Millionen Datensätze aus dänischem Register abgegriffen

Unbekannte haben in Dänemark Daten aus dem zentralen Personenregister CPR abgerufen. Betroffen sind nach Angaben des zuständigen Ministeriums rund 8,8 Millionen registrierte Personen. Zugänglich waren unter anderem Namen, Anschriften und CPR-Nummern. Die dänische Digitalisierungsministerin Christina Egelund nannte den Vorfall einen „äußerst schwerwiegenden“ Eingriff. Ermittlungen laufen, das genaue Ausmaß wird noch geprüft.

Zugriff über Firmenkonto

Der Zugang erfolgte nach Angaben des Ministeriums nicht über einen offenen technischen Einstiegspunkt, sondern über die reguläre Berechtigung eines dänischen Unternehmens. Die F.A.Z. berichtet unter Berufung auf die Mitteilung aus Kopenhagen, dass die Verwaltung des Registers am Freitag auf auffällige Vorgänge im September hingewiesen wurde. Am Wochenende habe sich dann gezeigt, dass Unbefugte in großem Umfang Daten einsehen konnten.

Das CPR-System ist ein zentrales Element der dänischen Verwaltung. Die persönliche CPR-Nummer begleitet Menschen in Dänemark dauerhaft und wird bei vielen Kontakten mit Behörden und privaten Stellen genutzt. Im Register stehen Daten von rund elf Millionen Personen. Diese Zahl liegt deutlich über der aktuellen Einwohnerzahl, weil auch Verstorbene sowie Menschen erfasst sind, die Dänemark verlassen haben.

Neben Namen, Adressen, Familienstand und CPR-Nummer können laut heise unter Berufung auf dänische Angaben weitere Informationen im Register stehen. Dazu zählen etwa die Zugehörigkeit zur dänischen Volkskirche sowie Hinweise auf rechtliche Einschränkungen der Handlungsfähigkeit.

Risiken für Betroffene

Besonders heikel ist der mögliche Zugriff auf aktuelle Wohnanschriften. Für Personen ohne beantragten Adressschutz könnten diese Angaben nun in falsche Hände geraten sein. Das betrifft nicht nur private Sicherheitsrisiken, sondern kann auch staatliche Stellen und Personen mit besonderer öffentlicher Sichtbarkeit betreffen.

Fachleute sehen zudem ein erhebliches Missbrauchspotenzial bei Betrugsversuchen. Jens Myrup Pedersen, Professor für Cybersicherheit an der Universität Aarhus, bezeichnete den Vorfall gegenüber der F.A.Z. als großes Datenleck. Solche Informationen seien für Angreifer eine „Goldgrube“, sagte er. Mit ihnen ließen sich Nachrichten erstellen, die wie Mitteilungen von Banken, Gesundheitsstellen oder Behörden wirken.

Solche Daten können Phishing und Social Engineering erleichtern. Täterinnen und Täter könnten persönliche Informationen nutzen, um Vertrauen zu erzeugen oder Menschen zu Handlungen zu bewegen. Auch Identitätsdiebstahl gilt als mögliches Risiko. Die Kombination aus Name, Adresse und CPR-Nummer kann dabei besonders sensibel sein, weil die CPR-Nummer in Dänemark in vielen Verwaltungsvorgängen eine zentrale Rolle spielt.

Ermittlungen und Überprüfung

Die dänischen Behörden haben Ermittlungen aufgenommen. Zuständig ist die Nationale Einheit für besondere Kriminalität. Deren stellvertretender Polizeipräsident Nicklas Fallesen sagte dem Sender TV2, es sei eine Straftat begangen worden, die nun untersucht werde.

Ministerin Egelund erklärte, gemeinsam mit den zuständigen Behörden werde das gesamte Ausmaß des Vorfalls ermittelt. Zugleich soll das CPR-System einer gründlichen Sicherheitsprüfung unterzogen werden. Ob alle Bürgerinnen und Bürger neue CPR-Nummern benötigen könnten, ließ sie offen. Dafür sei es zu früh.

Die Ministerin rief die Bevölkerung dazu auf, in der kommenden Zeit aufmerksam zu bleiben. Bürgerinnen und Bürger sollen besonders vorsichtig sein, wenn sie unerwartet kontaktiert werden oder persönliche Angaben machen sollen. Die Regierung verweist dabei auf staatliche Hinweise zur digitalen Sicherheit.

Einordnung der digitalen Verwaltung

Dänemark gilt in Europa als weitgehend digitalisierter Staat. Viele Verwaltungsleistungen laufen online, zentrale Register spielen im Alltag eine große Rolle. Das erhöht die Effizienz, vergrößert aber auch die Bedeutung funktionierender Schutzmechanismen.

Der Fall wirft daher Fragen zur Kontrolle berechtigter Zugänge auf. Wenn ein rechtmäßiger Zugang missbraucht wird, reichen klassische Schutzmaßnahmen gegen unbefugtes Eindringen allein nicht aus. Entscheidend ist dann, ob ungewöhnliche Abrufe schnell erkannt werden und ob Unternehmen mit Registerzugang ausreichend streng überwacht werden.

Für Dänemark kommt eine sicherheitspolitische Dimension hinzu. Das Land unterstützt die Ukraine stark und sieht sich, wie andere europäische Staaten, hybriden Angriffen ausgesetzt. Wer hinter dem Abruf steht, ist bisher nicht geklärt. Klar ist aber: Der Vorfall betrifft eines der wichtigsten digitalen Register des Landes und damit Daten von Millionen Menschen.