Capcom-Datenleck: 11,7 Millionen CAPCOM-ID-Konten betroffen

Die schnelle Antwort: Der japanische Spielehersteller Capcom (Monster Hunter, Resident Evil, Street Fighter) hat am 22. Oktober 2026 einen Hack seines Kontosystems CAPCOM ID bestätigt. Abgeflossen sind E-Mail-Adressen, Login-Zeitpunkte und die letzte IP-Adresse von 11,7 Millionen Konten weltweit. Passwörter und Kreditkarten sind laut Capcom nicht betroffen. Wer eine CAPCOM ID besitzt, sollte jetzt mit gezieltem Phishing rechnen.

Was bei Capcom passiert ist

CAPCOM ID ist das zentrale Benutzerkonto des Spieleherstellers. Spieler nutzen es für Online-Funktionen und Webdienste rund um Reihen wie Street Fighter, Monster Hunter oder Resident Evil, häufig verknüpft mit ihrem Konto bei Steam, PlayStation, Xbox oder Nintendo. Genau dieses Kontosystem haben Unbekannte angegriffen. Laut der offiziellen Mitteilung von Capcom vom 22. Oktober 2026 fiel der Zugriff am 19. Oktober auf, wurde blockiert, und schon einen Tag später stand fest, dass Kundendaten abgeflossen sind.

Anders als bei vielen Leaks, über die wir berichten, handelt es sich hier nicht um eine Behauptung aus einem Hackerforum, sondern um eine vom Unternehmen selbst bestätigte Zahl. Wie BleepingComputer berichtet, hat sich bisher keine Gruppe zu dem Angriff bekannt, und Capcom nennt den Einfallsweg nicht. Das Unternehmen erklärt lediglich, die Angriffsmethode identifiziert und Gegenmaßnahmen ergriffen zu haben. Spiele und Onlinedienste laufen weiter. Wie viele der 11,7 Millionen Konten auf Spieler in Deutschland, Österreich und der Schweiz entfallen, hat Capcom nicht aufgeschlüsselt. Angesichts der Verbreitung der Reihen im DACH-Raum ist aber von einer sehr großen Zahl auszugehen.

Welche Daten abgeflossen sind und was daraus folgt

Auf den ersten Blick wirkt die Liste harmlos: kein Passwort, keine Kreditkarte, keine Anschrift. Das täuscht. Die Kombination ist genau das, was Betrüger für überzeugendes Phishing brauchen, also für gefälschte Nachrichten, die Sie zur Eingabe Ihrer Zugangsdaten auf einer nachgebauten Seite bewegen sollen.

Der eigentliche Hebel ist der Kontext. Eine Mail mit dem Satz "Am 14. Oktober um 21:32 Uhr gab es eine Anmeldung bei Ihrer CAPCOM ID von der IP-Adresse ..." enthält ab jetzt womöglich echte Werte. Viele Menschen halten eine Nachricht für glaubwürdig, sobald sie ein Detail darin wiedererkennen. Genau darauf setzen Täter beim Spear-Phishing, also bei Betrugsversuchen, die auf eine bestimmte Person zugeschnitten sind statt wahllos gestreut.

Eine abgeflossene Adresse lässt sich nicht zurückholen, aber Sie können erfahren, wenn sie in einem weiteren Leak auftaucht, statt es aus der nächsten Betrugsmail zu schließen. Frühwarnung für Ihre Spieleradresse einrichten.

Bin ich betroffen? Die Prüfung in vier Fragen

Capcom informiert Betroffene nach eigenen Angaben schrittweise. Bis die Mail bei Ihnen ankommt, können Tage vergehen, und manche Benachrichtigung landet im Spam-Ordner. Gehen Sie deshalb die folgenden Fragen selbst durch:

Ob dieselbe Adresse auch schon in früheren, bereits veröffentlichten Datenpannen steckt, sagt Ihnen ein kurzer Abgleich. Kostenlos prüfen, ob Ihre E-Mail-Adresse in bekannten Leaks vorkommt.

Was Sie jetzt konkret tun sollten

Die folgenden Schritte kosten Sie zusammen etwa eine Viertelstunde. Die Reihenfolge ist bewusst gewählt: erst das Postfach, dann die Spielekonten.

• 1. Keine Links aus Mails zum Vorfall öffnen: Auch die echte Benachrichtigung von Capcom brauchen Sie nicht anzuklicken. Rufen Sie die CAPCOM-ID-Seite immer selbst über capcom.com oder aus dem Spiel heraus auf. Capcom rät ausdrücklich zur Vorsicht bei unerwarteten Nachrichten mit Links oder Anhängen und bei Bitten um zusätzliche Daten.
• 2. Wiederverwendete Passwörter ersetzen: Haben Sie das CAPCOM-ID-Passwort auch woanders genutzt, ändern Sie es zuerst beim E-Mail-Postfach, dann bei Steam, PlayStation Network, Xbox und Nintendo. Welche Konten bei einem Passwort-Treffer Vorrang haben, zeigt unsere Anleitung mit der festen Reihenfolge für die erste Stunde nach einer Passwort-Warnung.
• 3. Zwei-Faktor-Schutz auf den Plattformen einschalten: Steam Guard, die Zwei-Faktor-Authentifizierung bei PlayStation und Nintendo sowie die Microsoft-Kontosicherheit für Xbox sorgen dafür, dass ein Passwort allein nicht genügt. Das ist der wirksamste Schutz gegen eine Kontoübernahme.
• 4. Verknüpfungen und Kontoaktivität prüfen: Schauen Sie in den Einstellungen Ihrer CAPCOM ID nach, welche Plattformkonten verknüpft sind, und entfernen Sie Verknüpfungen, die Sie nicht kennen. Prüfen Sie auf den Plattformen die zuletzt angemeldeten Geräte und melden Sie unbekannte Sitzungen ab.
• 5. Lockangebote ignorieren: Rechnen Sie in den kommenden Wochen mit angeblichen Entschädigungen, Gratis-Inhalten für Monster Hunter oder Street Fighter und "Sicherheitsprüfungen" Ihres Kontos. Kein seriöser Anbieter verlangt dafür Ihr Passwort, einen Bestätigungscode oder Zahlungsdaten per Mail, Discord oder Chat.
• 6. Spielekonten vom Hauptpostfach trennen: Legen Sie für Spiele, Launcher und Fan-Shops eine eigene Adresse an. So trifft der nächste Leak nicht das Postfach, über das Ihr Online-Banking läuft. Eigene Gaming-Adresse im Wegwerf-E-Mail-Postfach anlegen.

Ein Passwortwechsel heute schützt vor dem Angriff von heute. Gegen die Liste, die nun womöglich weitergereicht wird, hilft nur, rechtzeitig von neuen Funden zu erfahren. Darknet-Überwachung für Ihre E-Mail-Adresse aktivieren.

Warum gerade Spielerkonten ein lohnendes Ziel sind

Gaming-Konten werden oft unterschätzt. Sie enthalten selten Bankdaten, sind aber über verknüpfte Plattformkonten, gekaufte Inhalte und seltene Gegenstände mit echtem Geldwert verbunden. Hinzu kommt, dass viele Spieler sehr jung angefangen haben und ihre Konten mit einfachen, mehrfach genutzten Passwörtern angelegt haben, die nie geändert wurden. Ein Konto, das seit Jahren nicht mehr benutzt wird, fällt bei einer Übernahme zudem niemandem auf.

Für Eltern ist der Fall deshalb doppelt relevant. Hat Ihr Kind eine CAPCOM ID, etwa für ein Online-Spiel, dann ist mit hoher Wahrscheinlichkeit auch dessen Adresse betroffen, und Kinder fallen auf Gratis-Versprechen in Spielen besonders leicht herein. Sprechen Sie mit Ihrem Kind darüber, dass Capcom, Steam oder PlayStation niemals per Chat nach einem Passwort oder Bestätigungscode fragen.

Häufige Fragen zum Capcom-Datenleck

Warum ein einmaliger Check nach dem Capcom-Leak nicht reicht

Capcom kennt die Gesamtzahl, aber wer die Daten jetzt besitzt und was damit geschieht, weiß niemand. Die Benachrichtigungen laufen gestaffelt, und gestohlene Datensätze tauchen meist nicht sofort offen im Darknet auf: Oft werden sie zunächst im kleinen Kreis verkauft oder von den Tätern selbst für Phishing genutzt und erst Wochen oder Monate später breit gehandelt oder als komplettes Paket veröffentlicht. Ein Check, der heute nichts findet, ist deshalb keine Entwarnung. Unser Darknet-Radar gleicht Ihre hinterlegte E-Mail-Adresse zweimal täglich mit neu bekannt gewordenen Datenpannen ab und benachrichtigt Sie beim nächsten Abgleich, sobald sie dort auftaucht. Der kostenlose Check zeigt nur Leaks, die bereits veröffentlicht sind, vor künftigen Funden warnt erst das laufende Monitoring. Benachrichtigt werden, wenn Ihre Capcom-Adresse in einem neuen Leak auftaucht.