Ein unbefugter Zugriff auf Sony Life hat rund 385.000 Datensätze mit personenbezogenen Daten offengelegt. Betroffen sind Versicherte der Medicare Life, deren Policen Sony Life nur vermittelt. Wie die Angreifer hineingelangten, sagt das Unternehmen nicht.
Am Abend des 28. Oktober schickte Sony Life eine kurze Mitteilung hinaus. Unbekannte sind in die Systeme des Lebensversicherers eingedrungen. Betroffen sind nach Angaben des Unternehmens rund 385.000 Datensätze von Versicherungsnehmern und versicherten Personen der Medicare Life 1 2.
Namen, Policen, keine Konten
Abgeflossen sind Namen, Geburtsdaten, Geschlecht, Anschriften, Telefonnummern, Policennummern und Angaben zum Inhalt der Verträge 1 3. Heikel ist die Kombination. Wer Identität und Police kennt, kann sich am Telefon glaubwürdig als Mitarbeiter ausgeben.
Nicht betroffen sind die japanische Identifikationsnummer My Number, Kreditkartendaten und die Konten, über die Prämien eingezogen werden 1 2. Das senkt das Risiko eines sofortigen Geldabflusses. Es schließt Missbrauch nicht aus.
Die Policen gehören nicht Sony Life. Sie gehören Medicare Life, einem eigenständigen japanischen Lebensversicherer. Sony Life vertreibt dessen Krankenversicherungen seit Januar 2023 über den Außendienstkanal Lifeplanner 3. Gespeichert lagen die Daten beim Vermittler, nicht beim Unternehmen, das die Verträge zeichnet 3. Medicare Life teilte mit, Policen aus anderen Vertriebswegen seien nicht betroffen 3.
Entdeckt am 27., gemeldet am 28.
Der Angriff richtete sich nach Angaben von Sony Life gegen die Kundenwebsite für Vertragsinhaber und angeschlossene Systeme. Entdeckt wurde der Zugriff am 27. Oktober, veröffentlicht am Tag darauf 3. Welchen Weg die Angreifer nahmen, welche Lücke sie nutzten und ob es eine gezielte Kampagne war, hat das Unternehmen nicht gesagt 3. Auch nicht, wie viele Personen hinter den 385.000 Datensätzen stehen. Wer mehrere Verträge hält, taucht mehrfach auf.
Am 28. Oktober nahm Sony Life die Kundenseite vom Netz, die App, einen direkten Schadensmeldedienst und weitere Online-Funktionen, um den Zugriff nicht ausufern zu lassen 3. Wer dringend etwas braucht, soll sich an Vertreter und Servicecenter wenden. Medicare Life setzte die Neuanmeldung für das eigene Portal aus. Für Policen aus anderen Wegen peilt das Unternehmen den 2. November an. Der Zugang für über Sony Life vermittelte Verträge soll erst wieder aufgehen, wenn zusätzliche Sicherungen stehen 3. Einen Termin für die volle Wiederherstellung der Sony-Life-Dienste gibt es nicht 3.
Nach dem japanischen Datenschutzgesetz müssen Unternehmen dieser Größenordnung die Personal Information Protection Commission und die Finanzaufsicht informieren und die Betroffenen benachrichtigen. Vorgesehen ist eine Vorabmeldung innerhalb von drei bis fünf Tagen und ein Abschlussbericht binnen 30 Tagen, bei mutmaßlich vorsätzlichem Handeln binnen 60 5. Gegenüber der FSA hat Sony Life den Vorfall nach eigenen Angaben gemeldet. Eine individuelle Benachrichtigung ist angekündigt 3.
Dasselbe Portal wie bei Aflac
Der Fall wiederholt ein Muster. Bei Aflac Life Insurance Japan drangen Angreifer zwischen dem 15. und dem 25. Juni 2026 ein, ohne dass es bemerkt wurde. Entdeckt wurde der Zugriff am letzten Tag des Fensters. Einstieg war auch dort das Kundenportal. Betroffen waren Daten von rund 4,38 Millionen Kunden und Vertretern 5.
Anders lief Allianz Life im Juli 2025. Dort kam ein Angreifer per Social Engineering in ein externes System zur Kundenverwaltung, also zu einem Dienstleister. Rund 1,5 Millionen Personen waren betroffen 5. Fachleute ordnen mehrere dieser Fälle der Gruppe Scattered Spider zu, die eher mit sozialer Manipulation und Phishing arbeitet als mit technischen Einbrüchen 5. Das ist eine Einschätzung von Sicherheitsforschern. Sony Life hat sich zur Urheberschaft nicht geäußert.
Wie dicht die Lage ist, zeigt eine Interpol-Bewertung vom Juni 2026. Cyberkriminalität macht in mehr als der Hälfte der untersuchten Länder über 30 Prozent aller registrierten Straftaten aus. Systemeindringlinge verursachten demnach rund 80 Prozent der 2024 erfassten Datenpannen, in 51 Prozent der Fälle war Ransomware im Spiel 5.
Der Vermittler hielt die Daten
Das Einfallstor war nicht der Versicherer, der die Police zeichnet. Es war der Vermittler, der sie verkauft. Genau das hatte die japanische Finanzaufsicht im April 2026 untersuchen lassen. Eine Studie im Auftrag der FSA prüfte, wie große ausländische Versicherer Cyber-Risiken bei Dritten bewerten, einschließlich Agenten und Maklern mit Zugriff auf Kundendaten. Ein Teil der Häuser hatte seine Kontrollen auf Vermittler ausgeweitet. Japanischen Versicherern wurde nahegelegt, ähnliche Ansätze zu prüfen 3 6.
Wer als Vermittler Daten für mehrere Partner hält, bündelt deren Ausfall an einer Stelle. Die Kontrollen des Risikoträgers reichen dort nicht hin.
Ein Tag, zwei Sony-Angriffe
Für den Konzern kommt der Fall zu einem schlechten Zeitpunkt. Einen Tag zuvor, am 27. Oktober, hatte die Schwestergesellschaft Sony Network Communications einen Angriff auf die Mitgliederdatenbank ihrer Internetdienste So-net und plala gemeldet: rund 2,59 Millionen Datensätze, darunter Namen, Anschriften, Geburtsdaten und Telefonnummern, dazu Zugangsdaten zu 54.401 E-Mail-Postfächern. Bei 16 Datensätzen waren auch Kontoinformationen betroffen 7.
Zwei Gesellschaften, zwei Systeme. Hinweise auf einen Zusammenhang gibt es nicht. Für die Außenwahrnehmung reicht die Nähe.
Die Sony Financial Group steht ohnehin unter Aufsicht. Die FSA bereitete im Oktober eine Prüfung nach dem Versicherungsaufsichtsgesetz vor. Hintergrund ist ein Fall, in dem ein früherer Sony-Life-Angestellter über Jahre Geld von Kunden und Kollegen erlangt haben soll. Die Rede ist von rund 2,6 Milliarden Yen 8. Das hat mit dem Datenabfluss nichts zu tun. Es erklärt, warum die Behörde bei diesem Haus gerade genau hinsieht.
Das Gesetz wird zugleich schärfer. Die Personal Information Protection Commission hat im Januar 2026 beschlossen, Verwaltungsgeldbußen einzuführen, bemessen am wirtschaftlichen Vorteil aus massenhaften, kommerziell motivierten Verstößen. Der Entwurf sollte dem Parlament nach Möglichkeit im Frühjahr 2026 vorliegen. Greifen würde die Regelung rund zwei Jahre nach einer Verabschiedung 5.
Die Daten sind draußen. Der Missbrauch vielleicht noch nicht.
Beide Versicherer warnen vor Kontaktaufnahmen, in denen Passwörter oder andere Zugangsdaten abgefragt werden 3. Das ist hier der naheliegende Weg. Wer Name, Geburtsdatum, Anschrift und Policennummer hat, kann sich glaubwürdig als Mitarbeiter ausgeben.
Bis zum 28. Oktober gibt es nach Angaben von Sony Life keine Hinweise, dass die Daten bereits missbraucht wurden 1 3. Das ist eine Momentaufnahme. Solche Sätze werden oft erst Monate später eingelöst.
Zu Kunden außerhalb Japans hat Sony Life nichts gesagt. Die Veröffentlichungen beziehen sich auf Medicare-Life-Verträge, vermittelt über den japanischen Außendienst. Hinweise auf andere Länder gibt es nicht. Bestätigt hat das Unternehmen das nicht.
Offen bleibt, ob Sony Life den Weg hinein und den Ablauf öffentlich macht. Bei Aflac Japan lagen zwischen erstem Zugriff und Entdeckung zehn Tage. Bei Sony Life zwischen Entdeckung und Meldung weniger als 24 Stunden. Das spricht für das Tempo der Mitteilung. Über die Schwere sagt es nichts.
Ähnliche Artikel
