Dänemarks Daten-GAU: Hacker kamen über einen erlaubten Firmenzugang

on Oktober 6, 2026

SIGNAL · Supply Chain und Identität

Am Abend des 2. Oktober bemerkte die dänische CPR-Verwaltung ungewöhnliche Aktivitäten in ihrem Personenregister. Zu diesem Zeitpunkt waren über den Zugang eines privaten Unternehmens bereits Daten aus rund 8,8 Millionen Einträgen abgefragt worden. Betroffen sind unter anderem Namen, Adressen und CPR-Nummern.

Die Datenschutzaufsicht spricht von massenhaften automatisierten Abfragen, mit denen gültige CPR-Nummern ermittelt wurden. Das ist Enumeration: Nummern werden systematisch ausprobiert, bis das Register einen Treffer liefert. Die ersten sechs Stellen enthalten das Geburtsdatum, die übrigen vier folgen ebenfalls festen Regeln. Der Suchraum ist deshalb wesentlich kleiner als bei einer zufälligen zehnstelligen Nummer. Jede ungültige Kombination erzeugt einen Fehltreffer. Eine hohe Zahl solcher Antworten war das einfachste Erkennungssignal des Angriffs, und vollständig sichtbar war es beim Register.

Ein erlaubter Zugang wird zum Angriffsweg

Wie der Zugang in falsche Hände geriet, wird noch untersucht. Ich gehe davon aus, dass ein System oder eine technische Identität des Unternehmens kompromittiert wurde, ein Innentäter bleibt ebenfalls möglich. Die gültige Identität konnte jedenfalls weit ausserhalb des normalen Geschäftsbedarfs handeln. Eine Verbindung zu einem nationalen Personenregister muss an definierte Systeme gebunden sein. Maschinenidentitäten brauchen Zertifikate mit nicht exportierbaren Schlüsseln und eng zugeschnittene Berechtigungen. Ein einzelner Zugang darf nicht nahezu den gesamten Datenbestand erreichen. Lief der Angriff über ein System des Unternehmens, hätte EDR dort Spuren sehen können. Ob das der Fall war, ist offen.

Beim Abfluss über das Firmennetz hätten Volumen und Abfragemuster auffallen müssen, auch bei verschlüsseltem Verkehr. Einige Gigabyte sind für eine Firewall wenig, der Inhalt bleibt hochkritisch. Eine Datenklassifizierung, die CPR-Nummern nicht entsprechend behandelt, greift zu kurz. Dasselbe gilt für DLP, wenn diese Datenbewegung keine Reaktion auslöst. Zahl und Geschwindigkeit der Abfragen hätten im SIEM einen Alarm bilden müssen, den das SOC bearbeitet und bis zur Sperrung des Zugangs verfolgt. Die Überwachung des Unternehmens hat den Missbrauch nicht rechtzeitig gestoppt.

Die Kontrollen des Registers kamen zu spät

Die eigenen Bedingungen der CPR-Verwaltung verlangen für Systemzugänge einen Sicherheitsverantwortlichen und die Zuordnung der Abfragen zu autorisierten Personen. Auf der Datenplattform werden Benutzer, Transaktionsart, Zeitpunkt und Suchinhalt protokolliert. Bei Verdacht auf Missbrauch ist eine Kontrolle vorgeschrieben, Online-Batches benötigen eine vorgängige Genehmigung. Das Material zur Erkennung war vorhanden, besonders die vielen Fehltreffer der Enumeration. Die vorgeschriebene monatliche Nutzungsstatistik ist für einen Missbrauch über wenige Tage jedoch strukturell zu langsam. Bis zur regulären Auswertung kann der Angriff abgeschlossen sein.

Die Kontrollen des Registers griffen nicht rechtzeitig. Ein staatlicher Dateneigentümer muss Massenabfragen in Echtzeit begrenzen, ungewöhnliche Trefferquoten erkennen und den Zugang ohne Mitwirkung des angeschlossenen Unternehmens sperren können. Die zuständige Ministerin hat nach dem Vorfall eine umfassende Sicherheitsüberprüfung des CPR-Systems angeordnet und weitere Schutzmassnahmen angekündigt. Auch das Lieferantenmanagement muss über die rechtliche Zulassung hinaus prüfen, welchen Schaden ein Zugang im Missbrauchsfall technisch anrichten kann. Vertragliche Zweckbindung begrenzt keinen laufenden Angriff.

Wissen aus dem Register beweist keine Identität

Mit der CPR-Nummer ist auch das Geburtsdatum bekannt. Zusammen mit Name und Adresse entsteht daraus glaubwürdiges Material für Betrugsanrufe und Phishing. Wer eine Person am Telefon nach diesen Angaben fragt, prüft kein Geheimnis mehr. Die dänischen Einwanderungsbehörden haben bereits zusätzliche Kontrollfragen eingeführt. Als Sofortmassnahme ist das verständlich, dauerhaft lösen weitere Fragen aus demselben Datenbestand das Problem jedoch nicht. Eine belastbare Prüfung braucht eine bestehende digitale Identität oder einen bereits verifizierten Kommunikationskanal.

Name, Adresse, Geburtsdatum und Personenkennziffer dürfen auch zusammen in keinem Verfahren als Identitätsbeweis gelten. Für Schweizer Organisationen gehört die AHV-Nummer in dieselbe Prüfung, wenn sie für Auskünfte, Kontoänderungen oder Wiederherstellungen verwendet wird. Die Nummer ist anders aufgebaut als die CPR-Nummer, das Risiko wissensbasierter Authentisierung bleibt jedoch vergleichbar.

Was am Montag zu prüfen ist

Für die interne Prüfung reichen drei konkrete Fragen:

Welche Drittzugänge können Massenabfragen auf Personendaten ausführen?
Gibt es pro Zugang Quoten, Ratenbegrenzungen und eine Alarmierung bei vielen Fehltreffern?
Wurde die Sofortsperre bereits getestet, und wie lange dauerte sie?

Lieferantenzugänge mit Massenabfragerecht brauchen Grenzen beim Dateneigentümer, nicht nur beim angeschlossenen Unternehmen. Gemessen werden das Abfragevolumen bis zum Alarm und die Zeit bis zur technischen Sperre.

Quellen

Autor

Dieser Beitrag stammt von Martin Bischoff, Interim CIO/CISO für regulierte Organisationen in der DACH-Region und Herausgeber von STOP.LI. Für die Umsetzung steht seine Gesellschaft 4T2 Solutions GmbH zur Verfügung.

No Tag

C-Level Briefing

Comments are closed