Dänemark: Bürgerkartei dank erschütterndem Sicherheitsfehler gehackt

Hacker konnten aufgrund von haarsträubendem Leichtsinn der Verantwortlichen wochenlang ungestört auf das zentrale Personenregister von Dänemark zugreifen. Dabei wurden hochsensible Daten von Millionen von Bürgern gestohlen.

Historisches Datenleck in Dänemark

Zuletzt war Dänemark vor allem für das Vorhaben der Regierung, in der Verwaltung auf Linux umzustellen und den kurz darauffolgenden Rückzug vom Rückzug in den Schlagzeilen. Jetzt beschäftigt ein massiver IT-Sicherheitsvorfall das Land. So konnten bisher unbekannte Täter unter anderem aufgrund unfassbarer Sicherheitsmängel im September Zugriff auf das zentrale Personenregister des Landes erlangen.

Die Angreifer konnten Namen, Adressen und die sensiblen persönlichen Identifikationsnummern von neun Millionen Bürgern auslesen, die etwa für das Zahlen von Steuern und im Gesundheitswesen verwendet werden. Da Dänemark aktuell nur etwa sechs Millionen Einwohner hat, sind wohl auch verstorbene Personen sowie Bürger, die ins Ausland gezogen sind, betroffen.

Leichtsinn ermöglichte den Zugriff

Ursache für das Ausmaß des Angriffs war die Missachtung grundlegender Sicherheitsregeln bei einem autorisierten Drittanbieter. Die Täter nutzten den Zugang der IT-Firma Pays ApS, die legalen Zugriff auf das System besaß. Ein Hacker erklärte gegenüber Politiken, dass das Konto, über das der Zugang realisiert wurde, lediglich mit dem Passwort "123456" geschützt war.

Mit diesen Zugangsdaten operierten die Eindringlinge ab dem 11. September ungestört in der Regierungsdatenbank. Sie führten über 14 Millionen Abfragen durch und extrahierten exakt 8.749.975 Datensätze. Die Entdeckung erfolgte erst am 2. Oktober, als die Verantwortlichen des zuständigen Büros Verdacht schöpften.

Aufgefallen war der Zugriff letztlich, weil die Rechnung für die Datenbankabfragen der Firma außergewöhnlich hoch ausfiel. Erst daraufhin wurde die Verbindung gekappt. Dänische Sicherheitsexperten zeigten sich angesichts des Vorgehens und der mangelhaften Absicherung einer derart kritischen Infrastruktur entsetzt.

Warnung vor Betrugsversuchen

Für die dänische Bevölkerung hat der Vorfall direkte Konsequenzen. Die Behörden warnen davor, dass Kriminelle die gestohlenen Informationen für gezielte Phishing-Angriffe nutzen könnten. Anrufe oder E-Mails wirken besonders authentisch, wenn die Täter bereits den vollen Namen und die Identifikationsnummer des Opfers kennen.

Für sensible digitale Aktionen setzt Dänemark auf die Zwei-Faktor-Authentifizierung MitID. Ohne diese zusätzliche Bestätigung können die Angreifer trotz der erbeuteten Identifikationsnummer zumindest keine Identität vollständig übernehmen. Die Polizei hat die Ermittlungen aufgenommen.

Was denkt ihr über den Zugriff privater Drittanbieter auf sensible staatliche Datenbanken? Diskutiert die Sicherheitsmaßnahmen und Fehler mit uns in den Kommentaren!

Download KeePass - Passwort-Sammlungs-Tool Siehe auch: