Capcom meldet Datenpanne mit 11,7 Millionen Datensätzen und 196 geänderten Passwörtern

Am 22. Oktober 2026 veröffentlichte Capcom eine Mitteilung und eine Entschuldigung und bestätigte, dass ein Dritter Zugang zu CAPCOM ID erlangt hatte, dem einheitlichen Konto für die Webdienste des Unternehmens, das für das Online-Spiel einiger Titel vorausgesetzt wird. Das Unternehmen zählte weltweit 11.774.247 betroffene Datensätze. Abgeflossen sind überwiegend E-Mail-Adressen und Anmelde-Metadaten: wann ein Konto angelegt wurde, wann es zuletzt genutzt wurde, wie oft es genutzt wurde und die beim letzten Login erfasste Client-IP-Adresse. Bei 43 dieser Datensätze wurden zusätzlich Geburtsdatum, Geschlecht, Land oder Region und Nickname offengelegt. Bei 196 Konten änderte der Eindringling das Anmeldepasswort. Capcom hat alle zurückgesetzt.

Zum Weiterlesen: Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen · Quest Diagnostics stellt Quanum-Laborsystem wieder her, nachdem Patientendaten abgerufen wurden.

Zahlungskartendaten gehörten nicht zu den betroffenen Daten, teilte das Unternehmen mit, und eine Kompromittierung der Passwörter, die Kunden selbst gesetzt haben, sei nicht bestätigt. Dienste, die CAPCOM ID nutzen, bleiben verfügbar, und Capcom erklärte, der Vorfall beeinträchtige niemanden darin, die Spiele zu erreichen oder zu spielen. BleepingComputer berichtete, Capcom habe die Eindringmethode identifiziert und Gegenmaßnahmen eingeleitet, den ursprünglichen Zugangsweg aber nicht offengelegt. Diese Auslassung ist die größte Lücke im öffentlichen Bericht.

Die Datensatzzahl ist keine Personenzahl

Schlagzeilen rundeten die Zahl auf 11,7 Millionen, eine Zahl, die SecurityWeek, PC Gamer, PCMag und andere trugen. Die genaue Zahl ist die, die Capcom veröffentlichte, und sie zählt Datensätze, nicht Menschen. Capcom hat nicht gesagt, wie vielen Personen diese Datensätze gehören oder ob mehrere davon dieselbe Person betreffen. Der Unterschied ist wichtig für alle, die ihre eigene Betroffenheit einschätzen wollen: Die Panne ist groß, aber „11,7 Millionen Menschen" ist eine Schlussfolgerung, die die Mitteilung nicht zieht.

CAPCOM ID ist keine Marketing-Verteilerliste. Capcom beschreibt sie als ein einziges Konto, das Registrierte über verschiedene Webdienste hinweg nutzen und das nötig ist, um bestimmte Titel online zu spielen; ihre Reichweite geht also über Menschen hinaus, die nur die Website des Unternehmens besucht haben. Die betroffenen Felder sind allerdings die Art von Daten, die jeder Dienst für jedes Konto speichert, das er je ausgegeben hat, weshalb die Datensatzzahl ein schlechter Näherungswert dafür ist, wie viele Menschen betroffen sind.

Was der Angreifer bekam und was es wert ist

Für sich genommen ist der Datensatz wenig sensibel. Eine E-Mail-Adresse kennt bereits jeder, der Post vom Kontoinhaber erhalten hat. Login-Zahlen und Zeitstempel des letzten Logins sagen etwas darüber, wie aktiv ein Konto ist, und eine Client-IP-Adresse kann auf einen groben Standort oder einen Internetanbieter deuten, aber nichts davon ist ein Passwort oder ein sonstiger Anmeldenachweis. Zusammengesetzt beschreiben die Felder ein Konto: wie alt es ist, ob es noch genutzt wird und ungefähr wo es zuletzt geöffnet wurde. Help Net Security nannte die Zahl 11,7 Millionen Datensätze.

Die 43 Datensätze fallen in eine andere Kategorie. Geburtsdatum, Geschlecht, Land oder Region und Nickname ergeben zusammen ein kleines Identitätsprofil, und das sind die Konten, bei denen die Offenlegung über ein Spamrisiko hinausgeht.

Das macht den Rest nicht harmlos. Eine Adresse, die Capcom mit einem CAPCOM-ID-Konto verknüpft hat, ist ein bestätigtes Ziel für Phishing, und das Unternehmen hat diesen Punkt selbst gemacht. Seine Warnung besagt, die betroffenen Informationen könnten missbraucht werden, um betrügerische Nachrichten im Namen von Capcom oder verbundener Parteien zu versenden; Kunden werden gebeten, URLs oder Anhänge in verdächtiger Post nicht zu öffnen.

Drei Tage von der Entdeckung zur öffentlichen Meldung

Die von Capcom veröffentlichte Zeitleiste ist kompakt. Am 19. Oktober 2026 entdeckte das Unternehmen Spuren eines vermuteten unbefugten Zugriffs, blockierte den Zugang, begann zu untersuchen und bestätigte den Einbruch am selben Tag. Dort begannen die Notfallmaßnahmen. Am 20. Oktober richtete es eine interne Task Force ein, stellte fest, dass einige registrierte Kundendaten abgeflossen waren und bei einigen Konten Passwörter unrechtmäßig geändert worden waren, und meldete den Fall seinem externen Security Supervisory Committee. Am 21. Oktober meldete es den Vorfall der Polizei und Japans Kommission für den Schutz personenbezogener Daten. Die öffentliche Mitteilung folgte am 22. Oktober.

Capcom bestätigte den Einbruch also am Tag der Entdeckung und legte ihn drei Tage später offen. Aus dem Bericht geht außerdem hervor, dass die Passwortänderungen intern bis zum 20. Oktober bekannt waren, zwei Tage vor der öffentlichen Mitteilung.

Die Benachrichtigung wird länger dauern als die Offenlegung. Capcom kündigte an, betroffene Kunden zu kontaktieren, und hat regionale Supportkanäle eingerichtet, darunter eine gebührenfreie Nummer in Japan. Für die meisten Kontoinhaber kommt die erste direkte Nachricht nach der öffentlichen Mitteilung, nicht mit ihr.

Die 196 Passwortänderungen wiegen mehr als 11,7 Millionen E-Mails

Eine gestohlene E-Mail-Adresse ist lästig. Ein Konto, bei dem jemand anderes das Passwort setzen kann, ist eine Übernahme, und laut Mitteilung geschah das 196 Mal. Das ist der Unterschied zwischen einer Offenlegung von Metadaten und einem Einbruch mit operativer Reichweite.

„Capcom hat keine Kompromittierung der Anmeldepasswörter von CAPCOM-ID-Konten bestätigt, die Kunden selbst gesetzt haben. Das Unternehmen hat jedoch bestätigt, dass bei 196 Konten Passwörter ohne Genehmigung geändert wurden." — Capcom, 22. Oktober 2026

Capcoms Formulierung lässt die Mechanik offen. Das Unternehmen hat nicht gesagt, wie die Passwörter geändert wurden, ob der Angreifer sich zuerst mit einem Anmeldenachweis angemeldet hat oder ob die Änderung über einen Reset-Ablauf lief. Was es sagte, ist enger als „keine Passwörter wurden offengelegt", und die Lücke zwischen diesen beiden Aussagen ist keine Haarspalterei. Capcom sagt, es gebe keine Belege dafür, dass von Kunden gewählte Passwörter das System verlassen haben, und bestätigt zugleich, dass 196 davon ersetzt wurden. Ob der Angreifer vor dem Zurücksetzen etwas in diesen Konten lesen konnte, wird nicht behandelt.

Für alle außerhalb der 196 ist das praktische Risiko die Wiederverwendung von Anmeldedaten. Wenn die E-Mail-Adresse hinter einer CAPCOM ID auch ein Postfach, ein Shop-Konto oder einen Arbeitszugang öffnet, steht diese Adresse nun auf einer Liste, die an einen realen, aktiven Dienst gebunden ist. Angreifer, die solche Listen kaufen oder auslesen, brauchen nicht das CAPCOM-ID-Passwort; sie brauchen einen Menschen, der einer Nachricht vertraut, die aussieht, als käme sie von Capcom. Die Warnung vor Identitätstäuschung in der Mitteilung zielt auf genau dieses Risiko.

Es stellt sich auch die Frage, was CAPCOM ID schützt. Sie ist die Kontoschicht für Webdienste und für Online-Spiel in bestimmten Titeln, eine Übernahme könnte also mehr als eine Profilseite betreffen, je nachdem, was ein gegebenes Konto erreichen kann. Capcom hat nicht beschrieben, worauf die 196 Konten Zugriff hatten, und weiß es möglicherweise noch nicht.

Das ist nicht der Angriff von 2020

Capcom, das BleepingComputer auf rund 4.000 Mitarbeiter und 1,24 Milliarden Dollar Jahresumsatz schätzt, war schon einmal an diesem Punkt. Im November 2020 legte das Unternehmen einen Angriff mit Ragnar-Locker-Ransomware offen. Die Angreifer behaupteten, 1 TB Daten entwendet zu haben, und Capcom warnte später, bis zu 390.000 Menschen könnten betroffen sein. Im April 2021 teilte das Unternehmen mit, die Angreifer seien über ein altes VPN-Gerät hereingekommen. Zu den Marken gehören Resident Evil, Monster Hunter und Street Fighter. Der Einbruch von 2020 erreichte interne Systeme und Unternehmensdaten; dieser hier erreichte die Kontoschicht vor den Kunden.

Der aktuelle Vorfall hat in Capcoms Darstellung keine Ransomware-Behauptung, keine Erpressungsforderung und keinen Datenabfluss. Er ist nach der Datensatzzahl größer und weniger sensibel: E-Mails und Login-Zeiten statt eines behaupteten Terabytes an Unternehmensdaten. Der Unterschied im Tempo ist krasser. Der Fall von 2020 brauchte Monate, um seinen Umfang zu klären, das VPN-Detail kam erst im folgenden Frühjahr. Dieser hier ging in drei Tagen von der Entdeckung zur öffentlichen Mitteilung, auch wenn der Zugangsweg noch fehlt.

Vorbehalte

Capcom hat den Einbruch keiner Gruppe zugeordnet und nicht gesagt, wie der Angreifer hereinkam oder wo der Einstiegspunkt lag. Die Meldungen an Polizei und Aufsicht in dieser Zeitleiste sind Capcoms eigene Angaben, keine unabhängigen Bestätigungen.

Die Datensatzzahl ist keine Personenzahl, und die Zahl kann sich ändern, solange die Untersuchung läuft. Capcom hat nicht gesagt, ob die betroffenen Datensätze ruhende oder geschlossene Konten einschließen. Die Mitteilung erklärt auch nicht, wie die 43 Datensätze mit Identitätsfeldern ausgewählt wurden oder ob diese Kunden gesondert von Capcom hören werden. Capcoms Versicherung, alle Spiele seien unbeeinträchtigt, ist zudem die Einschätzung des Unternehmens über die eigenen Dienste, kein unabhängiger Befund.

Lesen Sie die Passwortaussage genau so, wie sie dasteht. „Nicht bestätigt" ist nicht „nicht offengelegt". Capcom hat keine Belege dafür, dass von Kunden gesetzte Passwörter das System verlassen haben, was eine bedeutsame Aussage ist, und es ist keine Garantie, dass kein Passwort gelesen wurde.

Was zu beobachten ist

Zuerst ist zu beobachten, ob Capcom den Zugangsweg veröffentlicht und ob es irgendwann eine Zahl von Menschen statt von Datensätzen nennt. Das Unternehmen sagt, es habe die Angriffsmethode identifiziert und behoben. Selbst eine Zusammenfassung zu veröffentlichen würde anderen Kontobetreibern zeigen, ob die Schwachstelle spezifisch für Capcom war oder der Art und Weise eigen ist, wie Spielkonten gebaut werden.

Zweitens, ob es bei 196 bleibt. Eine Zahl geänderter Passwörter ist leicht zu nennen und schwer einzugrenzen, solange eine Untersuchung läuft, und eine korrigierte Zahl würde ändern, wie der Vorfall zu lesen ist. Auch die 43 Identitätsdatensätze könnten sich verschieben.

Drittens die Aufsicht. Japans Kommission für den Schutz personenbezogener Daten hat den Fall nun, und ihre Reaktion oder ihr Schweigen wird etwas darüber sagen, wie japanische Behörden einen Einbruch dieser Form behandeln: riesig bei den Datensätzen, dünn bei den sensiblen Feldern.

Viertens das Phishing. Offengelegte Adressen, die an ein aktives Spielkonto gebunden sind, taugen für Betrug, der einen glaubwürdigen Vorwand braucht, und der Einbruch selbst liefert ihn. Capcom hat Kunden gesagt, was sie tun sollen. Die nächste Prüfung ist, ob die folgenden Nachrichten überzeugend genug aussehen, um zu funktionieren.

Titelbild: Capcoms Hauptsitz in Osaka, Foto von Tokumeigakarinoaoshima, Wikimedia Commons, CC BY-SA 4.0.