle von Auftragnehmern. Sie nannte dabei keinen konkreten Angriff. Das Schreiben folgte jedoch auf die Bekanntgabe des Angriffs auf Times Car und weiterer Vorfälle mit Ausweisdokumenten.

Die geänderten Vorschriften sehen Alternativen für Menschen vor, die weder ein Ausweisdokument mit Chip noch ein NFC-fähiges Smartphone besitzen. NFC, die Nahfeldkommunikation, ermöglicht es einem kompatiblen Smartphone, mit einer Karte in unmittelbarer Nähe zu kommunizieren. Zu den verbleibenden Verfahren gehört auch, ein Originalausweisdokument per Post zu versenden, geschützt vor Fälschung.

Das Auslesen von Chips erschwert einen bestimmten Weg des Identitätsbetrugs. Offengelegte Adressen, Geburtsdaten oder Telefonnummern werden dadurch jedoch nicht unbrauchbar. Auch die Pflicht der Institute, verdächtige Anträge zu prüfen, bleibt bestehen.

Eine größere Angriffswelle, aber kein nachgewiesener gemeinsamer Täter

Das Datenleck bei Times Car fiel mit Bekanntgaben von Vorfällen bei Verkehrs-, Einzelhandels- und Restaurantdiensten zusammen. Zu den gemeldeten Fällen gehören mehr als 10 Millionen kopierte Kundendatensätze aus der Reservierungs- und Prämien-App der Restaurantkette Yakiniku King sowie die Offenlegung von rund 1,67 Millionen E-Mail-Adressen aus dem Buchungssystem Eki-net von JR East.

Berichte nennen außerdem Vorfälle bei Tokyo Metro, Lawson und Nikkei. In Fukuoka betrafen Bekanntgaben den Einzelhändler MrMax und den Verkehrskartendienst nimoca. JR Kyushu teilte mit, dass möglicherweise E-Mail-Adressen von Mitgliedern seines Webangebots offengelegt wurden. Die Vorfälle unterscheiden sich hinsichtlich der offengelegten Daten und sind nicht mit einem Datenleck gleichzusetzen, bei dem fotografierte Ausweisdokumente betroffen sind.

Digitalminister Masaaki Taira berief eine Krisensitzung ein und beschrieb die Lage mit folgenden Worten:

Notlage im Cyberraum

Auch Cybersicherheitsminister Toshiharu Furukawa äußerte sich zur Schwere der Lage:

äußerst kritisch

Das Industrieministerium hat rund 1.000 Branchenverbände aufgefordert, Kommunikationsgeräte und Systeme auf Schwachstellen zu überprüfen. Keine Gruppe hat sich zu den Angriffen der größeren Angriffswelle bekannt. Die Ermittler haben auch keinen gemeinsamen Täter festgestellt.

Was ist über die Angriffsmethoden bekannt?

Das japanische Computer-Notfallteam JPCERT/CC hat Methoden beschrieben, die bei jüngsten Angriffen beobachtet wurden. Dazu zählen die Suche nach noch nicht behobenen Softwareschwachstellen, der Missbrauch interner Schnittstellen, die über mobile Apps entdeckt wurden, und die Ausnutzung einer bekannten SQL-Injection-Schwachstelle im Analysewerkzeug Metabase.

Bei einer SQL-Injection wird eine Datenbankabfrage so manipuliert, dass eine verwundbare Anwendung unbeabsichtigte Aktionen ausführt und möglicherweise gespeicherte Informationen preisgibt. Die gemeldeten Methoden liefern einen Überblick über die breiteren Angriffsaktivitäten, belegen aber nicht, welche davon gegen Times Car eingesetzt wurde.

Am Fukuoka Institute of Technology registrierte das Zentrum für Informationsinfrastruktur Berichten zufolge in einem Zeitraum von 30 Minuten fast 9.000 abgewehrte Angriffsversuche. Das veranschaulicht das Ausmaß feindlicher Aktivitäten, denen eine einzelne Institution ausgesetzt sein kann. Es handelt sich weder um eine Zahl erfolgreicher Angriffe noch um eine landesweite Schätzung gestohlener Datensätze.

Sicherheitsexperten vermuten, dass künstliche Intelligenz den Aufwand bei der Suche nach Zielen verringern könnte. Masaki Hiraoka vom Sicherheitsunternehmen Blackpanda warnte jedoch davor, die Angriffe ausdrücklich mit KI in Verbindung zu bringen. Weder diese Möglichkeit noch die scheinbare geografische Herkunft des Netzwerkverkehrs belegt, wer verantwortlich war.

Worauf Betroffene achten sollten

Die Nationale Polizeibehörde rechnet mit weiteren betrügerischen Anrufen und E-Mails, in denen sich die Absender als Unternehmen ausgeben, die von Datenlecks betroffen waren. Offen gelegte Kontaktdaten können solche Nachrichten überzeugender machen, besonders wenn Anrufende den Namen, die Adresse oder die Mitgliedschaft bei einem Dienst kennen.

Auf seiner Pressekonferenz am 8. Oktober sagte Behördenleiter Yoshinobu Kusunoki, die Polizei werde sowohl Ermittlungen führen als auch präventiv tätig werden. Er empfahl grundlegende Schutzmaßnahmen, darunter Apps zum Blockieren betrügerischer Anrufe, das Aktualisieren von Passwörtern und Vorsicht bei verdächtigen E-Mails.

Die Behörden fordern Betroffene auf, sich umgehend an die Polizei zu wenden, wenn sie Betrug oder Missbrauch vermuten. Wird ein unbekannter Vertrag oder ein unbekanntes Konto entdeckt, empfiehlt die Datenschutzkommission außerdem, sich an das betreffende Kreditkartenunternehmen oder die Bank zu wenden. Eine Benachrichtigung über ein Datenleck bestätigt, dass Daten offengelegt wurden. Ein unbekanntes Konto, ein unerwarteter Vertrag oder eine unbekannte Transaktion erfordern gesonderte Maßnahmen.

Der nächste feststehende Termin ist der 1. April 2027. Für kommenden April werden außerdem überarbeitete Datenschutzhinweise erwartet, die Maßnahmen wie Passkeys, Angriffserkennung und das Löschen unnötiger Daten abdecken. Bis dahin gilt es, gemeinsam zu handeln: Unternehmen müssen die Identitätsprüfung und den Datenschutz stärken. Betroffene sollten zugleich auf möglichen Missbrauch achten, den eine Neuausstellung des Führerscheins nicht verhindern kann.

Die wichtigsten Punkte

• Etwa 6,6 Millionen Times-Car-Konten waren betroffen, darunter rund 1,6 Millionen Datensätze mit Ausweisdokumenten.
• Bei Ersatzführerscheinen ändern sich das Foto und die letzte Ziffer der Führerscheinnummer. Ein Großteil der offengelegten personenbezogenen Daten bleibt unverändert.
• In Ishikawa werden Anträge auf Neuausstellung angenommen. Die berichteten Gebühren betragen 2.600 Yen für einen herkömmlichen Führerschein und 1.500 Yen für einen My-Number-Führerschein.
• Finanzinstitute wurden aufgefordert, die Chipprüfung von Karten einzuführen, bevor die neuen Vorschriften am 1. April 2027 in Kraft treten.
• Die Behörden warnen vor Identitätsbetrug, betrügerischen Verträgen, Abzockanrufen und gefälschten E-Mails. Bei Verdacht auf Missbrauch sollen sich Betroffene umgehend beraten lassen.
• Die gemeldete Angriffswelle wurde keinem einzelnen Täter zugeschrieben. Eine landesweite Zahl der Betrugsfälle infolge des Datenlecks bei Times Car liegt nicht vor.