GMOs Angebot von ¥5,000 ist keine Antwort auf die Handelsverluste der Kunden

Wie viel wird GMO Kunden erstatten, deren Handelskonten manipuliert wurden – und wann wird das Geld ausgezahlt? Die Zusage von ¥5,000, etwa US$32, beantwortet keine der beiden Fragen. Dabei handelt es sich um eine Kulanzzahlung für Nutzer von Onamae.com Desktop Cloud, darunter auch Personen, die kein Geld verloren haben. Eine Entschädigung für nachweisbare Verluste durch unbefugten Handel ist eine separate Zusage; entscheidende Prüfregeln und Auszahlungstermine stehen noch nicht fest. ¹⁸

Diese Unterscheidung ist der Kern von GMOs Reaktion auf den unbefugten Zugriff auf den Dienst. Eine Pauschalzahlung erkennt Beeinträchtigungen und Sorgen an; eine Erstattung muss berücksichtigen, was mit dem Geld eines einzelnen Kunden geschehen ist. Wer beides verwechselt, erweckt den Eindruck, das Angebot begrenze Verluste auf ¥5,000 – dafür geben die verfügbaren Bedingungen nichts her. Zudem wird dadurch die schwierigere Aufgabe verschleiert: Aus einem öffentlichen Versprechen eine Abhilfe zu machen, die Kunden tatsächlich nutzen können. ^{4 18}

Die Entschädigungsmitteilungen wurden am 24. Oktober 2026 veröffentlicht. GMO-Internet-Group-Vorstandschef Masatoshi Kumagai machte die Reaktion am folgenden Tag in einem Blogbeitrag öffentlich – die Richtlinie wurde damit nicht erstmals angekündigt. Reuters zitierte in einem Bericht der South China Morning Post seine Beschreibung der Zahlung als „eine erste Geste des guten Willens“. Laut ITmedia wies er in seinem Blogbeitrag die Vorstellung zurück, die Angelegenheit sei damit abgeschlossen. ^{22 2 1 4}

Bei dem betroffenen Dienst handelt es sich um Onamae.com Desktop Cloud, einen virtuellen privaten Server: einen aus der Ferne gehosteten Computer, auf dem Kunden automatisierte Devisenhandelstools ausführen. Betreiber ist GMO Internet, die börsennotierte Tochtergesellschaft mit dem Börsenkürzel 4784. Der Dienst ist nicht mit sämtlichen Broker- oder Devisengeschäften der Gruppe gleichzusetzen. ^{18 12}

Japanische Medien berichten, dass das Angebot von ¥5,000 für aktuelle Nutzer von Desktop Cloud gilt, unabhängig davon, ob ihnen ein finanzieller Schaden entstanden ist. Daraus folgt nicht automatisch, dass auch Kunden anderer Handelsunternehmen von GMO anspruchsberechtigt sind. Der genaue Stichtag für die Anspruchsberechtigung steht noch nicht fest. Daher muss selbst für diese einfachere Zahlung noch genau festgelegt werden, wer sie erhält. ^{18 25}

Die zweite Zusage betrifft tatsächliche, erstattungsfähige Verluste aus unbefugten Transaktionen im Zusammenhang mit dem Angriff. ITmedia berichtet, dass bereits vom Handelsplatz geleistete Erstattungen bei der Berechnung dieser Entschädigung abgezogen werden. Das ist nicht gleichbedeutend mit der Aussage, dass die Kulanzzahlung von ¥5,000 abgezogen wird: Ob sie als Verrechnungsposten behandelt wird, ist nicht geklärt. ¹⁸

Auch legen die verfügbaren offiziellen Bestimmungen weder die vollständigen Nachweisanforderungen noch die Methode fest, mit der GMO feststellen wird, ob eine Transaktion auf diesen Angriff zurückzuführen ist. Ebenso fehlen Angaben zu einer Entschädigungsobergrenze, sämtlichen Ausschlüssen sowie einem endgültigen Antragsverfahren und einer Frist. Die Zusage, unbefugten Handel zu entschädigen, lässt sich nicht ohne Weiteres als bedingungslose Erstattung sämtlicher Handelsverluste verstehen. Marktverluste, nicht autorisierte Transaktionen und entgangene Chancen sind unterschiedliche Dinge; die maßgeblichen Regeln müssen erläutern, welche Verluste erstattungsfähig sind. ^{28 22}

Es gibt eine konkrete Frist. Nutzern wurde zugesagt, bis zum 30. Oktober eine E-Mail mit Informationen dazu zu erhalten, wie sie die Kulanzzahlung bekommen und wann sie ausgezahlt wird. Die Frist betrifft die Anweisungen, nicht die Zusage, dass das Geld an diesem Tag auf einem Konto eingeht. Für die Auszahlung der Kulanzzahlung ebenso wie für die Erstattung von Handelsverlusten steht kein konkreter Termin fest. ¹⁸

Die Chronologie des Vorfalls beginnt vor der Ankündigung der Entschädigung. In einer Mitteilung vom 23. Oktober wird festgehalten, dass am 20. Oktober nicht autorisierte Programme in Serverumgebungen einiger Kunden entdeckt wurden. Damit ist der Zeitpunkt der Entdeckung belegt – nicht jedoch, wann der Angriff begann, wie lange er andauerte oder wie weit er reichte. ²⁴

Es wurde über unbefugte Vorgänge im Zusammenhang mit den Handelskonten von Kunden berichtet. Das belegt jedoch weder, dass jedes mit Desktop Cloud verknüpfte Konto kompromittiert wurde, noch, dass die Brokersysteme der Gruppe selbst angegriffen wurden. GMO Gaika erklärte am 23. Oktober, es habe Berichte über Tools erhalten, die auf Desktop Cloud liefen, zugleich aber keine entsprechenden unbefugten Vorgänge auf Konten eigener Kunden bestätigt. In seiner Mitteilung vom 26. Oktober hielt GMO an dieser enger gefassten Position fest. ^{34 5}

Die unmittelbaren Schutzanweisungen waren konkreter als die noch offenen Einzelheiten zur Erstattung. In seiner Warnmeldung vom 23. Oktober forderte GMO Kunden auf, dringend die Passwörter für Handelskonten und Handelstools zu ändern, angemeldete Sitzungen zu beenden und die Änderungen von einem anderen Gerät aus vorzunehmen; als Beispiel wurde ein Smartphone genannt. ³³

GMO Gaika forderte Kunden außerdem auf, ihre Passkey-Einstellungen zu überprüfen sowie Handels- und Auftragshistorien, offene Positionen und Kontostände zu kontrollieren. Das Unternehmen erklärte, externe automatisierte Handelstools und Programme seien auf seinem Dienst verboten. Dabei handelt es sich um datierte Schutzmaßnahmen und Plattformregeln, nicht um einen Beleg dafür, dass der Angriff eingedämmt wurde. Aus den verfügbaren Mitteilungen geht nicht hervor, ob der Zugang zu Desktop Cloud ausgesetzt oder wiederhergestellt, der Handel deaktiviert oder Auszahlungen eingeschränkt wurden. ^{34 33}

Der genaue Eintrittspunkt, die Identität des Angreifers und das volle Ausmaß des Angriffs sind weiterhin ungeklärt. Ebenso fehlen Zahlen, die eine Einschätzung des finanziellen Umfangs ermöglichen: Es gibt keine verifizierte Gesamtzahl kompromittierter Konten, Kunden mit erstattungsfähigen Verlusten oder des Gesamtschadens und der Entschädigungssumme. Die Zahl aller Anspruchsberechtigten für die Kulanzzahlung wäre keine Zahl der Geschädigten, denn zu dieser Gruppe gehören ausdrücklich auch Nutzer ohne Verluste. ^{24 22 18}

Anleger haben ihre Besorgnis bereits zum Ausdruck gebracht. Die Aktien der börsennotierten Muttergesellschaft GMO Internet Group – Börsenkürzel 9449, nicht das des Betreibers von Desktop Cloud, 4784 – schlossen am 26. Oktober bei ¥3,179, ein Minus von ¥590 beziehungsweise rund 16%. Ein früherer Bericht von Nikkei hielt um 9:50 Uhr Tokioter Zeit ein Tagestief von ¥3,351 fest, ein Rückgang um ¥418 beziehungsweise 11.09%. Der Schlusskurs ersetzt die Momentaufnahme vom Morgen als endgültiges Ergebnis der Sitzung; er widerspricht ihr nicht. ^{12 13}

Reuters führte die Verkäufe auf die Unsicherheit über die Auswirkungen der Kulanzzahlungen und Entschädigungen für unbefugten Handel auf die Erträge zurück. Auch Nikkei beschrieb in seinem Schlussbericht die Sorge der Anleger über wachsende Verluste. Das ist eine dokumentierte Erklärung für die Marktbesorgnis, aber kein Beleg dafür, dass allein die Entschädigung jeden Handel verursacht hat. Das tatsächliche finanzielle Risiko ist weiterhin nicht beziffert. ^{15 13}

Für Kunden wäre die nächste hilfreiche Entwicklung keine weitere allgemeine Beschwichtigung, sondern eine klare Darstellung der Anspruchsberechtigung, der Nachweise, der Berechnung und des Auszahlungszeitpunkts. Der 30. Oktober ist der nächste genannte Prüfpunkt, allerdings nur für die angekündigten Informationen zur Kulanzzahlung. Solange die separaten Erstattungsregeln und -termine nicht klar sind, hat GMO zwar eine wichtige Zusage gemacht, betroffenen Händlern aber noch keine vollständige Antwort darauf gegeben, wie sie ihr Geld zurückerhalten können. ^{18 28}