Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen

Sony Network Communications, die Sony-Gruppengesellschaft hinter dem Internetdienst So-net, teilte am 27. Oktober 2026 mit, eine unbefugte Partei habe auf die So-net-Mitgliederdatenbank zugegriffen und 2.585.481 Kundendatensätze offengelegt. Die Mitteilung des Unternehmens, auf Japanisch veröffentlicht, teilt diese Zahl in 2.141.986 So-net-Einträge und 443.495 Datensätze von plala (S Course). Plalas S Course ist der Dienst unter NTT Docomos Docomo Hikari, den Docomo bei Sony Network Communications einkauft, die kleinere Zahl erreicht also Menschen, die nie ein Sony-Konto hatten.

Zum Weiterlesen: Spanien verzeichnet erste Datenpanne, die ein autonomer KI-Agent ausgeführt hat · Leakers$ kaperten öffentliche LED-Werbetafeln in Ägypten, Malaysia und Brasilien.

Der Zugriff blieb vier Tage unbemerkt. Er erfolgte am 19. Oktober und wurde am 23. Oktober entdeckt, als Sony die kompromittierten Server abschaltete und die externe Kommunikation blockierte. Das Unternehmen veröffentlichte seine Mitteilung am 27. Oktober und meldete den Vorfall der japanischen Kommission für den Schutz personenbezogener Daten. Ursache und volles Ausmaß werden noch untersucht.

Was die 2,58 Millionen Datensätze enthalten

Die offengelegten Felder sind der übliche Inhalt einer Mitgliederdatenbank:

• Identität: vollständige Namen, Geburtsdaten und Geschlecht.
• Kontakt: Telefonnummern und E-Mail-Adressen.
• Konto: Nutzerkennungen und Internetverbindungskennungen.

Sony zufolge waren keine Bankdaten, Kreditkartennummern oder anderen Kontodetails in den Datensätzen. Das begrenzt eine Art von Schaden. Harmlos macht es die Liste nicht, weil die entwendeten Felder genau die sind, mit denen anderswo Identität belegt wird.

Die Zahl zählt außerdem Datensätze. Sony hat keine Zahl einzelner Personen veröffentlicht, und eine Person kann in mehr als einem Eintrag auftauchen. Die 54.401 Datensätze mit E-Mail-Adresse und Passwort stehen völlig außerhalb der 2.585.481, und Sony hat nicht mitgeteilt, ob sich die beiden Sätze überschneiden. Docomos Mitteilung an die eigenen Kunden umfasst eine separate Gruppe. Addiert man die Zahlen, entsteht eine Zahl, die größer ist als die Belege.

Die Verbindung zu Docomo Hikari

Docomo Hikari wird von NTT Docomo verkauft, der Dienst dahinter ist aber der S Course von plala, den Sony Network Communications im Auftrag liefert. Diese Konstruktion ist der Grund, warum eine Datenpanne bei einer Sony-Tochter die Kunden von Docomo trifft. Docomo informierte sie am 27. Oktober und teilte mit, der Vorfall betreffe alle aktuellen Hikari-Kunden sowie alle, die in den sechs Monaten zuvor gekündigt haben.

Die beiden Erklärungen passen nicht aufeinander. Sony zählt 443.495 Datensätze von plala (S Course). Docomo beschreibt eine betroffene Gruppe aus allen aktuellen Hikari-Kunden plus kürzlichen Kündigungen. Keines der Unternehmen hat eine Abstimmung veröffentlicht, und die Zahl der Datensätze ist in keine Richtung eine Kundenzahl.

Docomos Hinweis ging über die Zahl der Datensätze hinaus. In einer separaten Warnung forderte das Unternehmen Kunden auf, auf Phishing-Mails und gefälschte Websites zu achten, die sich als sein d POINT Club und als Kampagne der Universal Studios Japan ausgeben. Die gefälschten Nachrichten teilen den Empfängern mit, sie hätten Tickets gewonnen, und verlangen persönliche Daten für einen Preis, den es nicht gibt. Die Nachrichten nutzen eine echte Datenpanne bei einem echten Zulieferer, damit ein falsches Angebot plausibel wirkt.

Das ist für die meisten Betroffenen die praktische Gestalt dieses Vorfalls. Die meisten werden kein japanisches PDF einer Sony-Tochter lesen. Sie bekommen eine E-Mail oder eine SMS, die ihren Namen, ihren Anbieter oder ihre Adresse bereits kennt, und die nach einem weiteren Detail fragt.

54.401 Passwörter in einem zweiten Satz

Neben der Kundendatenbank wurden Sony zufolge 54.401 E-Mail-Adressen mehrerer E-Mail-Dienste zusammen mit Kontopasswörtern offengelegt. Das Unternehmen rät betroffenen Nutzern, diese Passwörter zu ändern. Es hat die E-Mail-Dienste nicht genannt, wer in diesem Satz steckt, kann sich also nicht allein anhand der öffentlichen Mitteilung erkennen.

Dieser Satz ist der unmittelbar gefährlichere von beiden, und der, der am ehesten falsch gelesen wird. Eine E-Mail-Adresse und ein funktionierendes Passwort lassen sich direkt gegen jeden anderen Dienst verwenden, bei dem dasselbe Paar wiederverwendet wurde. Die gestohlenen Datensätze müssen keine Bankdaten enthalten, damit jemand Geld verliert, weil das Passwort ein Konto öffnen kann, das welche enthält. Sony hat nicht beschrieben, wie die Passwörter gespeichert waren, ob sie so verwendbar sind, ist also unbekannt.

Die Kundendatensätze sind ein anderes Problem mit einem längeren Nachlauf. Name, Geburtsdatum, Telefonnummer und E-Mail-Adresse reichen für einen überzeugenden Erstkontakt und für Antworten auf Fragen, die manche Dienste noch als Identitätsnachweis behandeln.

Warum eine ISP-Liste es wert ist, gestohlen zu werden

Ein Internetanbieter hält die Abrechnungsbeziehung, den Login und die physische Leitung. Selbst ohne Zahlungsdaten beschreiben die übrigen Felder eine Person und den Dienst, von dem sie abhängt. Diese Kombination trägt Phishing, das wie eine Kontomitteilung klingt, Anrufe, die eine echte Kundennummer nennen, und Versuche, Passwörter anderswo zurückzusetzen, mit Angaben, die das Ziel wiedererkennt. Die Telefonnummer zählt so viel wie die E-Mail-Adresse, weil ein Anrufer, der Name und Anbieter schon kennt, ein Skript hat.

Die Verbindungskennungen sind das am wenigsten selbsterklärende Feld der Liste. Sony nennt sie Internetverbindungskennungen; ob sie genutzt werden können, um die Leitung eines Kunden zu erreichen, oder nur, um das Konto intern zu identifizieren, hat das Unternehmen nicht erklärt. So oder so verbinden sie einen Datensatz mit einem bestimmten Dienst, was mehr ist, als eine Marketingliste bietet. Die Mitteilung erklärt nicht, was die Kennungen preisgeben.

Nichts von dem, was bisher veröffentlicht wurde, zeigt eine Nutzung der Daten. Sony und Docomo erklärten beide mit Stand 27. Oktober, sie hätten keinen Missbrauch bestätigt. Das ist eine Aussage über Belege, nicht über Risiko. Das Fehlen einer Bestätigung zum Zeitpunkt der Offenlegung sagt nicht, ob die Liste bereits kursiert.

Eine Serie von Datenpannen in Japan

Sonys Offenlegung kam mitten in einer ungewöhnlich schlechten Phase für japanische Netzbetreiber. GMO Internets Onamae Desktop Cloud wurde von Schadsoftware getroffen, bis zu 27.000 Kundenserver waren betroffen. Der Bericht von BleepingComputer über Sonys Mitteilung nennt außerdem KDDI, wo eine Datenpanne 12 Millionen Kunden betraf, IDC Frontier, das von Ransomware getroffen wurde, und NTT, wo Anfang 2025 Daten von 18.000 Geschäftskunden gestohlen wurden.

Die Abfolge war verdichtet. GMO forderte Kunden auf, ihre PCs abzuschalten, während das Unternehmen am 27. Oktober eine Ransomware-Bedrohung bearbeitete, am selben Tag, an dem Sony seine Mitteilung veröffentlichte. Die Japan Times berichtete, die Regierung habe am Montag, 26. Oktober, Dringlichkeitssitzungen abgehalten, um eine Reaktion zu planen. Der zeitliche Abstand ist eng. Keine der Berichte verbindet die Vorfälle, und getrennte Datenpannen bei getrennten Unternehmen können eine Woche im Kalender füllen, ohne sich einen Angreifer zu teilen.

„Die derzeitige Rate an Datenpannen ist so beispiellos und bedrohlich, dass die japanische Regierung am Montag Dringlichkeitssitzungen abhielt, um ihre Reaktion zu planen.“ — BleepingComputer, Bill Toulas, 28. Oktober 2026

Was betroffene Kunden tun können

Die einzige Anweisung, die Sony gibt, lautet, das Passwort jedes Kontos zu ändern, das mit den 54.401 offengelegten E-Mail-Adressen verbunden ist. Wer dasselbe Passwort anderswo verwendet hat, sollte es auch dort ändern, und ein Passwortmanager macht das praktisch statt theoretisch. Zwei-Faktor-Authentifizierung bei E-Mail- und Bankkonten deckt den Fall ab, in dem ein Passwort bereits bekannt ist. Ein Passwortwechsel beendet keine Sitzung, die schon offen ist, das Abmelden anderer Geräte und das Prüfen der Wiederherstellungsoptionen gehören deshalb zur selben Aufgabe.

Für Kunden von Docomo Hikari ist die einschlägige Warnung die vor Phishing. Nachrichten über den d POINT Club oder Tickets für die Universal Studios Japan sollten als falsch behandelt werden, besonders wenn sie kurz nach der Datenpanne eintreffen und Informationen verlangen, um einen Preis freizugeben. Die Mitteilung von Docomo sollte direkt geprüft werden und nicht über einen Link in der Nachricht.

Einschränkungen

Sony hat den Weg des Eindringens nicht veröffentlicht, es lässt sich also nicht sagen, ob eine Lücke, ein Zugangsdatum oder ein Zulieferer beteiligt war. Das Unternehmen hat keinen Angreifer genannt und keine forensische Zeitleiste über die beiden Daten hinaus geliefert, den 19. und den 23. Oktober.

• Datensätze sind keine Menschen. Die Zahl 2.585.481 zählt Einträge in Sonys Datenbank. Sony hat keine Zahl einzelner Personen veröffentlicht, und eine Person kann mehrfach erscheinen.
• Der Satz mit 54.401 ist separat. Er gehört nicht zu den 2,58 Millionen, und die Überschneidung zwischen beiden ist nicht geklärt. Sony hat die beteiligten E-Mail-Dienste nicht genannt.
• Kein bestätigter Missbrauch heißt nicht keine Offenlegung. Sony und Docomo erklärten am 27. Oktober beide, keinen Missbrauch gefunden zu haben. Die Daten sind trotzdem in fremder Hand.
• Das Ausmaß kann sich noch ändern. Sony zufolge werden Ursache und voller Umfang untersucht. Die am 27. Oktober veröffentlichte Zahl der Datensätze muss nicht die endgültige sein.
• Die japanische Welle von Datenpannen ist Kontext. KDDI, GMO, IDC Frontier, NTT und Sony sind nicht mit einem gemeinsamen Angreifer verbunden, und die Regierungssitzungen sind kein Beleg dafür.

Die am 27. Oktober veröffentlichte Mitteilung nennt die Zahl und die Daten. Sie sagt nicht, wie der Zugriff geschah oder wie weit er reichte, und Sony hat nicht mitgeteilt, wann mehr folgt.

Titelbild: „Sony headquaters 1.jpg“ von Akonnchiroll, CC BY-SA 4.0, via Wikimedia Commons. Das Foto zeigt Sonys Hauptsitz in Tokio, nicht das Büro von Sony Network Communications.