Dänemark: CPR-Register-Datenleck betrifft 8,8 Millionen Datensätze

Rund 8,8 Millionen Datensätze aus Dänemarks zentralem Personenregister (CPR) sind über den legalen Abfragezugang eines privaten IT-Dienstleisters an Unbekannte gelangt. Das CPR-Register-Datenleck machte das dänische Ministerium für Forschung, Bildung und Digitalisierung am 5. Oktober 2026 öffentlich; der unbefugte Zugriff lief laut Ministerium etwa zehn Tage im September und fiel erst am Freitag, dem 2. Oktober, auf. Eine CVE gibt es nicht – es handelt sich nicht um eine Produktschwachstelle, sondern um einen missbrauchten Fremdzugang, für den sich auch kein CVSS-Score vergeben lässt. Weil die abgegriffenen Daten Name, Adresse und die zehnstellige CPR-Nummer verbinden, ist das Missbrauchsrisiko deutlich höher als bei einem reinen Kontaktdatenleck.

Was beim CPR-Register-Datenleck bislang bestätigt ist

Betroffen sind laut Ministerium Namen, Adressen und die zehnstelligen CPR-Nummern, also die dänischen Sozialversicherungsnummern. Der Abruf bewegte sich innerhalb der Daten, die private Unternehmen überhaupt erhalten dürfen. Personen mit Namens- und Adressschutz sind nach offiziellen Angaben nicht betroffen; ob auch deren CPR-Nummern in falsche Hände gerieten, lässt das Ministerium allerdings offen.

Das Ausmaß relativiert sich erst mit dem Registerumfang: Das CPR enthält Datensätze zu etwa 11 Millionen Menschen, die 8,8 Millionen Betroffenen entsprechen also rund vier von fünf Datensätzen. Dass die Zahl die Einwohnerzahl Dänemarks (Ende 2025 knapp unter 6 Millionen) übersteigt, liegt daran, dass auch Verstorbene und ins Ausland verzogene Personen im Register geführt werden. Die öffentlich-rechtliche Berichterstattung und eine unabhängige Bestätigung nennen übereinstimmend die 8,8 Millionen. Zur Vorsicht mahnt trotzdem: Der detaillierteste Bericht zum Fall weist die Zahl als noch nicht final aus.

Zusätzliche Registerinhalte sind nur sekundär belegt

Neben Name, Adresse und CPR-Nummer werden in einer Zusammenfassung der Ministeriumsangaben zusätzlich die Zugehörigkeit zur dänischen Volkskirche, eine mögliche Entmündigung und Einschränkungen der rechtlichen Handlungsfähigkeit als Registerinhalte genannt. Diese Punkte stützen sich nur auf eine mittelbare Quelle und sind primär nicht bestätigt.

Der Weg über den Dienstleister: Fremdzugang mit legitimen Rechten

Kern des Falls ist kein Einbruch ins CPR selbst. Die Angreifer nutzten den Abfragezugang eines privaten dänischen Unternehmens, das Registerdaten legal abrufen durfte. Nach Bekanntwerden wurde dieser Zugang gesperrt, der Datenabfluss damit beendet. Der Fall liegt bei der dänischen Datenschutzaufsicht Datatilsynet; die Polizei ermittelt.

Wie die Angreifer in die Systeme des Dienstleisters gelangten, ist offiziell nicht dargelegt. Datatilsynet führt aus, es seien sehr viele automatisierte Abfragen erfolgt, um gültige CPR-Nummern zu identifizieren; ob das gelang, ist nicht bestätigt. Die Behörde bezeichnet die Daten bislang als „angeblich" abgerufen und hat den Fall noch nicht bewertet. Dass ein einzelner Fremdzugang genügt, um vier Fünftel eines staatlichen Registers zu erfassen, verweist auf ein strukturelles Problem: Registerdaten werden an Dritte weitergegeben, ohne dass missbräuchliche Massenabfragen zuverlässig auffallen.

„123456" und „Pays": griffige, aber unbelegte Details

Die eingängigste Zuspitzung des Falls ist bis heute nicht bestätigt. Mehrere Konten des Dienstleisters sollen nur mit dem Passwort „123456" gesichert gewesen sein. Diese Angabe findet sich in einer Kurzfassung der ursprünglichen Meldung und in Social-Media-Aufgreifern, nicht jedoch in den ausführlichen Primärtexten. Auch der in Suchtreffern genannte Firmenname „Pays" ist durch keine belastbare Primärquelle gedeckt. Bis zur Bestätigung durch dänische Behörden ist beides als ungeprüft zu behandeln – ein Beispiel dafür, wie sich ein griffiges Detail schneller verbreitet als der gesicherte Sachverhalt.

Zugriffsdauer und Täterschaft: offene Widersprüche

Alarmzeichen gab es, aber spät. Ein Mitarbeiter der Registerverwaltung bemerkte die ungewöhnliche Aktivität am 2. Oktober, also nach rund zehn Tagen. Die Dauer selbst ist umstritten: Die auslösende Meldung spricht in der Überschrift von „wochenlang", der detaillierte Bericht nennt etwa zehn Tage im September. Mit den vorliegenden Angaben lässt sich der Widerspruch nicht auflösen.

Zur Urheberschaft schweigt jede der ausführlichen Quellen. Das ist wichtig, weil der Fall leicht mit einem früheren Angriff vermischt wird: Rund ein Jahr zuvor hatten Angreifer Internetseiten mehrerer dänischer Behörden und eines Rüstungsunternehmens attackiert, wozu sich eine pro-russische Gruppe bekannte. Für den aktuellen Vorfall gibt es keine Täterzuordnung; der alte Fall darf nicht auf diesen übertragen werden.

Was Betroffene jetzt tun sollten

Die Behörden warnen, niemals Passwörter oder vertrauliche Daten am Telefon oder per E-Mail preiszugeben – selbst dann nicht, wenn der Absender Name, Adresse und CPR-Nummer zu kennen scheint. Genau diese Kombination ist die Grundlage für überzeugendes Social Engineering. Empfohlen wird, bei unerwarteten Nachrichten wachsam zu sein, keine Links anzuklicken, MitID-Zugangsdaten und Passwörter nicht zu teilen und eine Kreditwarnung bei borger.dk einzurichten. Die Cyberhotline ist unter +45 33 37 00 37 erreichbar, mit verlängerten Öffnungszeiten von 8 bis 24 Uhr. Ob die 8,8 Millionen Betroffenen individuell informiert werden, ist bislang nicht bestätigt.

Ein Patch im klassischen Sinn existiert nicht, weil keine Produktschwachstelle betroffen ist – die einzige schnelle Gegenmaßnahme, die Sperre des Fremdzugangs, ist bereits erfolgt. Für Betreiber von Registern bleibt der Fall dennoch eine Warnung: Wer Abfragezugänge an Dritte vergibt, braucht Ratenbegrenzungen, Anomalieerkennung und Alarmierung, die auch dann greifen, wenn ein berechtigtes Konto plötzlich massenhaft Datensätze zieht. Dass es zehn Tage dauerte, bis eine ungewöhnliche Aktivität auffiel, ist die eigentliche Lehre des Falls – unabhängig davon, wie das Passwort des Dienstleisters tatsächlich aussah.

Quellen