Dänemark: Zentrales Personenregister CPR gehackt – 8,8 Millionen Nummern über Dienstleister mit Passwort “123456” offengelegt

Für etwa zehn Tage im September 2026 fragte jemand das zentrale Personenregister Dänemarks (CPR) mit den Zugangsdaten von Pays ApS ab, einem IT-Unternehmen aus Odense mit zwei Mitarbeitern und einem legitimen Zugang zum Register. Das dänische Digitalisierungsministerium machte die Verletzung am 5. Oktober öffentlich: etwa 8,8 Millionen CPR-Nummern waren zusammen mit den zugehörigen Namen und Adressen offengelegt. Am 10. Oktober ergänzte die Zeitung Politiken das Detail, das in der Fachwelt die Runde machte: Mindestens drei Konten von Pays, darunter das Administratorkonto, verwendeten das Passwort “123456”.

Was ist das CPR?

CPR steht für Det Centrale Personregister, das zentrale Personenregister. Es ist das nationale dänische Melderegister und besteht seit 1968, als die Register der einzelnen Gemeinden in einem einzigen Archiv vereinheitlicht wurden. Es wird vom CPR-kontoret verwaltet, einem staatlichen Amt, das heute dem zuständigen Digitalisierungsministerium untersteht.

Jede im dänischen Melderegister eingetragene Person hat eine zehnstellige CPR-Nummer. Die ersten sechs Ziffern bilden das Geburtsdatum (Tag, Monat, Jahr), die anderen vier sind eine fortlaufende Nummer; die letzte Ziffer ist bei Frauen gerade und bei Männern ungerade. Die Nummer wird bei der Geburt oder der Anmeldung beim Melderegister vergeben und bleibt lebenslang gleich. Im Register verbleiben auch verstorbene oder ausgewanderte Personen, weshalb die offengelegten Nummern (8,8 Millionen) deutlich mehr sind als die Einwohnerzahl Dänemarks, die bei etwa 6 Millionen liegt.

Für einen italienischen Leser ist der nächste Vergleich eine Mischung aus Codice Fiscale und ANPR. Mit einem wichtigen Unterschied: In Dänemark ist die CPR-Nummer der Schlüssel zu fast allem. Sie wird von Steuerbehörden, Gesundheitswesen, Schulen, Banken, Versicherungen, Telefonanbietern und Gewerkschaften verwendet. Jahrelang haben viele Organisationen sie als vertrauliche Daten behandelt und am Telefon oder Schalter zur Kundenidentifikation abgefragt. Die Nummer war jedoch nie als Zugangsdatensatz gedacht. Wer sie zusammen mit Namen und Adresse kennt, kann sich bei allen Diensten, die sich auf diese Prüfung beschränken, als jemand anderes ausgeben.

Auch private Stellen greifen, gegen Gebühr, auf das Register zu, um zum Beispiel die Adresse eines Kunden oder Mitglieds zu überprüfen. Organisationen mit aktivem Zugang sind 1.039: Finanzunternehmen, Telefongesellschaften, Anwaltskanzleien, Gewerkschaften, Versicherungen. Pays war eine davon.

Der Ablauf

• 10. September 2026: Die anomalen Abfragen mit dem Pays-Benutzerkonto beginnen. Laut vorläufiger Untersuchung enden sie um den 20. September, aber der Zugang bleibt bis zum 2. Oktober offen, insgesamt für 21 Tage und 17 Stunden.
• Innerhalb von etwa zehn Tagen werden 14 Millionen Suchanfragen gestartet, ein Teil davon auf nicht existierende Nummern. Dies ist eine systematische Durchsuchung des Registers, weit über das Arbeitsvolumen eines Unternehmens mit zwei Mitarbeitern hinaus.
• 2. Oktober: Die Behörden bemerken das Problem bei der Vorbereitung der Rechnung für die Pays-Suchanfragen, die wesentlich höher ausfällt als üblich. Jede Abfrage kostet, und die Rechnung löste den Alarm aus, nicht ein Überwachungssystem.
• 5. Oktober: Das Ministerium gibt die Verletzung bekannt. Nach Angaben des Ministeriums wurden CPR-Nummer, Name und Adresse abgefragt, nicht andere Informationen des Registers.
• Ein anonymer Hacker beanspruchte den Angriff gegenüber Politiken für sich. Er gab an, über die Zugangsdaten eines ehemaligen Pays-Mitarbeiters eingedrungen zu sein und die Daten weder verkaufen noch veröffentlichen zu wollen. Die Behörden haben diese Version nicht bestätigt, und bisher gibt es keine Verdächtigen.

Die ersten Maßnahmen in Dänemark

• Ministerin Christina Egelund gab zu, dass die Sicherheit rund um das Register “nicht ausreichend” war und ordnete eine vollständige Überprüfung an.
• Das CPR-kontoret schrieb an die 1.039 Organisationen mit Zugang. Jede muss einen Sicherheitsverantwortlichen benennen, die Zugänge ihrer Mitarbeiter regelmäßig überprüfen und die monatliche Anzahl der Abfragen im Auge behalten.
• Die Behörden fordern, nicht mehr nur die CPR-Nummer zur Personenidentifikation zu verwenden, sondern MitID (die dänische digitale Identität) oder einen zweiten Authentifizierungsfaktor. Apotheken haben die Kontrollen bei der Abholung von Medikamenten bereits verschärft.
• Die Anträge auf präventive Kreditsperren stiegen von etwa 250.000 am 1. Oktober auf rund 970.000 am 7. Oktober.
• Die nationale Einheit für schwere Kriminalität (NSK) ermittelt. Der Fall wurde dem Datatilsynet, der dänischen Datenschutzbehörde, gemeldet.

Warum dies auch italienische Unternehmen betrifft

Niemand hat das Register von außen geknackt: Die Zugangstür war ein sehr kleiner Dienstleister mit erweitertem Zugang zu einem nationalen Archiv und Passwörtern, die zu den Top Ten der häufigsten Passwörter gehören. Sollte die Version des Hackers zutreffen, gab es auch ein nie deaktiviertes Benutzerkonto eines ehemaligen Mitarbeiters. Das gleiche Muster findet sich in vielen italienischen Unternehmen: Softwarehäuser, Datenverarbeitungszentren, Cloud-Managementsysteme, die mit geteilten oder nie widerrufenen Zugangsdaten in Kundensysteme eindringen.

Gemäß DSGVO liegt die Wahl des Dienstleisters beim Verantwortlichen. Art. 28 verlangt, sich Auftragsverarbeitern anzuvertrauen, die ausreichende Garantien bieten; Art. 32 fordert dem Risiko angemessene Sicherheitsmaßnahmen. Die Überprüfung muss vor der Freigabe des Zugangs erfolgen. Für die unter NIS2 fallenden Subjekte sieht Art. 24 des Gesetzesdekrets 138/2024 die Sicherheit der Lieferkette als eine der obligatorischen Maßnahmen vor.

Die zweite Lehre betrifft die Identifikation. Unsere Codice Fiscale (Steueridentifikationsnummer) wird aus Name, Nachname, Geburtsdatum und Geburtsort abgeleitet und ist daher kein Geheimnis. Wer einen Kunden am Telefon durch Abfrage von Codice Fiscale und Geburtsdatum identifiziert, steht vor demselben Problem, das Dänemark jetzt mit dem CPR bewältigt.

Was zu tun ist

• Erstellen Sie eine Liste der Dienstleister, die auf Ihre Systeme oder Datenbanken zugreifen, und überprüfen Sie für jeden, ob die Benutzerkonten personalisiert sind, ob die Mehrfaktor-Authentifizierung aktiv ist und ob die Zugänge widerrufen werden, wenn ein Mitarbeiter ausscheidet.
• Sperren Sie technisch gängige Passwörter oder solche, die bereits in bekannten Verletzungen aufgetaucht sind, auch für administrative Konten und Lieferantenkonten.
• Legen Sie Schwellenwerte und Alarme für das Volumen von Abfragen und Exporten fest. In Dänemark blieben 14 Millionen Abfragen unbemerkt, bis die Rechnung kam.
• Verzichten Sie darauf, Codice Fiscale (Steueridentifikationsnummer), Geburtsdatum oder Adresse als Identitätsnachweis am Telefon oder per E-Mail zu verwenden: Dies sind Daten, die ein Angreifer bereits besitzen könnte.

Quellen: DataBreaches.net, The Copenhagen Post, TV 2, TV 2 Fyn.