Dänemarks Melderegister: 8.8 Millionen betroffen

Unbefugte Nutzer durchsuchten Dänemarks Melderegister über den Zugang eines privaten Unternehmens, das für bestimmte Zwecke darauf zugreifen durfte. Die Behörden wissen bislang nicht, wie viele personenbezogene Daten bei den Abfragen ausgegeben wurden. Nach ihrer Schätzung waren 8,8 Millionen Menschen betroffen, bei rund 11 Millionen Einträgen (Ministerium, CPR-Verwaltung).

Das Register, kurz CPR, ist die Grundlage der dänischen Personenkennziffer. Die Schätzung umfasst heutige Einwohner, Ausgewanderte und Verstorbene. Über den Zugang erreichbar waren Namen, Anschriften und CPR-Nummern.

Laut Ministerium fanden die Abfragen im September statt; Mitarbeitende des Registers bemerkten sie am Abend des Freitags, 2. Oktober. Der Zugang des Unternehmens wurde gesperrt, die Polizei nahm Ermittlungen auf und Datatilsynet, Dänemarks Datenschutzbehörde, wurde informiert. Erste Prüfungen ergaben, dass Namen und Anschriften von Menschen mit geschützter Identität nicht abgerufen worden waren (Ministerium).

Wie ein zugelassener Zugang missbraucht werden konnte

Private Unternehmen können für bestimmte Zwecke eine Zulassung zum CPR erhalten, vor allem, um Kundendaten aktuell zu halten. Das betroffene Unternehmen verfügte über eine solche Zulassung. Sein Name wurde nicht veröffentlicht. Die Behörden haben bislang nicht mitgeteilt, wer die Abfragen ausführte: ein Mitarbeiter, ein Außenstehender mit gestohlenen Zugangsdaten oder jemand über einen anderen Zugangsweg.

Die Regeln übertragen den Kunden einen großen Teil der Kontrolle. Die Standardbedingungen des CPR vom Juni 2026 verpflichten sie, zu protokollieren, welcher Mitarbeiter welche Abfrage vorgenommen hat, und die Nutzungsstatistik monatlich zu prüfen (CPR-Bedingungen).

Das Register selbst kann weniger Einblick haben. Fragt die Software eines Kunden das CPR automatisch ab, ohne dass jemand jede Suche einzeln eingibt, sieht das Register laut denselben Bedingungen normalerweise nur die anfragende Software. Welche Zugangsform das Unternehmen nutzte, haben die Behörden nicht offengelegt. Die Bedingungen zeigen, wo eine Kontrolllücke liegen könnte; sie belegen nicht, dass es hier eine gab. Eine von Ritzau wiedergegebene ministerielle Schätzung bezifferte den Zeitraum, in dem die Aktivität unbemerkt blieb, auf etwa zehn Tage (DK Nyt/Ritzau).

Die zuständige Ministerin Christina Egelund bezeichnete den Vorfall als sehr ernst und sagte, die Sicherheitsvorkehrungen für den Zugang des Unternehmens seien nicht ausreichend gewesen. Sie ordnete eine Überprüfung sämtlicher CPR-Zugänge an. Andere private Kunden erhielten am 5. Oktober wieder Zugang (CPR-Status); die Prüfung läuft also, während diese Zugänge weiter offenstehen.

Was die Behörden bislang nicht ermittelt haben

Der am 4. Oktober bei Datatilsynet eingegangene Bericht über den Datenschutzvorfall beschrieb eine sehr große Zahl automatisierter Abfragen, mit denen gültige CPR-Nummern gefunden werden sollten (Datatilsynet). Die Behörde betonte, dies sei die Darstellung des Meldenden und keine eigene Feststellung. Weder Datatilsynet noch das Ministerium haben veröffentlicht, wie viele Abfragen eine gültige Nummer trafen, wie viele Namen oder Anschriften zurückgaben und wie viele Datensätze kopiert wurden.

Von diesen Zahlen hängen zwei getrennte Entscheidungen ab. Die erste betrifft die Benachrichtigung der Betroffenen. Nach der Datenschutz-Grundverordnung der EU muss die für die Datenverarbeitung verantwortliche Stelle Menschen direkt informieren, wenn ein Datenschutzverstoß voraussichtlich ein hohes Risiko für ihre Rechte birgt (DSGVO). Datatilsynet beaufsichtigt, ob diese Einschätzung korrekt vorgenommen wird. Maßgeblich ist dabei, welche Daten die Abfragen tatsächlich zurückgaben.

Bei der zweiten Entscheidung geht es um neue Personenkennziffern; darüber befindet die Regierung. Nach einer Unterrichtung zweier Parlamentsausschüsse sagte Egelund, es sei zu früh für eine Entscheidung darüber, ob jemand eine neue CPR-Nummer erhalten solle (Ritzau). Neue Nummern werden erwogen, beschlossen ist das nicht.

Warum der Fall auch andere Europäer angeht

Da das Register auch Ausgewanderte umfasst, leben einige der Betroffenen inzwischen in anderen europäischen Ländern. Eine Aufschlüsselung nach Ländern liegt nicht vor. Auch in Schweden wurde ein zugelassener Zugang auf ähnliche Weise missbraucht. Die Gewerkschaft Vision teilte mit, ein Dritter habe im September und Oktober 2025 nummernähnliche Zeichenfolgen in ihr Online-Mitgliedsformular eingegeben (Vision). Weil das Formular automatisch das staatliche schwedische Adressregister abfragte, gab es Namen und Anschriften von rund 300.000 Menschen zurück (Sveriges Radio).

Das EU-Datenschutzrecht verlangt angemessene Sicherheitsmaßnahmen. Konkrete Vorgaben zu Anmeldekontrollen, Begrenzungen der Abfragen oder Protokollen für einzelne Nutzer macht es für zugelassene Kunden eines Registers jedoch nicht (DSGVO). Diese Entscheidungen liegen bei den Betreibern der Register. Dort setzt Egelunds Überprüfung nun an.

Fest steht: Ein erlaubter Zugang zum dänischen Melderegister wurde in großem Umfang unbefugt genutzt, bevor Mitarbeitende des Registers dies bemerkten. Ob dadurch große Mengen personenbezogener Daten abgegriffen wurden, ist bislang nicht belegt. Datatilsynet und die Polizei müssen nun klären, wie viele Abfragen echte Namen und Anschriften zurückgaben. Was danach mit diesen Daten geschah, ist eine davon getrennte Frage für die polizeilichen Ermittlungen.