Dänemark ist von einem außergewöhnlich großen Sicherheitsvorfall im staatlichen Melderegister betroffen. Unbekannte haben sich unberechtigten Zugang zu personenbezogenen Daten von rund 8,8 Millionen registrierten Personen verschafft.
Betroffen sind nach Angaben der zuständigen Behörden unter anderem Namen Adressen und die dänischen CPR Nummern. Dabei handelt es sich um persönliche Identifikationsnummern die in ihrer Funktion mit einer zentralen Personenkennziffer vergleichbar sind.
Die Dimension des Vorfalls ist erheblich. Das zentrale dänische Personenregister umfasst insgesamt rund elf Millionen registrierte Personen. Darunter befinden sich nicht nur aktuell in Dänemark lebende Menschen sondern auch Verstorbene und Personen die das Land verlassen haben.
Angriff erfolgte über legalen Unternehmenszugang
Besonders brisant ist der Weg über den die Unbekannten offenbar an die Daten gelangten.
Nach Angaben des zuständigen Ministeriums wurde nicht einfach ein öffentlich zugängliches System angegriffen.
Stattdessen sollen die Täter den legalen Zugang eines privaten dänischen Unternehmens zum zentralen Melderegister missbraucht haben.
Private Unternehmen können unter bestimmten Voraussetzungen auf bestimmte Informationen des Registers zugreifen.
Genau ein solcher legitimer Zugang wurde nach bisherigen Erkenntnissen für die unberechtigten Abfragen verwendet.
Die Behörden haben den Zugang des betreffenden Unternehmens inzwischen gesperrt.
Millionen persönliche Identifikationsnummern betroffen
Von besonderer Bedeutung ist dass neben Namen und Adressen auch CPR Nummern betroffen sind.
Diese persönlichen Identifikationsnummern spielen im dänischen Alltag eine zentrale Rolle.
Gerade die Kombination verschiedener personenbezogener Informationen kann für Betroffene problematisch werden.
Kriminelle könnten vorhandene Daten beispielsweise verwenden um bei späteren Kontaktversuchen besonders glaubwürdig aufzutreten.
Wenn ein Anrufer oder Absender bereits Namen Adresse und persönliche Identifikationsnummer kennt kann dies bei Betroffenen den Eindruck erwecken dass tatsächlich eine Behörde Bank oder ein anderes bekanntes Unternehmen Kontakt aufgenommen hat.
Genau vor diesem Risiko warnen die dänischen Behörden.
Verbraucher sollten deshalb niemals Passwörter oder andere vertrauliche Informationen herausgeben nur weil ein Anrufer bereits persönliche Daten kennt.
Auffälligkeiten offenbar bereits im September
Nach Angaben des Ministeriums wurde die Verwaltung des Registers am Abend des 2. Oktober 2026 auf ungewöhnliche Vorgänge aufmerksam.
Die auffälligen Aktivitäten sollen bereits im Laufe des Septembers stattgefunden haben.
Im Zuge der anschließenden Untersuchungen wurde bekannt dass Unbefugte in erheblichem Umfang auf Daten des Systems zugreifen konnten.
Wie lange der unberechtigte Zugriff tatsächlich möglich war und wer hinter dem Vorgang steht ist Gegenstand der laufenden Ermittlungen.
Behörden betonen ausdrücklich dass die Untersuchung noch nicht abgeschlossen ist.
Geschützte Adressen offenbar nicht betroffen
Eine wichtige Einschränkung gibt es nach dem bisherigen Stand.
Personen die ihre Namen und Adressen im dänischen Register besonders schützen lassen haben sind nach der bisherigen Untersuchung hinsichtlich dieser geschützten Angaben nicht betroffen.
Die Behörden weisen allerdings darauf hin dass die genaue Rekonstruktion des Vorfalls noch läuft.
Damit können sich einzelne Angaben zum Umfang des Datenzugriffs im Verlauf der Ermittlungen noch konkretisieren.
Datenschutzbehörde eingeschaltet
Der Vorfall beschäftigt inzwischen auch die dänische Datenschutzaufsicht.
Das zentrale Personenregister meldete den Sicherheitsvorfall am 4. Oktober an die zuständige Datenschutzbehörde.
Nach deren Angaben wurde eine sehr große Zahl automatisierter Abfragen gegen das CPR System vorgenommen.
Dabei soll es unter anderem darum gegangen sein gültige CPR Nummern zu identifizieren.
Die Datenschutzbehörde untersucht nun was genau geschehen ist wie der umfangreiche Zugriff möglich wurde und wer für die Verarbeitung der betroffenen personenbezogenen Daten verantwortlich ist.
Auch die Polizei ermittelt.
Wer hinter dem Zugriff steckt ist bislang nicht bekannt.
Sicherheitsüberprüfung des gesamten Systems angekündigt
Die dänischen Behörden wollen den Fall nicht allein auf den missbrauchten Unternehmenszugang beschränken.
Nach Angaben des zuständigen Ministeriums sollen zusätzliche Maßnahmen getroffen werden um vergleichbare Vorfälle künftig zu verhindern.
Darüber hinaus wurde eine umfassende Sicherheitsüberprüfung des zentralen Melderegisters angekündigt.
Dabei dürfte insbesondere die Frage eine Rolle spielen wie ein grundsätzlich legitimer Unternehmenszugang für automatisierte Abfragen in einem derart großen Umfang verwendet werden konnte.
8,8 Millionen Datensätze zeigen die Dimension
Die Größenordnung macht den Vorfall besonders bemerkenswert.
Im zentralen Register befinden sich rund elf Millionen registrierte Personen.
Bei rund 8,8 Millionen davon soll es zu unberechtigten Zugriffen auf persönliche Daten gekommen sein.
Damit betrifft der Vorfall einen erheblichen Teil des gesamten Datenbestandes.
Die Zahl darf allerdings nicht mit 8,8 Millionen aktuell in Dänemark lebenden Menschen gleichgesetzt werden.
Das Register enthält neben lebenden Einwohnern auch Verstorbene ausgewanderte Personen und weitere registrierte Personengruppen.
Warum die Daten trotzdem gefährlich werden können
Ein Datendiebstahl führt nicht zwangsläufig unmittelbar zu einem finanziellen Schaden.
Das eigentliche Risiko kann sich erst später zeigen.
Persönliche Informationen können beispielsweise für glaubwürdig wirkende Phishing Nachrichten oder betrügerische Telefonanrufe verwendet werden.
Ein Betrüger der bereits Namen Adresse und Identifikationsnummer kennt muss sein Opfer nicht mehr davon überzeugen dass er persönliche Informationen besitzt.
Genau dieser Umstand kann einen späteren Betrugsversuch besonders überzeugend erscheinen lassen.
Betroffene sollten deshalb in der kommenden Zeit besonders vorsichtig sein wenn angebliche Banken Behörden Versicherungen oder andere Unternehmen Kontakt aufnehmen und zusätzliche vertrauliche Informationen verlangen.
Persönliche Daten sind kein Echtheitsbeweis
Der dänische Vorfall zeigt außerdem ein grundsätzliches Problem moderner Datenlecks.
Verbraucher dürfen nicht mehr davon ausgehen dass ein Anrufer allein deshalb vertrauenswürdig ist weil er persönliche Informationen nennen kann.
Name Anschrift Geburtsdaten oder persönliche Identifikationsnummern können bereits aus einem früheren Datenleck stammen.
Entscheidend ist deshalb eine unabhängige Überprüfung des Absenders.
Wer beispielsweise einen angeblichen Anruf seiner Bank erhält sollte im Zweifel auflegen und die Bank anschließend selbst über eine bekannte und unabhängig überprüfte Telefonnummer kontaktieren.
Das Gleiche gilt für E Mails oder Nachrichten die zur Eingabe weiterer persönlicher Informationen auffordern.
Ermittlungen stehen erst am Anfang
Viele entscheidende Fragen sind bislang noch offen.
Unklar ist insbesondere wer hinter dem umfangreichen Datenzugriff steht.
Auch über die genaue Motivation der Verantwortlichen ist bislang nichts bekannt.
Ebenso muss noch untersucht werden wie der Unternehmenszugang missbraucht werden konnte und welche Sicherheitsmechanismen möglicherweise nicht ausreichend gegriffen haben.
Die Behörden haben deshalb angekündigt den Vorgang umfassend aufzuarbeiten.
Fazit
Der Sicherheitsvorfall im dänischen Melderegister gehört aufgrund seiner Größenordnung zu den besonders schwerwiegenden Datenschutzereignissen.
Rund 8,8 Millionen registrierte Personen sind nach bisherigen Erkenntnissen betroffen. Unbekannte konnten auf Namen Adressen CPR Nummern und weitere Informationen zugreifen.
Besonders bemerkenswert ist dass offenbar kein gewöhnlicher Zugang von außen genutzt wurde sondern der legitime Zugang eines privaten Unternehmens missbraucht wurde.
Dieser Zugang wurde inzwischen blockiert.
Polizei Datenschutzaufsicht und weitere Behörden untersuchen den Fall. Gleichzeitig soll das zentrale Register einer umfassenden Sicherheitsüberprüfung unterzogen werden.
Für die Betroffenen dürfte das größte Risiko möglicherweise erst nach dem eigentlichen Angriff entstehen. Persönliche Daten können dazu genutzt werden spätere Betrugsversuche glaubwürdiger erscheinen zu lassen.
Wer in den kommenden Wochen von vermeintlichen Behörden Banken oder Unternehmen kontaktiert wird sollte deshalb eines besonders beachten.
Nur weil ein Anrufer Name Adresse oder persönliche Identifikationsnummer kennt bedeutet das noch lange nicht dass er tatsächlich derjenige ist für den er sich ausgibt.
