Dänemark: Unbefugter Zugriff auf 8,8 Millionen CPR-Daten

Die dänische Regierung gab am Montag (5.) bekannt, dass Unbefugte Namen, Adressen und CPR-Nummern von etwa 8,8 Millionen Personen, die im Det Centrale Personregister registriert sind, abgefragt haben. Dieses nationale Register bildet praktisch die gesamte Beziehung des dänischen Bürgers zum Staat, zu Banken und zum Gesundheitssystem ab. Die Zahl übersteigt die Bevölkerung des Landes von etwas mehr als 6 Millionen, da das Register auch Emigranten und Verstorbene erfasst: Es sind etwa 11 Millionen Personen im System, so die offizielle Mitteilung.

"Dies ist ein zutiefst schwerwiegender Vorfall", sagte Christina Egelund, Ministerin für Forschung, Bildung und Digitalisierung, die eine umfassende Überprüfung der Sicherheit des Systems anordnete. Die nationale Hotline für digitale Sicherheit wird in den kommenden Tagen von 8 Uhr bis Mitternacht erreichbar sein.

Keine Perimeterverletzung

Das Detail, das für jeden CISO wichtig ist, liegt im Vektor. Laut der Regierung haben die Verantwortlichen die Infrastruktur des Registers nicht verletzt: Sie haben den legitimen Zugriff eines dänischen Privatunternehmens, dessen Name nicht bekannt gegeben wurde, genutzt, um im September Anfragen an das CPR zu stellen. Die Verwaltung des Registers hat die Berechtigung dieses Unternehmens widerrufen und die Datatilsynet, die Datenschutzbehörde, informiert.

Die am Sonntag (4.) bei der Datatilsynet eingegangene Mitteilung beschreibt laut dem Regulator "eine äußerst große Anzahl automatisierter Abfragen" mit dem Ziel, gültige CPR-Nummern zu identifizieren. Mit anderen Worten, das Konto eines autorisierten Partners diente als Orakel: Jede Abfrage bestätigte, ob eine Kombination existierte und wessen sie gehörte.

Die offizielle Chronologie ist kurz. Die unregelmäßige Aktivität wurde in der Nacht von Freitag, dem 2. Oktober, festgestellt. Im Laufe des Wochenendes stellte das Team fest, dass die unbefugten Abfragen im September erfolgt waren. Der Regulator wurde am Sonntag benachrichtigt, und die öffentliche Ankündigung erfolgte am Montag. Vom ersten Alarm bis zur Mitteilung an die Bürger vergingen weniger als drei Tage.

Was derzeit unklar ist

Die Aufzeichnungen mit geschützten Namen und Adressen, die von bedrohten Personen verwendet werden, blieben laut der Mitteilung unerreichbar. Abgesehen davon sind die Lücken erheblich. Die Polizei hat die Täter nicht identifiziert, und die Untersuchung befindet sich in einem frühen Stadium. Keine der beiden Behörden hat gesagt, ob die Daten massenhaft heruntergeladen, gespeichert oder weitergegeben wurden, und die Behörden haben bis zur Veröffentlichung dieses Berichts keine bestätigten Betrugsfälle im Zusammenhang mit dem Vorfall angekündigt.

Es ist auch unklar, warum ein ausreichendes Volumen an automatisierten Abfragen, um 8,8 Millionen Einträge abzudecken, einen ganzen Monat lang keinen Alarm ausgelöst hat. Diese Frage wird die von Egelund geforderte Sicherheitsüberprüfung beantworten müssen, und sie ist dieselbe, die Verwaltungsräte über jede API stellen sollten, die Dritten ausgesetzt ist.

Warum der Fall über Dänemark hinausgeht

Die CPR-Nummer funktioniert als einzigartige Kennung bei dänischen Banken, Telekommunikationsunternehmen, Versicherungen und Gesundheitsdienstleistern, vergleichbar mit der Social Security Number in den Vereinigten Staaten, so The Record. In Kombination mit Name und Adresse dient sie als Rohmaterial für Social Engineering und für Versuche, Konten zu eröffnen. Die offizielle Empfehlung an die Bürger ist, bei betrügerischen Kontakten besonders aufmerksam zu sein.

Für Unternehmen zeigt der Vorfall ein Zugangsmodell, das sich auch in anderen Märkten wiederholt. In den Vereinigten Staaten konsultieren Kreditbüros, Identitätsprüfer und Integratoren durch an Dritte ausgegebene Berechtigungen Regierungs- und private Datenbanken. In Brasilien folgt die Validierung der CPF durch Banken, Fintechs und Inkassounternehmen einem ähnlichen Muster: Der Partner erhält eine legitime Berechtigung und beginnt, in größerem Maßstab zu konsultieren.

Der dänische Fall zeigt die Kosten dieser Asymmetrie. Die Berechtigung war gültig, die Abfragen waren technisch erlaubt und der Perimeter funktionierte wie vorgesehen. Was fehlschlug, war das Verhalten: Grenzwerte, Warnungen bei sequenzieller Abfrage, regelmäßige Überprüfung des von Partnern konsultierten Volumens. Diese Kontrollen sind im Vergleich zu den Kosten für die Benachrichtigung von Millionen von Personen preiswert.

Es gibt auch einen regulatorischen Effekt. Die Datatilsynet muss nicht nur die Verwaltung des CPR, sondern auch das Unternehmen bewerten, dessen Berechtigung genutzt wurde. Nach der DSGVO entfällt die Verantwortung für die Verarbeitung nicht, weil der Zugang von Dritten missbraucht wurde, und das Ergebnis der dänischen Regulierungsbehörde wird von anderen europäischen Behörden, die offene Bevölkerungsregister überwachen, aufmerksam verfolgt werden.

Für den CIO, der Integrationen mit Identitätsdatenbanken verwaltet, lautet die Lektion operationell: Eine Überprüfung von Dritten, die sich darauf beschränkt, zu überprüfen, ob der Vertrag unterzeichnet wurde, hätte hier nichts verhindert. Eine Überprüfung, die misst, was jeder Partner abfragt und wie häufig, könnte den Monat September auf einige Stunden verkürzt haben.