Japan plant nach GMO-Datenleck Cybersicherheitspaket für Notfälle, das Trading-Kunden trifft

Datenlecks führen zu Verlusten für Kunden

Japan will bis Ende der am 2. November beginnenden Woche ein Cybersicherheitspaket für Notfälle ausarbeiten. Das sagte Premierministerin Sanae Takaichi am 26. Oktober 2026. Angriffe auf Unternehmen hatten persönliche Daten offengelegt und bei einigen Kunden zu Verlusten durch nicht autorisierte Finanztransaktionen geführt.

Die Ankündigung folgte auf einen Sicherheitsvorfall bei der GMO Internet Group. Das Unternehmen teilte mit, dass potenziell 26.739 Server betroffen waren, über die Handelskonten bei mehr als 70 Wertpapierfirmen, Devisenanbietern und anderen Unternehmen in Japan und im Ausland genutzt wurden. Ein Kunde aus der Präfektur Kanagawa sagte, nicht autorisierte Devisengeschäfte hätten ihn mehr als 6 Millionen Yen gekostet.

Takaichi berief in ihrem Amtssitz in Tokio die erste Sitzung der zuständigen Minister der Regierung zum Thema Cybersicherheit ein. Sie forderte eine koordinierte Reaktion, die auch den Einsatz neuer rechtlicher Befugnisse umfassen könnte, um in die Systeme von Angreifern einzudringen und Bedrohungen zu neutralisieren. Zudem sollten Unternehmen in Japan verstärkt getestet und überwacht werden.

Der Pressebriefing vom 26. Oktober von Kabinettschef Minoru Kihara kündigte die Sitzung für 18 Uhr an und formulierte das zentrale Anliegen der Regierung: Auf wiederholte groß angelegte Datenlecks folgten inzwischen weitere Schäden durch den Missbrauch gestohlener Daten. Die Ministerien würden zusätzliche Maßnahmen und eine engere Zusammenarbeit erörtern.

Nach der Sitzung machte Takaichi die Dringlichkeit deutlich und verwies auf die Schäden, die entstehen, wenn Daten gegen die Menschen eingesetzt werden, zu denen sie gehören.

„Die Lage ist ernst. Die Sorge wächst, dass der Missbrauch geleakter Daten zu zivilrechtlichen Schäden führt. Wir müssen unsere Gegenmaßnahmen dringend verstärken“, sagte sie.

Die unmittelbare Aufgabe geht über die Reparatur kompromittierter Computer hinaus. Die Minister müssen sich damit befassen, wie gestohlene Daten das Geld von Kunden gefährden können, wie Unternehmen Eindringversuche erkennen und wann der Staat gegen einen Angreifer vorgehen sollte.

Was das Maßnahmenpaket für Notfälle umfassen soll

Takaichi nannte simulierte Angriffe mithilfe generativer künstlicher Intelligenz und ein Überwachungsnetz, das auch kleine und mittlere Unternehmen einbezieht, als Maßnahmen zur Stärkung der japanischen Abwehr. Generative KI erstellt Inhalte wie Texte oder Computercode. Bei einem kontrollierten Sicherheitstest kann sie dabei helfen, Angriffsszenarien zu entwickeln und zu prüfen, wie ein System darauf reagiert.

Ein simulierter Angriff ist eine genehmigte Übung. Sicherheitsteams versuchen, Schwachstellen zu finden, bevor Kriminelle sie ausnutzen. Ein Überwachungsnetz erfüllt einen anderen Zweck: Es sucht nach verdächtigen Aktivitäten, damit Organisationen Eindringversuche erkennen und darauf reagieren können.

Die geplante Einbeziehung kleinerer Unternehmen ist wichtig, weil die Maßnahmen der Regierung über Großunternehmen und öffentliche Stellen hinausreichen sollen. Das Paket soll mehr Unternehmen in eine koordinierte Initiative einbinden, um Angriffe zu erkennen und Warnungen auszutauschen.

Takaichi wies die Minister an, die Maßnahmen und ihre Finanzierung zeitnah zu prüfen. Außerdem forderte sie, die Regierung in voller Stärke zusammenzubringen, um die Arbeit zu beschleunigen. Das Budget des Pakets, die konkreten Überwachungsregelungen und das genaue Veröffentlichungsdatum wurden noch nicht bekannt gegeben.

Warum so viele Ministerien beteiligt sind

Kiharas Ankündigung nannte Teilnehmer, die für Cybersicherheit, Polizei, Finanzen, Kommunikation, Industrie, Verkehr und Verteidigung zuständig sind. Neben Takaichi und Kihara gehörten dazu der Cybersicherheitsminister Toshiharu Furukawa, der Vorsitzende der Nationalen Kommission für Öffentliche Sicherheit Yasuhiro Hanashi und Verteidigungsminister Shinjiro Koizumi.

Die unterschiedlichen Zuständigkeiten spiegeln die verschiedenen Aspekte des Problems wider. Ein Sicherheitsvorfall bei einem Serveranbieter kann Daten offenlegen, die von Kunden im Finanzbereich genutzt werden. Die Polizei kann kriminelle Aktivitäten untersuchen, während die Verteidigungsbehörden im Rahmen des neuen Systems für die Abwehr von Cyberbedrohungen zuständig sind.

Die Sitzung vom 26. Oktober sollte den Ministern einen gemeinsamen Überblick über die aktuellen Vorfälle verschaffen und die Zusammenarbeit zwischen ihren Ressorts stärken. Vorausgegangen waren Vorschläge, die Takaichi am 23. Oktober von der Cybersicherheitsstrategie-Zentrale der regierenden Liberaldemokratischen Partei erhalten hatte.

Die Partei forderte eine eigene Einsatzleitstelle im Amt des Premierministers, ein größeres Bewusstsein bei Führungskräften von Unternehmen, insbesondere börsennotierten Firmen, sowie eine stärkere Rekrutierung und Ausbildung von Cybersicherheitsexperten. Takaichi versprach, das Thema Cybersicherheit unter der Leitung ihres Amtes anzugehen.

Wie der GMO-Angriff Handelskonten erreichte

GMO räumte am 24. Oktober ein, dass Daten aus Onamae.com Desktop Cloud entwendet worden sein könnten. Der Dienst vermietet den Zugang zu entfernten Servern. Kunden nutzen ihn für den automatisierten Devisenhandel, sodass Handelssoftware auf einem entfernten Computer laufen kann, statt auf einem Computer zu Hause.

Beim Devisenhandel mit Margin, meist FX-Handel genannt, setzen Kunden auf Veränderungen von Währungskursen und müssen dabei nur einen Teil des Handelswerts hinterlegen. Wenn sich die Kurse gegen sie entwickeln, können erhebliche Verluste entstehen. In diesem Fall beschwerten sich Kunden, dass Geschäfte ohne ihre Zustimmung ausgeführt worden seien.

GMO zufolge könnten Dritte Passwörter und andere Informationen zu Handelskonten auf den Servern eingesehen haben. Potenziell betroffen waren 26.739 Server mit Konten bei mehr als 70 Unternehmen. Das Unternehmen hat keine bestätigte Gesamtzahl der Kunden bekannt gegeben, die Geld verloren haben, und auch nicht die Gesamthöhe ihrer Verluste.

Ein 44-jähriger Angestellter aus der Präfektur Kanagawa sagte, nicht autorisierte Transaktionen am 21. Oktober hätten ihn mehr als 6 Millionen Yen gekostet. Seine Reaktion beschrieb er schlicht:

„Ich geriet in Panik“, sagte er.

Später erhielt der Kunde eine E-Mail von einem Absender, der sich als „Hacking Team“ ausgab und behauptete, sein Kontoguthaben gelöscht zu haben. Seine Erfahrung zeigt, warum die Regierung den Missbrauch geleakter Daten als unmittelbare Bedrohung für die Finanzen der Menschen betrachtet und zugleich als Problem für die Unternehmen, die ihre Daten verwahren.

Entschädigungen und Drohungen gegen Nutzer

GMO teilte mit, allen Nutzern des betroffenen Dienstes 5.000 Yen zu zahlen, auch jenen, die keinen finanziellen Verlust erlitten haben. Außerdem versprach das Unternehmen Entschädigungen für Verluste, die nach seiner Prüfung auf nicht autorisierten Zugriff zurückzuführen sind. Die Pauschalzahlung und das Entschädigungsverfahren richten sich somit an unterschiedliche Gruppen: Alle Nutzer des Dienstes erhalten die Zahlung, während Handelsverluste einzeln geprüft werden müssen.

GMO-Chef Masatoshi Kumagai entschuldigte sich am 25. Oktober in einem Blogbeitrag dafür, dass das Unternehmen die Kunden nicht schützen konnte, und versprach Entschädigungen. Zudem forderte er die Regierung auf, aktive Maßnahmen zur Cyberabwehr einzusetzen.

GMO zufolge hatte der mutmaßliche Angreifer Geld gefordert und damit gedroht, Unternehmens- und Kundendaten zu veröffentlichen. Das Unternehmen erklärte, warum eine Zahlung die Kunden weiter gefährden würde:

„Selbst wenn wir den Forderungen nachkämen, gäbe es keine Garantie, dass die erlangten Informationen gelöscht oder ihr Missbrauch verhindert würde“, teilte GMO mit.

Am 24. Oktober drohte eine Person, die vermutlich hinter dem Angriff steckt, außerdem online mit Ransomware-Angriffen auf die Computer von Kunden. Ransomware ist Schadsoftware, die Dateien oder Systeme sperren und Lösegeld fordern kann. GMO rief Nutzer dazu auf, ihre Daten zu sichern und Virenscans durchzuführen.

Was die aktive Cyberabwehr ermöglicht

Das japanische Gesetz zur aktiven Cyberabwehr wurde im Mai 2025 vom Parlament verabschiedet und trat am 1. Oktober 2026 in Kraft. Die darin enthaltenen Bestimmungen zur Neutralisierung durch Systemzugriff erlauben es den Behörden, in die Systeme von Angreifern einzudringen und Maßnahmen zu ergreifen, um Cyberbedrohungen an ihrer Quelle zu stoppen.

Dieser Ansatz geht über den Schutz der eigenen Computer eines Opfers hinaus. Statt eingehende Aktivitäten nur zu blockieren oder Schäden zu beheben, können die Behörden gegen die Systeme vorgehen, über die ein Angriff ausgeführt wird. Die Polizei und die Selbstverteidigungsstreitkräfte haben Aufgaben bei der Umsetzung des Systems.

Takaichi sagte, die Regierung werde mögliche Reaktionen, einschließlich der Neutralisierung durch Systemzugriff, strategisch auswählen und gegen Cyberangriffe einsetzen, deren Umstände bekannt seien. Ihre Aussage stellte die Ermittlungen und die operative Beurteilung in den Mittelpunkt jeder Entscheidung.

Mit seiner Forderung rückte GMO diese Befugnisse in den Zusammenhang eines konkreten Falls, bei dem Vermögenswerte privater Kunden betroffen waren. Kumagai räumte ein, dass Eingriffe der Regierung üblicherweise mit Betreibern kritischer Infrastruktur wie Versorgungs- und Verkehrsunternehmen in Verbindung gebracht werden, und erkannte an, dass die Behörden über den Zeitpunkt und die Art eines Eingreifens entscheiden.

Kumagai argumentierte, Angriffe mit denselben Methoden könnten sich von den Diensten eines Privatunternehmens auf andere Infrastruktur und persönliche Vermögenswerte ausweiten. Mit seinem Appell wollte er das gerade in Kraft getretene Gesetz in die Reaktion auf Verluste einbeziehen, über die Kunden bereits berichteten.

Wer entscheidet über einen Eingriff?

Kihara sagte, die Regierung werde selbst beurteilen, ob eine Neutralisierung durch Systemzugriff gerechtfertigt sei. Die Anfrage eines Unternehmens kann den Behörden Informationen und Dringlichkeit vermitteln, doch die Entscheidung liegt nach den einschlägigen gesetzlichen Vorgaben beim Staat.

Auf die Reaktion auf den Fall GMO angesprochen, lehnte Kihara es ab, auf operative Einzelheiten einzugehen. Kommentare zu einzelnen Angriffen könnten die Strategie der Regierung offenlegen, sagte er. Das übliche Vorgehen der Regierung bei Informationen betroffener Organisationen beschrieb er so:

„Grundsätzlich erhält die Regierung von betroffenen Organisationen verschiedene Informationen, leistet die erforderliche Unterstützung und ergreift je nach den Umständen des jeweiligen Falls angemessene Maßnahmen“, sagte er.

Ein Beamter im Amt des Premierministers sagte, es seien weitere Analysen nötig, um festzustellen, ob der Fall GMO die Voraussetzungen erfülle. Ein möglicher Einsatz würde wahrscheinlich nicht öffentlich gemacht, da eine Bekanntgabe die Fähigkeiten der Regierung offenlegen könnte. Für Kunden und Unternehmen dürfte sich die öffentliche Reaktion daher eher anhand von Entschädigungen, Schutzmaßnahmen für Dienste und politischen Ankündigungen nachvollziehen lassen als anhand von Einzelheiten zu Maßnahmen gegen Angreifer.

Abwehrmaßnahmen testen und den Angriff untersuchen

Auch Industrieminister Ryosei Akazawa kündigte an, im folgenden Monat ein Team ethischer Hacker aufzustellen. Die Cybersicherheitsexperten sollen innerhalb der Innovation Platform Agency, die dem Ministerium für Wirtschaft, Handel und Industrie angegliedert ist, Schwachstellen in Computersystemen aufdecken.

Ethische Hacker testen Systeme mit Genehmigung, damit Schwachstellen behoben werden können. Ihre Arbeit würde die vorgeschlagenen simulierten Angriffstests und das Überwachungsnetz ergänzen: Bei Tests werden gezielt verwundbare Stellen gesucht, während die Überwachung nach Anzeichen dafür sucht, dass jemand versucht, sie auszunutzen.

Akazawas Ankündigung erfolgte, während einige Webseiten des Ministeriums und Unternehmensdienste vorsorglich teilweise eingestellt wurden, nachdem Schwachstellen in PHP entdeckt worden waren. PHP ist eine Programmiersprache, die häufig für die Entwicklung von Webseiten verwendet wird. Das Ministerium hatte Cyberwarnungen über rund 1.000 Branchenorganisationen und Verbände verbreitet.

Ermittler untersuchten außerdem die mit dem Angriff auf GMO in Verbindung gebrachten Werkzeuge. GMO Cybersecurity by Ierae, eine Tochtergesellschaft des Konzerns, teilte mit, die Spur des Angriffs führe zu einem Werkzeug für künstliche Intelligenz namens Artex. Eine Untersuchung von CrowdStrike zu Artex-Angriffen in Südkorea kam zu dem Schluss, dass diese Bedrohungen höchstwahrscheinlich aus China stammten. Die Herkunft des Angriffs auf GMO ist weiterhin nicht bestätigt.

Die Daten hinter der Reaktion auf den Notfall

Im Oktober wurden neue Befugnisse der Regierung eingeführt, Verluste von Kunden bekannt und eine rasche Folge politischer Entscheidungen getroffen. Die wichtigsten Daten zeigen, wie schnell sich das Thema von einem Vorfall zulasten von Kunden im Wertpapierhandel zu einer Reaktion unter Beteiligung mehrerer Ministerien entwickelte.

• Mai 2025: Das Parlament verabschiedete das Gesetz zur aktiven Cyberabwehr.
• 1. Oktober 2026: Der Rechtsrahmen trat einschließlich der Bestimmungen zur Neutralisierung durch Systemzugriff in Kraft.
• 21. Oktober: Der Kunde aus der Präfektur Kanagawa sagte, nicht autorisierte FX-Transaktionen hätten Verluste von mehr als 6 Millionen Yen verursacht.
• 23. Oktober: Die Liberaldemokratische Partei legte Vorschläge für Notfallmaßnahmen vor, darunter eine Einsatzleitstelle im Amt des Premierministers.
• 24. Oktober: GMO räumte den mutmaßlichen Diebstahl von Daten aus Onamae.com Desktop Cloud ein. Im Internet tauchte außerdem eine Drohung gegen die Computer von Kunden auf.
• 25. Oktober: Kumagai entschuldigte sich, versprach Entschädigungen und forderte ein Eingreifen der Regierung.
• 26. Oktober: Takaichi hielt die Ministerrunde ab und ordnete ein Maßnahmenpaket für die folgende Woche an.

Das Maßnahmenpaket ist der nächste öffentlich sichtbare Meilenstein der Politik. Sein praktischer Nutzen für Unternehmen und Kunden wird davon abhängen, welche Maßnahmen die Minister auswählen, welche Mittel dafür bereitgestellt werden und wie schnell Tests, Überwachung und Reaktionen auf Vorfälle die angegriffenen Organisationen erreichen.

Die wichtigsten Punkte

• Takaichi will das Maßnahmenpaket für Notfälle im Bereich Cybersicherheit in der am 2. November 2026 beginnenden Woche fertigstellen lassen.
• GMO zufolge waren potenziell 26.739 Server betroffen, über die Handelskonten bei mehr als 70 Unternehmen genutzt wurden.
• Ein Kunde berichtete von Verlusten in Höhe von mehr als 6 Millionen Yen durch nicht autorisierte FX-Transaktionen.
• GMO versprach allen Nutzern des betroffenen Dienstes 5.000 Yen sowie Entschädigungen für Verluste, die das Unternehmen auf nicht autorisierten Zugriff zurückführt.
• Zu den vorgeschlagenen Maßnahmen der Regierung gehören Angriffssimulationen mithilfe generativer KI und eine Überwachung, die auch kleinere Unternehmen einbezieht.
• Die Behörden werden unabhängig entscheiden, ob sie neue Befugnisse nutzen, um in die Systeme von Angreifern einzudringen und Bedrohungen zu neutralisieren.