Dänemark: Angreifer erbeuteten CPR-Datensätze von 8,8 Millionen Menschen

Am Montag, dem 5. Oktober 2026, legte das dänische Ministerium für Forschung, Bildung und Digitalisierung offen, dass unbefugte Parteien Datensätze zu rund 8,8 Millionen Menschen aus dem Central Person Register, dem CPR, erlangt hatten. TechCrunch beschrieb es als den größten Datenschutzvorfall der dänischen Geschichte. Das Register ist die Identitätsschicht unter dem dänischen Leben, und erbeutet wurden Namen, Adressen und CPR-Nummern.

Zum Weiterlesen: Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen · Capcom meldet Datenpanne mit 11,7 Millionen Datensätzen und 196 geänderten Passwörtern.

Der Weg hinein war banal. Niemand knackte eine Verschlüsselung oder brach in einen gehärteten Server ein. Nach Angaben des Ministeriums missbrauchten die Angreifer den rechtmäßigen Zugang einer kleinen dänischen Firma, die das Register durchsuchen durfte. Über den Zugang dieses einen Unternehmens liefen im September 2026 in rund zehn Tagen mehr als 14 Millionen automatisierte Abfragen, von denen etwa 8,8 Millionen einen Datensatz zurückgaben. Der Zugang der Firma wurde inzwischen gesperrt. Gültige Anmeldedaten, mit Maschinengeschwindigkeit genutzt, machten aus einem Fehler der Zugangskontrolle einen nationalen Vorfall.

Was das CPR ist und warum 80 Prozent die entscheidende Zahl sind

Das CPR ist Dänemarks Personenstandsregister, und die Zahlen des Ministeriums zeigen, wie viel davon berührt wurde.

• Das Register enthält Datensätze zu rund 11 Millionen Menschen. Dazu zählen aktuelle Einwohner, ins Ausland gezogene Personen und Verstorbene.
• Etwa 8,8 Millionen dieser Datensätze waren betroffen, rund 80 Prozent des Registers.
• Dänemarks derzeitige Bevölkerung liegt bei knapp über 6 Millionen.

Die Lücke zwischen 8,8 Millionen und 6 Millionen ist das Erste, was zu verstehen ist. Die Zahl zählt Datensätze, nicht lebende Einwohner. Wer vor Jahren starb oder wegzog, hat weiterhin einen CPR-Datensatz, und dieser kann im selben Durchgang erfasst werden. The Record, Help Net Security und The Next Web nennen die Zahl von 8,8 Millionen. TechCrunchs Schlagzeile und Vorspann verwendeten für dasselbe Ereignis „8 Millionen“, sodass Leser beiden Zahlen begegnen werden.

Eine Gruppe war ausgenommen. Das Ministerium erklärte, der Vorfall betreffe keine Personen, die Namens- und Adressschutz registriert hatten – eine Einstellung, die eine Adresse aus öffentlichen Verzeichnissen heraushält.

Rund 80 Prozent eines Registers zu erreichen, das der Staat seit Jahrzehnten führt, ist ungewöhnlich. Die meisten Vorfälle bei einer öffentlichen Datenbank legen einen Ausschnitt offen, der von einem Geschäftsprozess, einer Gruppe von Kundenkonten oder einer einzelnen Abteilung bestimmt wird. Dieser hier durchzog fast die gesamte Datei in wenigen Tagen.

Die CPR-Nummer ist der Kern

Die CPR-Nummer ist Dänemarks nationale Kennung. Dieselbe Nummer begleitet eine Person durch Steuererklärung, Gesundheitswesen und Bankgeschäfte, und der durchgesickerte Datensatz verknüpft sie mit einem Namen und einer Adresse. Diese Kombination macht die Daten für einen Angreifer nützlich. Anders als ein Passwort ist sie nicht auf einen Dienst beschränkt. The Hacker News wies auf die Bandbreite der Verwendungen hin, die die Nummer abdeckt.

Für die Menschen im Register reicht das Risiko weiter. Eine durchgesickerte CPR-Nummer allein eröffnet kein Konto und allein gewährt sie keinen Zugang zu einer Bank oder einem Gesundheitsportal. Zusammen mit Name und Adresse ist sie jedoch das Rohmaterial, auf dem Identitätsbetrug und überzeugendes Phishing aufbauen. Was ein Angreifer nun besitzt, ist ein stabiles Stück bürgerlicher Identität, und anders als ein Passwort ändert es sich nicht.

Was eine Person tun kann, nachdem diese Nummer durchgesickert ist, ist eine schwierigere Frage als das Zurücksetzen eines Passworts. Das Ministerium hat für 8,8 Millionen Datensätze noch keine Antwort vorgelegt, und die Offenlegung enthielt keinen Rat der Behörden zu Ersatz, Überwachung oder Betrugsprüfungen.

Von einer Rechnung zu einem nationalen Alarm

Der Zeitplan, den das Ministerium und die CPR-Verwaltung nannten, ist kurz und konkret.

• Die CPR-Verwaltung erfuhr am Abend des Freitag, 2. Oktober 2026, von unregelmäßiger Aktivität, als ein Mitarbeiter sie bemerkte. Das Ausmaß wurde am Wochenende ermittelt.
• Beamte der Nationalen Einheit für besondere Kriminalität besuchten das Unternehmen am Samstagabend, 3. Oktober 2026, um Beweise zu sichern.
• Die Verwaltung benachrichtigte am Sonntag, 4. Oktober 2026, die dänische Datenschutzbehörde Datatilsynet.
• Datatilsynet veröffentlichte ihre Mitteilung am 5. Oktober, am selben Tag, an dem das Ministerium an die Öffentlichkeit ging.

Die Aktivität wurde letztlich über eine Rechnung oder einen Beleg bemerkt, so die Darstellungen des Falls. Ob der Missbrauch in Abrechnungsunterlagen, in einer Kostenauffälligkeit oder in einer Routineprüfung auffiel, geht aus den öffentlichen Erklärungen nicht hervor. Was das Detail zeigt, ist, dass die Abfragen lange genug unauffällig blieben, um eine nachträgliche Erkennung nötig zu machen. Das Zehn-Tage-Fenster ist das Ausmaß dieser Lücke.

Die dänische Digitalisierungsministerin Christina Egelund nannte es „einen zutiefst ernsten Vorfall“.

Ein zutiefst ernster Vorfall.

Keine Verdächtigen, und ein Fall, der offen bleibt

Zum Zeitpunkt der Offenlegung hatte die Polizei niemanden identifiziert und niemanden angeklagt. Henriette Erbs, Leiterin der Nationalen Einheit für besondere Kriminalität, sagte, ihre Beamten kontaktierten Polizeien in anderen Ländern. Das Ministerium wollte nicht sagen, wer hinter dem Vorfall steckte.

Das missbrauchte Unternehmen wurde nicht öffentlich genannt, und kein Motiv wurde genannt. Damit bleiben die zentralen Fragen offen. Es ist nicht bekannt, ob dies der Versuch war, eine Massen-Identitätsdatenbank aufzubauen, ein Schritt hin zum Betrug oder etwas anderes, und das Ministerium hat nicht gesagt, ob die Daten bereits den Besitzer gewechselt haben, verkauft wurden oder ungelesen liegen.

Was das Ministerium gesagt hat, ist enger: dass der Zugang einer Firma missbraucht wurde, dass die Abfragen rund zehn Tage liefen und dass der Zugang geschlossen wurde. Es hat nicht erklärt, wie der Missbrauch unbemerkt blieb oder was das Unternehmen selbst – falls überhaupt – tat.

Die Ermittler handelten bei den Teilen schnell, die sie kontrollieren können. Die Nationale Einheit für besondere Kriminalität sicherte Beweise im Unternehmen am Tag, nachdem die Aktivität entdeckt wurde, und die Meldung an Datatilsynet folgte innerhalb von zwei Tagen. Die offenen Punkte sind die langsameren: Zuordnung, Motiv und das Schicksal der Daten. Ein Registervorfall dieser Größe wirft zudem die Frage auf, wer dafür einsteht, was bislang keine dänische Behörde öffentlich behandelt hat.

Das Echo von 2015

Dänemark war schon einmal an diesem Punkt, in kleinerem Maßstab. 2015 wurden zwei unverschlüsselte CDs mit CPR-Daten zu mehr als 5 Millionen Menschen versehentlich an das chinesische Visumantragszentrum in Kopenhagen geliefert. Die Behörden erklärten damals, es gebe keine Hinweise darauf, dass die Daten kopiert oder weitergegeben worden seien. Jener Vorfall war ein Kurierfehler. Dieser hier war nach Darstellung des Ministeriums eine externe Partei, die den legitimen Zugang einer Firma nutzte, um das Register massenhaft zu durchsuchen, und der Zugang blieb rund zehn Tage aktiv, bevor er gesperrt wurde.

Die beiden Ereignisse unterscheiden sich in der Methode und im Nachspiel. Der Fall von 2015 warf Fragen dazu auf, wie physische Datenträger zwischen Büros bewegt wurden. Dieser hier wirft Fragen dazu auf, wie der digitale Zugang zum Register überwacht wird. In beiden verließen die Daten das System über einen vom Staat gebilligten Weg, und in keinem musste ein Außenstehender einbrechen.

Warum ein Zugangsfehler der schwierige Fall ist

Die meisten Vorfallsgeschichten enden mit einem gepatchten Produkt oder einer korrigierten Konfiguration. Diese endet mit einer Frage zum Zugangsmodell selbst.

Das Register muss durchsuchbar sein. Unternehmen und öffentliche Stellen mit rechtmäßigem Zugang müssen es für ihre Arbeit abfragen, und das Ministerium hat erklärt, die Nummer werde in Steuern, Gesundheitswesen, Bankgeschäften und anderen Diensten verwendet. Der Vorfall erforderte nicht, dass jemand dieses Design überwindet. Er erforderte nur, dass ein Zugangsinhaber gegen das Register gewendet oder kompromittiert wurde. Das zu erkennen bedeutet, sowohl zu beobachten, wer Zugang hat, als auch wie viel des Registers jeder berührt – und wie schnell. Ein einzelnes Konto, das in zehn Tagen Millionen Datensätze abzieht, ist ein Muster. Warum eine Rechnung und nicht die Überwachung darauf aufmerksam machte, ist die Frage, die der Fall offenlässt.

Der schwierige Teil ist strukturell. Eine Suchschnittstelle, die in zehn Tagen Millionen Anfragen beantwortet, funktioniert für jede einzelne Anfrage wie vorgesehen. Die Anomalie zeigt sich erst in der Gesamtheit, im Muster dessen, wer fragt und wie oft. Sie zu erkennen erfordert Protokollierung und Ratenanalyse über jede zugangsberechtigte Organisation, was sich leichter in eine Richtlinie schreiben als durchsetzen lässt.

Das Ministerium hat nicht gesagt, wie der Zugang der Firma missbraucht werden konnte oder ob ein Insider, ein kompromittiertes Konto oder eine falsch konfigurierte Integration dafür verantwortlich war. Bis dahin zeigt der Vorfall, dass ein Register durch eine Tür geleert werden kann, die absichtlich geöffnet wurde.

Was zu beobachten ist

Ob die Ermittlungen jemanden nennen und ob sie Grenzen überschreiten. Erbs sagte, ihre Einheit kontaktiere Polizeien in anderen Ländern – das bislang klarste Signal, dass die Spur aus Dänemark hinausführt. Ein grenzüberschreitender Fall würde zudem prüfen, wie dänische Behörden mit ausländischer Polizei bei Daten zusammenarbeiten, die aus einem nationalen Register stammen.

Ob die Prüfung von Datatilsynet das Ausmaß bestätigt. Die Behörde hatte ihre Bewertung nicht abgeschlossen, als das Ministerium an die Öffentlichkeit ging, und ihre Formulierung „angeblich abgerufen“ lässt Spielraum, dass sich die Zahl noch verschiebt. Sinkt die bestätigte Zahl, sinkt auch die Chance, dass dies der größte Vorfall des Landes bleibt.

Was der Registerbetreiber ändert. Der Zugang der Firma wurde gesperrt, doch das Ministerium hat keine neuen Grenzen dafür beschrieben, wie viel des CPR ein einzelner Inhaber abfragen darf. Genau diese Kontrolle hätte diesen Vorfall von Anfang an verkleinert, und über sie dürfte am meisten debattiert werden.

Und was den Betroffenen geraten wird. Da Namen, Adressen und CPR-Nummern im Umlauf sind, wird die offizielle Reaktion für 8,8 Millionen Datensätze ebenso viel über die dänische Vorbereitung aussagen wie der Vorfall selbst. Das Ministerium hat den Vorfall und die bisherige Reaktion beschrieben, aber nicht die Hinweise, die danach kommen.

Titelbild: Moahim, Wikimedia Commons, CC BY-SA 4.0.