12 Okt. Dänisches Melderegister gehackt – Passwort war 123456

Ein Angriff mit erschreckend einfachen Mitteln

Wenn Sicherheitslücken in kritischer staatlicher Infrastruktur publik werden, sorgt das stets für Aufsehen. Doch der jüngste Vorfall in Dänemark übertrifft viele bisherige Fälle an erschreckender Schlichtheit: Angreifer verschafften sich Zugang zu Dänemarks zentralem Personenregister – und das offenbar mithilfe eines Passworts, das zu den unsichersten der Welt gehört: 123456. Was wie ein schlechter Witz klingt, ist bittere Realität und wirft grundlegende Fragen zur IT-Sicherheit im öffentlichen Sektor auf.

Wie der Angriff ablief

Der Einbruch erfolgte nicht direkt über staatliche Systeme, sondern über einen zwischengeschalteten IT-Dienstleister. Dieser hatte Zugang zu Dänemarks zentralem Melderegister – einem System, in dem personenbezogene Daten nahezu aller dänischen Bürgerinnen und Bürger gespeichert sind. Solche Dienstleister sind in der modernen IT-Infrastruktur allgegenwärtig und stellen aus Angreiferperspektive attraktive Ziele dar: Ein einziger kompromittierter Zugang kann Türen zu mehreren nachgelagerten Systemen öffnen.

Laut Berichten waren mehrere Konten des betroffenen Dienstleisters mit dem Passwort 123456 gesichert – oder zumindest mit ähnlich trivialen Kombinationen. Die Angreifer nutzten diese schwachen Zugangsdaten aus und hatten offenbar über einen längeren Zeitraum, möglicherweise mehrere Wochen, unentdeckten Zugriff auf das Personenregister. Die genaue Dauer des Zugriffs sowie der vollständige Umfang des Datenzugriffs werden noch untersucht.

Das Risiko durch Drittanbieter: Eine unterschätzte Gefahr

Dieser Vorfall illustriert eindrücklich ein Problem, das in der IT-Sicherheitsdebatte oft zu kurz kommt: die Angriffsfläche durch externe Dienstleister. Unternehmen und Behörden investieren erhebliche Ressourcen in den Schutz ihrer eigenen Systeme, vergessen dabei aber mitunter, dass jeder externe Zugang ein potenzielles Einfallstor darstellt.

In der Fachsprache spricht man von sogenannten Supply-Chain-Angriffen oder Third-Party-Risiken. Angreifer suchen dabei bewusst nach dem schwächsten Glied in der Kette – und das ist häufig nicht das Hauptziel selbst, sondern ein Zulieferer oder Dienstleister mit Zugriffsrechten auf kritische Systeme. Der berühmte SolarWinds-Angriff aus dem Jahr 2020 hat dieses Prinzip auf globaler Ebene vorgeführt. Der dänische Fall zeigt, dass solche Szenarien nicht nur große Konzerne oder US-Behörden betreffen, sondern auch europäische Verwaltungen.

Besonders problematisch ist, dass Behörden die Sicherheitspraktiken ihrer Dienstleister oft nur begrenzt kontrollieren können. Zwar lassen sich vertragliche Anforderungen formulieren, doch deren tatsächliche Umsetzung zu überprüfen ist in der Praxis schwierig. Audits, Zertifizierungen und regelmäßige Penetrationstests sind wichtige Werkzeuge – werden aber längst nicht überall konsequent eingesetzt.

Passwort 123456: Ein Symbol für mangelnde Sicherheitskultur

Das verwendete Passwort 123456 steht seit Jahren ganz oben auf den Listen der meistgenutzten und unsichersten Passwörter weltweit. Sicherheitsforscher, Datenschutzbehörden und IT-Experten warnen seit Jahrzehnten davor – und dennoch taucht es immer wieder in Sicherheitsvorfällen auf, sogar in sensiblen beruflichen Kontexten.

Das Problem ist nicht allein technischer Natur. Es handelt sich um ein Versagen der Sicherheitskultur. Wenn Mitarbeitende eines IT-Dienstleisters, der Zugang zu staatlichen Registern hat, derart schwache Passwörter verwenden können, deutet das auf fehlende oder nicht durchgesetzte Passwortrichtlinien hin. Moderne Sicherheitsstandards schreiben längst den Einsatz von Passwort-Managern, Mehrfaktorauthentifizierung (MFA) und regelmäßigen Passwortüberprüfungen vor. Wären diese Maßnahmen konsequent umgesetzt worden, hätte das Passwort 123456 niemals zur Sicherung eines solch kritischen Zugangs dienen können.

Mehrfaktorauthentifizierung ist dabei eine der wirksamsten und zugleich einfachsten Maßnahmen gegen Angriffe dieser Art. Selbst wenn ein Passwort kompromittiert wird, verhindert ein zweiter Authentifizierungsfaktor – etwa ein Einmalcode per App oder SMS – den unbefugten Zugang in den meisten Fällen zuverlässig. Dass diese Technologie offenbar nicht eingesetzt wurde, ist eines der zentralen Versäumnisse in diesem Fall.

Konsequenzen und Lehren für Behörden und Unternehmen

Der Vorfall in Dänemark sollte als Weckruf verstanden werden – nicht nur für dänische Behörden, sondern für öffentliche Verwaltungen und Unternehmen europaweit. Zentrale Personenregister gehören zu den sensibelsten Datenbanken überhaupt. Ein unbefugter Zugriff auf solche Systeme kann weitreichende Folgen haben: von Identitätsdiebstahl über gezielte Phishing-Angriffe bis hin zu politisch motiviertem Datenmissbrauch.

Folgende Maßnahmen sollten auf der Agenda jeder Organisation stehen, die mit sensiblen Daten arbeitet oder Zugang zu kritischen Systemen gewährt:

• Starke Passwortrichtlinien durchsetzen: Komplexe, einzigartige Passwörter sind Pflicht. Passwort-Manager helfen dabei, diese sicher zu verwalten.
• Mehrfaktorauthentifizierung flächendeckend einführen: MFA sollte für alle Zugänge zu sensiblen Systemen verpflichtend sein – ohne Ausnahmen.
• Drittanbieter-Risiken systematisch managen: Externe Dienstleister müssen regelmäßig auf ihre Sicherheitspraktiken überprüft werden. Vertragliche Anforderungen allein reichen nicht aus.
• Zugriffsrechte minimieren: Das Prinzip der minimalen Rechtevergabe (Least Privilege) stellt sicher, dass Dienstleister nur auf die Systeme zugreifen können, die sie tatsächlich benötigen.
• Monitoring und Anomalieerkennung: Ungewöhnliche Zugriffsmuster sollten automatisch erkannt und gemeldet werden, um lange unentdeckte Einbrüche wie im dänischen Fall zu verhindern.

Fazit: Einfache Passwörter haben in kritischer Infrastruktur nichts verloren

Der Angriff auf das dänische Melderegister ist ein erschütterndes Beispiel dafür, wie grundlegende Sicherheitsfehler weitreichende Konsequenzen haben können. Das Passwort 123456 mag banal klingen – die Folgen eines darauf basierenden Datenlecks in einem nationalen Personenregister sind es nicht. Dieser Fall zeigt: IT-Sicherheit ist keine rein technische Aufgabe, sondern eine organisatorische und kulturelle Herausforderung. Behörden und Unternehmen müssen nicht nur in Technologie, sondern auch in Bewusstsein, Schulung und konsequente Sicherheitsprozesse investieren. Denn das schwächste Glied in der Kette bestimmt am Ende das Sicherheitsniveau des gesamten Systems.

Quelle: Angriff auf dänisches Melderegister: Zugangspasswort war offenbar 123456