Hacker zieht Dänemarks Personenregister komplett an Land
Digitaler Fischzug in Dänemark
Stand: 20.10.2026
Von: Thomas Borchert
Ein Hacker hat zum allgemeinen Entsetzen alle Personendaten des Landes abgegriffen
Ein Erfahrungsbericht von Thomas Borchert
Gerade habe ich 1.039 Privatunternehmen und auch den dänischen Staat davor gewarnt, mir Geld zu borgen. Es ging – wie so vieles in diesem Online-Wunderland – ganz leicht, mit einem einzigen Klick im „Centrale Personregister“ (CPR). Binnen weniger Tage ist die „Kreditwarnung“ mit automatisch erhöhten Prüfungsanforderungen von gut einer Million Mitbürger:Innen aktiviert worden. Nach dem Hacker-Einbruch in dem CPR mit den Personennummern und Adressen sämtlicher sechs Millionen im Königreich lebenden Menschen (plus 2,7 Millionen Verstorbener) hatten uns die Behörden das als jetzt eventuell dringlichen Schutz vor den Bösewichten geraten. Natürlich, so ist auf der amtlichen Homepage mit dem vertraulichen dänischen Du zu lesen, „kann es auch für dich selbst schwerer werden, Kredit bei einem Unternehmen zu bekommen“.
Die Personennummer aus sechs Ziffern des Geburtsdatums plus vier weiteren ist seit 1968 der unabänderliche, unverzichtbare Wegbegleiter durchs Leben – viel wichtiger als der Name. Ich könnte meine vermutlich und hoffentlich im Halbschlaf bei Bedarf herbeten, denn sie öffnet so gut wie jede Tür im dänischen Alltag. Egal, ob ich die Bank anrufe, der Versicherung den Fahrrad-Klau melden muss, in der Apotheke Rezeptpflichtiges abhole, den Führerschein partout nicht finden kann oder abends aus der längst geschlossenen Filiale der Kopenhagener Stadtbücherei Bettlektüre holen möchte: Ohne CPR-Nummer geht gar nichts, aber mit fast alles, und seit langem ausschließlich digital sowie wunderbar bequem. Das gilt leider auch für Hacker.
Als jetzt herauskam, dass einer von ihnen längere Zeit unentdeckt das komplette CPR-Register mit 8,7 Millionen Personennummern plus Adresse, Familienstand und Kirchenzugehörigkeit herunterladen konnte, kommentierte Regierungschefin Mette Frederiksen geschockt: „Das hätte nicht passieren dürfen.“ Ist es aber, und der noch anonyme Hacker selbst teilte der Zeitung „Politiken“ mit, wie unfassbar leicht die Sache lief: Zu den 1.039 dänischen Unternehmen mit Zugang zum Register für eigene Zwecke gehört auch eine kleine Software-Firma in Odense namens Pays Aps. Deren Administrator wählte als Login zum Zentralnerv des dänischen Alltags das Passwort „123456“. Das reichte auch für den Hacker. Damit man ihm das glaubte, schickte er seinen kompletten CPR-Datensatz an die Zeitung und kommentierte: „Der war schlechter geschützt als ein stinknormales Porno-Konto.“
Genauso unglaublich wie der Zugang mit dem lächerlichen Passwort ohne Zwei-Faktor-Identifizierung klingt dessen Nutzung. Zehn Tage konnte der Hacker das Register ungestört mittels eines von KI geschriebenen Programms mit 14,9 Millionen Anfragen bombardieren. Erst als eine Rechnung für die stückweise zu bezahlenden Anfragen an das kleine Unternehmen (mit zwei Beschäftigten) fällig wurde, fiel einem Mitarbeiter des privaten Registerbetreibers ganz altmodisch im eigenen Kopf ein „absurd hoher Betrag“ auf.
Nicht nur die Ministerpräsidentin griff zu den ganz großen Vokabeln. „Politiken“ in der Kronzeugenrolle sprach von den eingesetzten KI-Agenten als „Teufelspakt mit so apokalyptischer Kraft, dass sie unsere Gesellschaft von innen zerstören kann“. Das klang für mich als Bürger nun auch wieder übertrieben pathetisch. Habe ich doch in meinen vier dänischen Jahrzehnten erlebt, wie flexibel und bei Bedarf entschlossen mit gegenseitigem Grundvertrauen diese Gesellschaft und ihr Staat auf plötzliche tiefgreifende Herausforderungen reagieren können. Das war bei der Corona-Pandemie so, und die Umstellung auf E-Autos erlebe ich auch gerade als ermutigend, gerade im Vergleich mit den deutschen Verhältnissen.
Aber mulmig muss einem bei dem gigantischen Daten-Fischzug schon werden. Jeden Tag trudeln neue Experten-Kommentare ein mit Einstufung der vor dem Computerzeitalter eingeführten Personennummer ungefähr so wie die Pferdekutsche ein halbes Jahrhundert nach der ersten Eisenbahn. „Die KI ist wie ein Einbrecher auf Speed,“ meint Datalogie-Professor Ivan Damgaard aus Aarhus in „Politiken“ zu der auch vom Hacker selbst als unglaublich simpel eingestuften Aufgabe, sich für das komplette Melken des CPR ein Programm schreiben zu lassen.
„Dann ist Schluss“
Jetzt beruhigt sich die dänische Gesellschaft erst mal damit, dass das bloße Herbeten der eigenen Personennummer nicht mehr als eindeutige Identifizierung bei der Bank, den Ämtern, im Krankenhaus und anderswo reichen soll. Mit dem schier unerschütterlichem Grundvertrauen in sich selbst beruhigt sich diese Gesellschaft trotz solcher Fährnisse verblüffend schnell.
Meine bessere dänische Hälfte hat ihr ganzes Berufsleben im Krankenhaus die Personennummer abgefragt, ehe es dann mit der Behandlung losgehen konnte. Alle kennen das kurze mündliche Ritual, wenn die Behandelnden die betreffende Ziffernfolge auf dem Computer vor ihnen abgleichen. Ich fragte sie, was passiert, wenn CPR-Hacker sich nicht wie jetzt mit dem Einsammeln von Daten begnügen, sondern das System auch blockieren: „Dann ist sofort Schluss.“
