Dänischer CPR-Datenvorfall: Passwort "123456" im Einsatz

Was passiert ist

Die dänische Nachrichtenseite Copenhagen Post berichtet über einen Datenvorfall, bei dem dänische CPR-Nummern betroffen sind. Die CPR-Nummer ist die zentrale Personenkennziffer in Dänemark und wird bei Behörden, Banken, Versicherungen und im Gesundheitswesen zur eindeutigen Identifikation genutzt. Sie ist damit vergleichbar sensibel wie bei uns eine Kombination aus Steuer-Identifikationsnummer und Ausweisdaten.

Im Mittelpunkt der Berichterstattung steht ein Detail, das den Fall besonders macht: Nach Angaben des Berichts kam im Zusammenhang mit dem Vorfall das Passwort "123456" zum Einsatz. Zu Umfang, Zahl der Betroffenen und technischem Hergang liegen über die genannte Meldung hinaus keine belastbaren weiteren Angaben vor. Wir berichten deshalb bewusst zurückhaltend und ohne Spekulation über die Täterseite.

Warum das für kleine und mittlere Unternehmen relevant ist

Der Fall illustriert ein Muster, das sich in Vorfallanalysen immer wieder zeigt: Nicht eine ausgefeilte Angriffstechnik öffnet die Tür, sondern ein trivialer Zugang. Ein Standardpasswort, das nach der Einrichtung nie geändert wurde, ein Testkonto, das produktiv weiterlief, oder ein Dienstkonto ohne zweiten Faktor reichen aus.

Für KMU ist das besonders heikel, weil Administrations- und Datenbankzugänge dort häufig historisch gewachsen sind und niemand formal zuständig ist. Wer personenbezogene Daten verarbeitet, trägt nach DSGVO die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen. Ein Passwort wie "123456" an einem Zugang zu Personendaten ist in einer aufsichtsrechtlichen Prüfung kaum zu verteidigen und erhöht das Bußgeldrisiko erheblich. Hinzu kommt der Vertrauensschaden bei Kunden und Partnern, der sich meist länger auswirkt als die technische Bereinigung.

Was Sie jetzt tun sollten

• Erstellen Sie eine Liste aller Systeme mit personenbezogenen Daten und prüfen Sie für jedes, wer administrativen Zugriff hat und wie dieser abgesichert ist.
• Suchen Sie gezielt nach Standard-, Test- und Sammelpasswörtern in Datenbanken, Admin-Oberflächen, Netzwerkgeräten und Cloud-Diensten und ersetzen Sie sie sofort.
• Aktivieren Sie Mehr-Faktor-Authentifizierung für alle administrativen Zugänge und für Fernzugriffe, auch bei internen Werkzeugen.
• Führen Sie einen Passwortmanager ein, damit lange, einzigartige Passwörter im Alltag praktikabel sind, und verbieten Sie geteilte Konten.
• Schulen Sie Beschäftigte mit Administrationsrechten gesondert und protokollieren Sie Zugriffe auf sensible Datenbestände, damit ein Missbrauch überhaupt auffällt.