Unbefugte haben aus dem dänischen Melderegister CPR Namen, Adressen und Personennummern von rund 8,8 Millionen Menschen abgerufen. Das gab das dänische Ministerium für Forschung, Bildung und Digitalisierung am 5. Oktober bekannt. Betroffen sind Lebende wie Verstorbene, zusammen etwa 80 % der im CPR erfassten Personen. In das Register selbst ist niemand eingebrochen. Die Täter nutzten den gesetzlich erlaubten Abfragezugang der kleinen IT-Firma Pays von der Insel Fünen. Laut den vorliegenden Unterlagen stellten sie vom 10. bis 20. September rund 14 Millionen automatisierte Abfragen, um gültige Personennummern zu finden. Entdeckt wurde der Datenabfluss erst am 2. Oktober, als eine ungewöhnlich hohe Rechnung auffiel.
Ein mutmaßlicher Täter sagte der dänischen Zeitung Politiken, er habe das geleakte Passwort eines ehemaligen Mitarbeiters genutzt. Es lautete „123456“. Fachleute halten seine Beteiligung für wahrscheinlich, denn er legte eine Datei mit über 8,7 Millionen Personennummern vor. Offiziell bestätigt ist das nicht. Politiken deckte allerdings auf, dass bei Pays mindestens drei Konten dieses Passwort nutzten, darunter das Administratorkonto.
Das schwache Passwort liefert die Schlagzeile. Schwerer wiegt, dass 14 Millionen Abfragen einer kleinen Firma niemandem auffielen, bis die Rechnung kam. Wer Partnern Zugang zu Registern oder APIs gibt, kann für jeden Partner ein erwartbares Abfragevolumen festlegen und ihn bei Abweichungen automatisch sperren. Ebenfalls lassen sich MFA für Partnerkonten und die Sperrung der Konten ehemaliger Mitarbeitender vertraglich festschreiben.
Ein legaler Zugang schützt nicht vor illegaler Nutzung. Würden Sie es bemerken, wenn ein Partner morgen das Hundertfache seiner üblichen Abfragen ausführte?
https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
https://cphpost.dk/2026-10-10/news/round-up/123456-password-used-in-massive-danish-cpr-data-breach/
