Japan erlebt die schwerste Cyberangriffswelle seiner jüngeren Geschichte. Innerhalb weniger Wochen meldeten mehr als 20 Unternehmen, Behörden und Kommunen Datendiebstähle in Millionenhöhe – von der Bahngesellschaft JR East über die Restaurantkette Yakiniku King bis zur Atomenergiebehörde JAEA. Der Digitalminister spricht von einem "Notstand im Cyberraum", die Regierung verschärft kurzfristig die Abwehr. Für andere Industrienationen ist der Fall ein Warnsignal.
Ein Land im Ausnahmezustand
Innerhalb von rund zwei Wochen haben in Japan mehr als ein Dutzend große Unternehmen Cyberangriffe gemeldet – fast immer flossen personenbezogene Daten ab [1]. Japans Digitalminister Masaaki Taira berief am Freitag eine Krisensitzung des National Cybersecurity Office (NCSO) ein und sprach von einem "Notstand im Cyberraum" [1]. Der für Cybersicherheit zuständige Minister Toshiharu Furukawa nannte die Lage "extrem kritisch" [1].
Die Zahlen belegen eine Zuspitzung, die über das übliche Grundrauschen hinausgeht. Nach einer Auswertung des Sicherheitsanbieters Trend Micro wurden zwischen dem 1. Januar und dem 1. Oktober 2026 insgesamt 604 Sicherheitsvorfälle bei japanischen Unternehmen gemeldet – mehr als im gesamten Jahr 2025 mit 593 Fällen [2]. Eine engere Zählung derselben Firma kommt für Angriffe mit Datenabfluss bis zum 5. Oktober auf mindestens 506 Fälle, gegenüber 503 im gesamten Jahr 2024 und 473 im Jahr 2025 [3]. Die japanische Polizei registrierte im ersten Halbjahr 2026 mit 123 Ransomware-Fällen den höchsten Halbjahreswert seit Beginn der Statistik im Jahr 2020 [2] [3].
Wer betroffen ist: Von der Bahn bis zur Katastrophenwarnung
Die Welle erfasst nahezu alle Branchen. Im Einzelhandel traf es die Kette Lawson, bei der Daten von rund 2,16 Millionen Nutzern des Kundenprogramms Lawson ID abflossen [3]. Der Karaoke-Anbieter Daiichikosho meldete rund 8,72 Millionen potenziell betroffene Datensätze, die Restaurantkette Yakiniku King sogar 10,8 Millionen Kundendatensätze [1] [3]. Bei der Bahngesellschaft JR East könnten rund 6,09 Millionen Kundenkonten betroffen sein, beim Carsharing-Anbieter Times Car Daten aus rund 6,6 Millionen Konten, darunter Kopien von Ausweisdokumenten [3] [5].
Besonders heikel sind die Fälle im öffentlichen Sektor. Bei der Japanischen Agentur für Atomenergie (JAEA) gelangten Ausweisdokumente und medizinische Untersuchungsergebnisse von 175 Personen nach außen, darunter Führerscheine und Reisepässe samt Passfotos [1]. Der Zugriff erfolgte über die Cloud-Plattform eines Vertragspartners [1].
Am sichtbarsten wurde die Verwundbarkeit kritischer Infrastruktur beim IT-Dienstleister Arcadia. Dessen Warnsystem SpeeCAN RAIDEN nutzen Kommunen, um die Bevölkerung vor Katastrophen zu warnen. Nach dem Angriff stellten 110 Städte und Gemeinden den Versand von Katastrophenschutz-E-Mails ein oder meldeten Probleme; betroffen waren auch Warnmeldungen des nationalen Systems J-Alert [4]. Arcadia zufolge könnten bis zu 3,14 Millionen E-Mail-Adressen, 105.000 Telefonnummern und 15.000 Faxnummern abgeflossen sein [4]. Auch die Notrufsysteme Net119 und 119RAIDEN für Menschen mit Hör- oder Sprachbehinderung waren betroffen [4].
Wer dahinter steckt – und warum KI die Lage verschärft
Wer die Angriffe steuert, ist offiziell weiterhin unklar [1]. Das japanische CERT/CC (JPCERT/CC) nannte in einer Warnung drei beobachtete Angriffswege: die gezielte Suche nach Schwachstellen, den Missbrauch interner Schnittstellen (APIs), die eine App nie offenlegt, sowie die Ausnutzung der seit August bekannten Metabase-SQL-Injection-Schwachstelle CVE-2026-72898 [1]. Forscher der staatlichen Einrichtung NICT beschrieben zudem eine "A2B"-Methode, bei der Angreifer den Programmcode öffentlich angebotener Smartphone-Apps analysieren, um Rückschlüsse auf die dahinterliegenden Server zu ziehen [4].
Auffällig ist die Rolle der künstlichen Intelligenz. Nach einer IBM-Untersuchung kamen bei einem Viertel der analysierten Sicherheitsverletzungen KI-Werkzeuge zum Einsatz – ein Anstieg um 56 Prozent gegenüber dem Vorjahr, bei durchschnittlichen Kosten von sechs Millionen US-Dollar pro Vorfall [2]. Für die jüngsten japanischen Angriffe gibt es allerdings noch keine gesicherten Belege für einen KI-Einsatz [2]. Die Messdaten der Polizei zeigen dennoch eine Intensivierung: Ihre Sensoren registrierten im ersten Halbjahr 2026 pro IP-Adresse und Tag durchschnittlich 13.687 verdächtige Zugriffe – ein Plus von 50,7 Prozent, überwiegend aus dem Ausland [5].
Ein Teil der Angriffe ist dagegen klar kriminell organisiert. Gemeinsam mit der japanischen Polizeibehörde zerschlug Microsoft ein Netzwerk um die Dienste YAM Store, CoGUI und Iron Man. Mehr als 20.000 Konten wurden deaktiviert, über 100.000 Phishing-Domains blockiert [6]. Der Dienst CoGUI zielte laut dem Sicherheitsanbieter Proofpoint vor allem auf japanische Organisationen und ahmte 66 überwiegend japanische Marken nach, darunter Amazon, PayPay, Rakuten und SMBC [6].
Wie Tokio reagiert
Die Regierung antwortet mit einer Mischung aus Krisenmanagement und bereits beschlossener Gesetzgebung. Ministerpräsidentin Sanae Takaichi kündigte an, die nationale Cybersicherheitsbehörde solle künftig Berichte über Angriffe und Schäden sammeln und auswerten, um Unternehmen und Kommunen schneller warnen zu können [3]. Die Behörde riet, veraltete Software ohne Sicherheitsupdates abzuschaffen, bekannte Lücken zügig zu schließen und Multifaktor-Authentifizierung einzusetzen [3]. Bloomberg berichtete, die Regierung habe Unternehmen zu Sicherheitsüberprüfungen aufgefordert [7].
Bereits zum 1. Oktober 2026 sind zentrale Teile eines Gesetzes zur "aktiven Cyberverteidigung" in Kraft getreten, das das Parlament am 16. Mai 2025 verabschiedet hatte [2] [3]. Betreiber kritischer Infrastruktur müssen bestimmte Systeme melden und Vorfälle an die Regierung weitergeben; staatliche Stellen dürfen unter engen Voraussetzungen gegen Angreifer-Infrastruktur vorgehen [3]. Aus dem bisherigen Zentrum NISC entstand das neue National Cybersecurity Office [2].
Im Finanzsektor greift die Aufsicht durch: Banken sollen Führerscheine nicht mehr als Identitätsnachweis akzeptieren, wenn jemand ein neues Konto eröffnet, und nur noch Ausweise mit NFC-Chip zulassen [1]. Vom 6. bis 22. Oktober läuft mit Delta Wall 2026 die bislang größte Cyberübung der japanischen Finanzaufsicht – 181 Institute nehmen teil, so viele wie nie zuvor [2].
Die Wirtschaft rüstet auf
Die Angriffswelle hat einen Nachfrageschub nach Sicherheitsdienstleistungen ausgelöst. Hitachi, Fujitsu und NEC haben ihre Angebote ausgebaut und setzen dabei auf KI, um Angriffe zu erkennen, Risiken zu bewerten und Systeme schneller wiederherzustellen [5]. Hitachi bietet seit September einen Dienst an, der unter anderem KI-Modelle von Anthropic und OpenAI nutzt, um Angriffe zu simulieren [5]. Fujitsu richtete zum 1. Oktober eine neue Fachabteilung mit rund 100 Mitarbeitern ein, NEC bietet seit Ende September eine KI-gestützte Risikoanalyse für Banken, Industrie und Einzelhandel an [5].
Der wirtschaftliche Druck wächst. Nach einer KPMG-Untersuchung stieg der Anteil japanischer Unternehmen mit jährlichen Schäden von mindestens 100 Millionen Yen (rund 565.000 Euro) von 6,7 Prozent im Jahr 2023 auf 10,1 Prozent im Jahr 2026 [2]. Der Marktforscher Gartner schätzt, dass nur 30 Prozent der großen japanischen Unternehmen Sicherheitslücken ausreichend beheben [2]. Der Wirtschaftsverband Keizai Doyukai mahnte, Unternehmen müssten zuerst jene Systeme schützen, deren Ausfall besonders schwer wiegt [2].
Was andere Länder daraus lernen können
Der japanische Fall ist kein nationales Sonderproblem, sondern eine Momentaufnahme dessen, was anderen Industrienationen bevorstehen dürfte. Drei Muster stechen hervor.
Erstens die Konzentration auf Dienstleister: Nicht die Kommunen selbst wurden angegriffen, sondern der gemeinsame IT-Anbieter Arcadia – ein einzelner Vorfall legte Warnsysteme in 110 Städten lahm [4]. Zweitens die Lieferkette: Angriffe auf externe Dienstleister und schlecht abgesicherte VPN-Zugänge gehören zu den häufigsten Einfallstoren; in 18 von 36 aufgeklärten Ransomware-Fällen des ersten Halbjahres 2026 drangen Angreifer über VPN-Geräte ein [5]. Drittens die Beschleunigung durch KI, die Abwehr und Angriff gleichermaßen verbilligt [5] [8].
Für Deutschland und die EU sind die Parallelen offensichtlich: Die NIS2-Richtlinie und das KRITIS-Dachgesetz verfolgen ähnliche Ziele wie Japans neue Meldepflichten. Japans Erfahrung zeigt jedoch, dass Regulierung allein nicht genügt, wenn Betreiber veraltete Systeme weiterlaufen lassen und Abhängigkeiten von einzelnen Dienstleistern ungeprüft bleiben. Der eigentliche Test liegt nicht in der Krisensitzung, sondern in der Frage, wie schnell ein Land nach einem Angriff wieder handlungsfähig ist.