Zwischen dem 3. und 9. Oktober kam es in Japan zu einer stetigen Abfolge von Meldungen über Datenschutzverletzungen, eine nach der anderen, von Diensten mit Millionen bis zu 10 Millionen Mitgliedern. Die Woche endete am 9. Oktober, als die Buchungsplattform für Reisen skyticket einen eigenen Vorfall meldete. Für alle, die Konten bei japanischen Diensten haben, sind die Datenlecks in Japan im Oktober 2026 eine Erinnerung daran, dass die folgenschwersten Lecks oft weit entfernt vom eigenen Gerät passieren.

Dieser Beitrag basiert auf einer wöchentlichen Zusammenfassung, die vom Sicherheitsblogger zephel01 veröffentlicht wurde und Berichte über Hacking und Datenschutzverletzungen verfolgt. Der uns verfügbare Teil dieses Berichts bestätigt das Gesamtmuster und die Ankündigung von skyticket, jedoch nicht die vollständigen Details jedes Vorfalls. Wir haben bewusst darauf verzichtet, bei den Einzelheiten zu raten, daher sollten Sie die offizielle Mitteilung jedes Unternehmens prüfen, um genau zu erfahren, was offengelegt wurde.

Welche Dienste diese Woche betroffen waren

Das bemerkenswerte Merkmal dieser Woche war nicht ein einzelnes katastrophales Ereignis, sondern die Taktung. Laut der Zusammenfassung kamen die Meldungen über Datenschutzverletzungen an aufeinanderfolgenden Tagen, und die betroffenen Dienste waren groß, mit Mitgliederzahlen von mehreren Millionen bis zu 10 Millionen. Die Woche endete mit skyticket, einer Buchungsplattform für Reisen, die ihre Datenschutzverletzung am 9. Oktober bekannt gab.

Wir sind nicht in der Lage, aus dem verfügbaren Material jeden betroffenen Dienst oder die Ursache jedes Vorfalls aufzulisten, und wir werden diese Lücken nicht mit Annahmen füllen. Was das Muster jedoch zeigt, ist, dass große Verbraucherplattformen mit umfangreichen Mitgliederdatenbanken wiederholt in Offenlegungen auftauchen und dass Nutzer mehrerer Dienste gleichzeitig in derselben Woche betroffen sein können.

Welche Daten offengelegt wurden und wer gefährdet ist

Die Einzelheiten variieren je nach Unternehmen, daher ist der erste Schritt immer, die Mitteilung zu lesen, die Sie erhalten, oder die auf der Website des Dienstes veröffentlichte. Im Allgemeinen betreffen Datenschutzverletzungen bei Verbraucherdiensten jedoch tendenziell eine Kombination aus Kontaktdaten und Kontoinformationen. Selbst wenn keine Zahlungsdaten betroffen sind, sind solche Informationen für Angreifer nützlich.

Folgendes ermöglichen durchgesickerte Kontakt- und Kontodaten typischerweise:

  • Phishing und Smishing: Ein echter Name, eine E-Mail-Adresse oder Telefonnummer ermöglicht es Betrügern, Nachrichten zu verfassen, die so aussehen, als kämen sie vom betroffenen Unternehmen oder einem verwandten Dienst. Eine Datenschutzverletzung bei einer Reisewebsite kann beispielsweise gefälschte Buchungs- oder Rückerstattungsnachrichten plausibel erscheinen lassen.
  • Credential Stuffing: Wenn E-Mail-Adressen und Passwörter (oder Passwortdaten, die geknackt werden) offengelegt werden, versuchen Angreifer dieselben Kombinationen auf anderen Websites. Wer Passwörter wiederverwendet, trägt das Risiko über alle Konten hinweg.
  • Account-Übernahme: Der Zugriff auf ein einzelnes Konto kann gespeicherte Details, Reiserouten, Punkte oder gespeicherte Profile offenlegen.

Wenn Sie ein Konto bei einem Dienst haben, der in einer Mitteilung über eine Datenschutzverletzung genannt wird, sind Sie potenziell gefährdet, unabhängig davon, ob Sie ihn kürzlich genutzt haben. Inaktive Konten sind oft diejenigen, die Menschen zu sichern vergessen.

Warum ein VPN nicht vor serverseitigen Lecks schützen kann

Es lohnt sich, hier direkt zu sein, da VPNs oft als allgemeine Datenschutzlösung dargestellt werden. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den von Ihnen besuchten Websites. Das ist in öffentlichen WLAN-Netzen und zur Einschränkung bestimmter Arten von Tracking nützlich.

Aber eine Datenschutzverletzung wie die diese Woche gemeldeten findet auf den eigenen Systemen des Unternehmens statt. Ihre Daten waren bereits dort gespeichert, und Angreifer gelangten daran, indem sie diese Infrastruktur kompromittierten. Nichts daran, wie Sie sich mit dem Internet verbunden haben, ändert etwas daran, was sich in der Datenbank eines Unternehmens befindet. Ein VPN stoppt kein serverseitiges Leck und macht eines im Nachhinein nicht rückgängig.

Das macht VPNs nicht nutzlos; es bedeutet nur, dass sie ein anderes Problem angehen. Sich vor den Folgen einer Datenschutzverletzung zu schützen, läuft auf Kontopflege und Wachsamkeit hinaus.

Was das für Sie bedeutet

Sie können nicht kontrollieren, wie ein Unternehmen seine Server absichert, aber Sie können begrenzen, wie weit ein Leck reicht. Die Kernidee ist, durchgesickerte Informationen so nutzlos wie möglich zu machen: Einzigartige Passwörter sorgen dafür, dass Credential Stuffing scheitert, und Zwei-Faktor-Authentifizierung bedeutet, dass ein gestohlenes Passwort allein nicht ausreicht. Skeptisch gegenüber unerwarteten Nachrichten zu bleiben, dämpft das Phishing, das tendenziell auf eine Datenschutzverletzung folgt, oft in den Tagen und Wochen nach einer Ankündigung.

Es lohnt sich auch, sich daran zu erinnern, dass solche Vorfälle auf Menschen am anderen Ende treffen. Sicherheits- und IT-Mitarbeiter bei betroffenen Unternehmen arbeiten die Reaktion unter starkem Druck ab – ein Thema, das wir in unserem Beitrag über Ransomware-Burnout unter Sicherheitspersonal behandeln.

Was jetzt zu tun ist: Zurücksetzungen, 2FA und Phishing-Wachsamkeit

Wenn Sie einen japanischen Dienst nutzen, der eine Datenschutzverletzung gemeldet hat, oder insbesondere skyticket, arbeiten Sie diese Liste durch:

  1. Lesen Sie die offizielle Mitteilung. Bestätigen Sie, welche Datentypen offengelegt wurden, und befolgen Sie alle Anweisungen des Unternehmens.
  2. Setzen Sie Ihr Passwort zurück beim betroffenen Dienst und bei jeder anderen Website, bei der Sie dasselbe verwendet haben. Verwenden Sie für jedes Konto ein einzigartiges, langes Passwort, idealerweise in einem Passwort-Manager gespeichert.
  3. Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer sie angeboten wird, vorzugsweise mit einer Authentifizator-App oder einem Sicherheitsschlüssel statt SMS.
  4. Behandeln Sie unerwartete Nachrichten mit Skepsis. Seien Sie vorsichtig bei E-Mails, Texten oder Anrufen, die Ihr Konto, eine Buchung oder eine Rückerstattung erwähnen. Gehen Sie direkt auf die Website des Unternehmens, statt auf Links in Nachrichten zu klicken.
  5. Überprüfen Sie die Kontoaktivität und gespeicherte Details, und löschen Sie Konten, die Sie nicht mehr nutzen.

Das Fazit

Die Datenlecks in Japan im Oktober 2026 zeigen, wie schnell sich die Exposition summieren kann, wenn viele große Dienste in derselben Woche Vorfälle offenlegen. Ein VPN schützt Sie nicht vor einem Leck auf den Servern eines Unternehmens, aber frische Passwörter, Zwei-Faktor-Authentifizierung und eine gesunde Skepsis gegenüber unaufgeforderten Nachrichten tun es. Nehmen Sie sich heute ein paar Minuten Zeit, um Ihre Passwörter zurückzusetzen, 2FA zu aktivieren und Ihren Posteingang in den kommenden Wochen genau im Auge zu behalten.