Ein Dienstleister, 8,8 Millionen Datensätze: Was Kommunen aus dem dänischen Registerleck lernen sollten

Niemand ist in das dänische Personenregister eingebrochen. Die Angreifer haben stattdessen den regulären Zugang eines kleinen Dienstleisters genutzt, der dort legal Adressen abgleichen durfte. Über diesen Weg flossen im September die Stammdaten von rund 8,8 Millionen Menschen ab. Das Passwort war dabei nur der Auslöser. Schwerer wiegt, dass Millionen Abfragen wochenlang niemandem auffielen.

Was passiert ist

Das Central Person Register (CPR) ist das zentrale Melderegister Dänemarks. Private Unternehmen dürfen gegen Entgelt bestimmte Daten daraus abfragen, etwa um Kundenadressen aktuell zu halten. Ein solcher Zugang gehörte der Firma Pays ApS aus Odense, die Adressabgleiche und Registerbereinigungen als Dienstleistung anbietet. Pays hat gegenüber dem Sender TV 2 bestätigt, dass dieser Zugang missbraucht wurde.

Bei den Zahlen gibt es leichte Abweichungen: Das Ministerium nennt rund 8,8 Millionen Personen, Medien sprechen von 8.749.975 extrahierten Datensätzen, davon etwa 5,5 Millionen lebende und 3,3 Millionen verstorbene Personen. Personen mit Adresssperre sind nach Angaben des Registers nicht betroffen. Dass das genutzte Konto mit „123456“ geschützt war, berichten Politiken und TV 2. Amtlich bestätigt ist das bislang nicht.

Warum der Fall technisch bemerkenswert ist

Alle Abfragen liefen über eine erlaubte Schnittstelle und blieben innerhalb der Datenkategorien, die private Firmen erhalten dürfen. Eine Firewall oder ein Virenscanner hatte deshalb nichts zu melden. Die einzige Schutzschicht, die hätte greifen können, wäre eine Auswertung des Nutzungsverhaltens gewesen. Ein kleiner Betrieb, der plötzlich Millionen Datensätze abfragt, ist ein klares Signal. Erkannt wurde es über die Abrechnung und nicht über das Monitoring.

Hinzu kommt der Lebenszyklus von Konten beim Dienstleister. Nach Medienberichten stammte das Passwort von einem ehemaligen Mitarbeiter und war bereits in einem älteren Datenleck enthalten. Ein Konto, das nach dem Ausscheiden weiter funktioniert, ist ein Organisationsfehler und kein Technikproblem. Zum Thema Passwörter selbst haben wir hier bereits geschrieben.

Was Betreiber jetzt prüfen sollten

1. Fremdzugänge inventarisieren: Erstellen Sie eine Liste aller externen Dienstleister, die per Schnittstelle, VPN oder Fachverfahren auf personenbezogene Daten zugreifen, jeweils mit Ansprechpartner und Zweck.
2. Mengengrenzen setzen: Wo das Fachverfahren es zulässt, sollten Abfragekontingente pro Konto und Zeitraum begrenzt werden. Stößt ein Konto an die Grenze, muss das eine Meldung auslösen und nicht nur einen Fehler.
3. Abfragevolumen ins Monitoring holen: Leiten Sie die Zugriffsprotokolle von Schnittstellen an das SIEM weiter und alarmieren Sie bei Ausreißern gegenüber dem bisherigen Nutzungsprofil.
4. Starke Authentifizierung für Schnittstellenkonten: Statt reiner Passwörter sollten Zertifikate, MFA oder zumindest eine Bindung an feste Quell-IP-Adressen eingesetzt werden.
5. Offboarding beim Dienstleister vertraglich regeln: Legen Sie im Auftragsverarbeitungsvertrag fest, wie Konten ausgeschiedener Mitarbeiter gesperrt werden, und lassen Sie sich das regelmäßig nachweisen.
6. Berechtigungen regelmäßig rezertifizieren: Eine einmal erteilte Freigabe ist keine Dauerlösung. Prüfen Sie mindestens jährlich, ob Umfang und Zweck noch stimmen.

Einordnung

Drei Punkte nehmen wir aus dem Fall mit. Erstens ist die Lieferkette dort am schwächsten, wo der kleinste Partner arbeitet, und genau der hat oft die weitreichendsten Rechte. Zweitens gehört Monitoring auch auf Schnittstellen und nicht nur auf Endgeräte und Firewalls. Wer nur Angriffe von außen beobachtet, übersieht den Missbrauch legitimer Wege. Drittens wirken die Folgen lange nach: Mit Namen, Adresse und Kennnummer lassen sich sehr glaubwürdige Phishing-Nachrichten schreiben. Die Daten bleiben verwertbar, auch wenn der Zugang längst gesperrt ist.

Quellen & weiterführende Links

• CPR – Det Centrale Personregister

  Omfattende uautoriseret adgang til borgeres CPR-oplysninger (05.10.2026)
• Malwarebytes

  How "123456" became the key to almost 9 million personal records
• The Hacker News

  Denmark Says Attackers Accessed CPR Data for 8.8 Million People via Company Account
• The Copenhagen Post

  Hacker retained access to Danish CPR register for nearly 22 days
• Infosecurity Magazine

  Danish CPR Breach Highlights Challenge of Supply Chain Risk
• WinFuture (Anlass)

  Passwort 123: Inkompetenz führt zu Hack des dänischen Melderegisters