Datenschutz – Massives Datenleck in Dänemark: Millionen Personen betroffen

• Unbekannte erlangten in Dänemark Zugriff auf die Daten von rund 8.8 Millionen Personen.
• Der Zugriff erfolgte über die legitime Schnittstelle eines dänischen Unternehmens.
• Betroffen sind Namen, Adressen und persönliche CPR-Nummern.

In Dänemark ist es zu einem gravierenden Sicherheitsvorfall im zentralen Personenregister (CPR) gekommen. Nach Angaben des Ministeriums für Forschung, Bildung und Digitalisierung verschafften sich bislang Unbekannte Zugriff auf hochsensible Datensätze.

Dabei handelte es sich nach ersten Erkenntnissen nicht um einen direkten Angriff auf die staatlichen CPR-Server. Stattdessen missbrauchten die Akteure die bestehende, legale Schnittstelle eines dänischen Privatunternehmens, das autorisierten Zugang zum Register besass. Über diesen Weg wurden Namen, Wohnadressen sowie die persönlichen CPR-Identifikationsnummern von rund 8.8 Millionen registrierten Personen unbefugt abgefragt.

Ministerin spricht von «äussert schwerwiegendem Vorfall»

Die zuständige Ministerin Christina Egelund zeigte sich in einer Mitteilung des Ministeriums für Forschung, Bildung und Digitalisierung alarmiert über den Zwischenfall. Sie bezeichnete das Geschehen offiziell als «äussert schwerwiegenden Vorfall».

Gemeinsam mit allen zuständigen Sicherheits- und Aufsichtsbehörden arbeite man mit Hochdruck daran, das vollständige Ausmass sowie die genauen Hintergründe der Datenabfrage aufzuklären. Zudem wurde eine umfassende Sicherheitsprüfung veranlasst, um derartige Sicherheitslücken künftig auszuschliessen.

Das dänische Personenregister

Dänemark zählt rund sechs Millionen Einwohnerinnen und Einwohner – dass dennoch 8.8 Millionen Datensätze betroffen sind, liegt an der Struktur des Systems. Das dänische CPR-Register umfasst insgesamt etwa elf Millionen Datensätze. Es erfasst nicht nur die aktuell in Dänemark lebende Bevölkerung, sondern führt auch Profile von Verstorbenen sowie Personen fort, die dauerhaft ins Ausland ausgewandert sind.

Die zehnstellige CPR-Nummer fungiert in Dänemark als universeller Schlüssel im stark digitalisierten Alltag und wird etwa bei Bankgeschäften, Spitalbesuchen oder Behördengängen verlangt. Zudem enthält das Zentralregister sensible Zusatzangaben – unter anderem über die Zugehörigkeit zur dänischen Volkskirche oder Vermerke zu behördlichen Entmündigungen und rechtlichen Handlungsbeschränkungen. Ob auch solche Detailinformationen abgeflossen sind, bleibt Gegenstand der laufenden Ermittlungen.