Am 9. Oktober 2026 meldete JR East, dass bei zwei Mitgliederdiensten, darunter der Bahn-Buchungsdienst Ekinet, bis zu rund 2,06 Millionen Datensätze möglicherweise offengelegt wurden.
Die Reaktion im Netz war verständlich: „Ich will doch nur eine Zugfahrkarte kaufen! Warum muss ich ständig Ampelbilder auswählen, während Angreifer offenbar hineinkommen?“
Es klingt wie eine Satire auf das Internet. Der Kunde bewältigt einen Hindernislauf aus Bilderrätseln, bevor er buchen darf, und dann erscheint die Nachricht über einen möglichen Datenabfluss.
Doch ein Punkt wird oft übersehen: Die offiziellen Mitteilungen sagen nicht, dass der Angreifer das Bilderrätsel der Buchungsseite gelöst oder umgangen hat. Der Zugang für Reisende und der gemeldete Angriffsort sind zwei verschiedene Dinge.
1. Was ist tatsächlich passiert?
JR East erklärte, dass ein externer Dienst betroffen war, den das Unternehmen zum Versand von E-Mails an Mitglieder verwendete. Versandaufzeichnungen mit einigen E-Mail-Adressen könnten von Dritten eingesehen oder abgegriffen worden sein.
Der Vorfall steht im Zusammenhang mit einem unbefugten Zugriff auf IDCF Cloud von IDC Frontier. Das Unternehmen meldete Störungen ab etwa 3:40 Uhr am 7. Oktober. Es bestätigte einen Angriff, bei dem Systeme gesperrt werden können, um Geld zu erpressen, und nannte 495 betroffene Kundenorganisationen, darunter Unternehmen und Kommunalverwaltungen.
„Möglicherweise offengelegt“ bedeutet nicht, dass alle genannten Datensätze nachweislich gestohlen wurden. Wie die Angreifer genau eingedrungen sind, wurde zum Zeitpunkt der Meldung noch untersucht.
2. Zwei unterschiedliche Türen
Ein normaler Kunde öffnet die Buchungsseite, passiert Prüfungen gegen automatisierte Massenzugriffe, meldet sich an und verwaltet seine eigene Reise.
Die nun gemeldeten Daten waren hingegen mit einem externen E-Mail-Versanddienst verbunden. Es wurde nicht bekannt gegeben, jemand sei durch die öffentliche Buchungsseite eingedrungen und habe dort die gesamte Mitgliederliste heruntergeladen.
Stellen wir uns einen Bahnhof vor, dessen Fahrkartensperre wie eine Festung bewacht wird. Die Post lagert jedoch in einem anderen Gebäude. Eine sichere Fahrkartensperre verriegelt nicht automatisch die Türen des Nachbargebäudes.
Reisender: „Ich komme nicht mal durch die Sperre!“
Vorfall: „Ich fand im Haus nebenan statt.“
Reisender: „Wie bitte?!“
Der Witz zeigt zugleich den entscheidenden Unterschied bei der Einordnung des Vorfalls.
3. Was beweist die Aufgabe mit den Ampelbildern?
„Ich bin kein Roboter“ oder „Wählen Sie alle Ampeln aus“ soll vor allem bestimmte missbräuchliche Massenzugriffe durch automatische Programme eindämmen.
Die Aufgabe prüft nicht, ob ein Mensch gute oder schlechte Absichten hat. Ein gelöstes Rätsel ist auch keine Erlaubnis, fremde Daten zu lesen. Ein böswilliger Angreifer kann schließlich ebenfalls ein Mensch sein.
Wer alle Ampeln korrekt erkennt, sollte deshalb noch lange nicht die Fahrkarten anderer Personen oder Millionen von Einträgen lesen können. Passwörter, zusätzliche Identitätsprüfungen und Beschränkungen für den Zugriff auf Daten haben jeweils unterschiedliche Aufgaben.
Ein frei erfundener Dialog:
Reisender: „Ich bin wirklich ein Mensch!“
Rätsel: „Bestätigt.“
Reisender: „Kann ich jetzt endlich buchen?“
Rätsel: „Dafür ist die nächste Abteilung zuständig.“
Menschlichkeit nachgewiesen. Geduld des Reisenden nicht geprüft.
4. Warum scheitern dann auch echte Nutzer ständig?
Beschwerden über wiederholte Bilderrätsel, träge Webseiten und immer neue Zahlungsprüfungen erklären, warum die Nachricht so viel Frust ausgelöst hat.
Allgemein können Systeme, die automatische Zugriffe erkennen sollen, einen harmlosen Besucher für verdächtig halten. Gemeinsam genutzte Netzwerke oder Verbindungsfehler können zusätzliche Hürden schaffen.
Diese Möglichkeiten beweisen aber nicht die technische Ursache eines konkreten Problems bei Ekinet. Ebenso wenig belegen sie, dass der Angreifer ein Bilderrätsel überwunden hat.
Trotzdem ist die Frage der Fahrgäste berechtigt: „Wenn ich so viele Prüfungen bestehen muss, wie werden dann die Daten geschützt, die das Unternehmen externen Dienstleistern überlässt?“
5. Wenn ein einziges Rätsel 2,06 Millionen Datensätze freigeben würde
Die nächste Szene ist vollständig erfunden.
Angreifer: „Ich möchte alle Mitgliederdaten.“
Rätsel: „Wählen Sie sämtliche Zebrastreifen aus.“
Angreifer: „Erledigt.“
Rätsel: „Glückwunsch! Sie gewinnen 2,06 Millionen Datensätze!“
Das wäre kein Schutzmechanismus, sondern ein Escape Room, bei dem persönliche Daten den Hauptpreis bilden.
Es gibt keine Belege, dass der reale Vorfall so ablief. Die Szene ist nur deshalb komisch, weil das gedachte System völlig absurd wäre. Man sollte eine Pointe nicht mit einem bestätigten Angriffsbericht verwechseln.
6. Welche Informationen könnten betroffen sein?
JR East nannte am 9. Oktober folgende Höchstzahlen:
- Ekinet: rund 1,67 Millionen Einträge mit E-Mail-Adressen. Mitglieder des Geschäftskundendienstes Business Ekinet sind ausgenommen.
- Otona no Kyujitsu Club: rund 390.000 Einträge mit E-Mail-Adressen, Mitgliedsnummern, Geburtsdaten und Ablaufdaten von Kreditkarten.
Zusammen sind das bis zu rund 2,06 Millionen Datensätze. Damit ist nicht belegt, dass genauso viele unterschiedliche Menschen betroffen sind.
Laut JR East gehören Namen, Postanschriften, Telefonnummern und vollständige Kreditkartennummern nicht zu den möglicherweise offengelegten Feldern. Ein Ablaufdatum ist nicht die Kartennummer.
7. Worauf sollten Mitglieder achten?
Schon eine E-Mail-Adresse kann zusammen mit dem Namen des genutzten Dienstes helfen, eine täuschend echte Betrugsnachricht zu verfassen.
JR East kündigte an, möglicherweise betroffene Mitglieder später individuell per E-Mail zu informieren. Das macht gefälschte Nachrichten, die solche Mitteilungen nachahmen, besonders gefährlich.
Kommt eine dringende Nachricht über stornierte Tickets, gesperrte Konten oder eine angeblich erforderliche Kartenaktualisierung, öffnen Sie selbst die offizielle Website oder App. Vertrauen Sie nicht einfach dem Link in der Nachricht. Falls Sie auf einer verdächtigen Seite ein Passwort eingegeben haben, ändern Sie es beim echten Anbieter und prüfen Sie andere Konten, bei denen Sie dasselbe Passwort verwenden.
Passwörter wurden in der veröffentlichten Liste möglicher Datenabflüsse nicht genannt. Die Nachricht allein bedeutet also nicht, dass alle sofort ihr Passwort ändern müssen. Verfolgen Sie die weiteren offiziellen Mitteilungen.
8. Sicherheit darf nicht am Haupteingang enden
Bilderrätsel sind nicht grundsätzlich nutzlos. Sie können bestimmte Formen automatisierten Missbrauchs erschweren. Aber mehr Hindernisse für ehrliche Kunden schützen Daten bei externen Dienstleistern nicht automatisch.
Ein Unternehmen muss auch unnötig weitergegebene Informationen reduzieren, Lesezugriffe einschränken, ungewöhnliche Vorgänge früh bemerken und die Wiederherstellung nach Störungen vorbereiten. Gleichzeitig sollte es den normalen Fahrgästen das Leben nicht unnötig schwer machen.
Welche konkrete Schutzmaßnahme in diesem Fall versagte, ist noch zu untersuchen.
Das letzte Bild ist bitterkomisch: Für gewöhnliche Reisende wirkt die Fahrkartensperre uneinnehmbar. Die Nachricht über den Angriff kommt aus einem anderen Gebäude.
Rätsel: „Wir haben bestätigt, dass Sie ein Mensch sind.“
Fahrgast: „Sind meine Daten dann auch sicher?“
Rätsel: „Dafür bin ich nicht zuständig.“
Irgendjemand muss dafür zuständig sein.
