Das zentrale dänische Personenregister – das CPR-Register mit den nationalen Identifikationsnummern, die von der Gesundheitsversorgung bis zum Bankwesen überall gelten – wurde kompromittiert. Das Digitalministerium bestätigte am Montag, dem 5. Oktober, dass unbefugter Zugriff auf die personenbezogenen Daten von rund 8,8 Millionen registrierten Personen bestand.

Nach Angaben des Ministeriums und der CPR-Verwaltung umfassen die betroffenen Datensätze Namen, Adressen und CPR-Nummern. Da das Register alle erfasst, die jemals eine dänische Personenkennnummer erhalten haben – einschließlich Verstorbener und im Ausland lebender Dänen – liegt die Zahl von 8,8 Millionen über der Einwohnerzahl von etwa sechs Millionen. Bloomberg und Euronews nannten dieselbe Zahl; TechCrunch sprach von rund acht Millionen Betroffenen.

Erste Erkenntnisse deuten auf einen kompromittierten Zugangsweg statt auf einen Frontalangriff auf das Register: Die Eindringlinge nutzten offenbar legitime Zugangsdaten einer lokalen Firma, berichtet DW. Die CPR-Verwaltung erklärte, der Zugriff sei nach Entdeckung des Vorfalls gestoppt worden; seither würden Zugangsdaten rotiert und die Überwachung verschärft.

Der Vorfall zählt zu den größten bislang in Europa gemeldeten Datenschutzverletzungen – und er trifft eine nationale Identitätsebene, die sich nicht einfach neu ausstellen lässt wie ein Passwort. CPR-Nummern sind der Anker der dänischen Identitätsprüfung in Behörden, Banken und Versicherungen. Die gestohlene Datei ist damit ein fertiges Werkzeug für Identitätsbetrug, Social Engineering und Kontoübernahmen – Schäden, die jede Rotation von Zugangsdaten überdauern.

Zugleich passt der Fall in ein größeres Muster: Angreifer zielen zunehmend auf zentralisierte Register und die Dienstleister, die mit ihnen verbunden sind, statt von außen einzudringen. Europäische Sicherheitsbehörden, die bereits mit einer wachsenden Welle von Datendiebstahlskampagnen gegen Behörden und Unternehmen konfrontiert sind, haben nun ein weiteres Argument, den Zugriff auf nationale Register zu segmentieren und Lieferanten-Zugangsdaten als kritische Infrastruktur zu behandeln.

Quellen