Am 19. Oktober 2026 ist ein Dritter in das Capcom-ID-System eingedrungen. 11.774.247 Konten sind betroffen, die meisten davon mit E-Mail-Adresse, Login-Metadaten und IP-Adresse. Capcom hat die Lücke geschlossen, die Behörden eingeschaltet und warnt vor Phishing. Was das Unternehmen nicht sagt: Wie der Angreifer hineinkam. Und warum es nach 2020 wieder passieren konnte.
Was geleakt ist – und was nicht
Die offizielle Mitteilung vom 22. Oktober listet die Schäden in drei Stufen. Stufe eins: 11.774.247 Datensätze mit E-Mail-Adresse und System-Identifikatoren – Erstellungsdatum, letzter Login, Anzahl der Logins, Client-IP des letzten Logins. Stufe zwei: 43 Konten, bei denen zusätzlich Geburtsdatum, Geschlecht, Land/Region und Nickname abgeflossen sind. Stufe drei: 196 Konten, deren Passwort ohne Autorisierung geändert wurde – diese Passwörter hat Capcom bereits zurückgesetzt.
Was nicht betroffen ist: die von den Nutzern selbst gesetzten Passwörter und alle Kreditkartendaten. Der Multiplayer-Betrieb von Street Fighter 6 und Monster Hunter Wilds läuft laut Capcom ohne Einschränkungen weiter. Die eigentliche Gefahr liegt eine Ebene höher: Wer E-Mail-Adresse, Login-Historie und IP-Adresse kombiniert, kann Phishing-Mails bauen, die wie echte Capcom-Nachrichten aussehen. Die Aufforderung des Publishers, keine Links in verdächtigen Mails zu öffnen, ist deshalb keine Floskel, sondern die einzige Schutzmaßnahme, die den Nutzern bleibt.
Warum die Capcom ID mehr ist als ein optionales Extra
Die Capcom ID ist der Schlüssel zu fast allem, was der Publisher online anbietet. Street Fighter 6 verlangt sie für sämtliche Online-Funktionen. Monster Hunter Wilds belohnt die Verknüpfung mit einem Item-Paket, das ohne Account verfällt. Und selbst Singleplayer-Titel wie Dragon’s Dogma 2 nutzen Netzwerkdienste, für die ein Capcom-Account nötig ist.
Die Zahl der registrierten Nutzer lag im Februar 2026 bei über 10 Millionen. Mit 11,7 Millionen betroffenen Datensätzen liegt die Kompromittierungsquote also bei über 100 Prozent der offiziell kommunizierten Basis – ein statistischer Widerspruch, der sich nur damit erklärt, dass Capcom entweder die eigene Nutzerzahl zu niedrig angesetzt hat oder inzwischen viel mehr Konten existieren als im Februar. Beide Erklärungen sind für ein Unternehmen dieser Größe unangenehm. Für die Betroffenen ist die Rechnung einfacher: Wer eine Capcom ID besitzt, ist mit hoher Wahrscheinlichkeit dabei. Wie Capcom gegen Spoiler kämpft, zeigt, dass der Publisher bei anderen Sicherheitsthemen durchaus laut wird — bei diesem bleibt er auffällig still.
Sechs Jahre nach Ragnar Locker: Derselbe Fehler, größerer Schaden
Im November 2020 traf Capcom ein maßgeschneiderter Ransomware-Angriff der Gruppe Ragnar Locker. Die Angreifer stahlen rund 1 Terabyte Daten und forderten 11 Millionen Dollar Lösegeld. Capcom schaltete Teile des Netzwerks ab, untersuchte monatelang und veröffentlichte insgesamt vier Pressemitteilungen. Die damals gestohlenen Daten umfassten Namen und Adressen von Kunden und ehemaligen Mitarbeitern.
Der aktuelle Vorfall unterscheidet sich in einem entscheidenden Punkt: 2020 war ein Ransomware-Angriff auf die Unternehmens-IT. 2026 ist es ein direkter Zugriff auf das zentrale Kundenkonto-System – die Schnittstelle, über die Millionen von Spielern ihre Plattform-Accounts mit Capcom verbinden.
Die Angriffsmethode hat Capcom nach eigenen Angaben „identifiziert und adressiert“, aber nicht öffentlich gemacht. Ohne diese Information lässt sich nicht bewerten, ob die 2020er-Lehren gezogen wurden oder ob dieselbe Art von Schwachstelle – ein veraltetes VPN-Gerät war damals der Einstiegspunkt – erneut getroffen hat. Die Behörden ermitteln: Am 21. Oktober meldete Capcom den Vorfall an die Polizei der Präfektur Osaka und an Japans Personal Information Protection Commission.
Dass Capcom bei KI-generierten Assets auf klare Grenzen pocht, während die eigene Sicherheitsarchitektur offenbar nicht dieselbe Aufmerksamkeit erhält, ist ein Muster, das sich durch die jüngere Unternehmenskommunikation zieht.
