Sicherheitsvorfall im Personenregister
Das dänische Ministerium für Wissenschaft, Hochschulbildung und Digitalisierung teilte am Montagmorgen, dem 5. Oktober 2026, mit, dass Unbefugte in das Zentrale Personregister des Landes (CPR) eingedrungen seien. Der Vorfall betrifft die personenbezogenen Daten von rund 8,8 Millionen registrierten Personen – darunter lebende Bürger, Einwohner, Verstorbene sowie ins Ausland verzogene Bürger. Zu den offengelegten Informationen gehören vollständige Namen, Postanschriften, digitale Kontaktdaten, Telefonnummern und die eindeutigen zehnstelligen Personenkennnummern. Während Dänemark rund 6 Millionen Einwohner zählt, enthält das CPR-System Einträge zu etwa 11 Millionen Personen über mehrere Jahrzehnte hinweg. Der kompromittierte Datensatz umfasst die große Mehrheit aller in der nationalen Datenbank gespeicherten Einträge.
Vorgehen und zeitlicher Ablauf des Eindringens
Die Datenbankadministratoren entdeckten am 2. Oktober 2026 zunächst eine Anomalie im Registersystem und leiteten am darauffolgenden Wochenende eine unverzügliche Bewertung ein. Die Ermittler stellten fest, dass im gesamten September 2026 unbefugte Datenbankabfragen durchgeführt worden waren. Die Täter verschafften sich Zugang, indem sie gültige Suchberechtigungen eines autorisierten privaten dänischen Unternehmens missbrauchten, das über legitimen Zugang verfügte, um personenbezogene Daten mit staatlichen Registern abzugleichen. Die Behörden reagierten, indem sie dem privaten Unternehmen den Zugang sofort entzogen, um weitere Abfragen im Register zu verhindern. Die dänische Polizei und Cyber-Ermittler leiteten ein förmliches Verfahren ein, um die Quelle des Eindringens nachzuvollziehen; die Regierung erklärte jedoch, die Täter seien bislang nicht identifiziert.
- Unbefugte Abfragen erfolgen innerhalb des Zentralen Personregisters.
- Administratoren entdecken unregelmäßige Systemaktivität.
- Das Digitalisierungsministerium gibt den Sicherheitsvorfall bekannt.
Umfang der Registerdaten und Ausnahmen
Die eindeutige zehnstellige CPR-Nummer bildet eine grundlegende Säule der dänischen Verwaltung und Wirtschaft und dient als primäre Kennung für Steuerveranlagungen, Gesundheitsakten und Geschäftsbanking. Über die üblichen Identitätsmerkmale hinaus speichert das Register Verwaltungsangaben wie Kirchenmitgliedschaft, Einträge zur rechtlichen Entmündigung und Beschränkungen der rechtlichen Handlungsfähigkeit. Die dänische Regierung bestätigte, dass Bankzugangsdaten und Kontonummern nicht in dem offengelegten Datensatz enthalten und somit nicht kompromittiert waren. Zudem waren Personen, die zuvor an speziellen staatlichen Schutzprogrammen für Namen und Adressen teilgenommen hatten, von den offengelegten Suchergebnissen ausgenommen. Private Einrichtungen in Dänemark nutzen routinemäßig regulierte Systemverbindungen, um Bürgeridentitäten bei Geschäftsvorgängen gegen das Zentralregister abzugleichen, weshalb der Schutz dieser Zugangswege für die nationale Datensicherheit entscheidend ist.
Reaktion der Regierung und Hinweise für die Öffentlichkeit
Digitalisierungsministerin Christina Egelund äußerte sich am 5. Oktober zu dem Sicherheitsversagen und ordnete eine umfassende Sicherheitsprüfung der Registerinfrastruktur und ihrer externen Zugangsprotokolle an.
Dies ist ein äußerst schwerwiegender Vorfall.
Egelund wies darauf hin, dass mehrere staatliche Stellen und Sicherheitsdienste zusammenarbeiten, um das technische Ausmaß der Datenentnahme zu bewerten.
Gemeinsam mit allen zuständigen Behörden rekonstruieren wir derzeit das vollständige Ausmaß des Vorfalls.
Das Ministerium warnte die Einwohner Dänemarks, sich auf möglichen Identitätsbetrug, betrügerische Telefonanrufe und maßgeschneiderte Phishing-Nachrichten einzustellen, die aus den kompromittierten Registerdaten resultieren. Egelund ermutigte die Bürger, unaufgeforderten Kontaktaufnahmen mit erhöhter Skepsis zu begegnen, keine unbekannten Internetlinks anzuklicken und keine sensiblen Zugangsdaten preiszugeben, wenn sie von unbekannten Parteien kontaktiert werden.