Ein massiver Datenschutzverstoß im dänischen Zentralregister für Personen (CPR) wurde durch die Verwendung des unsicheren Standardpassworts „123456“ bei einem externen IT-Dienstleister (Pays ApS) ermöglicht. Angreifer verschafften sich über die Zugangsdaten eines ehemaligen Mitarbeiters Zugriff und konnten unbemerkt schätzungsweise 16.000 Datensätze pro Stunde exfiltrieren. Der Vorfall fiel erst durch eine unerwartet hohe finanzielle Abrechnung für die Abfragen auf, da das System weder über automatisierte Ratenbegrenzung noch über eine Echtzeit-Überwachung ungewöhnlicher Abfragemuster verfügte. Der Vorfall löst eine intensive Debatte über mangelnde IT-Sicherheitsstandards, fehlende Zwei-Faktor-Authentifizierung (MFA) und die grundlegende Problematik der CPR-Nummer als gleichzeitiges Identifikations- und Authentifizierungsmerkmal aus.
Wichtigste Punkte
CPR-Registerzugriff: Das Ziel des Angriffs war das dänische Central Person Register (CPR), das sensible Daten aller dänischen Bürger verwaltet.
Kompromittierter Dienstleister: Der unautorisierte Zugang erfolgte über das Zwei-Personen-Unternehmen Pays ApS, das über Schnittstellen zum System verfügte.
Unzureichende Authentifizierung: Der betroffene Administratorzugang war mit dem trivialen Passwort „123456“ gesichert und es war keine Zwei-Faktor-Authentifizierung (MFA) aktiviert.
Exfiltrationsrate: Angreifer luden während des 22-tägigen Angriffszeitraums schätzungsweise 16.000 Datensätze pro Stunde (bzw. ca. 600 Anfragen pro Minute) herunter.
Erkennung über Abrechnung: Der Einbruch wurde nicht durch technische Intrusion-Detection-Systeme aufgedeckt, sondern rein durch eine anomal hohe Rechnungsstellung für die genutzten API-Abfragen.
Diskussions-Highlights
Architektonische Kritik an der CPR-Nummer: Kommentatoren bemängeln, dass die 10-stellige CPR-Nummer fälschlicherweise als Geheimnis behandelt wird, obwohl sie im Alltag ständig benötigt wird. Sie fordern eine Einstufung als öffentliche Information nach schwedischem Vorbild, entkoppelt von reinen Authentifizierungsfunktionen.
Fehlende Überwachung und Ratenbegrenzung: Mehrere Teilnehmer kritisieren scharf, dass Behörden und Registerbetreiber keine automatischen Warnschwellen (Rate-Limiting) implementiert haben, um massenhafte Abfragen sofort zu blockieren.
Systemisches Führungsversagen: Die Diskussion betont, dass die Schuld nicht allein auf einzelne Mitarbeiter (oder das Passwort selbst) abgewälzt werden darf, sondern auf ein tieferliegendes moralisches und organisatorisches Führungsversagen hinweist, bei dem Sicherheitsaudits (analog zu PCI-DSS im Zahlungsverkehr) für Drittanbieter fehlen.
Sicherheit vs. Produktivität: Diskutiert wird der klassische Konflikt zwischen Produktivitätsdruck und Sicherheitsvorgaben; Experten betonen jedoch, dass moderne Hilfsmittel wie Passwort-Manager diesen Konflikt längst obsolet machen und grundlegende Standards wie MFA keinen echten Produktivitätsverlust darstellen.
Popkulturelle Bezüge: Zahlreiche Beiträge verwiesen humoristisch auf die Filmszene aus Spaceballs, in der die Kombination „123456“ für Kofferslots verwendet wird.
Glossar
CPR (Central Person Register): Das dänische Zentralregister für Personen, das jedem Einwohner eine eindeutige 10-stellige Identifikations- und Sozialversicherungsnummer zuweist.
MFA (Zwei-Faktor-Authentifizierung): Ein Sicherheitsverfahren, bei dem ein Benutzer seine Identität durch die Kombination von zwei unterschiedlichen Komponenten (z. B. Passwort und physischer Sicherheitsschlüssel oder App-Token) nachweist.
Rate-Limiting (Ratenbegrenzung): Eine netzwerktechnische Schutzmaßnahme, die die Anzahl der Anfragen, die ein Client innerhalb eines bestimmten Zeitfensters an einen Server senden darf, limitiert.
Active Directory (AD): Ein von Microsoft entwickelter Verzeichnisdienst zur Verwaltung von Netzwerkressourcen, Benutzerkonten und Zugriffsrechten, der oft auch zur Speicherung von Anmeldedaten genutzt wird.
PCI-DSS (Payment Card Industry Data Security Standard): Ein strenges, international anerkanntes Sicherheitsregelwerk für Unternehmen, die Kreditkartendaten verarbeiten, welches regelmäßige Audits und strenge technische Kontrollen vorschreibt.
API (Application Programming Interface): Eine Schnittstelle, die es externen Softwareanwendungen ermöglicht, mit einem System zu kommunizieren und Daten (wie CPR-Abfragen) automatisiert abzurufen.