Dänemarks zentrales Personenregister ist Ziel eines erheblichen Cyberangriffs geworden, der die Nachlässigkeit bei grundlegenden Sicherheitsmassnahmen deutlich macht. Der Zugriff erfolgte nicht durch technisch raffinierte Methoden, sondern durch das Ausnutzen trivial schlechter Passwörter bei einem beauftragten IT-Dienstleister.
Die Angreifer gelangten in die Systeme eines Unternehmens, das für die Dänische Regierung IT-Dienste erbringt. Mehrere Konten dieses Dienstleisters waren nur mit dem Standardpasswort 123456 gesichert. Mit diesen Zugangsdaten konnten die Eindringlinge wochenlang unbemerkt auf das zentrale Registerungssystem zugreifen. Das Register enthält sensitive personenbezogene Daten von der gesamten dänischen Bevölkerung: Adressen, Geburtsdaten, Zivilstand und weitere administrativ relevante Informationen.
Das Ausmass des Zugriffs ist erheblich, da die Angreifer theoretisch einen umfassenden Überblick über die dänische Bevölkerung erlangen konnten. Zwar gibt es bislang keine Hinweise auf einen Datenabfluss in grösserem Stil, aber die blossen Zugriffsmöglichkeiten sind für einen so sensiblen Datenspeicher inakzeptabel.
Dieser Fall zeigt ein klassisches Sicherheitsversagen: Es sind nicht nur technische Sicherheitsmassnahmen nötig, sondern auch grundlegende Hygiene bei Passwörtern und Zugangsverwaltung. Ein Passwort wie 123456 verstösst gegen die elementarsten Best Practices der IT-Sicherheit, insbesondere bei Systemen mit Zugriff auf kritische Infrastruktur oder sensitive Daten.
Für Schweizer KMU-IT-Verantwortliche ist dies ein warnendes Beispiel: Auch bei beauftragten IT-Dienstleistern muss die Einhaltung von Sicherheitsstandards vertraglich vereinbart und regelmässig überprüft werden. Schwache Passwörter sind oft die erste Angriffsfläche, noch bevor Hacker zu Exploits greifen. Multi-Faktor-Authentifizierung und Passwort-Richtlinien müssen verbindlich sein.