Massiver Datendiebstahl im dänischen Personenregister CPR - Wie ein simples Passwort das Vertrauen der Bevölkerung erschüttert hat

Im September 2022 gelang es Unbekannten, über den Drittanbieter Pays ApS auf das zentrale dänische Personenregister CPR zuzugreifen. Das betroffene Konto war lediglich mit dem Passwort 123456 gesichert. Über einen Zeitraum von 21 Tagen und 17 Stunden wurden rund 14 Millionen Abfragen durchgeführt und exakt 8.749.975 Datensätze exfiltriert. Der Vorfall verdeutlicht, wie technische und administrative Versäumnisse bei kleinen Drittanbietern massive Folgen für die Datenintegrität und das Vertrauen einer ganzen Bevölkerung haben können.

Der Vorfall im Überblick - Was geschah?

• Gehacktes Konto geschützt mit dem Passwort 123456.
• Unbekannte Täter nutzten den Zugang von Pays ApS und führten über 14 Millionen Datenbankabfragen durch.
• Der Zugriff dauerte 21 Tage und 17 Stunden.
• Exakt 8.749.975 Datensätze wurden gestohlen.
• Die Bezahlung der übermäßigen Abfragen führte schließlich zur Entdeckung am 2. Oktober 2026.

Pays ApS - Der kleine Drittanbieter im Fokus

Unternehmensprofil

Laut dem dänischen Unternehmensregister CVR ist Pays ApS ein sehr kleiner Betrieb mit maximal zwei Beschäftigten (Eintrag Juli 2026). Trotz der geringen Größe besitzt das Unternehmen laut CPR-Gesetz (§ 38) die Berechtigung, automatisierte Abfragen staatlicher Datenbanken vorzunehmen.

Systematische Passwortnutzung

Recherchen von The Copenhagen Post und it-daily.net belegen, dass nicht nur ein einzelnes Konto, sondern mindestens drei Konten - darunter das Administratorkonto - mit dem Passwort 123456 gesichert waren. Der Angreifer nutzte ein altes Konto eines ehemaligen Mitarbeiters und setzte automatisierte Skripte ein, um den Zugang wochenlang auszuschöpfen.

Technische und administrative Versäumnisse - Warum das Leck entstand

• Schwaches Passwort: Das Standard-Passwort 123456 verletzt grundlegende Passwort-Policys.
• Mehrere Konten mit demselben Passwort: Mindestens drei Konten, inklusive des Admin-Kontos, nutzten das identische schwache Passwort.
• Fehlende Rate-Limiting-Maßnahmen seitens der staatlichen Registerverwaltung: Es gab keine Echtzeitanalyse von Abfragemustern, sodass das massive Abfragevolumen unbemerkt blieb.
• Unzureichende Kontrolle der Drittanbieter-Berechtigungen nach § 38 CPR-Gesetz: Die Berechtigung von Pays ApS wurde nicht ausreichend überwacht.
• Fehlende Anomalieerkennung: Erst ungewöhnlich hohe Rechnungskosten lösten die Untersuchung aus.

Auswirkungen auf die dänische Bevölkerung

Demografische Aufteilung der gestohlenen Daten

• Lebende Personen: etwa 5.500.000 (Quelle: The Copenhagen Post, 2026).
• Verstorbene oder ins Ausland gezogene Personen: etwa 3.250.000 (Quelle: it-daily.net, 2026).

Direkte Folgen für Betroffene

• Rund 970.000 Bürger aktivierten nach Bekanntwerden des Lecks eine Kreditsperre ("Kreditadvarsel"), um Identitätsmissbrauch zu verhindern (The Copenhagen Post, 2026).
• Die Behörden warnen vor gezielten Phishing-Angriffen, da Angreifer nun Namen, Adressen und persönliche Identifikationsnummern besitzen.
• Zur Eindämmung wird die dänische Zwei-Faktor-Authentifizierung MitID empfohlen.

Rechtlicher Rahmen und Supply-Chain-Risiko

Nach § 38 des dänischen CPR-Gesetzes dürfen Firmen mit berechtigtem Interesse automatisierte Abfragen von Stam- und Identitätsinformationen durchführen. Der Vorfall zeigte jedoch, dass die Zulassung einer winzigen Firma wie Pays ApS zu einer strukturellen Schwachstelle führen kann. Der Angriff ist kein klassischer Zero-Day-Hack, sondern eine Supply-Chain-Attacke: Der legitime Zugriff des Drittanbieters wurde missbraucht, ohne dass eine neue Sicherheitslücke ausgenutzt wurde.

FAQ zum CPR-Datenleck

Wie ist die rechtliche Grundlage für den Zugriff von Drittanbietern auf das CPR?§ 38 des dänischen CPR-Gesetzes erlaubt Firmen mit berechtigtem Interesse, Abfragen zu Stamm- und Identitätsinformationen durchzuführen. In diesem Fall wurde die Kontrolle der Berechtigungen offenbar nicht ausreichend durchgeführt.Was können Betroffene tun, um sich vor Betrug zu schützen?Viele Betroffene aktivieren die sogenannte Kreditsperre ("Kreditadvarsel"), die verhindert, dass ohne ausdrückliche Zustimmung Kredite aufgenommen werden können (The Copenhagen Post).

Fazit

Der massive Datendiebstahl aus dem dänischen Personenregister CPR zeigt, wie ein simples Passwort und mangelnde Sicherheitskontrollen bei einem kleinen Drittanbieter die Daten von fast neun Millionen Menschen gefährden können. Die Fakten - schwaches Passwort 123456, mindestens drei gleich gesicherte Konten, fehlende Rate-Limiting-Maßnahmen und ein rechtlicher Rahmen, der zwar den Zugriff erlaubt, aber nicht streng überwacht - verdeutlichen ein strukturelles Versagen. Die Konsequenzen für die betroffenen Bürger - von Kredit-Sperren über das erhöhte Phishing-Risiko bis hin zu einem nachhaltigen Vertrauensverlust in staatliche IT-Infrastrukturen - machen deutlich, dass technische Standards, klare Passwort-Policies und kontinuierliche Überwachung von Drittanbieter-Zugriffen unverzichtbar sind, um die Integrität sensibler Register zu schützen.