Københavns Universitet ramt af omfattende hackerangreb: Personoplysninger om 525.000 mennesker kompromitteret

Københavns Universitet (KU) er blevet ramt af et alvorligt cyberangreb, hvor uvedkommende har skaffet sig adgang til en database med personoplysninger om cirka 525.000 mennesker. Blandt oplysningerne findes CPR-numre, fulde navne, private telefonnumre og e-mailadresser. Det skriver ICARE.DK på baggrund af information fra ku.dk – i skrivende stund kører hjemmesiden.

Angrebet blev opdaget tirsdag den 20. oktober 2026 og efterfølgende bragt under kontrol. Universitetet undersøger fortsat, hvilke oplysninger hackerne konkret har haft adgang til, og hvilke konsekvenser sikkerhedsbruddet kan få.

Hændelsen er anmeldt til Datatilsynet, mens øvrige relevante myndigheder er blevet orienteret. Sagen kommer efter flere alvorlige cyberhændelser mod danske universiteter og offentlige datasystemer.

Personoplysninger om 525.000 personer kan være berørt

Ifølge oplysningerne fra Københavns Universitet har angriberne opnået adgang til en database, som indeholder identificerbare personoplysninger.

Databasen omfatter blandt andet:

• Fulde navne
• CPR-numre
• Arbejdstelefonnumre
• Private telefonnumre
• Private e-mailadresser

Der skulle være tale om elever og ansatte. Det er endnu ikke endeligt fastslået, hvor mange af de registrerede personers oplysninger der faktisk er blevet kopieret eller hentet ud af systemet.

Der er således en væsentlig juridisk og teknisk forskel mellem, at uvedkommende har opnået adgang til en database, og at samtlige oplysninger i databasen dokumenterbart er blevet eksfiltreret. KU arbejder fortsat med at fastlægge hændelsesforløbet og det præcise omfang.

Københavns Universitet har tidligere været ramt af omfattende sikkerhedsbrud

Københavns Universitets egne oplysninger viser, at institutionen tidligere har været involveret i flere alvorlige brud på persondatasikkerheden.

Sikkerhedsbrud i maj 2026 ramte universitetets undervisningsplatform Absalon

I maj 2026 blev KU berørt af et internationalt hackerangreb mod den amerikanske it-leverandør Instructure, der leverer undervisningsplatformen Canvas, som universitetet anvender under navnet Absalon.

Ifølge universitetets offentliggjorte redegørelse kunne angrebet omfatte kursusoplysninger om op til 160.000 nuværende og tidligere studerende samt i værste fald 70.000 nuværende og tidligere undervisere og administratorer.

Universitetet oplyste dengang, at følgende oplysninger kunne være kompromitteret:

• Navne og KU-e-mailadresser
• Beskeder mellem studerende og undervisere
• Kursusrelaterede oplysninger
• Kommunikation mellem brugere af undervisningsplatformen

KU understregede, at CPR-numre og adgangskoder ikke som udgangspunkt var blevet tilgået gennem Absalon-systemet. CPR-numre, som brugere eventuelt selv havde skrevet i beskeder, kunne dog være omfattet. Universitetet anmeldte hændelsen til Datatilsynet den 5. maj 2026.

KU oplyste desuden, at en hackergruppe havde påtaget sig ansvaret for angrebet mod leverandøren, og at gruppen hævdede at have fået adgang til oplysninger om 275 millioner brugere på tværs af cirka 8.800 organisationer. Dette var hackergruppens egne påstande og ikke dokumenterede tal for faktisk stjålne oplysninger. Det er ikke dokumenteret, at angrebet i oktober har forbindelse til sikkerhedsbruddet i maj.

Personoplysninger om 310.000 personer var tidligere tilgængelige for uvedkommende ansatte

Den 6. juni 2024 offentliggjorde KU oplysninger om en anden væsentlig sikkerhedshændelse. Her havde grupper af ansatte haft mulighed for at få adgang til personoplysninger, som de ikke burde have været autoriseret til at se. Ifølge universitetets egen redegørelse omfattede forholdet cirka 310.000 personer og blandt andet CPR-numre, private adresser, oplysninger vedrørende lønudbetalinger og ansættelsesforhold. Universitetet oplyste samtidig, at der ikke var fundet tegn på misbrug af oplysningerne, og at adgangen var begrænset til ansatte med tilknytning til KU. Denne hændelse var således ikke et eksternt hackerangreb som det aktuelle, men et spørgsmål om utilstrækkelig intern adgangsbegrænsning.

Flere danske universiteter ramt af cyberangreb i oktober 2026

• Angrebet på KU er ikke en isoleret hændelse. Den 2. oktober 2026 oplyste Danmarks Tekniske Universitet (DTU), at hackere havde opnået adgang til universitetets identitets- og rettighedsstyringssystem, DTUBasen. Databasen indeholdt oplysninger om cirka 200.000 nuværende og tidligere brugere. Angriberne havde hentet en større mængde data, men det præcise antal berørte personer kunne ikke fastslås.
• Den 21. oktober 2026 offentliggjorde Aarhus Universitet (AU) oplysninger om et cyberangreb, hvor en hacker havde fået adgang til en server. Angriberen havde forsøgt at få adgang til og ændre adgangskoder for omkring 1.700 brugere, men ifølge universitetet lykkedes disse forsøg ikke.

På offentliggørelsestidspunktet havde AU ikke konstateret læk af fortrolige eller følsomme oplysninger. Der er ikke offentliggjort dokumentation for, at de forskellige angreb er udført af samme gerningsmænd.

GDPR: Hvilket ansvar har Københavns Universitet?

Et cyberangreb, der indebærer uautoriseret adgang til CPR-numre og andre fortrolige personoplysninger, aktualiserer en række juridiske forpligtelser efter Europa-Parlamentets og Rådets forordning (EU) 2016/679, databeskyttelsesforordningen (GDPR).

Særligt følgende bestemmelser er relevante:

Bestemmelse	Juridisk betydning
GDPR artikel 5, stk. 1, litra f	Krav om integritet og fortrolighed ved behandling af personoplysninger
GDPR artikel 24	Den dataansvarliges ansvar for passende foranstaltninger
GDPR artikel 32	Krav om passende tekniske og organisatoriske sikkerhedsforanstaltninger
GDPR artikel 33	Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden
GDPR artikel 34	Underretning af berørte personer, når bruddet sandsynligvis indebærer høj risiko
GDPR artikel 82	Mulighed for erstatning ved dokumenteret materiel eller immateriel skade

Efter GDPR artikel 33 skal et anmeldelsespligtigt sikkerhedsbrud indberettes uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet.

Det er vigtigt at understrege, at et cyberangreb ikke automatisk indebærer, at den dataansvarlige har overtrådt GDPR. Det afhænger blandt andet af, om de tekniske og organisatoriske sikkerhedsforanstaltninger har været passende i forhold til risikoen. Datatilsynet kan undersøge, om universitetets adgangsstyring, sikkerhedsforanstaltninger, risikovurderinger og håndtering af bruddet har opfyldt forordningens krav.

Skal de 525.000 personer underrettes individuelt?

Efter GDPR artikel 34 skal berørte personer som udgangspunkt underrettes uden unødig forsinkelse, hvis sikkerhedsbruddet sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder. En sådan vurdering afhænger blandt andet af, hvilke oplysninger der er kompromitteret, om oplysningerne kan anvendes til identitetssvindel, og hvilke begrænsende foranstaltninger universitetet har gennemført. Det er ikke i sig selv tilstrækkeligt at fastslå, at databasen indeholder CPR-numre. Den konkrete risiko skal vurderes, herunder om oplysningerne er blevet kopieret, og hvordan de kan misbruges. Datatilsynet understreger, at vurderingen også skal tage hensyn til mulige fremtidige konsekvenser af sikkerhedsbruddet.

Hvad bør de berørte personer gøre?

Personer, som har eller tidligere har haft tilknytning til Københavns Universitet, bør være særligt opmærksomme på usædvanlige henvendelser. Kombinationen af navn, CPR-nummer, private kontaktoplysninger og oplysninger om uddannelsesmæssig eller arbejdsmæssig tilknytning kan gøre falske henvendelser mere overbevisende. Datatilsynet har i oktober 2026 fremhævet, at kendskab til personoplysninger ikke dokumenterer, at en afsender er legitim. Berørte personer kan blandt andet overveje at oprette en kreditadvarsel i CPR-registeret, kontrollere usædvanlige henvendelser fra banker og myndigheder og undlade at godkende uventede MitID-anmodninger. Det er ikke nødvendigvis påkrævet at skifte alle adgangskoder, medmindre der er grund til at antage, at adgangsoplysninger også er kompromitteret.

Myndighederne følger udviklingen

Ministeriet for Samfundssikkerhed og Beredskab og Styrelsen for Samfundssikkerhed har ifølge Ritzau oplyst, at de følger hændelserne ved Københavns Universitet og Aarhus Universitet. Samtidig har Styrelsen for Samfundssikkerhed i september 2026 hævet trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj. Denne generelle trusselsvurdering dokumenterer dog ikke, hvem der står bag cyberangrebet mod Københavns Universitet. Det er endnu uafklaret, om oplysningerne fra KU’s database er blevet offentliggjort, videresolgt eller anvendt til andre kriminelle formål.

Her til morgen, ligger der ikke noget på Darknet. Universitetets videre undersøgelser og Datatilsynets eventuelle behandling af sagen bliver derfor afgørende for at fastlægge sikkerhedsbruddets konsekvenser.

Kilde: Københavns Universitet, Datatilsynet, Styrelsen for Samfundssikkerhed, Jesper Christiansen, ICARE.DK
Fotokredit: Københavns Universitet
Personer/Firmaer/Emner/#: #KøbenhavnsUniversitet, #KU, #Cyberangreb, #Hackerangreb, #Databrud, #Persondata, #CPR, #GDPR, #Datatilsynet, #Datasikkerhed, #Identitetstyveri, #AarhusUniversitet, #DTU, #Cybersikkerhed
Copyrights: Ⓒ 2026 Copyright by ICARE.DK – kan deles ved aktivt link til denne artikel.