Das Passwort, das 8,8 Millionen dänische Identitätsdaten öffnete, lautete 123456

Auf jeder jemals veröffentlichten Liste der schlechtesten Passwörter steht 123456 ganz oben oder fast. Vergangene Woche stellte sich heraus, dass es der Schlüssel zu Dänemarks zentralem Personenregister war.

Das Register, CPR genannt, enthält Namen, Adresse und zehnstellige Identitätsnummer jedes Einwohners des Landes. Es ist nicht öffentlich, aber Unternehmen können einen legalen Zugang erhalten, um Datensätze abzufragen. Eines davon war Pays ApS, ein kleiner Betrieb in Odense, der im Juli dieses Jahres zwei Personen beschäftigte. Dänische Berichte besagen, dass mindestens drei Pays-Konten 123456 verwendeten, darunter ein Administratorkonto, und dass die Zugangsdaten einem ehemaligen Mitarbeiter gehörten und bereits in einem früheren Datenleck aufgetaucht waren. Jemand meldete sich an und startete automatisierte Abfragen. Rund 14 Millionen davon. Niemand bemerkte etwas, bis eine ungewöhnlich hohe Rechnung eintraf und ein Mitarbeiter am 2. Oktober nachsah.

Die Beute umfasst etwa 8,8 Millionen Menschen, davon rund 5,5 Millionen lebende und 3,3 Millionen verstorbene, also fast das ganze Land. Digitalisierungsministerin Christina Egelund hat eingeräumt, dass die Sicherheitsmaßnahmen nicht ausreichten, und eine Überprüfung des gesamten Systems angeordnet. Das Urteil eines dänischen Sicherheitsprofessors über das Passwort lautete "hoffnungslos", und dem ist schwer zu widersprechen. Es floss kein Geld, aber Namen und verifizierte Wohnadressen sind genau das, was eine Betrugsnachricht glaubwürdig macht. Dänen dürfen also noch lange mit überzeugender Post rechnen.

Die Lehre ist älter als der Vorfall. Ein einziges schwaches oder wiederverwendetes Passwort auf einem Konto, das niemand beobachtet, reicht weiter als alles andere im Netzwerk. Die Datenschutz- und Kontenprüfung von Tendvane sieht sich an, wie sich die Konten auf Ihrem eigenen PC anmelden, und zeigt Ihnen, welche noch allein auf einem Passwort stehen.