Eines der vorhersehbarsten Passwörter der Welt könnte zu einem Datenleck beigetragen haben, bei dem die persönlichen Daten von etwa 8,8 Millionen Menschen in Dänemark betroffen waren.
Eine Person, die die Verantwortung für den Einbruch in Dänemarks Zentrales Personenregister (CPR) übernahm, sagte der dänischen Zeitung Politiken, sie habe ein durchgesickertes Passwort eines ehemaligen Mitarbeiters eines dänischen Unternehmens erhalten. Unabhängig davon berichtete laut dem Bericht von The Register vom 13. Oktober, Politiken, dass mindestens drei Konten von Pays ApS, darunter ein Administratorkonto, das Passwort „123456“ verwendeten.
Dänische Behörden haben den unbefugten Zugriff auf das Register bestätigt, aber nicht öffentlich festgestellt, dass das schwache Passwort den ursprünglichen Zugang ermöglicht hat. Neue Berichte deuten außerdem darauf hin, dass der mutmaßliche Angreifer KI-generierten Code verwendet hat, um die Abfrage persönlicher Daten zu automatisieren. Das wirft Fragen zur Sicherheit von Drittanbietern, zum Schutz privilegierter Konten und zur Überwachung verdächtiger Datenbankaktivitäten auf.
Wie das Passwort „123456“ mit dem Datenleck in Verbindung gebracht wurde
Dänemarks Zentrales Personenregister enthält etwa 11 Millionen Datensätze zu derzeitigen Einwohnern, Verstorbenen und Personen, die früher im Land gelebt haben.
In einer staatlichen Mitteilung vom 5. Oktoberbestätigten die dänischen Behörden, dass unbefugte Personen den legitimen Zugriff eines privaten Unternehmens auf das Register ausgenutzt und dadurch Zugriff auf die persönlichen Daten von etwa 8,8 Millionen Menschen erhalten hatten.
Die dänischen Behörden bestätigten den unbefugten Zugriff auf Namen, Adressen, CPR-Nummern und weitere Informationen von etwa 8,8 Millionen registrierten Personen. Die Regierung erklärte, dass geschützte Namen und Adressen von dem unbefugten Zugriff ausgenommen waren und das vollständige Ausmaß der erlangten Informationen noch untersucht werde.
Die Regierung erklärte, ihre Untersuchung dauere an. Die Zahl von 8,8 Millionen umfasst Verstorbene und ehemalige Einwohner und entspricht daher nicht der derzeitigen Bevölkerung Dänemarks. Bei dem betroffenen Unternehmen handelte es sich um Pays ApS. Dessen Geschäftsführerin Sophie Laursen bestätigte am 9. Oktober, dass der legitime Zugriff des Unternehmens auf das CPR-Register zur Suche missbraucht worden war.
Die Person, die die Verantwortung übernahm, sagte Politiken, sie habe zwei Computerprogramme erstellt, um CPR-Daten abzurufen und extern zu speichern. Die dänischen Behörden haben diese Darstellung des Eindringens nicht unabhängig bestätigt.
Laut Berichten des dänischen Nachrichtenanbieters Ritzaulegte die Person Politiken eine Datei mit CPR-Nummern vor. Die Zeitung leitete die Datei an einen Cybersicherheitsexperten weiter, der die Darstellung des Angreifers für plausibel hielt. In weiteren am 13. Oktober veröffentlichten Berichtenerklärte Ritzau, der mutmaßliche Angreifer habe angegeben, ein KI-generiertes Programm verwendet zu haben, um 8.749.975 CPR-Nummern abzurufen.
Zwei Experten untersuchten mehr als 40.000 Codezeilen und kamen zu dem Schluss, dass der Code offenbar von einer KI generiert worden war. Ihre Einschätzung bezog sich auf den mutmaßlichen Ursprung des Codes, nicht auf eine unabhängige Bestätigung der behaupteten Zahl abgerufener Datensätze.
Laut der Berichterstattung von Politiken suchte das Programm irrtümlich nach Personen, die 1877 statt 1977 geboren wurden. Dadurch fehlten CPR-Nummern von Personen mit dem Geburtsjahr 1977 in dem Material, das der mutmaßliche Angreifer der Zeitung übermittelte.
Die dänischen Behörden haben die vom Angreifer behauptete Gesamtzahl der extrahierten Daten nicht unabhängig bestätigt.
Laut von dem dänischen Sender TV 2 erhaltenen Dokumentenhatte die unbefugte Partei etwa 21 Tage und 17 Stunden lang Zugriff auf das CPR-System, beginnend am 10. September.
Über den autorisierten Zugang des Unternehmens wurden etwa 14 Millionen automatisierte Abfragen durchgeführt, Berichten zufolge um gültige CPR-Nummern zu ermitteln. Vorläufige Erkenntnisse deuten darauf hin, dass die unbefugte Aktivität um den 20. September eingestellt wurde. Der kompromittierte Zugang blieb jedoch bis zum 2. Oktober verfügbar, als die Behörden den Vorfall entdeckten und den Zugriff des Unternehmens beendeten.
Laut Dänemarks Datenschutzbehördebeschrieb die Meldung des Datenlecks zahlreiche automatisierte Suchvorgänge, mit denen gültige CPR-Nummern ermittelt werden sollten. Die Behörde erhielt die Meldung am 4. Oktober und leitete eine Untersuchung des Vorfalls ein, einschließlich der Frage, wie er sich ereignete und wer für die Verarbeitung der betroffenen personenbezogenen Daten verantwortlich war.
Die etwa 14 Millionen Suchvorgänge stellen Datenbankabfragen dar, während 8.749.975 die vom mutmaßlichen Angreifer behauptete Zahl abgerufener CPR-Nummern ist. Die dänischen Behörden haben den unbefugten Zugriff auf etwa 8,8 Millionen registrierte Personen bestätigt. Wie viele Informationen letztlich extrahiert und gespeichert wurden, ist jedoch weiterhin unklar.
Die Regierung machte den Vorfall am 5. Oktober öffentlich. Auf einer Pressekonferenz am folgenden Tag erklärte Mikkel Leihardt, ein Abteilungsleiter im dänischen Ministerium für Forschung, Bildung und Digitalisierung, die Behörden hätten das Datenleck entdeckt, nachdem sie ungewöhnlich hohe Kosten für die CPR-Registerabfragen des Unternehmens festgestellt hatten, so Ritzau.
Die Person, die die Verantwortung übernahm, soll erklärt haben, sie habe nicht vorgehabt, die Informationen zu verkaufen oder zu veröffentlichen. Diese Aussage wurde nicht unabhängig überprüft und schließt die Möglichkeit von Identitätsdiebstahl oder anderem Missbrauch nicht aus.
Der Vorfall zeigt, wie Unternehmen sensible Informationen über vertrauenswürdige externe Partner offenlegen können, selbst wenn Angreifer die Systeme des Datenbankbetreibers nicht direkt kompromittieren.
Ein verwandtes Beispiel ist der Sicherheitsvorfall bei einer Drittanbieteranwendung von BigCommerce, der die umfassenderen Risiken verdeutlicht, denen Unternehmen ausgesetzt sind, wenn externe Integrationen auf Kundendaten zugreifen können.
Was das Datenleck in Dänemark für Sicherheitsteams bedeutet
Das gemeldete Passwort ist das auffälligste Detail. Die größere Sorge besteht jedoch darin, dass ein Konto mit legitimem Zugriff Berichten zufolge Millionen von Datenbankabfragen durchführen konnte, ohne rechtzeitig eine Reaktion auszulösen.
Der mutmaßliche Einsatz von KI-generiertem Code fügt eine weitere Dimension hinzu. Angreifer könnten in der Lage sein, die groß angelegte Datensammlung zu automatisieren, ohne ausgefeilte Werkzeuge von Grund auf entwickeln zu müssen. Dadurch werden wirksame Zugriffskontrollen und eine verhaltensbasierte Überwachung besonders wichtig.
Für Sicherheitsteams, die für sensible Kundendaten verantwortlich sind, macht der Vorfall vier Prioritäten deutlich: Authentifizierung stärken, Zugriff Dritter beschränken, ungewöhnliche Aktivitäten überwachen und die Identitätsprüfung verbessern.
Authentifizierung und Sicherheit privilegierter Konten stärken
Unternehmen sollten die Verwendung häufig genutzter und kompromittierter Passwörter verbieten, eindeutige Zugangsdaten verlangen und überall dort, wo dies unterstützt wird, phishingresistente Multifaktor-Authentifizierung einsetzen.
Sicherheitsteams sollten außerdem privilegierte Konten regelmäßig überprüfen, den Zugriff beim Ausscheiden von Mitarbeitern entziehen und Zugangsdaten bei Bedarf ändern. Diese Maßnahmen entsprechen den in eSecurityPlanets Leitfaden zu Lösungen für Identitäts- und Zugriffsmanagementbehandelten Kontrollen für Identitätsverwaltung und Authentifizierung.
Selbst eine starke Authentifizierung kann jedoch nicht jeden Angriff verhindern, bei dem kompromittierte Sitzungen oder gestohlene Zugangsdaten zum Einsatz kommen. Unternehmen müssen daher auch überwachen, was authentifizierte Konten nach dem Zugriff tun.
Zugriff Dritter auf sensible Datenbanken beschränken
Externe Dienstleister sollten nur die Berechtigungen erhalten, die sie zur Erfüllung ihrer vorgesehenen Aufgaben benötigen.
Beispielsweise benötigt ein Unternehmen, das zur Überprüfung einzelner Kundendatensätze berechtigt ist, möglicherweise keinen uneingeschränkten Zugriff auf Millionen von Datenbankeinträgen.
Sicherheitsteams sollten:
- Berechtigungen nach dem Prinzip der geringsten Privilegien vergeben und administrative Konten sowie Konten von Drittanbietern regelmäßig überprüfen.
- Ratenbegrenzungen und Warnmeldungen für ungewöhnliche Datenbanksuchen, das Abrufen großer Datenmengen und automatisierte Abfragen einrichten.
- Nicht benötigte Zugangsdaten entziehen und die Aktivitäten von Dienstleistern auf Abweichungen von normalen Nutzungsmustern überwachen.
Diese Schutzmaßnahmen können den durch kompromittierte Konten verursachten Schaden begrenzen, selbst wenn sich ein Angreifer erfolgreich authentifiziert.
Die mit externem Zugriff verbundenen Risiken werden auch in eSecurityPlanets Analyse des Verizon Data Breach Investigations Report 2026behandelt, die den Einfluss Dritter und weitere Faktoren untersucht, die zu modernen Cybervorfällen beitragen.
Verdächtige Aktivitäten nach erfolgreicher Authentifizierung erkennen
Die etwa 14 Millionen gemeldeten Suchvorgänge unterstreichen, wie wichtig die Überwachung authentifizierter Aktivitäten ist.
Sicherheitsteams sollten unerwartete Spitzen bei Datenbankabfragen, ungewöhnliche Zugriffszeiten und wiederholte Anfragen zu großen Mengen personenbezogener Datensätze untersuchen. Verhaltensanalysen, die Überwachung von Datenbankaktivitäten und automatisierte Warnmeldungen können dabei helfen, verdächtige Muster zu erkennen, bevor umfangreiche Daten extrahiert werden.
Unerwartete Abrechnungsbeträge und ungewöhnlich hoher API-Verbrauch können ebenfalls nützliche Warnsignale liefern. Sie sollten jedoch eine dedizierte Sicherheitsüberwachung ergänzen und nicht als primärer Erkennungsmechanismus dienen.
Identitätsprüfung zur Betrugsprävention stärken
Das Datenleck zeigt auch die Risiken, die entstehen, wenn personenbezogene Informationen als Identitätsnachweis dienen. Namen, Adressen, Geburtsdaten und nationale Identifikationsnummern können zwar bei der Identifizierung von Kunden helfen, sollten für sich genommen aber nicht die Berechtigung zum Zugriff auf oder zur Änderung eines Kontos begründen.
Der dänische Einwanderungsdienst und die Agentur für internationale Anwerbung und Integration führten zusätzliche Prüfungen der Identität bei telefonischen Anfragennach dem Datenleck ein. Dies zeigt, dass Unternehmen ihre Authentifizierungsverfahren möglicherweise verstärken müssen, nachdem personenbezogene Identifikatoren offengelegt wurden:
- Unternehmen, die sensible Informationen verarbeiten, sollten stärkere Prüfverfahren einsetzen, darunter gegebenenfalls das dänische MitID-System, einmalige Codes über zuvor verifizierte Kanäle oder Rückrufe an hinterlegte Telefonnummern.
- Finanzinstitute, Gesundheitsdienstleister und Behörden sollten ihre Verfahren für Passwortzurücksetzungen, Kontowiederherstellungen und Änderungen sensibler Kundendaten überprüfen.
- Bei Personen, deren Daten möglicherweise offengelegt wurden, könnten persönliche Identifikationsnummern in Kombination mit weiteren identifizierenden Angaben Phishing- und Identitätsmissbrauchsversuche glaubwürdiger machen.
- Betroffene Personen sollten die offiziellen Hinweise der dänischen Regierung befolgen, bei unaufgeforderten Nachrichten vorsichtig bleiben und Passwörter oder vertrauliche Informationen nicht an nicht verifizierte Anrufer oder E-Mail-Absender weitergeben.
- Für Sicherheitsverantwortliche lautet die zentrale Lehre, dass eine erfolgreiche Authentifizierung niemals automatisch Vertrauen begründen sollte.
Der Vorfall in Dänemark zeigt, warum Unternehmen mehrschichtige Schutzmaßnahmen benötigen, die über Passwortrichtlinien hinausgehen. Starke Authentifizierung, eingeschränkte Berechtigungen für Drittanbieter, kontinuierliche Überwachung und zuverlässige Identitätsprüfung müssen zusammenwirken, um zu begrenzen, was Angreifer mit kompromittierten Zugangsdaten erreichen können.
Eine einzige gestohlene Zugangsdatenkombination sollte keinen unkontrollierten Weg zu Millionen sensibler Datensätze eröffnen.
Weiterführende Lektüre: Ein weiteres Beispiel für die Sicherheitsrisiken durch Drittanbieter finden Sie im Bericht von eSecurityPlanet über das Datenleck bei ManoMano, von dem fast 38 Millionen Kunden betroffen waren, das zeigt, wie kompromittierte Dienstleister sensible Kundendaten offenlegen können.