Dänemark meldet Angriff auf zentrales Melderegister

Unbekannte haben sich Zugang zum dänischen Melderegister verschafft und dabei personenbezogene Daten von 8,8 Millionen registrierten Menschen eingesehen. Das zuständige Digitalministerium erklärte am Montag, betroffen seien unter anderem Namen, Wohnanschriften und Sozialversicherungsnummern. Die Angaben betreffen lebende Personen ebenso wie Verstorbene, die im Register geführt werden. Der Vorfall zählt damit zu den größten bekannt gewordenen Datenpannen in Dänemarks öffentlicher Verwaltung.

Zugriff über Unternehmenszugang

Das dänische Melderegister ist als Zentrales Personenregister, kurz CPR, eine zentrale Datenbasis des Staates. Nach Angaben des Ministeriums umfasst es rund elf Millionen Einträge. Der Spiegel berichtete, dass dazu neben Bürgerinnen und Bürgern mit Wohnsitz in Dänemark auch bereits verstorbene Menschen sowie ins Ausland gezogene Personen gehören. Das Land selbst hat etwa sechs Millionen Einwohnerinnen und Einwohner.

Die unbefugten Abfragen liefen demnach nicht über einen neu geschaffenen Zugang, sondern über eine bestehende Berechtigung. Nach Darstellung der Behörden nutzten die Angreifer den rechtmäßigen Zugriff eines privaten dänischen Unternehmens, um Daten aus dem CPR-System abzurufen. Dieser Zugang ist inzwischen gesperrt. Die Verwaltung des Registers war am Freitag auf eine „Anomalie“ aufmerksam gemacht worden, die sich im September ereignet hatte. Im Verlauf des Wochenendes wurde klar, dass unbefugte Personen tatsächlich auf Datensätze zugreifen konnten.

Ministerin spricht von schwerem Fall

Digitalministerin Christina Egelund bewertete den Vorfall als gravierend. Laut Tagesschau bezeichnete sie ihn als „äußerst schwerwiegenden Vorfall“. Die Regierung leitete eine Untersuchung ein und kündigte Maßnahmen an, damit sich ein vergleichbarer Zugriff nicht wiederholt. Der Tagesspiegel meldete zudem, die Behörden hätten bereits Schritte zur Absicherung gegen weitere Angriffe dieser Art ergriffen.

Die Ermittlungen stehen am Anfang. Welche Personen oder Gruppen hinter dem Angriff stehen, wurde nicht mitgeteilt. Auch zu möglichen Zielen der Angreifer gibt es keine näheren Angaben. Klar ist bislang, dass ein externer Zugriffspunkt ausgenutzt wurde, der grundsätzlich für legitime Registerabfragen vorgesehen war. Damit rückt die Frage in den Mittelpunkt, wie staatliche Datenbanken gegen Missbrauch von Berechtigungen bei Partnern oder Dienstleistern geschützt werden.

Besonders geschützte Daten ausgenommen

Nicht alle Einträge waren nach einer ersten Prüfung in gleicher Weise betroffen. Menschen, die für ihren Namen und ihre Adresse einen besonderen Schutzstatus eintragen ließen, sollen demnach nicht erfasst sein. Diese Einschränkung ist für Personen wichtig, die aus Sicherheitsgründen nicht ohne Weiteres auffindbar sein dürfen.

Der Spiegel berichtete außerdem, das Ministerium habe Bürgerinnen und Bürger zu erhöhter Aufmerksamkeit aufgefordert und auf eine Cyberhotline verwiesen. Hintergrund ist, dass personenbezogene Angaben wie Adresse und Sozialversicherungsnummer für Betrugsversuche missbraucht werden können. Mit solchen Daten lassen sich beispielsweise täuschend echt wirkende Kontaktaufnahmen vorbereiten, auch wenn konkrete Fälle im Zusammenhang mit dem aktuellen Angriff nicht genannt wurden.

Zentrale Register als Risiko

Der Vorfall trifft einen Kernbereich staatlicher Digitalisierung. Melderegister enthalten grundlegende Informationen, die für Verwaltung, Sozialleistungen, Identifikation und zahlreiche Behördenvorgänge benötigt werden. Je stärker solche Systeme mit externen Stellen verknüpft sind, desto wichtiger werden klare Zugriffsregeln, laufende Kontrolle und schnelle Sperrmöglichkeiten.

Dänemark gilt als stark digitalisierte Verwaltung. Der Angriff zeigt zugleich, dass nicht nur klassische Einbrüche in technische Systeme ein Risiko darstellen. Auch ein missbrauchter regulärer Zugang kann große Datenmengen öffnen, wenn Berechtigungen weit reichen oder ungewöhnliche Abfragen nicht rechtzeitig gestoppt werden. Die angekündigte Sicherheitsüberprüfung soll nun klären, wie der Zugriff möglich war und welche zusätzlichen Schutzmaßnahmen nötig sind.