Denemarken laat zien: één digitale identiteit maakt miljoenen mensen kwetsbaar

Denemarken geldt al jaren als een van de meest gedigitaliseerde landen van Europa. Maar juist daar wordt opnieuw zichtbaar wat de keerzijde van vergaande digitalisering kan zijn: wanneer persoonsgegevens eenmaal centraal zijn opgeslagen en breed toegankelijk zijn gemaakt, kan misbruik een enorme schaal bereiken.

Op 5 oktober maakte de Deense overheid bekend dat onbevoegden toegang hebben gekregen tot gegevens van ongeveer 8,8 miljoen geregistreerde personen in het Deense Centrale Personenregister (CPR). Dat register bevat namen, adressen en persoonlijke CPR-nummers. Het gaat niet alleen om inwoners van Denemarken: het register bevat ongeveer 11 miljoen registraties, waaronder ook overleden personen en mensen die naar het buitenland zijn verhuisd.

Hoe meer persoonsgegevens in één digitaal systeem worden verzameld en hoe meer partijen daar toegang toe krijgen, hoe groter de gevolgen wanneer één toegangspoort wordt misbruikt.

Geen klassieke hack

Volgens de Deense overheid is het CPR-register zelf niet simpelweg opengebroken. Onbevoegden hebben gebruikgemaakt van de legitieme toegang van een private onderneming tot het register. Die onderneming beschikte over toegangsrechten om gegevens uit het CPR op te vragen. Die toegang is vervolgens misbruikt.

De Deense toezichthouder Datatilsynet meldt dat er een zeer groot aantal geautomatiseerde zoekopdrachten naar het CPR-systeem heeft plaatsgevonden, gericht op het identificeren van geldige CPR-nummers. Het onderzoek moet nog uitwijzen wat er precies is gebeurd en wie verantwoordelijk is.

Daarmee ontstaat een probleem dat verder gaat dan de beveiliging van één bedrijf.

Het gaat om het ontwerp van een digitaal systeem waarin gevoelige gegevens centraal beschikbaar zijn en vervolgens via andere organisaties kunnen worden benaderd.

Efficiëntie heeft ook een keerzijde

Digitalisering wordt vaak gepresenteerd als een manier om de overheid efficiënter, sneller en gebruiksvriendelijker te maken. Eén uniek nummer maakt het mogelijk om gegevens betrouwbaar aan een persoon te koppelen. Digitale systemen kunnen vervolgens gegevens uit verschillende bronnen met elkaar verbinden.

Dat heeft duidelijke voordelen.

Maar dezelfde eigenschappen creëren ook risico’s.

Een naam en adres zijn op zichzelf al persoonsgegevens. Een uniek persoonsnummer maakt het mogelijk om iemand veel nauwkeuriger te identificeren en gegevens aan die persoon te koppelen. Wanneer zulke gegevens op grote schaal beschikbaar zijn, verandert een beveiligingsincident daardoor al snel in een maatschappelijk probleem.

Je kunt immers een wachtwoord veranderen.

Een persoonsnummer niet.

De digitale identiteit als kwetsbaar punt

Dat is een belangrijke les uit de Deense zaak.

Steeds meer maatschappelijke processen zijn afhankelijk van digitale identificatie. Overheden, banken, zorgverleners, verzekeraars en bedrijven moeten weten met wie zij te maken hebben. Dat leidt tot steeds uitgebreidere systemen waarin één digitale identiteit een centrale rol krijgt.

Maar juist daardoor kan die identiteit een aantrekkelijk doelwit worden.

Wanneer gegevens eenmaal zijn buitgemaakt, verdwijnen ze bovendien niet eenvoudig meer. Een gelekt persoonsnummer kan niet worden ingetrokken zoals een wachtwoord. Een adres kan veranderen, maar de koppeling tussen persoonsgegevens en identiteit kan jarenlang waardevol blijven voor fraude, misleiding en gerichte phishing.

De Deense overheid waarschuwt inmiddels zelf dat mensen extra alert moeten zijn op telefoontjes en e-mails. Een aanvaller kan juist geloofwaardiger overkomen wanneer hij beschikt over correcte persoonsgegevens.

Wie heeft er eigenlijk toegang?

Daarmee komt ook een fundamentelere vraag op tafel.

Hoeveel organisaties hebben toegang tot persoonsgegevens van burgers, waarom hebben zij die toegang en hoe wordt gecontroleerd of die toegang daadwerkelijk wordt gebruikt waarvoor zij bedoeld is?

In Denemarken kunnen private organisaties onder voorwaarden toegang krijgen tot gegevens uit het CPR. De recente gebeurtenis laat zien dat het beveiligen van een centraal register daarom niet voldoende is. Ook alle toegangswegen ernaartoe moeten worden beveiligd en voortdurend worden gecontroleerd.

Dat is geen eenvoudige technische opgave.

Hoe meer organisaties, systemen en koppelingen onderdeel worden van een digitale infrastructuur, hoe groter het aantal mogelijke zwakke plekken wordt.

En daar zit een ongemakkelijke paradox.

Om digitale dienstverlening eenvoudiger te maken, worden persoonsgegevens steeds verder geconcentreerd en gekoppeld. Maar juist die concentratie maakt de gevolgen van misbruik groter.

Ook voor Nederland een waarschuwing

Dit is geen reden om digitalisering als geheel af te wijzen. Digitale overheidsdiensten kunnen mensen veel gemak bieden.

Maar gemak mag niet het enige criterium zijn.

Bij iedere uitbreiding van digitale identificatie en gegevensuitwisseling zou ook de vraag moeten worden gesteld: wat gebeurt er wanneer deze gegevens ooit in verkeerde handen vallen?

Niet alleen door een klassieke hack van een overheidsserver, maar ook door misbruik van een legitieme account, een leverancier, een API, een medewerker of een andere organisatie die toegang heeft gekregen.

De Deense overheid heeft de toegang van de betrokken onderneming stopgezet en kondigt een uitgebreide beveiligingscontrole van het CPR-systeem aan. Het onderzoek loopt nog en het is op dit moment niet bekend wie achter de onbevoegde toegang zit.

Maar één conclusie kunnen we nu al trekken.

Hoe meer onze samenleving afhankelijk wordt van digitale identiteiten, hoe belangrijker het wordt om niet alleen te vragen wat technologie mogelijk maakt, maar ook hoeveel macht, informatie en kwetsbaarheid we ermee concentreren.

Digitale vooruitgang hoort de mens te dienen.

Niet andersom.