Aktuell

„123456“ für 8,8 Millionen Datensätze: Warum Passworthygiene immer noch Chefsache ist

Ein Passwort, 8,8 Millionen Datensätze: Was der Fall Dänemark über Passworthygiene lehrt und was BSI und NIST heute zu sicheren Passwörtern empfehlen.

12. Oktober 2026

Identität & Zugang
Security
Cyber Crime

Über den Zugang eines einzigen Unternehmens haben Unbefugte Daten von rund 8,8 Millionen Menschen aus Dänemarks zentralem Personenregister abgefragt. Der mutmaßliche Täter behauptet, das Passwort habe „123456“ gelautet. Ob das stimmt, ist offiziell nicht bestätigt – aber es klingt für jeden, der in der IT arbeitet, erschreckend plausibel. Denn schwache und mehrfach genutzte Passwörter sind bis heute eines der häufigsten Einfallstore überhaupt.

Der Anlass

Nach Angaben des dänischen Digitalministeriums nutzten Unbefugte das rechtmäßige Abfragerecht eines privaten Unternehmens, um Namen, Adressen und Personennummern von rund 8,8 Millionen Menschen abzurufen. Gegenüber der Zeitung Politiken erklärte ein anonymer Hacker, der Firmenzugang sei nur mit dem Passwort „123456“ geschützt gewesen. Kein ausgeklügelter Angriff, keine Zero-Day-Lücke – nur ein Passwort, das seit Jahren auf jeder Liste der häufigsten Kennwörter ganz oben steht.

Das eigentliche Problem: Ein Passwort für alles

Schwache Passwörter sind nur die halbe Geschichte. Mindestens genauso gefährlich ist die Wiederverwendung: dasselbe Kennwort für das private Online-Konto, das Firmenpostfach und den VPN-Zugang.

Wird einer dieser Dienste gehackt, landen die Zugangsdaten in Datensammlungen, die im Netz gehandelt werden. Angreifer probieren diese Kombinationen dann automatisiert bei anderen Diensten aus – Fachleute sprechen von Credential Stuffing. Der Mitarbeiter hat in diesem Fall nichts falsch eingegeben und auf keinen Link geklickt. Sein Passwort wurde schlicht woanders gestohlen.

Wie Angreifer Passwörter ausprobieren

Methode	Vorgehen	Was dagegen hilft
Password Spraying	Wenige häufige Passwörter („123456“, „Sommer2026!“) werden gegen sehr viele Konten getestet	Sperrlisten für schwache Passwörter, automatische Sperre angreifender Adressen
Credential Stuffing	Gestohlene Zugangsdaten aus anderen Leaks werden bei Ihren Diensten ausprobiert	Keine Wiederverwendung, zweiter Faktor
Brute Force	Systematisches Durchprobieren vieler Kombinationen für ein Konto	Lange Passwörter, Kontosperre nach Fehlversuchen
Phishing	Das Passwort wird direkt beim Nutzer abgefischt	Phishing-resistente Anmeldung, Schulung

Password Spraying sehen wir bei unseren Kunden täglich: Angreifer probieren gängige Passwörter an VPN-Zugängen durch, langsam genug, um keine Kontosperre auszulösen. Wie wir darauf reagieren, haben wir in unserem Beitrag zur automatischen Firewall-Sperre bei Password Spraying beschrieben.

Was gute Passworthygiene heute bedeutet

Viele Regeln aus den 2000er-Jahren gelten nicht mehr. Sowohl das BSI in seinem IT-Grundschutz-Kompendium als auch die US-Standardisierungsbehörde NIST haben ihre Empfehlungen in den vergangenen Jahren grundlegend überarbeitet. Der Grundsatz heute: lieber lang als kompliziert, lieber einzigartig als häufig gewechselt.

Jedes Konto bekommt sein eigenes Passwort. Das BSI formuliert es unmissverständlich: Passwörter dürfen nicht mehrfach verwendet werden. Nur so bleibt ein Leak bei einem Dienst auf diesen Dienst beschränkt.
Länge schlägt Komplexität. Ein langer Satz aus mehreren Wörtern ist sicherer und leichter zu merken als ein kurzes Kennwort voller Sonderzeichen. NIST verlangt in seiner aktuellen Fassung mindestens 15 Zeichen, wenn ein Passwort der einzige Schutz eines Kontos ist – und rät ausdrücklich von starren Regeln wie „mindestens ein Sonderzeichen“ ab.
Bekannte und schwache Passwörter sperren. Kennwörter, die leicht zu erraten sind oder auf gängigen Passwortlisten stehen, dürfen laut BSI nicht verwendet werden. Am besten verhindert die Technik, dass sie überhaupt gesetzt werden können.
Kein Wechsel ohne Anlass. Regelmäßige Zwangswechsel führen erfahrungsgemäß zu „Passwort1“, „Passwort2“ und so weiter. Das BSI rät deshalb von rein zeitgesteuerten Wechseln ab. Gewechselt wird, wenn ein Passwort bekannt geworden sein könnte – dann aber sofort.
Ein Passwort-Manager ist Pflicht, nicht Luxus. Niemand kann sich Dutzende einzigartige Passwörter merken – und muss es auch nicht. Auch das BSI empfiehlt, den Einsatz zu prüfen.
Wo immer möglich: ein zweiter Faktor. Er macht ein gestohlenes Passwort allein wertlos. Dass auch das nicht in jedem Fall reicht, ändert nichts daran, dass es die wirksamste Einzelmaßnahme ist.

Die vergessenen Konten: Dienst- und Schnittstellenzugänge

Der dänische Fall zeigt eine besonders heikle Kategorie: Zugänge, hinter denen kein Mensch sitzt. Konten für Schnittstellen, Fachverfahren, Scanner, Backup oder Fernwartung werden oft einmal eingerichtet und dann vergessen. Sie haben häufig weitreichende Rechte, selten einen zweiten Faktor und ein Passwort, das seit der Installation niemand geändert hat – manchmal sogar das Standardpasswort des Herstellers.

Für Dienstkonten gilt

Lange, zufällige Passwörter, sicher hinterlegt – nicht auf einem Zettel am Server. Beschränkung auf die IP-Adressen oder Systeme, von denen aus sie tatsächlich genutzt werden. Nur die Rechte, die für die Aufgabe nötig sind. Und Überwachung: Ein Dienstkonto, das plötzlich nachts oder millionenfach abfragt, muss auffallen – nicht erst an der Rechnung.

Was Sie jetzt tun können

Für Ihre Mitarbeitenden: einen Passwort-Manager bereitstellen und kurz erklären, warum private und dienstliche Passwörter getrennt sein müssen.
Für Ihre Administratoren: eine Sperrliste für schwache und bekannte Passwörter im Active Directory und in Microsoft 365 aktivieren.
Für alle Konten mit Zugang von außen: einen zweiten Faktor verpflichtend machen – VPN, E-Mail, Fernwartung, Cloud-Dienste.
Für Dienst- und Schnittstellenkonten: eine Liste anlegen, Standardpasswörter ersetzen, Rechte prüfen.
Für den Ernstfall: festlegen, wer informiert wird und welche Passwörter sofort geändert werden, wenn Zugangsdaten in einem Leak auftauchen.

Wie wir unterstützen

Bei Kunden mit entsprechendem Servicevertrag sorgen wir dafür, dass Passwortrichtlinien zum heutigen Stand passen, schwache Kennwörter technisch gesperrt sind und Zugänge von außen mit einem zweiten Faktor geschützt werden. Unsere Active-Defense-Pipeline erkennt Password-Spraying auf VPN-Zugänge und sperrt angreifende Adressen automatisch. Und gemeinsam mit Ihnen gehen wir die Dienstkonten durch, an die sonst niemand denkt.

Unser Fazit

Der dänische Fall wird vermutlich als einer der größten Datenabflüsse eines europäischen Registers in Erinnerung bleiben. Wenn sich die Angaben des Täters bestätigen, war der Schlüssel dazu ein Passwort, das jedes Prüfwerkzeug sofort abgelehnt hätte. Gute Passworthygiene ist unspektakulär – aber sie ist die Grundlage, auf der jede andere Sicherheitsmaßnahme aufbaut.

Wie sicher sind die Passwörter in Ihrem Unternehmen?

Wir prüfen gemeinsam mit Ihnen Richtlinien, Sperrlisten, Dienstkonten und Zugänge von außen.

Kontakt aufnehmen

Grundlagen der Empfehlungen: BSI IT-Grundschutz-Kompendium, Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“, sowie NIST Special Publication 800-63B, Revision 4 (August 2025).