3.000 Yen für einen Führerschein-Scan: Japans Times-Car-Datenleck und der Preis der Identität
Wie viel ist die Kopie des eigenen Führerscheins wert? Japan hat nun eine konkrete, wenn auch umstrittene Antwort. Park24, der Park- und Mobilitätskonzern hinter dem Carsharing-Dienst Times Car, will rund 1,46 Millionen Nutzern 3.000 Yen in bar oder als Gutschein zahlen – jenen, deren Ausweisbilder bei einem im September entdeckten Cyberangriff aus den Systemen abgeflossen sind.
Die Zahlen hinter der Entschuldigung
Die am Freitag veröffentlichte forensische Untersuchung zeichnet ein breites Bild. Bei etwa 6,6 Millionen Times-Car-Konten griffen die Angreifer auf persönliche Daten wie Namen, Adressen, Geburtsdaten und Führerscheinangaben zu und leiteten sie weiter. Bei einer kleineren Gruppe von rund 1,46 Millionen wurden zudem verschlüsselte Scans von Führerscheinen und ähnlichen Dokumenten abgezogen – diese Gruppe erhält die Zahlung. Park24 rechnet mit Kosten von etwa 4,4 Milliarden Yen und plant für das in diesem Monat endende Geschäftsjahr einen Sonderverlust von 5,5 Milliarden Yen, einschließlich weiterer Kosten des Vorfalls.
Das Unternehmen betont, die Bilder seien verschlüsselt gespeichert gewesen; ihr Abfluss bedeute also nicht, dass sie heute jemand ansehen könne. Zugleich räumt es ein, eine künftige Entschlüsselung sei nicht auszuschließen – genau deshalb zahlt es.
Warum 3.000 Yen manchen zu wenig sind
Eine Anwaltskanzlei sammelt bereits Betroffene für eine Schadensersatzklage; nach eigenen Angaben haben sich mehr als 90.000 Menschen registriert. Sie argumentiert, der Betrag sei angesichts des Risikos von Identitätsmissbrauch und des Aufwands für die Opfer viel zu niedrig. Die Kritik trifft eine echte Asymmetrie: Für das Unternehmen sind 3.000 Yen mal 1,46 Millionen eine schmerzhafte Einmalbelastung. Für eine Person, deren Führerscheinbild Jahre später in einem betrügerischen Kredit- oder Handyvertragsantrag auftaucht, können die Kosten weit höher und viel schwerer nachweisbar sein.
Japan kennt dieses Muster. Entschädigungen von einigen hundert bis einigen tausend Yen sind nach großen Lecks zu einem vertrauten Unternehmensritual geworden. Sie erkennen Schaden an, ohne einen konkreten Verlust einzuräumen, und setzen einen informellen Marktpreis für Privatsphäre, den Gerichte bisher selten im großen Stil infrage gestellt haben.
Die größere Lehre: Nicht sammeln, was man nicht schützen kann
Carsharing-Dienste müssen prüfen, ob jemand fahren darf. Millionen vollständiger Dokumentbilder dauerhaft zu speichern, ist jedoch eine Designentscheidung, kein Naturgesetz. Die Prüfung könnte einmal erfolgen und das Bild danach gelöscht oder durch einen Bestätigungsvermerk ersetzt werden. Jeder gespeicherte Scan ist ein Risiko, das auf einen Angreifer wartet.
Das Leck fällt zudem in eine nervöse Woche für Japans Cybersicherheit: Der Internetkonzern GMO bat die Regierung nach unautorisierten Transaktionen über seine Dienste, eine „aktive Cyberabwehr“ einzuführen. Unternehmen erfahren gerade, dass die Kosten eines Vorfalls heute Entschädigungen, Klagen und Vertrauensverlust umfassen – nicht nur Systemreparaturen.
Für Times-Car-Nutzer ist der praktische Rat unspektakulär: auf ungewöhnliche Post und Anrufe achten, bei Nachrichten mit Bezug auf das Leck misstrauisch sein und, wenn möglich, Kreditauskünfte prüfen. Für alle anderen liefert der Fall eine nützliche Frage an jede App, die ein Foto des Ausweises verlangt: Müsst ihr es wirklich behalten?