CPR-lækket afslører et systemproblem: Den adgang, loven tillader private virksomheder, kunne bruges til at hente data på 8,8 millioner mennesker. Ingen har endnu forklaret, hvordan det kunne ske.
Mandag den 5. oktober 2026 blev det kendt, at uvedkommende har skaffet sig adgang til navne, adresser og CPR-numre på cirka 8,8 millioner registrerede personer. Det fremgår af ministeriets meddelelse, som DR og Berlingske har gengivet. Det er et af de største databrud i Danmark, og det kom ikke fra et hacket system. Det kom fra en dør, der var åbnet med lovlig nøgle.
Hvad myndighederne har bekræftet
Gerningspersonerne har misbrugt en dansk virksomheds lovlige adgang til at søge i CPR-systemet. Adgangen er nu lukket. CPR-administrationen har anmeldt sagen til Datatilsynet, og politiet efterforsker.
Tidslinjen ifølge Berlingskes overblik:
- Sent fredag den 2. oktober blev CPR opmærksom på "uregelmæssig adfærd" i systemet.
- I løbet af weekenden stod det klart, at omfanget var cirka 8,8 millioner personer.
- Ifølge kilden fandt den uregelmæssige adfærd sted i løbet af september.
Det berørte tal dækker levende, udrejste og afdøde. CPR-systemet rummer i alt cirka 11 millioner personer . Det betyder, at omkring fire ud af fem poster er ramt. Personer med navne- og adressebeskyttelse er ifølge den foreløbige gennemgang ikke omfattet .
Digitaliseringsminister Christina Egelund (M) kalder hændelsen "dybt alvorlig" og har orienteret Folketingets Erhvervs- og Digitaliseringsudvalg. Hun har bedt om en grundig sikkerhedsgennemgang af CPR-systemet.
Det ved vi ikke
Virksomheden er ikke navngivet. Gerningspersonerne er ukendte, og det er ikke oplyst, hvor mange søgninger der blev foretaget, eller hvordan adgangen blev misbrugt. Kilden nævner, at Nyheder24 skriver, at NSK efterforsker. Det har jeg ikke kunnet bekræfte hos de øvrige medier, jeg har gennemgået.
Der findes heller ingen offentlig liste over virksomheder med søgeadgang. CPR-kontoret beskriver kun kategorierne. Det er blandt andet pengeinstitutter, forsikringsselskaber, pensionskasser, kreditoplysningsbureauer, forsyningsselskaber, internetudbydere, fagforeninger, a-kasser og bilforhandlere. Det kan derfor ikke afgøres, hvilken type virksomhed der er tale om.
Hvorfor tallet er bemærkelsesværdigt
Reglerne er snævre på papiret. Ifølge CPR-lovens § 38 er private virksomheders adgang udtømmende reguleret. Den omfatter blandt andet nuværende navn og adresse, stilling, reklamebeskyttelse, dødsfald, udrejse og værgemål.
Virksomheder må kun få oplysninger om en "større afgrænset kreds af personer", som de på forhånd har identificeret enkeltvis. Det sker via personnummer, fødselsdato og navn, eller via navn og adresse. CPRWeb, den webbaserede søgeadgang, kræver at man allerede kender en persons navn plus fødselsdato, personnummer eller tidligere adresse .
Hvis en enkelt virksomheds adgang kan give data på 8,8 millioner mennesker, har enten afgrænsningen ikke virket, eller også har nogen kunnet automatisere søgninger i et enormt omfang. Det er en analytisk vurdering og ikke noget, myndighederne har bekræftet. Myndighederne har kun sagt, at misbruget skete inden for rammerne af det, private virksomheder kan se.
Det rejser tre spørgsmål, som en sikkerhedsgennemgang må besvare:
- Hvorfor udløste mængden af søgninger ikke en alarm før i september?
- Hvordan blev virksomhedens legitimationsoplysninger eller integration kompromitteret?
- Hvordan kontrolleres det, at en virksomhed kun slår op på personer, den allerede kender?
Hvad bruddet betyder for den enkelte
CPR-nummeret er i Danmark en nøgle til identitet. Det bruges til at bekræfte, hvem man er, i mange sammenhænge. Kombinationen af navn, adresse og CPR-nummer er præcis det, svindlere bruger til at lyde troværdige over for ofre.
Ministeriet advarer derfor om, at man aldrig skal udlevere kodeord eller fortrolige oplysninger via telefon eller mail. Det gælder også, selvom modtageren kender dit navn, adresse og CPR-nummer. Borgere henvises til sikkerdigital.dk, og Cyberhotlinen på +45 33 37 00 37 har udvidet åbningstiden til kl. 8-24 .
CPR-numre kan ikke skiftes på samme måde som en adgangskode. Konsekvenserne af et læk kan derfor række længe ud i fremtiden. Det er også derfor, sagen handler om mere end én virksomheds svigt. Den handler om, hvordan et centralt register er designet, overvåget og afgrænset, når mange aktører har adgang.
Sagen er stadig under opklaring. Tal og detaljer kan ændre sig, når politiet og CPR-administrationen har kortlagt forløbet.
Sådan skal du forholde dig, hvis du bliver kontaktet
Hvis du modtager et opkald, en mail eller en SMS, hvor afsenderen kender dit navn, din adresse og dit CPR-nummer, er det ikke et bevis på legitimitet. Det er netop den type oplysninger, gerningspersonerne nu har adgang til. Lad være med at hoppe i med begge ben.
Klik ikke på links i mails eller SMS’er, du ikke forventer. Åbn ikke vedhæftede filer, og svar ikke på beskeder, der beder om kodeord, bankoplysninger eller andre fortrolige data. Slet straks, hvis henvendelsen virker mistænkelig. Stol kun på dig selv og på de kanaler, du selv har opsøgt.
Del informationen med andre, du kender. Mange har ikke fulgt med i nyhederne om lækkenet, og de er derfor ekstra sårbare over for svindel, der lyder troværdig, fordi afsenderen kan nævne rigtige personoplysninger.
