Dänemark: "Unbekannte haben unrechtmäßig Zugang zu fast neun Millionen CPR-Nummern erhalten. Das teilt das Forschungs-, Ausbildungs- und Digitalisierungsministerium auf seiner Webseite mit.
Das Zentrale Personenregister (CPR) habe einen „schweren Sicherheitsvorfall“ registriert. Dabei haben Unbekannte einen legalen Zugang eines dänischen Unternehmens missbraucht, um automatisiert nach Informationen im CPR-System zu suchen. Dabei wurden Namen, Adressen, CPR-Nummern und weitere Daten von rund 8,8 Millionen registrierten Bürgerinnen und Bürgern abgefischt.
Im CPR sind aktuell rund 11 Millionen Personen registriert: neben hier lebenden Menschen auch Verstorbene und ins Ausland Umgezogene." (Der Nordschleswiger)
Weiter unten im Text:
"Namen und Adressen von Personen, die sich für eine Registrierung mit Namens- und Adressschutz entschieden haben, sind von dem unbefugten Zugriff wohl nicht betroffen."
Na, sowas! Da könnte man ja glatt auf den Gedanken kommen, daß dieser Schutz gebührenpflichtig ist.
"Ist diese Registrierung Registrierung mit Namens- und Adressschutz mit der Entrichtung einer Gebühr verbunden?"
ChatGPT:
"Nein. Die dänische „navne- og adressebeskyttelse“ im CPR ist kostenlos. Sie wird über Borger.dk bzw. die zuständige Kommune beantragt; auf der offiziellen Seite ist keine Gebühr vorgesehen. Life in Denmark
Ein paar Details sind dabei interessant:
- Die Sperre gilt grundsätzlich für ein Jahr und muss danach erneut beantragt werden. Borger
- Sie verhindert im Normalfall, dass Privatpersonen und Unternehmen Name und Adresse aus dem CPR erhalten. Behörden haben weiterhin Zugriff; auch Gläubiger können unter bestimmten Voraussetzungen geschützte Adressdaten erhalten. CPR
- Sie schützt nicht die CPR-Nummer selbst im Sinne einer vollständigen Datensperre. Beim aktuellen Vorfall vom 5. Oktober 2026 teilte die CPR-Verwaltung allerdings ausdrücklich mit, dass bei Personen mit diesem Schutz Namen und Adressen nicht von dem unbefugten Zugriff betroffen waren. CPR
Interessant angesichts des Datenlecks: Am 1. Oktober 2026 hatten nur rund 149.000 in Dänemark wohnende Personen einen aktiven Namens- und Adressschutz – also nur wenige Prozent der Bevölkerung. CPR"
"Verstehe ich das richtig? Der Bürger muss den Namens- und Adressschutz beantragen, bekommt eine Bewilligung für ein Jahr, und muss nach Ablauf des Jahres neu beantragen?"
ChatGPT:
"Ja, genau.
Der Ablauf ist grundsätzlich:
- Der Bürger beantragt selbst den navne- og adressebeskyttelse.
- Die Kommune registriert bzw. bewilligt den Schutz.
- Der Schutz gilt normalerweise ein Jahr.
- Danach läuft er automatisch aus, sofern man nicht rechtzeitig erneut einen Antrag stellt.
- Für einen Schutz von mehr als einem Jahr braucht es besondere Umstände; darüber entscheidet die Kommune.
Der interessante Punkt ist also: Es handelt sich nicht um einen dauerhaften Opt-out, sondern um eine Schutzentscheidung, die der Bürger regelmäßig aktiv erneuern muss.
Das ist datenschutzpolitisch durchaus bemerkenswert: Der Normalzustand des CPR ist die Weitergabefähigkeit von Name und Adresse; wer davon abweichen möchte, muss selbst aktiv werden — und zwar wiederkehrend."
"Das bedeutet also - wenn man diesen Schutz nicht beantragt, kann jeder, der es wissen will, die aktuelle Adresse abfragen?"
ChatGPT:
"Im Grundsatz ja – aber nicht völlig voraussetzungslos.
Wenn jemand keinen Namens- und Adressschutz im CPR hat, kann eine Privatperson bei einer dänischen Kommune eine sogenannte Adresseforespørgsel stellen und die aktuelle Adresse einer anderen Person erhalten. Borger.dk sagt ausdrücklich, dass man aktuelle Namens- und Adressdaten aus dem CPR über andere Personen bekommen kann, sofern diese keinen Schutz eingetragen haben. Borger
Allerdings muss der Anfragende die gesuchte Person schon hinreichend identifizieren können, etwa durch:
- Name + bisher bekannte Adresse,
- Name + Geburtsdatum oder
- Name + CPR-Nummer.
Eine reine Suche nach dem Muster „Gib mir die Adresse von irgendeinem Jens Hansen“ funktioniert also nicht ohne weitere Identifikationsmerkmale. Für jede Anfrage kann die Kommune bis zu 101 DKK (2026) verlangen – auch wenn die Person nicht gefunden wird. Borger.dk
Das bedeutet praktisch: Kennt jemand deinen Namen und dein Geburtsdatum, kann er ohne besonderen Grund deine aktuelle CPR-Adresse bei der Kommune erfragen, solange du keinen Namens- und Adressschutz eingerichtet hast. Einen legitimen Zweck oder ein besonderes Interesse muss er dafür grundsätzlich nicht nachweisen.
Genau deshalb formuliert das CPR-Gesetz den Schutz gewissermaßen als Opt-out: Erst wenn man ihn beantragt, dürfen Name und Adresse grundsätzlich nicht mehr an Private herausgegeben werden. CPR
Das ist tatsächlich erheblich großzügiger bei der Adressauskunft als das deutsche Melderecht. Wenn du möchtest, kann ich die beiden Systeme einmal Dänemark vs. Deutschland direkt gegenüberstellen – dort wird der Unterschied ziemlich deutlich."
"Ja, bitte."
ChatGPT:
"Der Unterschied ist kleiner, als meine vorige Formulierung „erheblich großzügiger“ vermuten ließ: Auch in Deutschland kann grundsätzlich jeder eine aktuelle Anschrift aus dem Melderegister erhalten. Die Schutzmechanismen unterscheiden sich aber deutlich.
| Punkt | Dänemark | Deutschland |
|---|
| Normale Adressauskunft | Ja. Aktuelle Namens- und Adressdaten können aus dem CPR abgefragt werden. Borger.dk | Ja. Die „einfache Melderegisterauskunft“ umfasst u. a. Vorname, Familienname und derzeitige Anschrift. Gesetze im Internet |
| Muss der Fragende einen Grund nennen? | Für die normale private Adressanfrage grundsätzlich nein. | Ebenfalls grundsätzlich nein. Bei gewerblicher Nutzung muss der Zweck angegeben werden; Werbung/Adresshandel sind bei § 44 BMG ausgeschlossen. Gesetze im Internet |
| Identifizierung nötig? | Ja: z. B. Name + Adresse, Name + Geburtsdatum oder Name + CPR-Nummer. Borger | Ja. Die gesuchte Person muss anhand der angegebenen Merkmale eindeutig bestimmbar sein, z. B. Name, Vorname, Geburtsdatum oder Anschrift. Gesetze im Internet |
| Allgemeiner Schutz auf Wunsch? | Ja. Namens- und Adressschutz kann grundsätzlich ohne Gefährdungsnachweis beantragt werden. | Nein. Eine echte Auskunftssperre setzt Tatsachen voraus, die eine Gefahr für Leben, Gesundheit, persönliche Freiheit oder vergleichbare schutzwürdige Interessen begründen. Gesetze im Internet |
| Dauer der Sperre | Normalerweise 1 Jahr, dann neu beantragen. | Normalerweise 2 Jahre, Verlängerung möglich. Gesetze im Internet |
| Kosten der normalen Abfrage | Bis zu 101 DKK pro Anfrage im Jahr 2026. Borger.dk | Kommunal unterschiedlich; das Bundesgesetz legt hierfür keinen einheitlichen Betrag fest. |
Der überraschende Punkt ist damit eigentlich Deutschland: Wer etwa deinen vollständigen Namen und genügend zusätzliche Angaben kennt, kann grundsätzlich bei einer Meldebehörde deine aktuelle Anschrift erfragen. Das Bundesmeldegesetz formuliert ausdrücklich, dass eine Privatperson Auskunft über die „derzeitigen Anschriften“ einer bestimmten Person verlangen kann. Gesetze im Internet
Der entscheidende Unterschied liegt beim Opt-out:
Dänemark: „Ich möchte meine Adresse grundsätzlich nicht an Private herausgeben.“ → Schutz kann prophylaktisch beantragt werden.
Deutschland: „Ich möchte meine Adresse grundsätzlich nicht an Private herausgeben.“ → Das allein genügt nicht. Für eine Auskunftssperre nach § 51 BMG müssen konkrete Tatsachen eine Gefährdung oder ein vergleichbares schutzwürdiges Interesse nahelegen. Das Gesetz nennt inzwischen ausdrücklich auch Bedrohungen, Beleidigungen und unbefugte Nachstellungen. Gesetze im Internet
Damit würde ich meine vorherige Aussage sogar korrigieren: Dänemark gewährt dem Bürger in diesem Punkt mehr informationelle Selbstbestimmung als Deutschland, weil dort jeder prophylaktisch die Tür schließen kann. Deutschland lässt die Tür zunächst offen und erlaubt eine vollständige Sperre erst bei einem qualifizierten Schutzinteresse.
Und genau vor diesem Hintergrund ist der aktuelle CPR-Vorfall interessant: Die dänischen Bürger, die dieses freiwillige Opt-out aktiviert hatten, hatten offenbar einen zusätzlichen Schutz, der nun ganz praktisch relevant wurde."
"Weiter heißt es in der Meldung: "Es ist empfohlen, einen „kreditadvarsel“ auf borger.dk einzurichten. Diese Markierung im Personenregister erschwert es Unbekannten, einen Kredit im eigenen Namen aufzunehmen." Wie darf ich das verstehen? Wenn jemand Deine CPR-Daten hat, kann er einen Kredit in Deinem Namen aufnehmen?"
ChatGPT:
"Ja — Identitätsmissbrauch für Kredit- oder Ratenkäufe ist möglich, aber die CPR-Nummer allein reicht normalerweise nicht.
Die dänische CPR-Nummer ist eher ein sehr starkes Identifikationsmerkmal als ein Passwort. Wer zusätzlich weitere Daten oder Dokumente über dich besitzt — etwa Name, Adresse, Geburtsdaten, Ausweiskopie oder Zugangsmöglichkeiten zu digitalen Identifikationsverfahren — kann versuchen, sich als du auszugeben. Borger.dk nennt als konkretes Beispiel einen Täter, der mit einem fremden Pass ein Mobiltelefon auf Raten kauft. Borger
Die „kreditadvarsel“ ist deshalb eine Warnmarkierung direkt an deiner CPR-Nummer. Kreditgeber oder Händler mit berechtigtem Interesse können sehen: Bei dieser Identität besteht ein besonderes Risiko von Identitätsmissbrauch; prüft sehr genau, bevor ihr Kredit gewährt. Das kann dazu führen, dass ein Antrag abgelehnt oder eine zusätzliche Identitätsprüfung verlangt wird. Borger
Wichtig ist allerdings: Es ist keine technische Kreditsperre. Unternehmen sind nicht einmal verpflichtet, diese CPR-Warnung abzurufen. Borger.dk sagt ausdrücklich, dass die Nutzung durch Unternehmen freiwillig ist. Die Markierung erschwert Betrug also erheblich, verhindert ihn aber nicht absolut. Borger
Man kann sich das ungefähr so vorstellen:
CPR-Daten gestohlen → Täter kennt deine Identität → Täter kombiniert sie eventuell mit weiteren geleakten oder gefälschten Daten → Kredit-/Ratenantrag in deinem Namen.
Mit Kreditwarnung:
CPR-Daten gestohlen → Kreditgeber fragt CPR ab → „KREDITADVARSEL“ erscheint → zusätzliche Prüfung oder Ablehnung.
Das erklärt auch, warum die Behörden sie nach diesem Leak empfehlen. Bei 8,8 Millionen kompromittierten CPR-Datensätzen besteht die Gefahr weniger darin, dass jemand nur mit einer zwölfstelligen Zeichenfolge sofort ein Darlehen über 100.000 Kronen bekommt, sondern darin, dass die CPR-Daten als verlässlicher Identitätsbaustein mit Informationen aus anderen Datenlecks kombiniert werden.
Bemerkenswert finde ich dabei noch etwas anderes: Die Kreditwarnung kann jeder ab 15 selbst setzen und jederzeit wieder entfernen; sie scheint im Gegensatz zum Namens- und Adressschutz auch nicht jährlich abzulaufen. Am 1. Oktober 2026 hatten rund 240.600 in Dänemark wohnende Personen eine solche Warnung gesetzt. Borger
Für jemanden, der ohnehin keinen Kredit aufnehmen möchte, spricht daher ziemlich viel dafür, die Kreditwarnung dauerhaft gesetzt zu lassen. Der wesentliche Nachteil ist nämlich genau der beabsichtigte Effekt: Eigene Kredit-, Ratenkauf- oder ähnliche Verträge können schwieriger werden; vor einem legitimen Kreditantrag kann man die Markierung kurz entfernen und anschließend wieder setzen."
Ja.
Der Grund dafür, daß so wenige Leute im Pølser-Land diese zusätzlichen Schutzmaßnahmen in Anspruch nehmen, ist also - es bedeutet für den Bürger einen Mehraufwand, der unter Umständen weiteren Mehraufwand und sogar Probleme nach sich zieht.
In Dumm-Land ist es übersichtlicher - hier wirst Du garnicht erst gefragt, sondern bist halt ganz einfach der Arsch, der im Glashaus sitzt.