Editionsgeschichte

> Ein Staat kann den Zugriff auf die Daten seiner Bürgerinnen und Bürger delegieren. Die Verantwortung für das, was dieser Zugriff möglich macht, kann er nicht delegieren.

**Redaktionsschluss: 9. Oktober 2026.** Die strafrechtlichen Ermittlungen und die Prüfung durch die Aufsichtsbehörde laufen noch. Die Zahlen sind Näherungswerte, wo nichts anderes steht.

## 1. Die Rechnung

Die erste sichtbare Warnung war kein Foto eines vermummten Eindringlings. Es war eine Rechnung.

Am Abend des 2. Oktober 2026 bemerkte die Verwaltung des dänischen zentralen Personenregisters ungewöhnliche Aktivitäten aus dem September. Später beschrieben Beamte den Hinweis: eine weit höhere Gebühr als erwartet für Abfragen, die über das Konto eines kleineren dänischen Unternehmens liefen. Kommerzielle Registerabfragen kosten pro Abfrage. Die Menge war zu auffällig geworden, um sie zu übersehen.[^1][^2]

Drei Tage später erklärten die Behörden des Landes, eine unbefugte Partei habe den rechtmässigen Zugang des Unternehmens genutzt, um Datensätze zu rund 8,8 Millionen Personen abzurufen. Das Unternehmen wurde abgeschaltet. Polizei und Datenschutzaufsicht schalteten sich ein.[^3][^1][^4]

Die naheliegende Schlagzeile schreibt sich von selbst: ein ganzes Land, offengelegt durch ein Passwort. Doch so weit ist die Geschichte noch nicht belegt. Am 9. Oktober erzählte eine anonyme Person der Zeitung *Politiken*, ein Passwort so schwach wie `123456` habe den Weg geöffnet; es habe einem ehemaligen Mitarbeiter des Unternehmens gehört und sei schon in einem früheren Datenleck aufgetaucht. Ein Bericht, der die Recherche von DR wiedergibt, fand tatsächlich ein solches Passwort in einem Leck mit Bezug zum Unternehmen – betonte aber, dass sein Einsatz in diesem Vorfall nicht bestätigt sei.[^5][^6]

Die Behauptung mag stimmen. Sie muss vielleicht auch deutlich korrigiert werden, sobald forensische Befunde vorliegen. Die belastbarere Tatsache ist bereits öffentlich: Die verdächtige Aktivität lief über eine erlaubte geschäftliche Verbindung.[^3][^1]

Darin liegt die Architektur dieser Geschichte. Das Register musste nicht verschwinden. Der Staat musste nicht jede Datenbank verlieren. Es brauchte nur einen einzigen erlaubten Weg, über den ein Angreifer weit mehr tun konnte, als die Berechtigung je vorgesehen hatte.

**Eine legitime Tür wurde für ein illegitimes Ausmass benutzt.**

## 2. Was 8,8 Millionen bedeuten – und was nicht

Das CPR ist kein Passworttresor für sämtliche Behördendienste. Es ist das zentrale Einwohnerregister Dänemarks. Seine Einträge dienen der Identifikation und der Verwaltung, auch mit Angaben, die im Kontakt mit Behörden wie mit privaten Unternehmen verwendet werden.[^3][^1][^7]

Zu den bestätigten Kategorien gehören Namen, Adressen, CPR-Nummern und weitere Angaben, welche die Behörden nur allgemein umschreiben. Eine genaue Liste der Datenfelder ist in den geprüften Quellen nicht öffentlich belegt. Nach Angaben der Behörden umfasste der Zugriff die Namen und Adressen jener Personen **nicht**, die unter dem dänischen Namens- und Adressschutz registriert sind. Das ist enger gefasst als die Aussage, diese Personen seien in keinem Feld und überhaupt nicht betroffen.[^3][^1]

Die Regierung bezifferte das CPR auf rund 11 Millionen registrierte Personen. Ausdrücklich mitgezählt sind Menschen, die Dänemark verlassen haben, und Verstorbene. Wer die 8,8 Millionen betroffenen Einträge mit der heutigen Wohnbevölkerung vergleicht, bläht den Anteil künstlich auf. Und wer behauptet, der Vorfall betreffe «jeden Dänen», macht aus einem ohnehin gewaltigen Ereignis eine falsche Statistik.[^1]

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f03-de-8c93089fd4ddc02351f4d39faff64185b9f0ac067ea01c0ef6afee0b8fc20895.webp" alt="Segmentierter Ring: rund 80 Prozent aller historischen und aktuellen CPR-Einträge betroffen, rund 20 Prozent nicht als betroffen eingestuft; daneben die Gesamtzahlen von rund 8,8 Millionen und rund 11 Millionen." /> <figcaption>Rund 8,8 Millionen betroffene registrierte Personen gegenüber rund 11 Millionen Einträgen im dänischen CPR, darunter Ausgewanderte und Verstorbene. Das Verhältnis ist ein Richtwert, weil beide Zahlen gerundet sind.</figcaption> </figure>

Es handelt sich um eine Verletzung der Vertraulichkeit: Jemand hat Informationen erhalten, der dazu nicht berechtigt war. Die öffentliche Berichterstattung belegt nicht, dass das Kernregister zerstört, Einträge unwiderruflich gelöscht oder Steuer-, Gesundheits-, Bank- und Polizeidatenbanken allesamt abgezogen wurden.[^3][^4]

Diese Genauigkeit ist keine redaktionelle Höflichkeit. Übertreibung erschwert die Rechenschaft. Behörden, Lieferanten, Politik und Sicherheitsfachleute müssen für den Mechanismus einstehen, der tatsächlich versagt hat – nicht für einen erfundenen Totalzusammenbruch.

## 3. Ein erlaubter Weg, ein unerlaubter Vorgang

Dänemark erlaubt bestimmten privaten Organisationen, innerhalb eines gesetzlichen Rahmens festgelegte Angaben aus dem CPR abzurufen. Paragraf 38 des CPR-Gesetzes regelt das Recht, Angaben zu einem bestimmten, zuvor einzeln identifizierten Personenkreis zu erhalten, unter gesetzlichen Bedingungen. Die genauen Bedingungen der Zugangsvereinbarung dieses Unternehmens sind in den geprüften Quellen nicht veröffentlicht.[^7]

Dass ein Unternehmen Angaben nachschlagen darf, heisst nicht, dass es einen Datensatz über die halbe Bevölkerung zusammentragen darf.

Bei einer einzelnen Anfrage wirkt der Unterschied belanglos. Ein zugelassener Kunde weist sich mit gültigen Zugangsdaten aus. Eine Anwendung fragt einen Eintrag ab. Das Register liefert, was die Berechtigung des Kunden zulässt. Keine erkennbare Grenze wurde überschritten.

Wiederholt man den Vorgang millionenfach, stellt sich die Sicherheitsfrage neu. Was für die Prüfung eines Kunden angemessen war, wird zur Abschöpfung im nationalen Massstab. Eine Kontrolle, die nur entscheidet, ob eine Organisation *auf ein Feld zugreifen darf*, entscheidet damit noch nicht, ob eine bestimmte Abfolge von Anfragen im Zusammenhang legitim ist.

Die Aufsichtsbehörde hielt fest, dass automatisierte Abfragen gemacht wurden, um gültige CPR-Nummern zu ermitteln. Berichte, die sich auf die Meldung stützen, sprechen von rund 14 Millionen Abfragen – weit mehr, als das Unternehmen Kunden hat –, und das Unternehmen bestreitet, sie selbst ausgelöst zu haben.[^4][^8]

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f01-de-ab687d0a92aefa9df83571088bc93ecb63ddd21d9157cbb4aa2b55e9bdc654e1.webp" alt="Vier verbundene Blöcke führen vom behaupteten Einstieg über Zugangsdaten über ein rechtmässig berechtigtes Unternehmen und automatisierte CPR-Abfragen zu rund 8,8 Millionen betroffenen Personen; jeder Block trägt den Status behauptet, offiziell bestätigt oder Angabe der Aufsicht." /> <figcaption>Die dänischen Behörden stellten den Missbrauch der rechtmässigen CPR-Abfragerechte eines privaten Unternehmens fest; es folgten automatisierte Suchen und Zugriff in grossem Umfang. Das angeblich geleakte Passwort und separate Exportprogramme bleiben Behauptungen des Hackers.</figcaption> </figure>

Der behauptete Einstieg über Zugangsdaten ist für die Aufarbeitung wichtig. Er wirft Fragen auf zum Austrittsprozess, zur Passwortstärke, zum Wechsel von Konten, zur Mehrfaktor-Authentifizierung, zur Überwachung von Zugangsdaten und zum Fernzugriff. Doch das sollen **Ermittlungsfragen** bleiben, kein verkapptes Urteil darüber, welche Schutzmassnahmen vorhanden waren und welche nicht. Die öffentlichen Quellen belegen weder die ganze Authentifizierungskette noch die durchlaufenen internen Systeme noch den Weg, auf dem die Daten nach aussen gelangten.[^5][^6]

Selbst wenn sich am Ende eine komplizierte Schwachstelle findet, bleibt die grössere Frage: Ein Dritter konnte eine extreme Zahl legitim wirkender Vorgänge auslösen, bevor der Zugang gesperrt wurde.

Eine Berechtigung ist eine Ausgangsbedingung. Ein vollständiges Sicherheitsmodell ist sie nicht.

## 4. Ein Souveränitätsproblem mit Uhr

Der zeitliche Ablauf zählt mindestens so viel wie das Ausmass.

Laut der offiziellen Mitteilung des Ministeriums bemerkte die Verwaltung die Unregelmässigkeiten aus dem September am **2. Oktober**; die Aufsichtsbehörde bestätigt den Eingang der Meldung am **4. Oktober**, und die Regierung machte den Vorfall am **5. Oktober** öffentlich.[^1][^4]

Berichte vom **9. Oktober** zufolge stand der unbefugte Zugang vom **10. September** bis zum **2. Oktober** offen, rund 21 Tage und 17 Stunden. Nach der vorläufigen Darstellung der Untersuchung wurde er tatsächlich vom **10. September bis etwa 20. September** ausgenutzt. Das sind zwei verschiedene Zeiträume: *Der Zugang blieb möglich* heisst nicht *es wurde nachweislich ununterbrochen abgeschöpft*.[^8]

Der Hacker selbst nennt als Einstiegsdatum den **11. September**. Dieser Widerspruch ist ungeklärt. Für die Zeitachse gilt die Darstellung des Zugangsfensters, wie sie Medien aus der Auswertung einer behördlichen Meldung durch TV 2 berichtet haben – keine offizielle Veröffentlichung; das Datum der anonymen Person ist vermerkt, aber nicht stillschweigend hineingemischt.[^8][^5]

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f02-de-dc4f5462dcad808667c48c6f34f27b0db5cd0f97dfae79e4c6cacf39395acdfd.webp" alt="Schematische Zeitachse, nicht massstabsgetreu: Rote Punkte markieren den 10. September (Zugang beginnt) und den 2. Oktober (entdeckt; Zugang entzogen), dunkle Punkte den 20. September (scheinbares Ende der aktiven Abschöpfung) sowie den 4., 5. und 9. Oktober. Ein roter Balken zeigt die vorläufige aktive Phase vom 10. bis 20. September, ein schraffierter das mögliche Zugangsfenster bis 2. Oktober." /> <figcaption>Gemeldeter Zeitraum des unbefugten Zugangs vom 10. September bis 2. Oktober 2026, mit mutmasslich aktiver Abschöpfung bis etwa 20. September. Die Aufsicht wurde am 4. Oktober informiert, die Öffentlichkeit am 5. Oktober. Das vom Hacker genannte Datum 11. September ist nicht eingetragen.</figcaption> </figure>

Ein Staat kann seine Systeme besitzen, rechtliche Berechtigungen festlegen und unbefugten Zugriff strafrechtlich verfolgen. Ein entscheidender Teil operativer Kontrolle ist aber die *Zeit*: die Spanne zwischen Missbrauch, Erkennung, Entscheidung und wirksamem Entzug.

Man halte sich die Abfolge vor Augen. Die verdächtigen Abfragen endeten Berichten zufolge um den 20. September. Entzogen wurde der Zugang am 2. Oktober. Selbst wenn dazwischen keine weiteren Daten abflossen, bestand der offenbar ausnutzbare Zugang über die Hauptphase der Abschöpfung hinaus weiter.[^8]

Erkennung ist nicht nur eine Frage der Informationssicherheit, sie ist Ausübung von Autorität. Bevor eine Registerbehörde eine Berechtigung entziehen kann, muss sie wissen, dass diese missbraucht wird. Ein Recht zum Eingreifen, das erst nach zwei Wochen stiller Abschöpfung greift, ist schwächer, als es im Organigramm aussieht.

Der Befund knüpft an einen Gedanken an, der sich durch diese Bibliothek zieht: Souveränität ist operativ, und operative Souveränität hat eine Uhr. Das heisst nicht, dass jeder Vorfall einem Staat die Souveränität abspricht. Es heisst, dass man Kontrollansprüche an der tatsächlichen Zeit messen sollte, die es braucht, um Missbrauch zu erkennen, zu entscheiden und einzudämmen.[^9]

## 5. Die Nummer, die den Vorfall überdauert

Eine CPR-Nummer identifiziert eine Person. Sie sollte nicht als wiederverwendbares Geheimnis gelten, das beweist, dass die Person, die sie nennt, auch die ist, der sie gehört.

Die Unterscheidung klingt banal. Identifikation fragt: *Um welchen Eintrag geht es?* Authentifizierung fragt: *Was beweist, dass diese Person ein gültiges Authentifizierungsmittel für diese Identität kontrolliert?* Moderne Richtlinien zur digitalen Identität machen diesen Unterschied zur Grundlage. Ein Identifikator ist das, was eine authentifizierte Sitzung behaupten kann; für sich allein ist er kein ausreichender Authentifizierungsfaktor.[^10]

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f04-de-d57c62ec89fdc3d7557c9cc540324f792ad69bf5915f7c80deb06f371f5da1a0.webp" alt="Zwei Spalten: links Identifikation mit Name, Adresse und persönlicher ID-Nummer, als bekannt markiert; rechts Authentifizierung mit gebundenem Authentifizierungsmittel, Besitznachweis und Bestätigung je Transaktion, als zu prüfen markiert." /> <figcaption>Statische persönliche Angaben helfen, eine Person in einer Datenbank zu finden, beweisen aber für sich allein nicht, dass jemand ein gültiges Authentifizierungsmittel kontrolliert. Gestützt auf die NIST-Richtlinien und die Warnung der dänischen Wirtschaft.</figcaption> </figure>

Der dänische Vorfall zeigt, warum das zählt. Werden stabile Nummern massenhaft bekannt, kann das Identitätsbetrug überall verbilligen, wo ein Unternehmen die Kenntnis eines Personeneintrags noch mit dem Nachweis der Berechtigung verwechselt. Ein Wirtschaftsverband warnte nach dem Vorfall ausdrücklich davor, CPR-Nummern, Namen und Adressen als alleinigen Nachweis der Identität einer Kundin oder eines Kunden zu verwenden.[^11]

Zu den Risiken gehören gezieltes Phishing, Social Engineering und Betrug bei Diensten mit schwacher Identitätsprüfung. Das sind glaubwürdige Szenarien. Sie belegen nicht, dass jede betroffene Person finanziell geschädigt wurde oder dass gestohlene CPR-Nummern allein Zugang zu MitID oder zu Bankkonten verschaffen. Wir sollten niemandem Angst machen mit Behauptungen, die der Mechanismus nicht hergibt.

Dazu kommt eine hartnäckige Asymmetrie. Passwörter lassen sich zurücksetzen. Eine Verwaltungsnummer soll gerade stabil bleiben. Selbst wenn das kompromittierte Konto geschlossen und die Grenze des Registers repariert ist, kann ein kopierter Datensatz – falls er aufbewahrt wird – weiterhin Kontext für spätere Angriffe liefern. Der Vorfall hatte ein kurzes Zeitfenster und möglicherweise lange Folgen.

Daraus folgt eine schwierige politische Frage. Die Antwort kann nicht einfach lauten, alle Nummern zu ändern. Das brächte Verwaltungsaufwand, ohne die Organisationen zu korrigieren, die Nummern als Geheimnis behandeln. Vertretbarer ist es, sensiblen Transaktionen das Vertrauen in die blosse Nummer zu entziehen, die Betrugsabwehr zu stärken und künftige Nachweise so zu gestalten, dass sie nur preisgeben, was nötig ist.[^10][^11]

## 6. Der europäische Spiegel

Bequem wäre es, darin ein rein dänisches Versagen zu sehen. Man darf nicht einfach annehmen, dass anderswo dasselbe Zugriffsmodell, dieselbe Protokollierung oder dieselbe Schwäche besteht; die Spannung im Design dahinter betrifft aber viele.

Staaten führen massgebliche Register. Spitäler sind auf externe Software angewiesen. Banken stützen sich auf Identitätsdienste Dritter. Auftragnehmer und spezialisierte Lieferanten brauchen einen gewissen Zugang, um legitime Arbeit zu leisten. Eine reife digitale Gesellschaft hat deshalb immer mehr *Ränder*, an denen die Identitäts- und Berechtigungsentscheide einer Institution zum Risiko einer anderen werden.

Die Frage ist nicht, ob der Zugang Dritter an sich unverantwortlich ist. Moderne öffentliche Dienste funktionieren nicht ohne delegierte Abläufe. Die Frage ist, ob die Delegation begrenzt ist: durch **Zweck, Menge, Umfang, Zeit und eine erreichbare verantwortliche Stelle, die sie stoppen kann**.

Die Schweiz bietet beim Design digitaler Identität einen nützlichen – keinen gleichwertigen – Kontrast. Offizielle Beschreibungen der E-ID und der swiyu-Wallet betonen, dass Nutzerinnen und Nutzer selbst entscheiden, was sie teilen, und dass möglichst wenige Daten fliessen. 2026 kündigte der Bund zusätzliche Massnahmen an: Die AHV-Nummer sollen nur noch gesetzlich berechtigte Stellen abfragen können, Anbieter sollen den Zweck der verlangten Angaben registrieren, und bei Missbrauch sollen Warnungen oder ein Ausschluss möglich sein. Diese Massnahmen betreffen eine **andere Identitätsarchitektur**; sie beweisen weder, dass Schweizer Register gegen massenhafte Offenlegung gefeit sind, noch, dass jede angekündigte Änderung bereits in Betrieb ist.[^12][^13]

Die AHV-Nummer ist wie die dänische CPR-Nummer ein dauerhafter Verwaltungsidentifikator mit eigenem rechtlichem Rahmen; keine der beiden Nummern sollte man mit einem kryptografischen Identitätsnachweis gleichsetzen.[^14]

Die Woche der dänischen Enthüllung brachte zwei wirklich verschiedene Schweizer Prüfungen dieser Grenze. Am **9. Oktober 2026** meldete die Ricardo-Muttergesellschaft **SMG Swiss Marketplace Group** in einer um 14.01 Uhr über EQS verbreiteten Medienmitteilung, eine Sicherheitslücke habe unbefugten Zugriff auf mit Bestellungen auf der Plattform verknüpfte Personendaten ermöglicht; betroffen seien rund **890'000 Nutzerkonten**. Offengelegt wurden Namen, Postadressen und Telefonnummern, bei Geschäftskunden zudem Firmennamen. Nach Angaben von SMG waren E-Mail-Adressen und Passwörter nicht betroffen, und die Lücke sei geschlossen. Laut Mitteilung hat Ricardo den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informiert.[^15][^16] In einem SRF-Bericht von 14.40 Uhr desselben Tages hielt eine SMG-Sprecherin auf Nachfrage der Nachrichtenagentur AWP fest, die betroffenen Daten seien zu keinem Zeitpunkt frei zugänglich gewesen, und es sei kein unbefugter Zugriff auf personenbezogene Daten festgestellt worden, die mit Bestellungen auf der Plattform verknüpft gewesen seien. Der Cyberangriff habe bislang weder eine Erpressung noch Lösegeldforderungen zur Folge gehabt.[^17] Beide Aussagen sind hier so wiedergegeben, wie sie berichtet wurden, mit Uhrzeit; diese Ausgabe gleicht sie nicht gegeneinander ab. Die genaue Art der Schwachstelle, der Weg des Angreifers und der Verbleib allfälliger externer Kopien waren öffentlich nicht geklärt. Es ist ein Fall von Anwendungssicherheit – **kein** Beleg dafür, dass ein berechtigtes Lieferantenkonto auf dänische Art missbraucht wurde.[^15][^16]

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f08-de-6c4812a9e6476aa20d62186839c0d448d749fd1dc72cc2304e6b8d286f91311f.webp" alt="Drei Karten nebeneinander vergleichen den Missbrauch eines berechtigten Registerzugangs in Dänemark, Ricardos nicht benannte Plattformlücke mit rund 890'000 Nutzerkonten und zwei datierten SMG-Aussagen zu Bestelldaten sowie das Eindringen von Schadsoftware bei PK Softech ohne Betroffenenzahl. Keine gemeinsame Täterschaft oder Angriffskette." /> <figcaption>Drei Vorfälle, drei verschiedene technische Grenzen. Der Missbrauch des CPR-Abfragezugangs eines Dritten in Dänemark ist offiziell; zu Ricardo weichen SMGs Mitteilung (14.01 Uhr) und die Aussage der Sprecherin (14.40 Uhr) zu Bestelldaten voneinander ab; PK Softech nennt Schadsoftware, Publica-Daten offen.</figcaption> </figure>

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f09-de-74fe2c11a8ef227d03fda61ca1313e51a5d01ae113186b86972dec2a28e86d70.webp" alt="Zwei gleich grosse Felder nebeneinander. Links die erste SMG-Mitteilung vom 9. Oktober, 14.01 Uhr: Zugriff auf mit Bestellungen verknüpfte Personendaten, rund 890'000 Nutzerkonten, Namen, Adressen und Telefonnummern offengelegt, E-Mail und Passwörter nicht betroffen, EDÖB informiert. Rechts die Aussage der Sprecherin um 14.40 Uhr: Daten nie frei zugänglich, kein Zugriff auf Bestelldaten festgestellt, bislang keine Lösegeldforderung. Darunter offene Fragen: Schwachstelle, Täter, Kopien." /> <figcaption>Zwei SMG-Aussagen vom 9. Oktober 2026, wie berichtet: Die Mitteilung von 14.01 Uhr (EQS) meldete unbefugten Zugriff auf mit Bestellungen verknüpfte Personendaten von rund 890'000 Nutzerkonten; um 14.40 Uhr sagte eine Sprecherin gegenüber AWP (via SRF), ein solcher Zugriff sei nicht festgestellt worden.</figcaption> </figure>

Die drei Fälle sollte man nicht zu einer angeblichen gemeinsamen Kampagne oder einer gemeinsamen Schwachstelle verschmelzen. Ihre gemeinsame Lehre ist anspruchsvoller: *Daten können ihr vorgesehenes Publikum auf mehr als einem Weg verlassen – über eine versagende Berechtigung, einen kompromittierten Lieferanten oder eine Lücke in einer Anwendung.* **Souveränität und Sorgfalt müssen jede dieser Grenzen überstehen, nicht nur jene, die im Organigramm einer Verwaltung sichtbar ist.**

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f05-de-47f1dcdc1723224f00788c4bb64431a066561a2696f9e207f11efcc70dd6ba3e.webp" alt="Vergleich in zwei Spalten: links eine Berechtigungsprüfung, die nur fragt, ob das Unternehmen berechtigt ist, und jede Anfrage einzeln annimmt; rechts eine begrenzte Befugnis mit den Fragen wer und welche Einträge, Zweck und Mengengrenzen sowie erkennen, sperren und entziehen." /> <figcaption>Ein vorgeschlagenes Modell der Risikokontrolle: Berechtigung sollte mit Grenzen bei Zweck, Umfang, Rate, Beobachtbarkeit und Entzug verbunden sein. Es zeigt nicht nachweislich die technischen Kontrollen, die im dänischen CPR im Einsatz sind.</figcaption> </figure>

Europas Aufgabe besteht nicht einfach darin, mehr Daten in nationale Rechenzentren zu legen. Lokalisierung kann für Rechtshoheit und Widerstandsfähigkeit zählen, aber auch eine souveräne Datenbank kann von einem berechtigten Vermittler im selben Rechtsraum missbraucht werden. Weder der Speicherort noch das Eigentum allein beweisen operative Kontrolle.

Ein nützlicher Test denkt wie ein Angreifer: *Was kann der kleinste legitime Kunde mit den Berechtigungen, die wir ihm gegeben haben, in der höchsten Geschwindigkeit tun, die seine Software zulässt, bevor jemand befugt ist, ihn zu unterbrechen?*

Wenn die Antwort einen nennenswerten Teil eines nationalen Bevölkerungsregisters umfasst, liegt das Problem ebenso im Design der delegierten Befugnis wie in der Sicherheit des Kunden.

## 7. Was eine belastbare Kontrollarchitektur verlangen würde

Es gibt keinen einzelnen Schalter, der diese Art von Versagen behebt. Eine glaubwürdige Antwort hat mehrere Ebenen.

**Wer zugreift, muss sich ausweisen.** Die Identität von Systemen und menschlichen Administratoren prüfen, Zugangsdaten inventarisieren, Zugänge von Austretenden rasch entziehen und, wo technisch möglich, eine geeignete Mehrfaktor- oder kryptografische Authentifizierung verlangen. Das gemeldete schwache Passwort als Frage für die Ermittlung behandeln – nicht als bewiesene allgemeine Ursache.[^5][^10]

**Zugang an einen Zweck binden.** Für jeden Kunden den geschäftlichen Grund, die zulässigen Einträge und die erlaubten Vorgänge festlegen. Die blosse Zugehörigkeit zu einer Organisation sollte keine unbegrenzte Abfragebefugnis verleihen. Ausnahmen überprüfen und hohe Volumen nur mit ausdrücklicher Freigabe zulassen. Das ist ein Vorschlag für eine Kontrollarchitektur, keine Aussage über das heutige Design des CPR.

**Das Verhalten in der Summe beobachten.** Abfragerate, Zahl der verschiedenen zurückgelieferten Personen, ungewöhnliche Muster bei der Suche nach gültigen Nummern, Spitzen im Verhältnis zum Kundenstamm und Verschiebungen der Tageszeit überwachen. Eine Million einzeln gültiger Anfragen sollte nicht aussehen wie eine Million voneinander unabhängiger Routinevorgänge.

**Eingreifen automatisch und verantwortlich machen.** Drosselung, abgestufte Notbremsen, dringende menschliche Prüfung, klare Zuständigkeit für den Entzug und eine Eindämmung festlegen, die Beweise sichert. Betrugserkennung wird Fehlalarme erzeugen; Schutzmechanismen brauchen deshalb transparente Schwellen und überprüfbare Übersteuerungen statt willkürlicher Abschaltungen.

**Identitätsmerkmale als offengelegt behandeln.** Nachgelagerte Stellen sollten CPR-ähnliche Nummern oder die Kenntnis einer Adresse nicht als alleinige Authentifizierung verwenden. Risikogerechte Authentifizierungsmittel und eine Bestätigung von Transaktionen einsetzen. Die NIST-Richtlinien zur digitalen Identität helfen hier, auch wenn sie keine dänischen Rechtspflichten festlegen.[^10]

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f06-de-79c9dfc7410b2ef207d1e6bad1b3a01041f7d4400057fb1068be7f49b8d868b2.webp" alt="Sechs nummerierte Felder für Zugangsdaten, Zweck, Menge, Erkennung, Eindämmung und nachgelagerte Prüfung, darunter ein Balken: Der Beweis ist ein simulierter Missbrauch, gestoppt vor einer Abschöpfung im Bevölkerungsmassstab. Als Vorschlag markiert." /> <figcaption>Empfehlungen für das operative Design, abgeleitet aus dem offengelegten Weg des Vorfalls – keine offizielle dänische Vorgabe zur Behebung.</figcaption> </figure>

Der Massstab sollte Evidenz sein, nicht Theater. Ein neues Dashboard beweist keine Erkennung. Ein Richtliniendokument beweist keinen Entzug. Die Zusicherung eines Lieferanten beweist nicht, dass ungewöhnlicher Zugriff rechtzeitig gestoppt wird. Aussagekräftig ist eine Übung: Lässt sich der simulierte Missbrauch eines rechtmässigen Kontos erkennen und begrenzen, bevor daraus ein Export im Massstab einer Bevölkerung wird?

## 8. Die Darknet-Frage – und die Grenzen dieser Ausgabe

Bis zum Redaktionsschluss dieser Ausgabe am **9. Oktober 2026** fand die Durchsicht öffentlicher Quellen **kein unabhängig bestätigtes öffentliches Darknet-Angebot** des vollständigen CPR-Datensatzes. Das ist keine Bescheinigung, dass die Daten sicher sind. Es ist schlicht die Grenze dessen, was sich überprüfen liess.

<figure> <img src="/api/media/field-notes/permission-that-exposed-a-nation-f07-de-eb88d5ea3751643fe043926ff3d7420f4a74fbb1512970c1ac07b65ab6ea46ed.webp" alt="Drei Evidenzstufen nebeneinander: bestätigt (rund 8,8 Millionen Personen, Zugang eines privaten Unternehmens, automatisierte Abfragen), gemeldet (rund 14 Millionen Abfragen, Hinweis durch Rechnung, Fenster 10. September bis 2. Oktober) und nicht bestätigt (Passwort, Verkauf im Darknet, Zuordnung zum Hacker)." /> <figcaption>Bestätigte Offenlegung und automatisierter Zugriff dürfen nicht vermengt werden mit der unbestätigten Passwortgeschichte, einem bestätigten Verkauf im Darknet oder dem Verlust aller nationalen Daten.</figcaption> </figure>

Die anonyme Person sagte Journalisten, sie wolle die Nummern weder verkaufen noch veröffentlichen. Sie soll *Politiken* eine Stichprobe oder Datei übergeben haben, und die Zeitung legte Material einem Experten vor. Das stützt die Behauptung, im Besitz der Daten zu sein – nicht aber das angebliche Motiv, die Einzigartigkeit der Kopien oder die Fähigkeit, eine spätere Verbreitung zu verhindern.[^5]

Wir haben keine geleakten Daten gekauft, keine geschlossenen kriminellen Marktplätze betreten, den mutmasslichen Täter nicht befragt, keine von Ermittlern gesicherten Beweise eingesehen und keine laufende Leak-Überwachung betrieben. Ob ein privater Austausch stattgefunden hat, können wir deshalb nicht feststellen. Der ehrliche Stand lautet: **Abschöpfung der Daten gut belegt; öffentlicher Verkauf im Darknet nicht bestätigt; Weiterverbreitung ungeklärt**.

Die Versuchung, diese Lücken mit Gewissheit zu füllen, ist verständlich. Genau so wird aus der Analyse eines Vorfalls unzuverlässiger Kommentar.

## 9. Wer hält die Schlüssel zu einer Nation?

Der dänische Vorfall beweist nicht, dass es keine zentralen Register geben sollte. Er beweist, dass die Sicherheitsgrenze eines Registers grösser ist als die Server, auf denen es läuft.

Zu ihr gehören das Unternehmen, das abfragen darf, der ehemalige Mitarbeiter, dessen Konto vielleicht noch in einer Datenbank steht, die Geschäftsvereinbarung, welche die Nutzung misst, das Sicherheitsteam, das Muster deutet, die Beamtin oder der Beamte mit der Befugnis, den Zugang zu entziehen, und die Institutionen, die eine dauerhafte Identifikationsnummer später behandeln, als wäre sie ein Geheimnis.

Jede dieser Beziehungen ist eine Beziehung der Befugnis. Jede kann in einem anderen Tempo versagen.

Mit der Zeit sollten wir einen besseren forensischen Befund haben: wer sich Zugang verschafft hat, wie die Anmeldung erfolgte, welche Daten behalten wurden und ob das kopierte Material je zirkulierte. Diese Erkenntnisse können Einzelheiten der Erzählung verändern. Die zentrale technische Frage werden sie kaum ausräumen: **Wie wurde aus der Erlaubnis zu einer gewöhnlichen Abfrage die praktische Möglichkeit, Einträge zu Millionen von Menschen zu beschaffen?**

Digitale Souveränität darf nicht beim Besitz der Datenbank aufhören. Sie muss die Berechtigungen erreichen, das Verhalten, die Überwachung, den Entzug und die Identitätsannahmen jedes Systems, das sich auf ihren Inhalt stützt.

> **Der Staat mag das Register halten. Das Risiko wohnt in jeder Tür, die er freigibt.**

---

## Quellen

[^1]: Dänisches Ministerium für Forschung, Bildung und Digitalisierung (Forsknings-, Uddannelses- og Digitaliseringsministeriet), Medienmitteilung (verbreitet über Ritzau), 5. Oktober 2026. [Omfattende uautoriseret adgang til borgeres CPR-oplysninger](https://via.ritzau.dk/pressemeddelelse/15205753/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger?publisherId=2869389). Auf Dänisch. Rund 8,8 Millionen betroffene registrierte Personen, auch Lebende, Ausgewanderte und Verstorbene; ein Register von rund 11 Millionen; unregelmässige Aktivität am 2. Oktober bemerkt.

[^2]: The Local Denmark, 6. Oktober 2026. [Danish national registry hack only discovered after unusually large invoice](https://www.thelocal.dk/20261006/danish-identity-number-breach-only-discovered-after-unusually-large-invoice). Auf Englisch. Abteilungschef Mikkel Leihardt zur Rechnung als Auslöser der Entdeckung.

[^3]: CPR-Verwaltung, offizielle Mitteilung zum Vorfall, 5. Oktober 2026. [Omfattende uautoriseret adgang til borgeres CPR-oplysninger](https://www.cpr.dk/cpr-nyt/nyhedsarkiv/2026/okt/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger). Auf Dänisch.

[^4]: Datatilsynet, 5. Oktober 2026. [Datatilsynet er opmærksom på sag om opslag i CPR](https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2026/okt/datatilsynet-er-opmaerksom-paa-sag-om-opslag-i-cpr). Auf Dänisch. Meldung am 4. Oktober eingegangen; sehr viele automatisierte Abfragen, um gültige CPR-Nummern zu ermitteln.

[^5]: Ritzau via The Copenhagen Post, 9. Oktober 2026. [Hacker claims simple password allowed access to 8.8 million Danish CPR numbers](https://cphpost.dk/2026-10-09/news/round-up/hacker-claims-simple-password-allowed-access-to-8-8-million-danish-cpr-numbers/). Auf Englisch. Gibt die Darstellung einer anonymen Person gegenüber *Politiken* wieder; die Behauptungen sind nicht unabhängig bestätigt.

[^6]: Recherche von DR, wiedergegeben von ddig.dk, 9. Oktober 2026. [DR: Fynsk softwarevirksomhed er i centrum for historisk CPR-læk](https://ddig.dk/dr-fynsk-softwarevirksomhed-er-i-centrum-for-historisk-cpr-laek). Auf Dänisch. Eine Zusammenfassung; laut ihr ist nicht bestätigt, dass das geleakte Passwort im Vorfall verwendet wurde.

[^7]: Dänisches CPR-Gesetz (CPR-loven), konsolidierte Fassung 2023, § 38. [Retsinformation](https://www.retsinformation.dk/eli/lta/2023/1010/dan). Auf Dänisch.

[^8]: Ritzau via DK-Sundhed, 9. Oktober 2026. [Medie: IT-kriminel havde adgang til CPR-register i 21 dage og 17 timer](https://www.dk-sundhed.dk/ritzau/f67ea040-b0ff-42b4-bb4b-aed78c817286). Auf Dänisch. Die Lesart von TV 2 der Meldung an Datatilsynet, gestützt auf Akteneinsicht; die Meldung selbst wurde nicht unabhängig geprüft.

[^9]: Thierry Gilgen, Library, 23. Juli 2026. [Sovereignty Is Measured in Response Time](https://www.thierry-gilgen-ict.ch/field-notes/sovereignty-is-measured-in-response-time). Ein gedanklicher Bezug, kein Beleg zum dänischen Vorfall.

[^10]: NIST, Juli 2025. [SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management](https://csrc.nist.gov/pubs/sp/800/63/B/4/final); [technischer Text](https://pages.nist.gov/800-63-4/sp800-63b.html). Auf Englisch. Amerikanische Richtlinie, keine dänische Rechtspflicht.

[^11]: DI Digital (Dansk Industri), 6. Oktober 2026. [8,8 millioner CPR-numre er lækket. Sådan beskytter du din virksomhed](https://www.danskindustri.dk/brancher/di-digital/nyhedsarkiv/nyheder/2026/10/cpr-lak/). Auf Dänisch.

[^12]: Schweizerische Eidgenossenschaft, E-ID. [Die elektronische Identität (e-ID) — Wie funktioniert die e-ID?](https://www.eid.admin.ch/de/e-id/wie-funktioniert-die-e-id) Abgerufen am 9. Oktober 2026.

[^13]: Bundesrat, 25. Februar 2026. [Akzeptanz der E-ID mit zusätzlichen Massnahmen stärken](https://www.eda.admin.ch/de/newnsb/L6Nbf7gStnDm). Angekündigte Massnahmen, noch keine Beschreibung eines laufenden Systems.

[^14]: Zentrale Ausgleichsstelle (ZAS), 5. März 2026. [AHV-Nummer](https://www.zas.admin.ch/de/ahv-nummer-identifikator).

[^15]: SMG Swiss Marketplace Group Holding AG, Medienmitteilung via EQS, 9. Oktober 2026, 14.01 Uhr. [Ricardo fixes security vulnerability affecting user data](https://www.boersennews.de/nachrichten/meldungen/eqs/ricardo-fixes-security-vulnerability-affecting-user-data/5306126/); [Spiegelversion](https://www.finanzwire.com/press-release/smg-swiss-marketplace-group-holding-ag-etr-ricardo-fixes-security-vulnerability-affecting-user-data-mAttlF99iiE). Auf Englisch. Die eigene Mitteilung des Unternehmens, kein forensischer Bericht.

[^16]: AWP via cash.ch, 9. Oktober 2026. [SMG: 890'000 Ricardo-Nutzerkonten von Sicherheitslücke betroffen](https://www.cash.ch/news/top-news/smg-890000-ricardo-nutzerkonten-von-sicherheitslucke-betroffen-975470).

[^17]: SRF News (mit AWP), 9. Oktober 2026, 14.40 Uhr. [Online-Marktplatz gehackt – «Keine Erpressung» – Ricardo meldet Datenleck bei 890’000 Konten](https://www.srf.ch/news/schweiz/online-marktplatz-gehackt-keine-erpressung-ricardo-meldet-datenleck-bei-890-000-konten). Aussagen der SMG-Sprecherin gegenüber AWP in indirekter Rede.