Darum gehts
- In Dänemark sind kürzlich Daten von 8,8 Millionen Personen abgeflossen
- Der Hacker will über ein schlecht gesichertes IT-Konto eingedrungen sein
- Die Behörden bemerkten den Angriff erst zwölf Tage nach dessen Ende
Es ist eines der schlechtesten Passwörter überhaupt: 123456 – sechs Ziffern, der Reihe nach. IT-Experten predigen seit Jahren, lange und einzigartige Passwörter zu verwenden. Doch genau diese einfache Abfolge soll nun Dänemark zum Verhängnis geworden sein.
Anfang Oktober machte die dänische Regierung publik, dass unbekannte Hacker Daten aus dem zentralen Personenregister namens CPR abgegriffen hatten: Namen, Adressen und Personennummern von 8,8 Millionen Menschen flossen ab.
Attacke mit KI-Code
Jetzt hat sich der mutmassliche Hacker gemeldet und zum Angriff bekannt. Der Zeitung «Politiken» sagte die Person, sie sei über das Konto einer kleinen IT-Firma ins Register gelangt. Das Passwort? «123456». Laut einer Auswertung der Zeitung nutzten mindestens drei Konten der Firma dieses Passwort, darunter das Administratorkonto.
Schwierig sei der Angriff nicht gewesen, sagt der Hacker. Das Programm für die Abfragen habe eine KI geschrieben. Zwei Fachleute kommen gegenüber «Politiken» zum gleichen Schluss: Der Code stammt wohl von einer KI. Die geklauten Daten will der Hacker nach eigenen Angaben weder verkaufen noch veröffentlichen. Überprüfen lässt sich das nicht.
Umweg über Insel Fünen
Die betroffene Firma heisst Pays und sitzt auf der Insel Fünen. Geschäftsführerin Sophie Laursen bestätigte gegenüber dem Sender TV 2, dass der Zugang missbraucht wurde. Pays durfte legal im dänischen Personenregister nachschlagen, etwa um für Geschäftskunden Adressen zu aktualisieren. Die Website der Firma ist mittlerweile offline. Auf Fragen von theregister.com zum Passwort schwieg die Firma.
So flog der Fall auf
Die CPR-Nummer brauchen Däninnen und Dänen für Behörden, Banken und Ärzte. Das Register enthält rund elf Millionen Einträge, auch von Verstorbenen und ausgewanderten Personen. Deshalb sind mehr Menschen betroffen, als Dänemark Einwohner hat. Laut dem Statistikamt lebten im September 2026 genau 6'038'638 Personen im Land.
Der Sender TV 2 hat weitere Dokumente rund um den Angriff erhalten. Laut diesen drang die unbekannte Person am 10. September in das System ein. Bis am 20. September schickte die Person rund 14 Millionen automatisierte Abfragen ans System. Das sind weit mehr, als Pays Kunden hat. Erst am 2. Oktober fiel jemandem im zuständigen Ministerium eine sehr hohe Rechnung für die Abfragen auf.
Jens Myrup Pedersen ist Professor für Cybersicherheit an der Universität Aarhus. Gegenüber TV 2 nennt er es «völlig verrückt», dass der Angriff so lange unbemerkt blieb. Die NSK, die Spezialeinheit der dänischen Polizei für schwere Kriminalität, ermittelt im Fall. Bisher hat sie niemanden identifiziert.