"123456": Das Passwort, das fast alle Dänen entblößte

Es ist das Passwort, das seit Jahren die Liste der schlechtesten Passwörter der Welt anführt. Es ist das Erste, was ein Angreifer eingibt. Es ist, nach jedem vernünftigen Maßstab, überhaupt kein Passwort. Und laut dänischen Medien ist es das Passwort, das dazu beitrug, die persönlichen Daten von fast neun Millionen Menschen preiszugeben.

Mindestens drei Konten bei Pays ApS, einem kleinen dänischen IT-Unternehmen mit Sitz in Odense, sind mit einer größeren Verletzung des dänischen Personenstandsregisters verbunden. Das zentrale Handelsregister führte das Unternehmen im Juli 2026 mit nur zwei Mitarbeitern. Der kompromittierte Zugang erlaubte einem Hacker angeblich, Informationen zu etwa 8,8 Millionen dänischen Zentralen Personenregisternummern (CPR) abzurufen — wodurch potenziell persönliche Daten eines erheblichen Teils der dänischen Bevölkerung offengelegt wurden.

Die Administratoren des Unternehmens sollen „123456“ verwendet haben, um Systeme mit Zugang zur öffentlichen Infrastruktur zu schützen. Pays ApS bestätigte dem dänischen Sender TV 2, dass es das Unternehmen war, dessen Zugang zum CPR-Register kompromittiert worden war. „Wir können bestätigen, dass wir das Unternehmen sind, das einem Angriff ausgesetzt war, bei dem unser rechtmäßiger Zugang zur Suche nach Informationen im CPR-System missbraucht wurde“, sagte Geschäftsführerin und Eigentümerin Sophie Laursen.

Ein anonymer Hacker erklärte Politiken am Donnerstag, er sei verantwortlich und behauptete, der Zugang sei nicht besonders schwierig gewesen. Seiner Darstellung zufolge begann die Intrusion mit einem geleakten Passwort eines ehemaligen Mitarbeiters. Der Angreifer nutzte angeblich diesen Zugang, um das CPR-System zu erreichen, und schrieb dann zwei Computerprogramme, um Informationen abzurufen und außerhalb des Registers zu speichern. Der Hacker gab an, keine Pläne zu haben, die Daten zu verkaufen oder zu veröffentlichen.

Der gemeldete Zugriff dauerte 21 Tage und 17 Stunden, beginnend am 10. September.

Die Frage, die nun die dänischen Behörden plagt, ist so unangenehm wie offensichtlich: Warum hatte ein Unternehmen mit zwei Mitarbeitern Zugang zu den persönlichen Daten einer ganzen Bevölkerung? CPR ist Dänemarks zentrale Personenstandsdatenbank, die Informationen zu etwa 11 Millionen registrierten Personen enthält – aktuelle Einwohner, ins Ausland gezogene und Verstorbene. CPR-Nummern werden häufig verwendet, um Personen im Umgang mit öffentlichen Institutionen und privaten Organisationen zu identifizieren, und mehrere Organisationen können autorisierten Zugang zu Registerinformationen erhalten, wenn sie Adressen überprüfen oder Mitgliederlisten pflegen. Diese Regelung ermöglicht routinemäßige Verwaltungsarbeiten, ohne manuell Details von Einzelpersonen zu erfassen. Es bedeutet aber auch, dass die Sicherheit des Registers teilweise von den Sicherheitspraktiken jeder Organisation abhängt, die es abfragen darf.

Für dänische Bürger sind die unmittelbaren Folgen weniger katastrophal, als das Ausmaß der Verletzung vermuten lässt. Dänemark stützt sich stark auf MitID, sein Zwei-Faktor-Authentifizierungssystem, sodass die Offenlegung einer CPR-Nummer allein nicht ausreicht, um sich als jemand auszugeben. Aber CPR-Nummern können bei Social-Engineering- und Phishing-Angriffen ausgenutzt werden, um weitaus überzeugendere Nachrichten zu erstellen, und Cyberkriminelle können die Daten mit früheren Verstößen abgleichen, um genaue Profile potenzieller Opfer zu erstellen.

Die dänischen Behörden haben die Bürger davor gewarnt, besonders vorsichtig bei unerwünschten Textnachrichten, Telefonanrufen und E-Mails zu sein, die persönliche Informationen enthalten oder von seriösen Organisationen zu stammen scheinen. Man sollte niemals Passwörter, Einmal-Authentifizierungscodes oder andere sensible Informationen als Antwort auf solche Anfragen weitergeben.

Vorerst sieht sich Dänemark einer bekannten Wahrheit des digitalen Zeitalters gegenüber: Die Sicherheit einer Nation ist nur so stark wie das schwächste Passwort in ihrer Lieferkette. Es dauerte einundzwanzig Tage, bis jemand mit den Daten von Millionen wegging. Es brauchte den Login eines ehemaligen Mitarbeiters und sechs Ziffern, um einzudringen.

Geschrieben von Freya Stensrud freya.stensrud@alpineweekly.com