Danmarks folkeregister er blevet ramt af det, en dansk cybersikkerhedsekspert kalder det største brud i CPR-registrets historie. Den 5. oktober 2026 oplyste Digitaliseringsministeriet, at uvedkommende i løbet af cirka ti dage i september skaffede sig adgang til navne, adresser og CPR-numre på omkring 8,8 millioner registrerede personer. Adgangen blev ikke opnået ved at bryde ind i selve CPR-systemet, men ved at misbruge en lille dansk virksomheds helt lovlige ret til at slå personnumre op.
Sagen er nu meldt til både Datatilsynet og politiet, og den rejser et spørgsmål, som rækker langt ud over den enkelte hændelse: hvor sikker er egentlig den infrastruktur, som banker, forsikringsselskaber, sundhedsvæsen og det meste af den offentlige sektor i Danmark bygger videre på hver eneste dag.
Hvad skete der i Det Centrale Personregister?
Ifølge Copenhagen Post opdagede CPR-administrationen den 2. oktober 2026 uregelmæssig aktivitet i systemet. Over den efterfølgende weekend fastslog myndighederne, at en privat virksomhed med lovlig søgeadgang til CPR-registeret havde været udsat for misbrug gennem godt en uge i september. Uvedkommende udnyttede altså ikke en teknisk sårbarhed i selve registeret, men en legitim adgangskanal, der normalt bruges til almindelige, lovlige opslag.
Digitaliseringsministeriet bekræftede samme dag, at de eksponerede oplysninger omfattede navne, adresser og CPR-numre for cirka 8,8 millioner registrerede personer. Virksomhedens adgang blev lukket, så snart hændelsen blev opdaget, men hverken virksomhedens navn eller branche er offentliggjort, mens efterforskningen pågår.
Tidslinjen: fra september til offentliggørelse
De uautoriserede søgninger foregik over cirka ti dage i september 2026. CPR-administrationen bemærkede først den usædvanlige adfærd den 2. oktober, hvorefter der blev brugt en weekend på at kortlægge omfanget. Datatilsynet modtog underretning om hændelsen søndag den 4. oktober, og sagen blev gjort offentligt kendt mandag den 5. oktober via en pressemeddelelse fra ministeriet, gengivet blandt andet af Berlingske.
Forløbet betyder, at der gik godt tre uger fra de første uautoriserede opslag til offentligheden fik besked. GDPR’s artikel 33 kræver som udgangspunkt, at en dataansvarlig underretter tilsynsmyndigheden senest 72 timer efter at være blevet opmærksom på et brud, hvis det indebærer en risiko for borgernes rettigheder. Her gik tiden fra opdagelsen den 2. oktober til anmeldelsen den 4. oktober, altså inden for fristen, selvom de uautoriserede søgninger reelt havde stået på i ugevis forinden uden at blive fanget.
8,8 millioner: hvad dækker tallet reelt over?
Tallet 8,8 millioner er større end Danmarks samlede befolkning på omkring 5,9 millioner. Det skyldes, at CPR-registeret også indeholder personer, der er afgået ved døden eller er udvandret, og som stadig figurerer i systemet. Ministeriet har præciseret, at det eksponerede materiale omfatter både nulevende, afdøde og udvandrede personer.
Personer med adresse- eller navnebeskyttelse, herunder borgere med fortrolig adresse af sikkerhedshensyn, skal ifølge de foreløbige oplysninger ikke have været omfattet af de uautoriserede opslag. Det ændrer dog ikke ved, at hovedparten af alle danskere med et aktivt CPR-nummer nu må regne med, at deres navn, adresse og personnummer har været tilgængeligt for en ukendt tredjepart i en periode på flere uger.
Hvem misbrugte adgangen – og hvorfor er firmaet ikke navngivet?
Det er endnu ikke offentliggjort, hvilken virksomhed der havde den lovlige CPR-adgang, som blev misbrugt. Digitaliseringsminister Christina Egelund har ifølge Copenhagen Post afvist at navngive selskabet, mens efterforskningen kører. Det eneste, der er bekræftet, er at der er tale om en mindre dansk virksomhed med en legitim forretningsmæssig grund til at slå CPR-numre op, for eksempel inden for kreditvurdering, forsikring, inkasso eller lignende sektorer, der rutinemæssigt verificerer identitet. Ingen af disse brancher er dog officielt bekræftet som den konkrete kilde.
Politiet efterforsker sagen, og det er fortsat uklart, om der er tale om stjålne adgangskoder, en kompromitteret medarbejderkonto, en teknisk fejl i virksomhedens egne systemer eller en kombination. Egelund betegnede ifølge ministeriets udmelding sikkerheden omkring virksomhedens adgang som utilstrækkelig.
Historisk kontekst: CPR-registeret siden 1968
Det Centrale Personregister blev oprettet i 1968 og er siden blevet rygraden i stort set al digital identifikation i Danmark, fra skat og sundhedskort til bankkonti og MitID. Registerets alder og centrale placering er netop grunden til, at et brud her vejer tungere end et brud hos en enkelt offentlig myndighed eller virksomhed.
CPR-registeret har tidligere været involveret i en markant hændelse. I 2015 blev oplysninger om over fem millioner danskere ved en fejl leveret til et visumfirma. Den sag handlede om en fejlagtig dataudlevering, altså en administrativ fejl, hvor data blev sendt til en forkert eller for bred modtagerkreds. Bruddet i 2026 er af en anden karakter: her er der tale om et muligt bevidst misbrug af en i øvrigt lovlig adgangskanal, hvilket gør sagen mere alvorlig i vurderingen af, hvor godt CPR-administrationen reelt overvåger brugen af sine egne data.
Sådan sammenlignes bruddet med andre danske datalækager
Danmark har haft flere store databrud i 2026, men ingen i nærheden af denne skala. Tabellen nedenfor sætter CPR-hændelsen i perspektiv i forhold til andre nyere sager, som shattered.io tidligere har dækket.
| Hændelse | År | Antal berørte | Mekanisme |
|---|---|---|---|
| CPR-registret (2026) | 2026 | Ca. 8,8 mio. | Misbrug af virksomheds lovlige CPR-adgang |
| CPR til visumfirma | 2015 | Over 5 mio. | Fejlagtig dataudlevering |
| Motorstyrelsen | 2026 (rapporteret) | Ca. 71.000 | Datalæk over cirka 5 år |
| Region Syddanmark | 2026 | Ca. 23.000 | Sikkerhedsbrud i regionalt system |
| Miljödata (Sverige) | 2026 | Ca. 2,2 mio. | Datalæk, bødelagt af svensk IMY |
Tallene skal læses med forbehold, fordi hændelsernes natur er forskellig: et opslag i et register er ikke nødvendigvis det samme som en fuld dataeksport, og opgørelsesmetoderne varierer fra sag til sag. Men selv med den usikkerhed er CPR-bruddet den klart største enkeltstående eksponering af danske personoplysninger, der er registreret i 2026.
GDPR, Datatilsynet og reglerne for underretning
Sagen falder ind under GDPR’s regler om brud på persondatasikkerheden. Artikel 33 kræver, at en dataansvarlig anmelder et risikofyldt brud til tilsynsmyndigheden uden unødig forsinkelse og om muligt inden for 72 timer efter at være blevet bekendt med det. Artikel 34 kræver desuden, at de berørte personer selv underrettes, hvis bruddet sandsynligvis medfører høj risiko for deres rettigheder, medmindre data for eksempel var effektivt krypteret, eller en offentlig meddelelse vurderes lige så effektiv som individuel kontakt.
Datatilsynet skal nu vurdere, om CPR-administrationen og den involverede virksomhed havde tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger efter GDPR’s artikel 32, som stiller krav om sikkerhed svarende til risikoen. Der findes ingen fast offentlig frist for, hvornår en sådan undersøgelse skal være afsluttet. Komplekse sager med flere involverede parter og en sideløbende politiefterforskning kan typisk tage flere måneder, før Datatilsynet når frem til en konklusion.
Hvad kan en bøde komme til at koste?
GDPR’s øverste strafferamme er en bøde på op til 20 millioner euro eller 4 procent af en virksomheds samlede globale årsomsætning, afhængigt af hvad der er højest. Det er dog et loft, ikke en automatisk straf, og den endelige bøde afhænger blandt andet af overtrædelsens varighed, om der var tale om forsæt eller uagtsomhed, antallet af berørte personer og hvor godt den ansvarlige part har samarbejdet med myndighederne bagefter.
Til sammenligning har europæiske tilsynsmyndigheder i 2026 uddelt en række markante GDPR-bøder, som giver et billede af, hvor hårdt brud på persondatasikkerhed kan straffes, når sagerne er alvorlige nok.
| Sag | Bøde | Land/myndighed |
|---|---|---|
| Uber | 825 mio. euro | Hollandsk tilsyn |
| 403 mio. euro | EU-tilsyn | |
| Miljödata | 1,8 mio. SEK | IMY, Sverige |
| CNIL mod fransk hospital | 500.000 euro | CNIL, Frankrig |
| HSE | 645.000 euro | Irland |
| Vodafone | 400.000 euro | Tysk tilsyn |
| GDPR-maksimum | 20 mio. euro eller 4% af global omsætning | EU-niveau |
Det er endnu for tidligt at sige, om CPR-sagen ender med en bøde, og i givet fald til hvem. En vigtig juridisk detalje er, at det formentlig ikke er CPR-administrationen selv, der bliver holdt ansvarlig for selve misbruget, men snarere spørgsmålet om, hvorvidt adgangskontrollen og overvågningen af virksomhedens opslag var god nok til at opdage et uregelmæssigt mønster hurtigere end de tre uger, det tog her.
Sagens juridiske kompleksitet øges af, at der potentielt er to ansvarlige parter at vurdere hver for sig: CPR-administrationen, som ejer og drifter selve registeret, og den virksomhed, hvis adgang blev misbrugt. Hvis det viser sig, at virksomheden selv har haft utilstrækkelig beskyttelse af sine login-oplysninger, for eksempel svagt kodeordshygiejne eller manglende to-faktor-godkendelse, kan ansvaret i højere grad placeres hos virksomheden end hos staten. Omvendt vil en manglende evne hos CPR-administrationen til at opdage et usædvanligt opslagsmønster i tide tale for et selvstændigt ansvar på myndighedssiden.
Hvordan beskytter andre lande deres befolkningsregistre?
Danmark er ikke det eneste land, der bygger sin digitale forvaltning op omkring et centralt personnummer. Sverige har sit personnummer, Norge sit fødselsnummer, og Estland er kendt for sit vidtrækkende e-ID-system. Fælles for disse systemer er, at selve nummeret i sig selv ikke er hemmeligt, det optræder på alt fra lønsedler til lægejournaler, men adgangen til at slå det op i det bagvedliggende register er normalt strengt afgrænset og logget.
Den danske sag illustrerer en svaghed, der ikke er unik for Danmark: når en ekstern part først har fået en lovlig, autentificeret adgang til et register, afhænger sikkerheden i praksis af, hvor godt myndigheden overvåger, hvordan den adgang bliver brugt bagefter. Et stærkt login stopper ikke en konto, der pludselig begynder at slå tusindvis af numre op i døgndrift, medmindre der er automatisk anomalidetektion, der reagerer på netop den slags mønster. Sagen om Miljödata i Sverige tidligere i 2026, hvor omkring 2,2 millioner svenskere blev ramt, peger på samme grundlæggende problem: det er ofte ikke selve kryptering eller login-sikkerheden, der svigter, men overvågningen af adfærd efter login.
Markedets reaktion: banker, forsikring og MitID
Hverken banker, forsikringsselskaber eller MitID-udbyderen har på nuværende tidspunkt offentliggjort konkrete driftsændringer som følge af bruddet. Det er vigtigt at holde to ting adskilt: eksponering af CPR-oplysninger er ikke det samme som kompromittering af selve MitID-legitimationen. Et lækket CPR-nummer giver ikke i sig selv adgang til en borgers MitID-login, men det gør det lettere for svindlere at udgive sig for at være nogen, de ikke er, i kontakt med banker og myndigheder.
Den mest sandsynlige konsekvens for virksomheder, der er afhængige af CPR-numre i deres daglige drift, bliver skærpet identitetskontrol ved telefonisk kundeservice, ændringer af kontaktoplysninger og større kreditaftaler. Flere brancher må forvente stigende omkostninger til overvågning og svindelbekæmpelse i månederne efter en sag af denne størrelse.
Risikoen for den enkelte borger: phishing og identitetssvindel
En cybersikkerhedsekspert har ifølge Copenhagen Post advaret om, at de lækkede oplysninger kan gøre phishingforsøg markant mere overbevisende. Når en svindler kender både navn, adresse og CPR-nummer, bliver det langt sværere for den enkelte at gennemskue falske opkald fra “banken” eller “det offentlige”, fordi de tre datapunkter normalt bruges som en form for identitetsbekræftelse i telefonisk kundeservice.
Den konkrete risiko er dermed ikke først og fremmest, at nogen kan logge ind som en anden dansker, men at svindlere kan bruge de ægte oplysninger til at bygge mere troværdige angreb: falske fakturaer, falske opkald fra “Skattestyrelsen” eller målrettede forsøg på at få folk til selv at udlevere koder eller godkende overførsler.
Politiske reaktioner og den videre undersøgelse
Digitaliseringsminister Christina Egelund har kaldt sagen alvorlig og peget på, at sikkerheden omkring den misbrugte adgang var utilstrækkelig. Udover politiets efterforskning af selve misbruget venter nu en længere teknisk og juridisk proces, hvor Datatilsynet skal afklare, hvem der bærer ansvaret, og om CPR-administrationens kontrol med virksomheders adgang til registeret har været god nok i praksis, ikke kun på papiret.
Sagen kommer samtidig med, at Datatilsynet allerede i 2026 har indført en ny metode til at vurdere GDPR-bøder, og at danske myndigheder ifølge tidligere dækning har behandlet 441 sager under den nye model. CPR-bruddet bliver dermed en tidlig og meget synlig test af, hvor hårdt den nye tilgang reelt bliver brugt, når det er en central del af statens egen infrastruktur, der er i søgelyset.
Sådan beskytter du dig selv lige nu
Da CPR-numre ikke kan skiftes ud på samme måde som et kodeord, er den vigtigste beskyttelse i praksis øget årvågenhed. Vær ekstra skeptisk over for uopfordrede opkald eller sms’er, der beder om bekræftelse af personnumre, kontooplysninger eller MitID-godkendelser, selv hvis afsenderen kan nævne dit korrekte navn og adresse. Kontakt i stedet din bank eller myndighed direkte via et nummer, du selv har slået op.
Tjek desuden, om din bank eller dit forsikringsselskab tilbyder overvågning af, om dit CPR-nummer bruges til at oprette nye konti, abonnementer eller lån i dit navn. Hold også øje med breve om kreditansøgninger eller abonnementer, du ikke selv har oprettet, da det kan være et tidligt tegn på identitetsmisbrug.
Hvad sker der nu: fem forudsigelser
- Virksomhedens navn bliver offentligt: Når politiets efterforskning er længere fremme, er det sandsynligt, at den involverede virksomheds identitet og branche bliver kendt, enten via medierne eller en afgørelse fra Datatilsynet.
- Skærpet adgangskontrol til CPR-registeret: CPR-administrationen må forventes at indføre strengere overvågning og hyppigere stikprøvekontrol af virksomheders opslagsmønstre for at undgå lignende sager.
- Politisk høring i Folketinget: Sagens omfang gør det sandsynligt, at Digitaliseringsministeren bliver kaldt i samråd om, hvordan kontrollen med CPR-adgang har kunnet svigte i flere uger uden at blive opdaget.
- Stigning i målrettede phishingforsøg: I takt med at lækkede data cirkulerer, må danske banker og myndigheder forvente en stigning i mere troværdige svindelforsøg i de kommende måneder.
- Datatilsynets afgørelse trækker ud: Givet sagens kompleksitet og den sideløbende politiefterforskning er det usandsynligt, at der kommer en endelig GDPR-afgørelse før tidligst foråret 2027.
Ofte stillede spørgsmål om CPR-bruddet
Er mit CPR-nummer blandt de lækkede oplysninger?
Det er sandsynligt, hvis du har et registreret CPR-nummer i Danmark og ikke har adresse- eller navnebeskyttelse, da bruddet dækker omkring 8,8 millioner poster i registeret. Myndighederne har ikke offentliggjort en metode til individuelt at tjekke, om netop dit nummer var blandt dem, der blev slået op.
Er mit MitID i fare efter CPR-bruddet?
Ikke direkte. Et lækket CPR-nummer giver ikke i sig selv adgang til din MitID-login, men det gør det lettere for svindlere at fremstille troværdige phishingforsøg, hvor de udgiver sig for at være banken eller en myndighed.
Hvem står bag misbruget af CPR-adgangen?
Det er endnu ikke offentliggjort. Politiet efterforsker sagen, og Digitaliseringsministeriet har bekræftet, at det var en lille dansk virksomheds lovlige adgang til CPR-registeret, der blev misbrugt, uden at navngive hverken virksomheden eller gerningspersonerne.
Hvorfor er 8,8 millioner flere end Danmarks befolkning?
Fordi CPR-registeret, ud over de omkring 5,9 millioner nulevende danskere, også indeholder oplysninger om personer, der er afgået ved døden eller er udvandret, og som stadig er registreret i systemet.
Kan jeg få erstatning, hvis mine data er blevet misbrugt?
Det afhænger af, om du kan dokumentere et konkret tab som følge af bruddet, og af Datatilsynets endelige vurdering af ansvarsforholdene. GDPR giver i princippet mulighed for erstatning ved påviselig skade, men det kræver typisk en selvstændig sag eller et gruppesøgsmål.
Hvordan adskiller denne sag sig fra CPR-hændelsen i 2015?
I 2015 blev data på over fem millioner danskere sendt til et visumfirma ved en administrativ fejl. Bruddet i 2026 handler derimod om muligt bevidst misbrug af en i forvejen lovlig adgangskanal over en periode på cirka ti dage, hvilket gør det til en mere alvorlig sag om kontrol og overvågning.
Kan virksomheden bag misbruget få en GDPR-bøde?
Det er muligt. GDPR’s maksimale bøde er op til 20 millioner euro eller 4 procent af global årsomsætning, men den konkrete bøde, hvis en sådan kommer, afhænger af Datatilsynets vurdering af ansvar, skade og samarbejde med myndighederne.
Hvad gør jeg, hvis jeg modtager mistænkelige opkald efter bruddet?
Læg på og kontakt din bank eller den relevante myndighed direkte via et nummer, du selv finder frem til, i stedet for at bruge numre eller links fra det mistænkelige opkald eller den mistænkelige besked.
