Osaka-Datenleck: 1.078.713 E-Mail-Adressen bei Arara Message offengelegt
Veröffentlicht am: 15.11.2026 um 00:14 Uhr | Redaktion boerse-global.de
Die japanische Großstadt Osaka hat am 13. November 2026 die Offenlegung von 1.078.713 E-Mail-Adressen aus ihrem Online-Verwaltungssystem bestätigt. Auslöser für den Datenabfluss war ein Sicherheitsvorfall beim externen E-Mail-Dienstleister Arara Message, einem Dienst der TKC Corporation.
Ursachen und Umfang des Datenabflusses
Nach Angaben der Stadtverwaltung sind alle E-Mail-Adressen betroffen, die im Zeitraum zwischen dem 1. Juli 2026 und dem 31. Oktober 2026 System-Mails aus dem Online-Portal erhalten hatten. Die hohe Zahl an betroffenen Kontakten geht maßgeblich auf eine behördliche Massen-E-Mail zurück, die am 16. September 2026 an sämtliche registrierten Nutzerinnen und Nutzer versendet worden war.
Offengelegt wurden nach Feststellung der Stadt ausschließlich die E-Mail-Adressen. Namen, Daten des Personalausweissystems My Number, Inhalte von Anträgen sowie Texte der versendeten Nachrichten seien nicht kompromittiert worden. Ein direkter Einbruch in die IT-Systeme der Stadt Osaka oder der TKC Corporation selbst lag nicht vor; der unbefugte Zugriff betraf isoliert den von TKC eingesetzten Mailversanddienst Arara Message.
Die Chronologie des Vorfalls reicht bis in den Oktober zurück: Am 22. Oktober 2026 ging Arara wegen einer Schwachstelle in der Programmiersprache PHP offline. Am 28. Oktober 2026 erfolgte der unbefugte Zugriff, woraufhin der Dienst am 31. Oktober 2026 heruntergefahren wurde.
Die Stadt Osaka erhielt am 2. November 2026 von TKC die erste Meldung über ein mögliches Datenleck. Am 4. November 2026 gelang die Eingrenzung auf reine E-Mail-Adressen, bevor die Stadt den Vorfall am 13. November 2026 offiziell bestätigte.
Einschränkungen und Reaktionen der Stadtverwaltung
Der E-Mail-Versanddienst des städtischen Portals ist seit dem 31. Oktober 2026 gegen 17:40 Uhr ausgesetzt. Dadurch sind Neuregistrierungen, Adressänderungen und das Zurücksetzen von Passwörtern im System derzeit nicht möglich. Die Stadt prüft gegenwärtig eine individuelle Benachrichtigung der Betroffenen, kann einzelne Adressen derzeit jedoch nicht bestätigen.
Bürgermeister Yokoyama Hideyuki entschuldigte sich öffentlich für den Vorfall und rief dazu auf, verdächtige Nachrichten nicht zu öffnen. Die Verwaltung warnte die rund 2,8 Millionen Einwohner Osakas davor, Links oder Anhänge in fragwürdigen Mails anzuklicken. Berichte über Folgeschäden liegen bislang nicht vor.
Wer sich nach Berichten über massive Datenlecks um seine digitale Sicherheit sorgt, sollte die Warnzeichen für Phishing-Versuche kennen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie gefälschte Nachrichten entlarven und Ihre Daten wirksam schützen. Die 10 häufigsten Betrugsmaschen jetzt kostenlos entdecken
Zusätzlich veröffentlichte die Stadtverwaltung am 13. November 2026 einen Abschlussbericht zu einem separaten Vorfall im Rahmen ihres Gutscheinprogramms 2026. Dort wurden 48.537 E-Mail-Adressen offengelegt, darunter 33.868 Nutzer und 14.669 teilnehmende Geschäfte.
Auch hier lag die Ursache in einem unbefugten Zugriff auf den Arara-Mailingdienst, der über das Auftragnehmer-Konsortium JTB/EVENTIFY/Giftpad genutzt wurde. In diesem Fall waren E-Mails ab dem 1. Juli 2026 betroffen; die Erstmeldung ging am 6. November 2026 um 20:10 Uhr ein, die Bestätigung durch den Auftragnehmer folgte am 12. November 2026 um 9:00 Uhr.
Weitverzweigte Auswirkungen und Regierungsschritte
Die Vorfälle in Osaka sind Teil eines weit größeren Sicherheitsvorfalls beim Dienstleister. Arara meldete am 6. November 2026 insgesamt 81.329.467 eindeutige E-Mail-Adressen bei bis zu etwa 380 Kunden als betroffen, bei denen teilweise auch Namen, Geburtsdaten, Telefonnummern und Adressen offengelegt wurden.
Besonders bei der Nutzung von E-Mail-Diensten auf mobilen Geräten ist Vorsicht geboten, um Hackern keine Angriffsfläche für Datenmissbrauch zu bieten. Mit fünf einfachen Experten-Maßnahmen lässt sich die Sicherheit Ihres Smartphones deutlich erhöhen und der Zugriff durch Unbefugte verhindern. Kostenlosen Sicherheits-Ratgeber für Smartphones herunterladen
Bereits am 2. November 2026 war bekannt geworden, dass ein Cyberangriff auf Arara rund 77 Millionen Adressen von fast 400 Kunden erfasste, darunter auch Sega. Zwischen dem 28. und 30. Oktober 2026 wurden über die Absenderadresse news@arara.com zudem bis zu rund 7,13 Millionen gefälschte Kreditkarten-Mails verschickt.
Auf nationaler Ebene kündigte Premierministerin Sanae Takaichi am 13. November 2026 infolge der Bedrohungslage ein Notfall-Cyberpaket an. Das Finanzvolumen der Maßnahme wird mit rund 62 bis 63 Millionen US-Dollar beziehungsweise 10 Milliarden Yen beziffert.
