Japanische Banken stellen nach Datenlecks vorzeitig auf Ausweisprüfungen ohne Fotos um – noch vor den Vorschriften ab April 2027

Gestohlene Ausweisbilder beschleunigen den Wandel im Bankwesen

Japanische Banken ziehen Änderungen bei der Online-Kontoeröffnung vor, nachdem bei einem Cyberangriff auf den Carsharing-Dienst Times Car Bilder von Ausweisdokumenten zu rund 1,6 Millionen Konten offengelegt wurden. Die Mizuho Bank stellte die Verifizierung anhand von Ausweisfotos am 19. Oktober 2026 ein. Sie schließt sich damit anderen Kreditinstituten an, die zunehmend auf Prüfungen setzen, bei denen die elektronischen Chips in Ausweiskarten ausgelesen werden.

Die gesetzliche Frist endet am 1. April 2027. Die nationale Polizeibehörde nennt dieses Datum in ihren FAQ zu den überarbeiteten Vorschriften zur Umsetzung des Gesetzes zur Verhinderung der Übertragung von Erträgen aus Straftaten. Die Banken beschleunigen ihre Vorbereitungen, nachdem die Finanzaufsichtsbehörde am 9. Oktober zu einem frühzeitigen Übergang aufgerufen hatte.

Für Kunden hängt die unmittelbare Änderung von der jeweiligen Bank und dem Antragsweg ab. Bei einigen Diensten wird eine My-Number-Karte, Japans nationaler Identitätskarte, erforderlich sein. Andere akzeptieren weiterhin einen Führerschein, sofern Antragsteller dessen Chip auslesen, statt lediglich ein Foto des Dokuments einzureichen.

Die Banken gehen zwei miteinander verbundene Probleme an: Kriminelle stehlen Kopien von Ausweisdokumenten bei Unternehmen, und Kriminelle versuchen, mit solchen Kopien Konten im Namen anderer Personen zu eröffnen. Ein durch Identitätstäuschung eröffnetes Konto kann Betrügern Zugang zu Finanzdienstleistungen unter der Identität einer anderen Person verschaffen.

Der Wandel betrifft auch kleinere Institute. Regionale Banken, Onlinebanken und die Kryptobörse Zaif haben Änderungen angekündigt. Mehrere Fristen liegen Ende Oktober und Anfang November, also Monate vor Inkrafttreten der landesweiten Vorschriften.

Was geschah bei Times Car?

Bei Times Car, das von einem Tochterunternehmen von Park24 betrieben wird, kam es zu unbefugtem Zugriff. Dies war ein wichtiger Grund dafür, dass Banken ihre Pläne beschleunigten. Es wurden Informationen zu etwa 6,6 Millionen Konten erlangt, darunter Bilder von Ausweisdokumenten zu rund 1,6 Millionen Konten.

Den Angaben zum Datenleck zufolge waren die Führerscheinbilder von mehr als einer Million aktuellen und ehemaligen Nutzern betroffen. Die größere Zahl von 1,6 Millionen Konten umfasst Bilder von Ausweisdokumenten, darunter auch andere Dokumente als Führerscheine. Gemessen an der Gesamtzahl der betroffenen Konten waren bei rund 24 Prozent der 6,6 Millionen Konten Bilder von Ausweisdokumenten offengelegt worden.

Times Car will die Bilder von Ausweisdokumenten nach Abschluss der Registrierungsprüfungen löschen und bis Ende Oktober bereits gespeicherte Bilder entfernen. Dadurch ändert sich, wie lange der Dienst eine besonders sensible Kategorie von Kundendaten aufbewahrt.

Die Banken setzen bei dem nächsten möglichen Verwendungsschritt gestohlener Dokumente an. Bei ihren neuen Prüfungen müssen Informationen vom Chip einer Karte oder ein elektronisches Zertifikat verwendet werden. Damit kommt ein zusätzlicher Verifizierungsschritt zu den sichtbaren Angaben wie Name, Adresse, Geburtsdatum und Foto auf einer Dokumentenkopie hinzu.

Welche Großbanken haben bereits umgestellt?

Die Änderung der Mizuho Bank vom 19. Oktober ersetzte das Fotografieren von Führerscheinen und anderen Ausweisdokumenten bei der Online-Kontoeröffnung durch eine Verifizierung anhand von Chipdaten aus My-Number-Karten oder anderen unterstützten Karten. Vorausgegangen waren Änderungen bei der Sumitomo Mitsui Trust Bank und der Mitsubishi UFJ Bank.

Die Sumitomo Mitsui Trust Bank stellte die Verifizierung anhand von Dokumentenfotos im März ein. Die Mitsubishi UFJ Bank schrieb mit einem Update vom 29. Mai das Auslesen des Chips in ihrer App Smart Account Opening verbindlich vor. Antragsteller können ein unterstütztes Führerscheindokument weiterhin über das Auslesen des Chips verwenden.

Die Sumitomo Mitsui Banking Corporation plant, das Verfahren mit Dokumentenfotos einzustellen. Resona Holdings kündigte am 16. Oktober an, bei der Online-Kontoeröffnung keine Führerscheinfotos mehr zu prüfen, und erwägt, die Umstellung bei ihren vier Tochterbanken zu beschleunigen. Auch die Mitsubishi UFJ Trust and Banking Corporation prüft Änderungen. Für diese noch ausstehenden Umstellungen wurden keine Termine bekannt gegeben.

Die unterschiedlichen Umstellungsphasen sind für Personen wichtig, die jetzt einen Antrag stellen: Einige Banken haben das ältere Verfahren bereits beendet, andere haben dessen Abschaffung angekündigt, und wieder andere bereiten sich noch darauf vor. Jede Änderung gilt für den Kontoeröffnungsdienst oder den Antragsweg, den die jeweilige Bank nennt.

Die nächsten Fristen für Antragsteller

Die SBI Shinsei Bank stellt die Verifizierung anhand von Fotos der Ausweisdokumente und der Gesichter von Antragstellern am 27. Oktober ein. Ab dem 28. Oktober sollen Kontoanträge grundsätzlich über ihre App eingereicht werden. Dabei ist der Chip einer My-Number-Karte oder eines Führerscheins auszulesen.

Die Aozora Bank stellt ihren Webdienst zur Eröffnung von BANK-Einlagenkonten am 29. Oktober auf eine Authentifizierung mit My-Number-Karte um. Die Kyoto Bank verlangt ab dem 2. November für neue Konten, die über die Kyogin-App eröffnet werden, eine My-Number-Karte. Die Änderung hatte sie am 15. Oktober angekündigt.

Die wichtigsten Änderungen und Fristen erstrecken sich über mehrere Monate:

• März 2026: Die Sumitomo Mitsui Trust Bank stellte die Prüfung anhand von Dokumentenfotos ein.
• 29. Mai 2026: Die Mitsubishi UFJ Bank schrieb das Auslesen des Chips in ihrer App Smart Account Opening verbindlich vor.
• 28. September 2026: Die Docomo SMTB Net Bank stellte das Fotoverfahren bei der Eröffnung von Privatkonten ein. Bei Partnerfilialen folgt die Umstellung schrittweise.
• 9. Oktober 2026: Die Finanzaufsichtsbehörde rief Finanzinstitute dazu auf, die Umstellung zu beschleunigen.
• 13. bis 19. Oktober 2026: Zaif nahm für neue Privatkonten keine Führerscheine mehr an, die Iwate Bank änderte das Verfahren für ihre Sora-Filiale, und Mizuho stellte die Prüfung anhand von Dokumentenfotos ein.
• 22. bis 29. Oktober 2026: Die Hyakugo Bank, die SBI Shinsei Bank und die Aozora Bank haben Änderungen an den jeweils betroffenen Diensten geplant.
• 2. November 2026: Die Kyoto Bank will für Kontoeröffnungen per App eine Authentifizierung mit My-Number-Karte vorschreiben.
• 1. April 2027: Die überarbeiteten landesweiten Vorschriften treten in Kraft.

Die Änderung der Hyakugo Bank vom 22. Oktober betrifft nicht nur die Eröffnung neuer Konten. Sie umfasst auch die Authentifizierung anhand von Dokumentenfotos bei Vorgängen wie Änderungen der hinterlegten Adresse und Telefonnummer. Das Auslesen des Chips und die öffentliche persönliche Authentifizierung bleiben verfügbar.

Wie funktioniert eine Chipprüfung?

Der Überblick der Finanzaufsichtsbehörde zur Online-Verifizierung erläutert die Verfahren, mit denen Banken Kunden aus der Ferne identifizieren. Beim Verfahren mit Dokumentenfotos werden ein Foto eines Lichtbildausweises und ein Bild des Antragstellers miteinander abgeglichen.

Dabei geht es um mehr als das Fotografieren eines Namens und eines Porträts. Auf den Dokumentenbildern müssen Angaben wie die Adresse und das Geburtsdatum des Antragstellers sowie die Dicke oder andere Merkmale zu sehen sein, anhand derer sich die Echtheit des Dokuments beurteilen lässt. Die Banken oder ihre Dienstleister stellen die Software zum Übermitteln der Bilder bereit.

Bei einem anderen Verfahren werden vom Chip ausgelesene Angaben mit einem Bild des Antragstellers abgeglichen. Der Chip enthält Identitätsdaten, darunter Name, Adresse, Geburtsdatum und Foto. Die Bank kann damit auf elektronisch in der Karte gespeicherte Informationen zurückgreifen, statt sich auf die fotografierte Oberfläche zu verlassen.

My-Number-Karten unterstützen auch den Dienst zur öffentlichen persönlichen Authentifizierung, kurz JPKI. Dabei kommen ein elektronisches Zertifikat und eine elektronische Signatur zum Einsatz. Vereinfacht gesagt liefert das Zertifikat einen digitalen Identitätsnachweis, während die Signatur der Bank ermöglicht zu prüfen, ob die Antragsangaben verändert wurden.

Dem Überblick der Finanzaufsichtsbehörde zufolge müssen die Gültigkeit des Zertifikats und die elektronische Signatur geprüft werden. Die Kyoto Bank und die Aozora Bank stellen die von ihnen festgelegten Dienste auf dieses Verfahren um. Banken können einen zugelassenen Dienstleister mit der Prüfung von Zertifikat und Signatur beauftragen.

Was ändert sich im April 2027 genau?

Die überarbeiteten Durchführungsbestimmungen zum Gesetz zur Verhinderung der Übertragung von Erträgen aus Straftaten schaffen das Verfahren für Ferntransaktionen ab, bei dem Dokumentenfotos und Gesichter miteinander abgeglichen werden. Bei den Ersatzverfahren werden Chipdaten und elektronische Authentifizierung eine zentrale Rolle spielen.

Die FAQ der nationalen Polizeibehörde wurden im Anschluss an eine öffentliche Konsultation veröffentlicht, die vom 5. Dezember 2025 bis zum 3. Januar 2026 stattfand. Darin wird erläutert, dass das Auslesen des Chips auch Pflichten für Unternehmen mit sich bringt: Bei den betreffenden Verfahren zur Vorlage von Dokumenten müssen sie die aus dem Chip ausgelesenen Angaben mit den auf dem Dokument sichtbaren Informationen abgleichen.

Nach Angaben der Behörde soll dieser Abgleich Identitätstäuschung mit gefälschten oder veränderten Dokumenten verhindern. Das erfolgreiche Auslesen des Chips ist somit Teil einer Prüfung, bei der auch festgestellt wird, ob die elektronischen Informationen und das physische Dokument zusammenpassen.

Die FAQ nennen My-Number-Karten, Führerscheine, Aufenthaltskarten, Bescheinigungen als besonders dauerhaft Aufenthaltsberechtigter und Reisepässe als Beispiele für Dokumente mit geeigneten Chips. Banken und andere regulierte Unternehmen können zwischen den gesetzlich zulässigen Verifizierungsverfahren wählen, die sie anbieten. Daher gelten für Kunden je nach Institut unterschiedliche Anforderungen an die Dokumente.

Bereits vorhandene Verifizierungsnachweise können weiterhin verwendet werden, sofern die Bedingungen für die Anerkennung einer früheren Identitätsprüfung erfüllt sind. Laut FAQ müssen Unternehmen eine abgeschlossene Prüfung nicht allein deshalb wiederholen, weil die neuen Vorschriften in Kraft getreten sind.

Können Kunden weiterhin einen Führerschein verwenden?

Das geplante Verfahren der SBI Shinsei Bank akzeptiert eine My-Number-Karte oder einen Führerschein, deren Chip ausgelesen wird. Auch die Mitsubishi UFJ Bank akzeptiert in der betreffenden App weiterhin Führerscheine mit Chip. Antragsteller, die dort einen Führerschein verwenden, müssen die beiden vierstelligen PINs bereithalten, die bei dessen Ausstellung festgelegt wurden.

Die Kyoto Bank wählt für ihre App einen anderen Weg: Ab dem 2. November benötigen Antragsteller eine My-Number-Karte. Kunden, die ein Konto in einer Filiale eröffnen, können weiterhin einen Führerschein verwenden. Auch für den betroffenen Webdienst der Aozora Bank wird nach der Umstellung eine My-Number-Karte erforderlich sein.

Die SBI Shinsei behält für Antragsteller, die ihre App nicht nutzen können, eine Alternative bei: einen Webantrag mit postalischer Einsendung der Ausweisdokumente. Solche Alternativen sind für Menschen wichtig, deren Smartphone keine Karte auslesen kann oder die die erforderliche elektronische Authentifizierung nicht abschließen können.

Seit der Änderung vom 13. Oktober müssen neue Privatkunden bei Zaif eine My-Number-Karte und ein Smartphone haben, das sie auslesen kann. Kunden, deren Identität bereits verifiziert wurde, sind von der Änderung nicht betroffen.

Regionalbanken verfolgen unterschiedliche Wege zum selben Ziel

Die Iwate Bank änderte am 16. Oktober die Eröffnung neuer Konten bei ihrer digitalen Sora-Filiale. Kunden verwenden nun den Chip der My-Number-Karte und das Passwort für deren Signaturzertifikat. Die Hokuto Bank und die Shonai Bank stellten ihre Online-Kontoeröffnung am 20. April auf JPKI um. Damit ersetzten sie ein Verfahren, das Dokumentenprüfungen mit einer Zustellung per Einschreiben mit eingeschränkter Übergabe kombinierte.

Die Japan Post Bank setzte den 20. Oktober um 9 Uhr als Termin für eine Änderung bei Anträgen auf Investmentfonds- und NISA-Konten über Yucho Direct fest. Bei diesen Anträgen werden Dokumenten-Uploads durch eine Authentifizierung mit My-Number-Karte über eine eigens dafür vorgesehene Verifizierungs-App ersetzt. Die Änderung betrifft diese Anlageangebote.

Andere Institute haben die elektronische Verifizierung zusätzlich zu bestehenden Verfahren eingeführt. Die UI Bank ergänzte im März Möglichkeiten zum Auslesen des Chips und zur JPKI-Authentifizierung, behielt aber das Fotografieren von Dokumenten und Gesichtern bei. Die Hokuriku Bank führte JPKI für bestimmte Vorgänge an Geldautomaten der Seven Bank ein und ließ ihr bisheriges Fotoverfahren weiterhin zu.

Die Shoko Chukin Bank ergänzte im Juli das Auslesen des Chips in Verbindung mit einem Gesichtsfoto und im Oktober die öffentliche persönliche Authentifizierung. Auch die Aeon Bank, die Chiba Bank, die Minna Bank, die PayPay Bank und die Shiga Bank haben für bestimmte Dienste Optionen mit Chip oder Zertifikat eingeführt. Je nach Institut und Vorgang stehen ihren Kunden derzeit unterschiedliche Verfahren zur Auswahl.

Japan setzte außerdem den 20. Oktober als Zieltermin, um die My-Number-Karte auf Android-Smartphones in Google Wallet verfügbar zu machen. Der Überblick der Finanzaufsichtsbehörde beschreibt bereits ein gesetzliches Verfahren, bei dem elektronische Datensätze eine physische Karte ersetzen. Dafür übermitteln und verifizieren festgelegte Programme die angeforderten Identitätsdaten.

Die Risiken gehen über Bankkonten hinaus

Hiroyuki Minami, Professor am Informationszentrum der Universität Hokkaido und Spezialist für Cybersicherheit, hält Bilder von Führerscheinen für besonders gefährliche Daten, wenn sie in falsche Hände geraten. Er warnt, dass Kriminelle gestohlene Bilder nutzen könnten, um Kreditkarten zu beantragen, Verbraucherkredite aufzunehmen oder Mobilfunkverträge im Namen anderer Personen abzuschließen.

Minami empfiehlt, eine Kreditauskunftei wie CIC umgehend zu benachrichtigen, sobald jemand erfährt, dass das Bild seines Führerscheins offengelegt wurde. Sein Rat soll dem Risiko entgegenwirken, dass jemand mit der gestohlenen Identität versucht, einen Kredit zu erhalten.

Die Warnung der Finanzaufsichtsbehörde vom 9. Oktober forderte die Institute auf, ihre Cybersicherheit zu überprüfen. Dazu gehören Dienstleister, Systeme mit Internetzugang und Vorkehrungen für den Umgang mit Vorfällen. Zudem sollten ungewöhnliche Merkmale auf Dokumenten- und Gesichtsbildern genau geprüft werden, während die Banken die Verifizierung per Chip beschleunigen.

Katsuhiko Kato, Vorsitzender des japanischen Bankenverbands und Präsident der Mizuho Bank, rief die Banken bei einer Pressekonferenz am 15. Oktober dazu auf, so schnell wie möglich auf Prüfungen umzustellen, bei denen die Chips von Ausweisdokumenten ausgelesen werden. Der Verband hatte auf eine Einführung bis April 2027 hingearbeitet und drängt seine Mitglieder nach der Aufforderung der Aufsichtsbehörde nun zu einem früheren Vorgehen.

Die FAQ der nationalen Polizeibehörde behandeln auch den Umgang mit Daten. Bei einer persönlichen Prüfung müssen die vom Chip ausgelesenen Informationen demnach nicht an anderer Stelle übermittelt werden. Die bestehenden Vorgaben zur Aufbewahrung von Verifizierungsnachweisen gelten weiterhin. Unternehmen können freiwillig Protokolle führen, aus denen hervorgeht, dass ein Chip ausgelesen wurde. Banken müssen daher sowohl entscheiden, wie sie Kunden authentifizieren, als auch, wie sie mit den dabei anfallenden Informationen umgehen.

Wichtige Punkte

• Japans überarbeitete Vorschriften zur Identitätsprüfung treten am 1. April 2027 in Kraft.
• Mizuho stellte die Verifizierung anhand von Dokumentenfotos am 19. Oktober ein. Vorausgegangen waren Änderungen bei der Sumitomo Mitsui Trust Bank und der Mitsubishi UFJ Bank.
• Beim Datenleck von Times Car wurden Bilder von Ausweisdokumenten zu rund 1,6 Millionen Konten offengelegt.
• Die SBI Shinsei Bank, die Aozora Bank und die Kyoto Bank haben Änderungen zwischen dem 28. Oktober und dem 2. November geplant.
• Für einige Dienste ist eine My-Number-Karte erforderlich; andere akzeptieren weiterhin Führerscheine, deren Chip ausgelesen wird.
• Bei den genannten Banken gibt es weiterhin Alternativen in Filialen und per Post.
• Die Finanzaufsichtsbehörde hat zu einer schnelleren Umstellung sowie zu Überprüfungen der Cybersicherheit und der Reaktion auf Vorfälle aufgerufen.