Die Universität Kopenhagen untersucht eine schwerwiegende Cybersicherheitsverletzung, nachdem Hacker auf persönliche Informationen von etwa 525.000 Personen zugegriffen haben. Der Vorfall hat außerdem Tausende von Zugangscodes auf dem Campus kompromittiert, was die dänische Institution zwang, vorübergehende Sicherheitsbeschränkungen einzuführen.
Der Einbruch wurde am 20. Oktober 2026 entdeckt, als die Universität unbefugten Zugriff auf eine ihrer Testumgebungen entdeckte. Obwohl solche Systeme im Allgemeinen für Entwicklung und Tests und nicht für den Alltag genutzt werden, enthielt die kompromittierte Umgebung eine beträchtliche Sammlung persönlicher Datensätze.
Laut der Universität enthielt die offengelegte Datenbank vollständige Namen, dänische nationale Identifikationsnummern, sogenannte CPR-Nummern, Arbeits- und Privattelefonnummern sowie private E-Mail-Adressen. Die Ermittler ermitteln noch, auf welche Unterlagen zugegriffen wurden und wie groß die Exposition ist.
Die Universität gab die Sicherheitslücke am 23. Oktober öffentlich bekannt und erklärte, dass der Zugang der Angreifer blockiert worden sei. Zu diesem Zeitpunkt berichteten die Behörden von keinerlei Beweisen dafür, dass der Einbruch Systeme zur Unterstützung normaler akademischer Aktivitäten beeinträchtigt oder den Universitätsbetrieb gestört habe.
Weitere Untersuchungen ergaben ein weiteres Sicherheitsproblem bei etwa 20.000 Studierenden und Mitarbeitern. Auch die PIN-Codes ihrer Ausweise waren kompromittiert worden, was potenzielle Risiken für Gebäude und durch elektronische Zugangskontrollen geschützte Bereiche darstellte.
Vorsorglich setzte die Universität vorübergehend den physischen Zugang zu ausgewählten kritischen Orten aus. Neue PIN-Codes wurden anschließend den betroffenen Karteninhabern ausgestellt, sodass die eingeschränkten Einrichtungen wieder öffnen konnten.
Die Institution erklärte, dass sie die Bekanntgabe der kompromittierten Zugangscodes verzögert habe, bis Ersatzcodes verteilt seien. Dies sollte die Möglichkeit verringern, dass unbefugte Personen die Informationen ausnutzen, bevor die Schutzmaßnahmen getroffen wurden.
Die Offenlegung von CPR-Nummern stellt ein besonderes Problem dar, da diese Kennungen in Dänemark weit verbreitet für administrative und identitätsbezogene Zwecke verwendet werden. In Kombination mit Kontaktinformationen könnten solche Aufzeichnungen Kriminellen helfen, überzeugende Phishing-Nachrichten zu erstellen oder sich als vertrauenswürdige Organisationen auszugeben.
Die Universität Kopenhagen meldete den Vorfall der dänischen Datenschutzbehörde und erkannte ihre Verpflichtungen gemäß der Datenschutzverordnung der Europäischen Union an. Sie hat zudem weitere Aktualisierungen zugesagt, während die Ermittler das Ausmaß des Verstoßes ermitteln.