Datenleck im dänischen Personenregister offenbart Risiken des europäischen Digitalstaats

Dänemark untersucht eines der größten Datenlecks seiner Geschichte, nachdem unbefugte Nutzer über das Zentrale Personenregister (CPR) des Landes Zugang zu Informationen über rund 8,8 Millionen Menschen erlangt haben. Zu den kompromittierten Daten gehören Namen, Adressen und CPR-Nummern, die als dauerhafte personenbezogene Identifikatoren fungieren und in Dänemarks Gesundheitswesen, Bankensystem und öffentlicher Verwaltung verwendet werden. Der Vorfall wurde am 5. Oktober bekannt gegeben, nachdem die Behörden im September ungewöhnliche Aktivitäten im System festgestellt hatten.

Eine vertrauenswürdige Verbindung wurde zum Einfallstor

Das Leck scheint nicht auf eine direkte Kompromittierung der CPR-Infrastruktur selbst zurückzugehen. Stattdessen nutzten die Angreifer den legitimen Zugang eines dänischen Privatunternehmens zum Personenregister und verwendeten diese Verbindung, um eine sehr große Zahl automatisierter Abfragen durchzuführen. Die dänische Datenschutzbehörde erklärte, die Aktivität habe darauf abgezielt, gültige CPR-Nummern zu identifizieren, und bestätigte, dass sie am 4. Oktober eine förmliche Meldung über den Vorfall erhalten habe.

Die Unterscheidung ist wichtig. Dänemarks hochgradig digitalisierter öffentlicher Sektor beruht darauf, dass Privatunternehmen und Institutionen für legitime Zwecke auf staatliche Datenbanken zugreifen dürfen. Nach dänischem Recht können Unternehmen mit berechtigtem Interesse innerhalb festgelegter Grenzen Informationen aus dem CPR erhalten. Das Leck zeigt, wie ein solcher Zugang zu einer systemischen Schwachstelle werden kann, wenn ein legitimes Konto oder eine legitime Verbindung kompromittiert wird.

Das CPR enthält Informationen über rund 11 Millionen registrierte Personen, darunter aktuelle Einwohner, Ausgewanderte und Verstorbene. Die Zahl von 8,8 Millionen übersteigt daher Dänemarks aktuelle Bevölkerung von etwas mehr als sechs Millionen. Personen, die ausdrücklich geschützte Namen und Adressen beantragt hatten, waren den Behörden zufolge nicht in den betroffenen Daten enthalten.

Der lange Schatten dauerhafter Identifikatoren

Der schwerwiegendste Aspekt des Vorfalls ist nicht allein die Zahl der betroffenen Datensätze, sondern die Art der offengelegten Informationen. Anders als ein Passwort ist eine dänische CPR-Nummer darauf angelegt, ein Leben lang mit einer Person verbunden zu bleiben. Ihre Kombination mit Namen und Adressen schafft eine potenziell dauerhafte Grundlage für Identitätsbetrug, gezieltes Phishing und Social Engineering.

Die dänischen Behörden haben die Bürger daher davor gewarnt, bei Anrufen, E-Mails und anderen Mitteilungen besonders vorsichtig zu sein, die korrekte persönliche Informationen zu enthalten scheinen. Die Kenntnis von Name, Adresse und CPR-Nummer einer Person kann betrügerische Kommunikation erheblich überzeugender machen, selbst wenn die Angreifer keinen Zugang zu Finanzkonten oder Passwörtern haben.

Die Behörden haben nicht identifiziert, wer hinter der Operation stand. Die Ermittlungen werden von der Polizei gemeinsam mit den zuständigen Stellen geführt, während die Datenschutzbehörde prüft, wie die Daten verarbeitet wurden und wer die Verantwortung trägt. Beamte betonten, dass die Ermittlungen noch in einem frühen Stadium seien und dass sich die derzeit bekannten Details im Zuge der technischen Untersuchung ändern könnten.

Ein strukturelles Problem für Europas digitales Modell

Für Dänemark ist das Leck auch ein Test der Sicherheitsannahmen hinter einem der fortschrittlichsten Digitalstaaten Europas. Die öffentliche Verwaltung des Landes hängt von vernetzten Datenbanken ab, die es Bürgern ermöglichen, eine kleine Zahl digitaler Identifikatoren in Gesundheitswesen, Steuerwesen, Bankwesen und staatlichen Diensten zu verwenden.

Diese Architektur schafft enorme Effizienzgewinne, konzentriert aber auch Risiken. Wenn ein einziger Identifikator große Teile der Beziehung eines Individuums zum Staat verbinden kann, reichen die Folgen einer Kompromittierung weit über die Datenbank hinaus, in der das Leck entstanden ist. Der dänische Fall veranschaulicht ein breiteres europäisches Dilemma: Die Digitalisierung öffentlicher Dienste kann die Regierung effizienter machen und zugleich die potenziellen Auswirkungen eines einzelnen Sicherheitsversagens vergrößern.

Das Problem ist besonders relevant, da europäische Regierungen digitale Identitätssysteme ausweiten und Infrastrukturen des öffentlichen und privaten Sektors integrieren. Der NIS2-Rahmen der EU soll die Cybersicherheit und Resilienz in kritischen Sektoren und öffentlichen Behörden stärken, mit zusätzlichen Anforderungen an Sicherheitsmaßnahmen, Incident-Reporting und Aufsicht.

Dänemarks Erfahrung deutet darauf hin, dass der Schutz solcher Systeme mehr erfordert als die Absicherung staatlicher Server. Der Sicherheitsperimeter umfasst zunehmend Privatunternehmen, Auftragnehmer und andere Organisationen mit legitimem Zugang zu staatlicher Infrastruktur. Ein Schwachpunkt in diesem weiteren Ökosystem kann einem Angreifer Zugang verschaffen, der viele der Kontrollen umgeht, die das zentrale Regierungssystem umgeben.

Dänemark leitet Überprüfung des Systems ein

Die dänische Regierung hat eine umfassende Sicherheitsüberprüfung des CPR angeordnet und den Zugang des betroffenen Unternehmens bereits ausgesetzt, während die Behörden den vollständigen Ablauf der Ereignisse nachzeichnen. Die Regierung hat zudem die Öffnungszeiten ihrer Hotline für digitale Sicherheit verlängert, während die Ermittlungen andauern.

Der Vorfall ist das bedeutendste Sicherheitsereignis im Zusammenhang mit dem CPR seit 2015, als physische CDs mit Informationen über mehr als fünf Millionen Menschen irrtümlich an das chinesische Visumantragszentrum in Kopenhagen geliefert wurden. Der aktuelle Fall ist grundlegend anders: Statt einer versehentlichen Datenübertragung geht es um die Ausnutzung eines legitimen digitalen Zugangsmechanismus in viel größerem Umfang.