Datenpanne beim dänischen CPR-System: „123456“ mit 8,8 Millionen Datensätzen in Verbindung gebracht

Die dänische CPR-Datenpanne soll Informationen im Zusammenhang mit rund 8,8 Millionen Personenidentifikationsnummern offengelegt haben, nachdem Angreifer den autorisierten Zugang eines IT-Unternehmens missbraucht hatten. Berichte bringen den Vorfall mit unzureichender Kontosicherheit in Verbindung, darunter das Passwort „123456“.

Das in Odense ansässige Unternehmen Pays ApS bestätigte, dass jemand seinen legitimen Zugang zum dänischen Personenregister missbraucht hatte. Die Einzelheiten zu den Passwörtern und der Angriffsmethode stammen jedoch aus Medienberichten und von einer anonymen Person, die behauptet, für den Angriff verantwortlich zu sein.

Der Vorfall wirft Fragen darüber auf, wie Organisationen Konten schützen, die mit großen öffentlichen Datenbanken verbunden sind.

Pays ApS bestätigt Missbrauch seines Registerzugangs

Pays ApS bestätigte den Angriff am Freitag, dem 9. Oktober. Geschäftsführerin und Eigentümerin Sophie Laursen erklärte, dass der Eindringling die Berechtigung des Unternehmens für Abfragen im CPR-System missbraucht habe.

Laut dem dänischen zentralen Unternehmensregister beschäftigte das Unternehmen im Juli 2026 zwei Mitarbeiter.

Berichten zufolge wurden mindestens drei Konten identifiziert, die „123456“ verwendeten. Ein derart vorhersehbares Passwort bietet kaum Schutz vor Angreifern, die häufig verwendete Zugangsdaten ausprobieren.

Unterdessen beschrieb die Person, die behauptet, für den Angriff verantwortlich zu sein, einen ursprünglichen Zugangspunkt, bei dem ein durchgesickertes Passwort eines ehemaligen Mitarbeiters eine Rolle spielte. Aus den verfügbaren Angaben geht nicht eindeutig hervor, wie diese Zugangsdaten mit den drei Profilen zusammenhängen, die Berichten zufolge „123456“ verwendeten.

Diese Unterscheidung ist wichtig: Das Unternehmen bestätigte die unbefugte Nutzung seines Zugangs, während die detailliertere Darstellung des Eindringens weiterhin auf den Aussagen des Angreifers beruht.

Angreifer behauptet, der Zugriff habe drei Wochen angedauert

Nach Angaben der anonymen Person begann der unbefugte Zugriff am 10. September und dauerte 21 Tage und 17 Stunden.

Die Person behauptete, zwei Programme geschrieben zu haben, die Informationen aus dem Register abriefen und an anderer Stelle speicherten. Außerdem erklärte sie, nicht die Absicht gehabt zu haben, die Daten zu verkaufen oder zu veröffentlichen.

Diese Zusicherung bietet jedoch keine unabhängige Garantie dafür, wie die Informationen künftig verwendet oder zugänglich gemacht werden könnten.

Das gemeldete Ausmaß betrifft rund 8,8 Millionen CPR-Nummern. Dies entspricht nicht zwangsläufig 8,8 Millionen derzeitigen Einwohnern Dänemarks.

Das Register enthält etwa 11 Millionen Einträge, darunter Personen, die ins Ausland gezogen oder verstorben sind. Daher sollte die Zahl der betroffenen Datensätze nicht mit der Anzahl lebender Einwohner gleichgesetzt werden.

Warum private Unternehmen CPR-Informationen abfragen dürfen

Dänemark verwendet CPR-Nummern, um Personen bei öffentlichen Dienstleistungen und zahlreichen Transaktionen im privaten Sektor zu identifizieren.

Autorisierte Organisationen können auf bestimmte Registerinformationen zugreifen, beispielsweise um Kundenadressen zu überprüfen oder Mitgliederverzeichnisse zu pflegen. Daher kann selbst ein kleines Unternehmen legitime Gründe haben, Abfragen im System durchzuführen.

Die Berechtigung zum Abrufen von Informationen schafft jedoch auch eine sicherheitsrelevante Abhängigkeit. Unzureichende Sicherheitskontrollen bei einer autorisierten Organisation können Daten offenlegen, die in einem wesentlich größeren öffentlichen System gespeichert sind.

Die dänische CPR-Datenpanne verdeutlicht daher die Risiken des Zugriffs durch Dritte sowie die Bedeutung des Schutzes des Registers selbst.

Die Größe eines Unternehmens allein sagt nichts darüber aus, ob der Zugang angemessen war. Entscheidend sind der Umfang dieser Zugriffsrechte und die Sicherheitsmaßnahmen, mit denen sie geschützt werden.

Offengelegte CPR-Nummern könnten Phishing glaubwürdiger machen

Eine CPR-Nummer allein ermöglicht es nicht, die digitale MitID-Identität einer anderen Person zu kontrollieren. Das dänische Authentifizierungssystem verwendet zusätzliche Sicherheitsprüfungen, die über die Kenntnis der Identifikationsnummer hinausgehen.

Dennoch können offengelegte personenbezogene Informationen Betrugsversuche unterstützen. Kriminelle könnten korrekte Angaben in Nachrichten verwenden, um eine gefälschte Aufforderung glaubwürdig erscheinen zu lassen.

Sie könnten die Informationen außerdem mit Daten aus früheren Sicherheitsverletzungen kombinieren, um detailliertere Profile zu erstellen.

Die dänischen Behörden haben daher zur Vorsicht bei unerwarteten Anrufen, E-Mails und SMS aufgerufen, selbst wenn der Absender persönliche Informationen kennt.

Menschen sollten keine Passwörter oder einmaligen Authentifizierungscodes als Reaktion auf unaufgeforderte Anfragen weitergeben. Vertraute Informationen in einer Nachricht beweisen nicht, dass der Absender eine vertrauenswürdige Organisation vertritt.