KOPENHAGEN, DÄNEMARK / RankWire.AI / – Die dänischen Behörden untersuchen einen schwerwiegenden Datenverstoß im dänischen Zentralen Personenregister. Unbefugt wurden personenbezogene Daten von rund 8,8 Millionen Personen abgerufen. Zu den kompromittierten Informationen gehörten Namen, Adressen, Personenkennziffern und zugehörige Datensätze. Laut Behördenangaben nutzten die Angreifer den rechtmäßigen Zugriff eines dänischen Privatunternehmens auf das System. Die Verwaltung des Zentralen Personenregisters hat den Zugriff des Unternehmens vorübergehend gesperrt, während die Ermittlungen den Hergang des Datenverstoßes klären.
Die Verwaltung des Zentralen Personenregisters (CPR) stellte am Abend des 2. Oktober verdächtige Aktivitäten fest, nachdem im September ungewöhnliche Suchmuster beobachtet worden waren. Am Wochenende überprüften die Behörden den Vorfall und bestätigten das Ausmaß des unbefugten Zugriffs. Das Zentrale Personenregister umfasst rund 11 Millionen Datensätze, darunter Daten von Personen mit Wohnsitz in den USA, von Personen, die ins Ausland gezogen sind, und von Verstorbenen. Die Behörden betonten, dass sich die Suchvorgänge auf Informationskategorien beschränkten, auf die private Unternehmen über autorisierte CPR-Dienste rechtmäßig zugreifen dürfen.
Bislang konnten die Täter nicht identifiziert werden. Dänische Behörden haben das Unternehmen, dessen rechtmäßiger Zugriff missbraucht wurde, nicht offengelegt. Die CPR-Verwaltung meldete den Vorfall der Datatilsynet , der dänischen Datenschutzbehörde. Die Polizei ermittelt gemeinsam mit anderen zuständigen Behörden. Die Regierung erklärte, ihre Überprüfung habe keine Hinweise darauf ergeben, dass Namen und Adressen von Personen, die unter das dänische Namens- und Adressschutzgesetz fallen, offengelegt wurden.
Die Aufsichtsbehörde untersucht automatisierte CPR-Suchaktivitäten
Die Datatilsynet bestätigte den Eingang der Vorfallsmeldung aus dem CPR-Register am 4. Oktober. Laut der Meldung handelte es sich um eine sehr hohe Anzahl automatisierter Abfragen im CPR-System. Diese Abfragen dienten der Überprüfung gültiger CPR-Nummern. Die Aufsichtsbehörde untersucht nun die Umstände, die diesen Zugriff ermöglichten, die Verantwortlichen und die verarbeiteten personenbezogenen Daten. Weitere Informationen werden veröffentlicht, sobald ausreichend Details vorliegen, so die Behörde.
Die dänische Ministerin für Forschung, Bildung und Digitalisierung, Christina Egelund, bezeichnete den Vorfall als äußerst schwerwiegend und informierte den Wirtschafts- und Digitalausschuss. Sie ordnete zudem eine umfassende Sicherheitsüberprüfung des CPR-Systems an. Die Regierung hat Maßnahmen zur Verhinderung ähnlicher Sicherheitslücken eingeleitet, während die CPR-Verwaltung weiterhin den Hergang der Ereignisse untersucht. Die Behörden wiesen darauf hin, dass die Ermittlungen noch in einem frühen Stadium seien und die technische Überprüfung später genauere Details liefern könnte.
Die Öffentlichkeit wird zu erhöhter Vorsicht gegenüber Betrugsbedrohungen aufgerufen.
Dänische Behörden riefen die Bevölkerung zur Wachsamkeit gegenüber Betrugsversuchen auf, bei denen betrügerische Anrufe, E-Mails oder andere Nachrichten die Weitergabe offengelegter persönlicher Daten ausnutzen. Bürgerinnen und Bürger werden dringend gebeten, niemals Passwörter oder vertrauliche Informationen preiszugeben, nur weil jemand behauptet, ihren Namen, ihre Adresse oder ihre Sozialversicherungsnummer zu kennen. Die Regierung empfiehlt, offizielle Informationsquellen zur digitalen Sicherheit und die dänische Cyber-Hotline zu konsultieren. Die Warnung erfolgte, nachdem bestätigt wurde, dass der Datenverstoß Daten von Millionen von im nationalen Bevölkerungsregister eingetragenen Personen betraf.
Die Behörden prüfen weiterhin den Weg des unbefugten Zugriffs, die betroffenen Datensätze und die Sicherheitsvorkehrungen für die Nutzung des CPR-Systems durch private Unternehmen. Die indische Datenschutzbehörde (Datatilsynet) untersucht separat die durch den Vorfall aufgeworfenen Datenschutzbedenken. Die CPR-Verwaltung hat den Zugriff des Unternehmens gesperrt und Sicherheitsmaßnahmen implementiert, während die Behörden eine umfassende Überprüfung des Registers fortsetzen. Bis zum 7. Oktober wurden weder die Identität der Angreifer noch der Name des privaten Unternehmens öffentlich bekannt gegeben, noch ist die genaue Methode des Zugriffsmissbrauchs bestätigt.
Der Beitrag „Dänemark kündigt Ausweitung der CPR-Untersuchung nach Datenleck mit Auswirkungen auf 8,8 Millionen Datensätze an“ erschien zuerst im Dublin Pioneer .