Vier Ziffern, eine Zahlenreihe, die jedes Kind kennt: "123456". Genau dieses Passwort schützte einen Admin-Zugang zu einem System, über das sich Zugriff auf die persönlichen Daten von 8,8 Millionen Menschen verschaffen ließ. Der CPR Hack Dänemark zeigt, wie ein einziges schwaches Kennwort bei einem kleinen IT-Dienstleister genügte, um eines der sensibelsten staatlichen Register Europas zu kompromittieren, nicht durch einen Frontalangriff auf die Regierung, sondern über eine Zwei-Personen-Firma in Odense mit legalem Datenzugang.
Der Vorfall betrifft das dänische Central Register of Persons (CPR), das zentrale Bevölkerungsregister Dänemarks. Dort sind Namen, Adressen, Geburtsdaten, Staatsangehörigkeit, Familienstand und die persönlichen CPR-Nummern von praktisch allen Einwohnern des Landes gespeichert. Von rund 11 Millionen Einträgen im Gesamtregister, inklusive Verstorbener und Ausgewanderter, waren 8,8 Millionen Datensätze von dem Zugriff betroffen. Zuerst berichtete Tom's Hardware über den Fall, weitere Details lieferten The Register und TechRadar.
Inhaltsverzeichnis
Key Takeaways
- Der CPR Hack Dänemark erfolgte nicht direkt gegen die Regierungsdatenbank, sondern über einen Supply-Chain-Angriff auf die Odenser Firma Pays ApS.
- Mindestens drei Accounts bei Pays ApS, darunter ein Administrator-Konto, waren mit dem Passwort "123456" gesichert.
- Zwischen dem 10. und 20. September 2026 wurden rund 14 Millionen automatisierte Abfragen gegen das System gerichtet.
- Die Entdeckung erfolgte erst am 2. Oktober 2026, zwölf Tage nach der letzten bekannten Abfrage, durch eine auffällig hohe Rechnung.
- Die dänische Regierung bestätigte den Vorfall offiziell am 5. Oktober, die betroffene Firma erst am 9. Oktober.
Was ist das dänische CPR-Register?
Das Central Register of Persons, kurz CPR, ist das Rückgrat der dänischen Verwaltung. Jeder Einwohner Dänemarks erhält bei Geburt oder Einwanderung eine persönliche CPR-Nummer, die lebenslang für Behördenkontakte, Gesundheitswesen, Banken und viele weitere Dienstleistungen genutzt wird. Entsprechend hoch ist der Wert dieser Daten, sowohl für legitime Verwaltungszwecke als auch für Kriminelle, die Identitätsdiebstahl oder Betrug planen.
Genau diese zentrale Bedeutung macht den CPR Hack Dänemark zu einem Fall von nationaler Tragweite. Es handelt sich nicht um ein beliebiges Datenleck, sondern um den Zugriff auf eines der wichtigsten Identitätsregister eines EU-Mitgliedstaats.
Der Angriffsweg: Supply-Chain-Attacke über Pays ApS
Ein zentrales Merkmal dieses Falls ist, dass die Angreifer nicht die staatliche Infrastruktur selbst attackierten. Stattdessen nutzten sie den Umweg über einen Drittanbieter mit legitimem Zugang.
"Der Angriff richtete sich nicht gegen die Regierung selbst, sondern gegen ein kleines IT-Unternehmen mit legalem Datenzugang."
Betroffen war Pays ApS, ein IT-Dienstleister mit Sitz in Odense, der laut übereinstimmenden Berichten lediglich aus zwei Personen besteht. Diese kleine Firma verfügte über einen rechtmäßigen, autorisierten Zugang zum CPR-System, vermutlich im Rahmen von Dienstleistungen, die eine Anbindung an das Bevölkerungsregister erforderten.
Der Angreifer verschaffte sich Zutritt, indem er geleakte Zugangsdaten eines ehemaligen Mitarbeiters von Pays ApS verwendete. Nach erfolgreichem Login erstellte der Hacker zwei automatisierte Skripte, die systematisch Daten aus dem CPR-System abgriffen und in ein externes Drittsystem übertrugen. Dieser Mechanismus macht deutlich, warum der Fall als klassischer Supply-Chain-Angriff gilt: Nicht die eigentliche Zielorganisation wurde geknackt, sondern ein vertrauenswürdiger Zulieferer mit Zugangsrechten.
Warum kleine Dienstleister zum Einfallstor werden
Kleine IT-Firmen wie Pays ApS verfügen oft über weitreichende Zugriffsrechte, aber nicht immer über die Sicherheitsressourcen großer Organisationen. Genau diese Diskrepanz, weitreichender Zugang bei begrenzten Sicherheitskapazitäten, macht sie zu attraktiven Zielen. Der CPR Hack Dänemark ist damit ein Lehrbuchbeispiel dafür, wie Angreifer gezielt die schwächste Stelle in einer Lieferkette suchen, statt sich an gut geschützten Hauptzielen die Zähne auszubeißen.
Zeitlinie des CPR Hack Dänemark
Die folgende Übersicht fasst den bekannten Ablauf des Vorfalls zusammen:
| Datum | Ereignis |
|---|---|
| 10. September 2026 | Erster unautorisierter Zugriff auf das System über Pays ApS |
| 10.,20. September 2026 | Rund 14 Millionen automatisierte Abfragen durch Skripte des Angreifers |
| 2. Oktober 2026 | Entdeckung des Vorfalls durch eine ungewöhnlich hohe Abrechnung für Datenbankabfragen |
| 5. Oktober 2026 | Offizielle Bestätigung des Breach durch die dänische Regierung |
| 9. Oktober 2026 | Sophie Laursen, Geschäftsführerin von Pays ApS, bestätigt den Missbrauch des Firmenzugangs |
Bemerkenswert an dieser Zeitlinie ist die Lücke zwischen der letzten bekannten Abfrage am 20. September und der Entdeckung am 2. Oktober, zwölf Tage, in denen der massive Datenabfluss unbemerkt blieb. Entdeckt wurde der Vorfall letztlich nicht durch ein Sicherheitssystem, sondern durch eine kaufmännische Auffälligkeit: eine Rechnung für Datenbankabfragen, die deutlich höher ausfiel als üblich.
Die dänische Zeitung Politiken führte über einen verschlüsselten Chat-Dienst ein Gespräch mit dem anonymen Hacker. Dabei erklärte der Angreifer, keine Absicht zu haben, die erbeuteten Daten zu verkaufen oder öffentlich zu leaken. Eine Aussage, die zwar beruhigend klingen mag, aber naturgemäß nicht verifizierbar ist und die Dimension des Vorfalls nicht relativiert.
Das Passwort-Problem: Wie "123456" zum Sicherheitsrisiko wurde
Im Zentrum des CPR Hack Dänemark steht ein erschreckend simpler Fakt: Mindestens drei Accounts bei Pays ApS, darunter ein Administrator-Konto mit weitreichenden Rechten, waren mit dem Passwort "123456" gesichert.
Diese Zahlenfolge zählt seit Jahren zu den am häufigsten verwendeten und am häufigsten geknackten Passwörtern weltweit. Dass ausgerechnet ein Admin-Zugang zu einem System, das Verbindung zu einem nationalen Bevölkerungsregister hat, mit einem derart trivialen Kennwort geschützt war, offenbart ein grundlegendes Versagen der Zugangssicherheit.
Hinzu kommt der zweite Faktor: Der Angreifer nutzte nicht etwa eine Brute-Force-Attacke auf dieses schwache Passwort, sondern geleakte Zugangsdaten eines ehemaligen Mitarbeiters. Das bedeutet, dass selbst nach dem Ausscheiden des Mitarbeiters dessen Zugangsdaten offenbar weiterhin gültig und nutzbar waren, ein zusätzliches, eigenständiges Versäumnis im Access-Management.
Zwei Sicherheitslücken trafen hier zusammen:
- Fehlende Passwort-Richtlinien, die triviale Kennwörter wie "123456" überhaupt zuließen
- Fehlendes Offboarding-Verfahren, durch das Zugangsdaten ehemaliger Mitarbeiter nicht deaktiviert wurden
Beide Schwachstellen sind für sich genommen bekannte Basisprobleme der IT-Sicherheit. In Kombination ermöglichten sie jedoch einen Zugriff auf Millionen sensibler Datensätze.
Risiken für Betroffene
Für die 8,8 Millionen betroffenen Personen stellt sich nun die Frage nach konkreten Risiken. Die abgegriffenen Daten umfassen Namen, Adressen, Geburtsdaten, Staatsangehörigkeit, Familienstand und CPR-Nummern, also genau jene Informationen, die für Identitätsdiebstahl, Phishing-Angriffe oder Social-Engineering-Versuche besonders wertvoll sind.
Zwar erklärte der Hacker gegenüber Politiken, keine Verkaufs- oder Leak-Absicht zu verfolgen. Dennoch bleibt unklar:
- Ob die Daten bereits kopiert, weitergegeben oder zwischengespeichert wurden, bevor diese Aussage getroffen wurde
- Ob weitere, bislang unbekannte Akteure Zugriff auf das Drittsystem hatten, in das die Daten übertragen wurden
- Welche langfristigen Konsequenzen die zwölftägige Entdeckungslücke für die Nachverfolgung des Datenabflusses hat
Für Betroffene in Dänemark bedeutet dies erhöhte Wachsamkeit gegenüber verdächtigen Kontaktaufnahmen, die sich auf persönliche Daten wie die CPR-Nummer berufen, sowie eine besondere Sensibilität für Phishing-Versuche in den kommenden Monaten.
Lessons Learned: Supply-Chain-Security und Passwort-Hygiene
Der CPR Hack Dänemark liefert mehrere konkrete Lehren für Unternehmen und Behörden, die mit sensiblen Daten arbeiten oder Drittanbieter mit Datenzugang beauftragen.
Für Unternehmen mit Zugang zu sensiblen Systemen
- Passwort-Richtlinien konsequent durchsetzen. Technische Mindestanforderungen an Passwortlänge und -komplexität müssen systemseitig erzwungen werden, nicht nur empfohlen.
- Multi-Faktor-Authentifizierung (MFA) verpflichtend machen. Gerade bei Admin-Zugängen zu Systemen mit Verbindung zu staatlichen Registern sollte ein einzelnes Passwort niemals ausreichen.
- Offboarding-Prozesse standardisieren. Zugangsdaten ausscheidender Mitarbeiter müssen unmittelbar und nachweisbar deaktiviert werden.
- Regelmäßige Zugriffsaudits durchführen. Ungewöhnliche Abfragemuster, wie die 14 Millionen Anfragen in zehn Tagen, sollten durch automatisierte Monitoring-Systeme auffallen, nicht erst durch eine Rechnung.
Für Behörden und Auftraggeber
- Drittanbieter-Risiko aktiv managen. Wer externen Firmen Zugang zu sensiblen Registern gewährt, trägt Mitverantwortung für deren Sicherheitsniveau.
- Vertragliche Sicherheitsstandards verankern. Mindestanforderungen an Passwortsicherheit, MFA und Logging sollten vertraglich fixiert und regelmäßig geprüft werden.
- Monitoring auf Anomalien ausweiten. Auffällige Nutzungsmuster bei Drittanbieter-Zugängen müssen frühzeitig erkannt werden, nicht erst nach Wochen.
Diese Punkte sind keine neuen Erkenntnisse der IT-Sicherheitsbranche, sie zählen zu den Grundlagen. Umso bemerkenswerter ist, dass sie im Fall des CPR Hack Dänemark offenbar nicht konsequent umgesetzt wurden, obwohl ein nationales Personenregister betroffen war.
Einordnung: Ein Fall mit Symbolcharakter
Der CPR Hack Dänemark zeigt exemplarisch, dass die Sicherheit großer, gut geschützter Systeme nur so stark ist wie das schwächste Glied in der Kette der angebundenen Drittanbieter. Eine Zwei-Personen-Firma mit einem "123456"-Passwort konnte letztlich den Zugang zu einem der sensibelsten Datenbestände eines ganzen Landes öffnen.
Besonders bedenklich ist dabei die lange Entdeckungszeit: Zwischen den letzten automatisierten Abfragen und der tatsächlichen Entdeckung vergingen zwölf Tage, und selbst dann wurde der Vorfall nicht durch Sicherheitsmechanismen, sondern durch eine ungewöhnliche Rechnung aufgedeckt. Dies wirft grundsätzliche Fragen zur Überwachung von Drittanbieter-Zugängen bei kritischer staatlicher Infrastruktur auf.
Fazit und nächste Schritte
Der CPR Hack Dänemark ist mehr als nur ein weiterer Eintrag in der langen Liste von Datenlecks. Er zeigt exemplarisch, wie Supply-Chain-Risiken und elementare Passwort-Versäumnisse zusammenwirken und Millionen Menschen betreffen können, ohne dass die eigentliche Zielorganisation jemals direkt angegriffen wird.
Für IT-Verantwortliche und Entscheidungsträger ergeben sich daraus klare Handlungsfelder: Passwort-Richtlinien müssen technisch erzwungen, Multi-Faktor-Authentifizierung verpflichtend eingeführt und Zugänge von Drittanbietern regelmäßig auditiert werden. Offboarding-Prozesse dürfen keine Lücken lassen, durch die Zugangsdaten ehemaliger Mitarbeiter weiterhin nutzbar bleiben.
Für betroffene Bürgerinnen und Bürger in Dänemark gilt: Erhöhte Vorsicht bei Kontaktaufnahmen, die persönliche Daten wie die CPR-Nummer betreffen, ist in den kommenden Monaten geboten. Der Fall dürfte zudem die Debatte über strengere Sicherheitsauflagen für Drittanbieter mit Zugang zu staatlichen Registern in ganz Europa neu befeuern.
Quellen: Tom's Hardware, The Register, TechRadar
