CPR-Leck in Dänemark: Phishing mit echten Personennummern

Unbekannte haben über den legalen Suchzugriff eines dänischen Privatunternehmens Namen, Adressen und Personennummern von rund 8,8 Millionen Personen aus dem Zentralpersonregister ausgelesen. Der Zugang ist gesperrt und die Polizei ermittelt; die Daten eignen sich nach Expertenurteil für gezieltes Phishing.

Verwandt: Copilot kennt alle Freigaben im Tenant, auch die falschen  ·  Aufsichtsbehörden jagen KMUs mit 72-Stunden-Falle

Rund 8,8 Millionen betroffen

Am Abend des 2. Oktober stieß die dänische CPR-Verwaltung auf unregelmäßige Zugriffe, die im September stattgefunden hatten. Die Verwaltung betreibt das Zentralpersonregister, kurz CPR, das zentrale Personenregister des dänischen Staates. Die CPR-Nummer ist die dänische Personennummer. Nach dem Stand vom 7. Oktober 2026 haben Unbekannte über den legalen Suchzugriff eines dänischen Privatunternehmens Namen, Adressen und CPR-Nummern von rund 8,8 Millionen registrierten Personen erlangt. Darunter sind lebende, ausgewanderte und verstorbene Personen.

Das Register führt derzeit rund 11 Millionen Personen. Der unbefugt ausgelesene Bestand umfasst damit den größten Teil aller Einträge. Ausgenommen sind Namen und Adressen von Personen, die im Register einen Namens- und Adressschutz aktiviert haben. Die CPR-Verwaltung sperrte den Zugang des Unternehmens, meldete den Vorfall der Datenschutzbehörde Datatilsynet und veranlasste eine polizeiliche Untersuchung.

Was ist das Zentralpersonregister? Das Zentralpersonregister, dänisch CPR, ist das staatliche Personenregister Dänemarks und führt derzeit rund 11 Millionen registrierte Personen. Neben den in Dänemark lebenden Menschen sind darin auch Verstorbene und ins Ausland verzogene Personen erfasst. Private Unternehmen mit berechtigtem Interesse dürfen nach § 38 des CPR-Gesetzes Auskünfte über eine vorab einzeln identifizierte, abgegrenzte Personengruppe erhalten.

Was das CPR-Gesetz erlaubt

Der Zugang des Unternehmens war legal. Private Unternehmen mit berechtigtem Interesse haben nach § 38 des CPR-Gesetzes Anspruch auf Auskünfte aus dem Register. Der Anspruch gilt für eine vorab einzeln identifizierte, abgegrenzte Personengruppe. Jede Person muss per CPR-Nummer, per Geburtsdatum mit Namen oder per Namen mit Adresse bestimmt sein. Außerdem muss das Unternehmen die Daten nach Datenschutz-Grundverordnung und dänischem Datenschutzgesetz empfangen dürfen.

Am 4. Oktober ging bei Datatilsynet eine Meldung des CPR-Registers über eine sehr große Anzahl automatisierter Abfragen ein. Gemeint sind maschinell erzeugte Serienanfragen, die ein Programm ohne Zutun eines Menschen an das System richtet. Ziel der Abfragen war es, gültige CPR-Nummern zu identifizieren. Die Datenschutzbehörde prüft Hergang, Ursache und Verantwortlichkeit. Eine Bewertung hat sie zunächst nicht abgegeben.

Abfragen brauchen Grenzen

Die unbefugten Zugriffe erstreckten sich über zehn Tage. Jens Myrup Pedersen, Professor für Cybersicherheit an der Aarhus-Universität, bewertet den Vorfall als den bislang größten Bruch des dänischen CPR-Registers. Seine Faustregel lautet, dass niemand mehr Abfragen erhalten sollte als nötig. Ungewöhnlich viele Abfragen sollten aus seiner Sicht Alarme oder Blockierungen auslösen.

Personendaten erleichtern Betrug

Die unbefugten Zugriffe umfassten nach Angaben des Ministeriums keine Namen und Adressen von Personen mit aktiviertem Namens- und Adressschutz. Die Behörden warnen vor Betrug mit den kompromittierten Personendaten. Die Kombination aus Personennummer und Adresse eignet sich nach Pedersens Einschätzung besonders wirksam für gezielte Phishing-Angriffe und Identitätsdiebstahl. Phishing meint gefälschte Nachrichten, die Empfänger zur Preisgabe von Zugangsdaten verleiten sollen.

Die Behörden erinnern daran, Passwörter und andere vertrauliche Angaben niemals am Telefon, per E-Mail oder über ähnliche Kanäle preiszugeben. Das gilt auch dann, wenn die anfragende Person scheinbar Name, Adresse und CPR-Nummer kennt. Die Styrelsen for Samfundssikkerhed, die dänische Behörde für gesellschaftliche Sicherheit, rät zudem, niemals MitID-Daten, Einmalcodes oder Kartendaten weiterzugeben. MitID ist das digitale Identifizierungsverfahren in Dänemark. Bei konkretem Betrugsverdacht empfiehlt die Behörde eine Kreditwarnung.

Für Unternehmen mit Kunden in Dänemark berührt der Fall zwei Abläufe. Der erste ist die Identitätsprüfung im Kundenservice, sofern sie auf Name, Adresse und CPR-Nummer aufbaut. Der zweite ist die eigene Kundenkommunikation. Sie sollte sich für Empfänger klar von gefälschten Nachrichten unterscheiden lassen.

Die Ermittlungen laufen an

Die Sondereinheit National enhed for Særlig Kriminalitet (NSK) hat die Anzeige angenommen und eine hochpriorisierte Ermittlung eingeleitet. Das teilte ihr kommissarischer stellvertretender Polizeiinspektor Nicklas Fallesen mit. Christina Egelund, Ministerin für Forschung, Bildung und Digitalisierung, informierte den Erwerbs- und Digitalisierungsausschuss des Folketings, des dänischen Parlaments. Sie kündigte eine gründliche Sicherheitsüberprüfung des CPR-Systems an und verwies auf bereits eingeleitete Initiativen gegen ähnliche Vorfälle.

Die Untersuchung befindet sich in einer Anfangsphase. Weder Täter noch genauer Hergang stehen fest. Die bisherigen Angaben sind noch vorläufig.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Wie lässt sich in Dänemark prüfen, welche Unternehmen auf CPR-Daten zugreifen dürfen?

Bürger können das über die Transparenzseite registerindsigt.cpr.dk abfragen. Am 5. Oktober war die Seite wegen starken Datenverkehrs zeitweise nur verzögert erreichbar. Die Digitaliseringsstyrelsen bestätigte die Verzögerungen.

Welche Anlaufstellen nennen die dänischen Behörden?

Die Behörden verweisen auf das Portal sikkerdigital.dk und auf die Cyberhotline unter +45 33 37 00 37. Die Hotline sollte in den kommenden Tagen von 8 bis 24 Uhr erreichbar sein. Auch Ministerin Christina Egelund empfahl Bürgern, sich auf sikkerdigital.dk zu informieren.

Was bewirkt eine Kreditwarnung?

Eine Kreditwarnung (kreditadvarsel) lässt sich auf borger.dk einrichten und erschwert Kreditaufnahmen im eigenen Namen. Die Behörde für gesellschaftliche Sicherheit empfiehlt sie bei konkretem Betrugsverdacht. Ein Teil der Bürgeranfragen, die bei der Digitaliseringsstyrelsen eingingen, betraf die Einrichtung einer solchen Warnung.

Lesetipps der Redaktion

LesetippWenn die Behördenmail zum Einfallstor wirdLesetippDrei Linux-Kernel-Lücken werden aktiv ausgenutztLesetippSo beschleunigt KI die Schwachstellensuche

Mehr aus dem MBF Media Netzwerk

cloudmagazinMistral bringt Europa in Sichtweite der KI-SpitzeMyBusinessFutureEin Jahr ePA-Pflicht: Angeschlossen, aber kaum genutztDigital ChiefsRuth Bosse: Vom Rathaus ins GovTech-Start-up

Bildquelle: KI-generiert (Oktober 2026)