Dänemark ist bei der Digitalisierung Spitze, das belegen regelmäßig Rankings: Eine digitale Gesundheitskarte gibt es hier schon lange, Behördenangelegenheiten lassen sich per Smartphone erledigen, auch Arztunterlagen sind per Handy einsehbar, Papierbriefe von Behörden sind so gut wie abgeschafft. Der durchdigitalisierte Alltag ist nicht umstritten, die Däninnen und Dänen vertrauen ihren Behörden, Datenschutz spielt kaum eine Rolle. Es bleibt abzuwarten, ob das jüngste Datenleck im zentralen Personenregister daran etwas ändern wird. Die Sorge ist nun auf jeden Fall groß. Man habe festgestellt, dass Unbefugte über den rechtmäßigen Zugang eines dänischen Unternehmens Zugriff auf das Zentrale Personenregister (CPR-System) erhalten hätten, teilte das dänische Ministerium für Forschung, Bildung und Digitalisierung am Montag mit. Am Freitag sei die Verwaltung des CPR-Systems darauf aufmerksam gemacht worden, dass es im September „ungewöhnliche Aktivitäten“ gegeben habe. Im Laufe des Wochenendes sei dann klar geworden, dass sich Unbefugte Zugriff auf Namen, Adressen und CPR-Nummern von rund 8,8 Millionen im CPR registrierten Personen verschafft hätten. Die zuständige Ministerin Christina Egelund sprach von einem „äußerst schwerwiegenden“ Vorfall, der nun genauer untersucht werde. CPR-System umfasst Daten von 11 Millionen Dänen Nun ist das CPR-System vergleichsweise banal angesichts dessen, was der dänische Staat sonst alles digital bietet. In dem System sind etwa Namen, Adressen, Familienstand und lebenslange CPR-Nummer gespeichert. Es umfasst Daten von rund 11 Millionen Personen. Zwar hat Dänemark nur rund sechs Millionen Einwohner. Im System sind jedoch auch Ausgewanderte und Verstorbene erfasst. Problematisch könnte der Datenabruf vor allem deswegen sein, weil dadurch der Wohnort aller Däninnen und Dänen, die nicht zuvor einen Adressschutz beantragt haben, in die falschen Hände gelangen könnte. Dänemark sieht sich, ebenso wie die anderen europäischen Staaten, hybriden russischen Attacken ausgesetzt, dabei steht es aufgrund seiner besonders großen und vehementen Unterstützung der Ukraine besonders im Fokus. In dieser Hinsicht könnte der Datenabruf gravierende Folgen für die Sicherheit haben. Daten könnten zum Identitätsdiebstahl genutzt werden Vorstellbar sind aber auch Gefahren anderer Art. Das Datenleck sei riesig, sagt Jens Myrup Pedersen, Professor für Cybersicherheit an der Universität Aarhus, dazu der F.A.Z. Diese Art von Daten sei eine „Goldgrube für Angreifer“, die sie für Social-Engineering- und Phishing-Angriffe nutzen können, die offiziell aussehen und dadurch sehr überzeugend wirken könnten. Beispielsweise könnten sie dank der Daten wie Informationen von Gesundheitsbehörden, Banken oder anderen öffentlichen Einrichtungen erscheinen. Die Daten könnten auch für Identitätsdiebstahl genutzt werden, da man damit über alle erforderlichen Informationen verfüge, um sich als eine andere Person auszugeben. Oder man könne damit Krankenversicherungskarten erstellen, die in vielen Fällen de facto als Ausweis akzeptiert würden. Auf die Frage, ob nun alle Däninnen und Dänen eine neue CRP-Nummer bräuchten, antwortete die zuständige Ministerin Egelund, es sei zu früh, das zu beantworten. Laut ihrem Ministerium soll nun eine „gründliche Sicherheitsüberprüfung“ des Systems eingeleitet werden. Die Ministerin riet allen, in nächster Zeit wachsam zu sein und sich auf der staatlichen Internetseite für digitale Sicherheit zu informieren. Behörden gelten nicht als Sicherheitsrisiko Auf der Seite „sicher digital“ heißt es etwa, viele unserer privatesten und persönlichsten Informationen seien heute digital, etwa das Gehalt, aber auch die Notizen aus dem jüngsten Arztgespräch. „Die Informationen sind gut geschützt durch diejenigen, die die Informationen speichern“ steht dort weiter. Die Menschen selbst riskierten im Umgang mit diesen Daten, sie Betrügern zur Verfügung zu stellen. Als Rat heißt es: „Atme erst einmal tief durch, bevor du deine persönlichen Daten weitergibst.“ Das ist die klassische Herangehensweise in Dänemark. Trotz verschiedenster Datenlecks, die es schon gab, gelten meist nicht die Behörden als Sicherheitsrisiko. Pedersen von der Universität Aarhus sagt dazu, es sei noch zu früh, um zu sagen, ob die Behörden zu nachlässig waren. Eigentlich sollte es Systeme geben, die ungewöhnliches Verhalten beim Zugriff auf das CPR-System analysieren und Nutzer sperren, die ein ungewöhnliches Verhalten zeigten. Außerdem sollte es strenge Anforderungen an Unternehmen geben, die Zugriff auf die Datenbank hätten. Wer die Daten abgerufen hat, blieb zunächst unklar. Der zuständigen Ministerin zufolge erfolgte der Abruf über ein kleineres dänisches Unternehmen. Die Nationale Einheit für besondere Kriminalität (NSK) hat nun Ermittlungen aufgenommen. Der stellvertretende Polizeipräsident der NSK, Nicklas Fallesen, sagte dem Sender TV2, es sei eine Straftat begangen worden, die nun untersucht würde.