Das Datenleck im dänischen Bevölkerungsregister hat persönliche Informationen von rund 8,8 Millionen Menschen offengelegt. Nach Angaben der Behörden missbrauchten Angreifer den legitimen Zugang eines privaten dänischen Unternehmens zum Zentralen Personenregister, das als CPR bekannt ist.
Die betroffenen Datensätze umfassen derzeitige Einwohner, ins Ausland gezogene Personen und Verstorbene. Daher bedeutet die Gesamtzahl nicht, dass 8,8 Millionen derzeit in Dänemark lebende Menschen betroffen sind.
Die Behörden haben den Zugang des Unternehmens gesperrt, während die Polizei untersucht, wie die Angreifer darauf zugreifen und ihn missbrauchen konnten.
Angreifer missbrauchten den Registerzugang eines Unternehmens
Das CPR dient als nationales Personenregister Dänemarks. Es enthält Informationen wie Namen, Adressen, Geburtsdaten, Familienstand und eindeutige CPR-Identifikationsnummern.
Laut der offiziellen Mitteilung nutzten die Angreifer die autorisierte Verbindung eines privaten Unternehmens, um Namen, Adressen, CPR-Nummern und weitere Informationen abzurufen.
Die Behörden haben jedoch noch nicht erklärt, wie die Angreifer die Kontrolle über diesen Zugang erlangten. Aus den verfügbaren Angaben geht auch nicht hervor, welches Unternehmen betroffen war.
Unabhängig davon erklärte die dänische Datenschutzbehörde, dass der Vorfall eine Form der Brute-Force-Enumeration umfasste. Die Angreifer identifizierten gültige CPR-Nummern und riefen anschließend die mit diesen Einträgen verbundenen Informationen ab.
Diese Beschreibung deutet auf wiederholte Abfragen von Registereinträgen hin. Sie belegt für sich genommen nicht, dass die Angreifer Passwörter von Konten erraten haben.
Rund 80 Prozent der Registereinträge betroffen
Das Register enthält Datensätze von rund 11 Millionen Personen. Mit etwa 8,8 Millionen Betroffenen umfasst das Datenleck im dänischen Bevölkerungsregister ungefähr 80 Prozent dieser Gesamtzahl.
Die Behörden erklären jedoch, dass der Vorfall nicht alle Personen im System betroffen hat.
Die unbefugten Aktivitäten fanden im September 2026 statt. Die CPR-Verantwortlichen erfuhren am 2. Oktober von dem Datenleck und ermittelten dessen ungefähres Ausmaß im Laufe des darauffolgenden Wochenendes.
Anschließend sperrten die Behörden den Zugang des privaten Unternehmens, um eine weitere Nutzung dieser Verbindung zu verhindern. Unterdessen dauern die polizeilichen Ermittlungen an.
Regierung führt zusätzliche Sicherheitsmaßnahmen ein
Christina Egelund, Dänemarks Ministerin für Forschung, Bildung und Digitalisierung, bezeichnete den Vorfall als äußerst ernst. Sie informierte außerdem den Wirtschafts- und Digitalisierungsausschuss des Parlaments.
Egelund zufolge arbeiten die zuständigen Behörden gemeinsam daran, das vollständige Ausmaß des Datenlecks zu ermitteln.
Die Behörden haben zudem zusätzliche Sicherheitsmaßnahmen eingeführt, um ähnliche Vorfälle zu verhindern. Die Mitteilung enthielt jedoch keine technischen Einzelheiten zu diesen Änderungen.
Daher bleiben Fragen zur ursprünglichen Kompromittierung und zum vollständigen Umfang der Informationen offen, auf die die Angreifer zugreifen konnten.
Einwohner werden vor überzeugenden Betrugsnachrichten gewarnt
Die Behörden forderten die Einwohner auf, nach dem Datenleck bei unaufgeforderten Anrufen, E-Mails und anderen Mitteilungen wachsam zu bleiben.
Insbesondere beweist die Kenntnis des Namens, der Adresse oder der CPR-Nummer einer Person nicht, dass ein Anrufer oder Absender legitim ist. Angreifer könnten die offengelegten Daten nutzen, um betrügerische Nachrichten glaubwürdiger erscheinen zu lassen.
Die offiziellen Hinweise warnen davor, als Reaktion auf solche Kontaktversuche Passwörter oder andere vertrauliche Informationen preiszugeben.
Unterdessen bietet eine spezielle Cyber-Hotline potenziell betroffenen Personen Unterstützung an. Die Behörden haben außerdem Hinweise über Dänemarks nationale Website für digitale Sicherheit bereitgestellt.
0 Kommentare zu „Datenleck im dänischen Bevölkerungsregister legt Daten von 8,8 Millionen Menschen offen“