Ein schwaches Administratorkennwort steht im Zusammenhang mit einem großen dänischen Datenleck, bei dem Informationen zu etwa 8,8 Millionen nationalen Identifikationsnummern offengelegt wurden. Berichten zufolge verwendeten mindestens drei Konten bei Pays, einem IT-Unternehmen auf der Insel Fünen, das Kennwort „123456“, darunter ein Administratorkonto. Die Geschichte um das Kennwort beim dänischen CPR-Datenleck ist eine deutliche Erinnerung daran, dass die größten Risiken für personenbezogene Daten oft aus den einfachsten Fehlern entstehen.

Was bei Pays geschah

Das Datenleck betrifft Daten, die mit den dänischen CPR-Nummern verknüpft sind, den landesweit verwendeten nationalen Identifikationsnummern. Die Offenlegung steht im Zusammenhang mit Pays, einem IT-Unternehmen mit Sitz auf Fünen, und mit Konten dort, die Berichten zufolge „123456“ als Kennwort verwendeten. Eines dieser Konten verfügte über Administratorrechte, was in der Regel einen umfassenderen Zugriff als bei einem Standardbenutzerkonto bedeutet.

Die hier genannten Details stammen aus Berichten, und das Kennwort wird als „angeblich“ verwendet beschrieben. Eine separate Behauptung eines Hackers darüber, wie der Zugang erlangt wurde, wird in unserem früheren Beitrag behandelt: Hacker behauptet, „123456“ habe Dänemarks Register mit 8,8 Millionen Datensätzen geöffnet. Leser, die den vollständigen Wortwechsel zu dieser Behauptung wünschen, sollten dort beginnen.

Bemerkenswert ist, wo die Schwachstelle lag. Die Daten wurden nicht offengelegt, weil Einzelpersonen ein Kennwort auf ihren eigenen Konten wiederverwendet hatten. Es stand im Zusammenhang mit einem externen IT-Dienstleister, was bedeutet, dass die Bürger keine Kontrolle über die Sicherheitspraktiken zum Schutz ihrer Identitätsdaten hatten und keine Einsicht in diese hatten.

Warum „123456“ immer noch Türen öffnet

Es ist verlockend, ein Kennwort wie „123456“ als einmalige Peinlichkeit abzutun. In der Praxis hält es sich aufgrund des Verhaltens von Organisationen und Menschen. Standardanmeldedaten werden während einer Einführung eingerichtet und nie geändert. Gemeinsame oder Dienstkonten werden in Eile erstellt. Kennwortregeln werden nicht durchgesetzt oder nur für gewöhnliche Mitarbeiter und nicht für Administratoren.

Angreifer wissen das. Das Erraten der häufigsten Kennwörter ist eine der billigsten verfügbaren Techniken und eng verwandt mit einem Brute-Force-Angriff, bei dem ein Angreifer systematisch Kombinationen ausprobiert, bis eine funktioniert. Bei einem so vorhersehbaren Kennwort wie „123456“ benötigt ein Angreifer nicht einmal viel Rechenleistung. Eine kurze Liste häufiger Kennwörter kann ausreichen.

Administratorkonten erhöhen den Einsatz. Ein kompromittiertes Administrator-Login kann Zugriff auf Daten, Einstellungen und andere Konten ermöglichen, sodass ein schwaches Anmeldedatum dort überproportionale Folgen haben kann. Zu den grundlegenden Kontrollen, die Organisationen anwenden können, gehören:

  • Blockieren häufiger und zuvor geleakter Kennwörter bei der Erstellung
  • Erfordern von Multi-Faktor-Authentifizierung, insbesondere bei Administratorkonten
  • Begrenzen von Anmeldeversuchen und Alarmieren bei ungewöhnlichem Zugriff
  • Überprüfen und Entfernen ungenutzter oder gemeinsam genutzter Konten

Was die Offenlegung von CPR-Nummern für Identitätsdiebstahl bedeutet

Eine CPR-Nummer ist nicht wie ein Kennwort. Man kann sie nicht einfach zurücksetzen, und für die meisten Menschen bleibt sie ein Leben lang gleich. Das macht die Offenlegung von Daten zu 8,8 Millionen dieser Nummern so bedeutsam: Die Kennung kann nach einem Leak nicht einfach ausgetauscht werden.

Für sich genommen ist eine nationale ID-Nummer kein Schlüssel zu Ihrem Bankkonto. Das Risiko liegt in der Kombination. Wenn ein Angreifer identifizierende Details mit anderen Informationen kombiniert, kann er Identitätsbetrug versuchen, Phishing, das überzeugend klingt, weil es echte Details verwendet, oder Versuche, Kontowiederherstellungsfragen zu beantworten. Betrüger verlassen sich oft auf eine Nachricht, die zu wissen scheint, wer Sie sind.

Die praktische Reaktion ist Wachsamkeit statt Panik. Seien Sie skeptisch gegenüber unerwarteten Anrufen, E-Mails oder Texten, die nach Kennwörtern oder vertraulichen Informationen fragen, selbst wenn der Absender persönliche Details zu kennen scheint. Seriöse Organisationen bitten Sie in der Regel nicht, Anmeldedaten auf diese Weise herauszugeben.

So schützen Sie Ihre eigenen Konten

Sie können die Kennwortrichtlinie eines Anbieters nicht ändern, aber Sie können sicherstellen, dass Ihre eigenen Konten nicht zum nächsten schwachen Glied werden. Beginnen Sie mit diesen Schritten:

  1. Verwenden Sie für jedes Konto ein einzigartiges Kennwort. Wenn ein Dienst kompromittiert wird, ermöglicht Wiederverwendung Angreifern, dieselben Anmeldedaten anderswo auszuprobieren.
  2. Nutzen Sie einen Passwort-Manager. Er generiert und speichert lange zufällige Kennwörter, sodass Sie sie sich nicht merken müssen.
  3. Aktivieren Sie Zwei-Faktor-Authentifizierung. Selbst wenn ein Kennwort erraten oder geleakt wird, kann ein zweiter Faktor die Anmeldung stoppen.
  4. Prüfen Sie auf Kennwörter im Stil von „123456“. Ersetzen Sie jedes einfache, kurze oder musterbasierte Kennwort, beginnend mit E-Mail-, Bank- und Arbeitskonten.
  5. Behandeln Sie unaufgeforderte Anfragen mit Misstrauen. Verifizieren Sie, indem Sie die Organisation über einen offiziellen Kanal kontaktieren, dem Sie bereits vertrauen.

Was das für Sie bedeutet

Wenn Sie in Dänemark leben, ist die wichtigste Erkenntnis, wachsam gegenüber Phishing- und Identitätsbetrugsversuchen zu sein, die persönliche Details nutzen, um glaubwürdig zu erscheinen. Da eine CPR-Nummer schwer zu ändern ist, ist anhaltende Vorsicht wichtiger als eine einmalige Korrektur. Wenn Sie anderswo leben, gilt die Lektion dennoch: Ihre Daten sind nur so sicher wie das schwächste Konto bei jedem Unternehmen, das sie speichert.

Für Organisationen, insbesondere IT-Anbieter, die sensible Datensätze für andere verwalten, ist die Botschaft noch einfacher. Setzen Sie starke Kennwörter durch, verlangen Sie Multi-Faktor-Authentifizierung bei Administratorkonten und prüfen Sie Anmeldedaten regelmäßig.

Fazit

Die Geschichte um das Kennwort beim dänischen CPR-Datenleck zeigt, dass ein einziges triviales Anmeldedatum bei einem externen Anbieter die Identitätsdaten eines ganzen Landes gefährden kann. Nehmen Sie sich heute ein paar Minuten Zeit, um Ihre eigenen Logins zu prüfen: Machen Sie jedes Kennwort einzigartig, verwenden Sie einen Passwort-Manager und aktivieren Sie Zwei-Faktor-Authentifizierung. Für mehr Kontext lesen Sie unsere Berichterstattung über die Behauptung des Hackers zum Register und unseren Glossareintrag zu Brute-Force-Angriffen.