En kunde ringer og vil have ændret sit kontonummer. Bogholderen beder om CPR-nummer og adresse, får de rigtige svar og retter det. I oktober 2026 oplyste myndighederne, at uvedkommende havde skaffet sig adgang til navne, adresser og CPR-numre på en meget stor mængde borgere gennem CPR-systemet. Styrelsen for Samfundssikkerhed opfordrer derfor virksomheder til at gennemgå, hvordan de kontrollerer folks identitet. Følsomme oplysninger og ændringer med økonomisk betydning bør ikke afhænge af oplysninger, der kan være lækket. Det er en opgave, ledelsen kan løse på et par møder, og den kræver sjældent et nyt system.
Det, styrelsen siger
Hovedbudskabet er, at CPR-nummer, navn og adresse ikke bør stå alene, når I bekræfter en persons identitet. Som udgangspunkt bør kontrollen bygge på andet end oplysninger fra CPR og oplysninger om tidligere kontakter mellem jer og personen. Det gælder bl.a., når der deles følsomme personoplysninger, og når noget kan få økonomiske følger for personen.
Styrelsen peger på seks måder:
- Login. Henvis til selvbetjening med fx MitID.
- Engangskode. Send en kode til et telefonnummer eller en mailadresse, I allerede har registreret.
- Kontrolspørgsmål. Spørg om noget, der ikke alene bygger på oplysninger, som kan være lækket, og som hører til jeres forhold til kunden, fx kundenummer, aftalenummer eller seneste fakturanummer.
- Ring tilbage. Brug det nummer, I har registreret, og ikke det, der er oplyst i henvendelsen.
- Fremmøde. Bed om legitimation ved særlige ændringer af økonomisk eller sikkerhedsmæssig karakter.
- Manuel kontrol eller ventetid. Indfør en ekstra kontrol eller en karensperiode ved ændringer med økonomisk eller sikkerhedsmæssig betydning. En karensperiode er en ventetid, før ændringen træder i kraft.
Anbefalingerne er skrevet til myndigheder, organisationer og virksomheder. De er opfordringer, så det er jer, der vælger, hvad der passer. Et par af dem kræver lidt mere, end man skulle tro, for en engangskode til en registreret mail hjælper ikke, hvis den samme person lige har fået rettet mailadressen.
Find de steder, hvor det gælder
Sæt kundeservice, bogholderi og den, der passer personalet, sammen i en time. Skriv ned, hvornår nogen uden for huset kan få noget udleveret eller ændret ud fra det, de oplyser. Typiske steder er disse:
- Ændring af kontonummer, adresse, mail eller telefonnummer på en kunde.
- Udlevering af sagsakter, kontoudtog, journaler eller faktura.
- Nulstilling af adgangskode til en kundeportal.
- Ændring af kontonummer til løn, når en medarbejder skriver eller ringer.
- Tilbagebetaling eller kreditnota til en anden konto end den oprindelige.
- Opsigelse eller overdragelse af en aftale.
Medarbejderne og lønnen hører med, selv om styrelsen skriver om borgere. Den tidligere kollega eller svindleren, der kender navn og adresse, kan lige så godt ringe til bogholderiet.
Tre niveauer er nok
Vores forslag er en enkel opdeling, som alle kan huske, og som passer til en side i kundeservicens vejledning.
Almindeligt. Spørgsmål om åbningstider, levering og offentlige oplysninger. Ingen kontrol ud over det sædvanlige.
Fortroligt. Oplysninger om kundens aftale, sag eller konto. Her bruges kontrolspørgsmål fra jeres eget forhold til kunden eller login.
Ændring med følger. Kontonummer, kontaktoplysninger, adgang, udbetaling. Her ringer I tilbage til det registrerede nummer, eller I sender en engangskode, og I lader en kollega se ændringen, før den gælder. Giv kunden besked på den gamle adresse om, at noget er ændret.
Selve systemerne kan hjælpe. Spørg leverandøren af kundesystem og økonomisystem, om ændringer af bankoplysninger logges, og om to personer kan kræves. Hvem der må rette i kundekortet, hører under stamdata, og hvem der har rettigheder, under administratoradgange. Reglerne for jeres egne betalinger til leverandører ligger et andet sted, se direktørsvindel og betalinger.
Fra 1. januar 2028 skal registrerede bogføringssystemer desuden kræve MitID, når bankoplysninger ændres, se bilag, der ikke kan slettes. Det dækker jeres egen virksomheds data i systemet og erstatter ikke kontrollen af kunderne.
Kunden skal kunne følge med
Skærpet kontrol kan føles besværlig. Forklar det kort på hjemmesiden og i svarene: “Vi ringer tilbage på det nummer, vi har, når I vil ændre kontonummer.” Sig det, før kunden spørger, så er kontrollen en del af servicen.
Træn også det øjeblik, hvor kontrollen ikke kan gennemføres. En person, der er presset eller vred, skal have samme svar som alle andre, og en medarbejder skal kunne sige nej uden at frygte for det. Skriv, hvem de kan sende sagen videre til.
Et tænkt eksempel: en ejendomsadministration med 18 ansatte får ofte opkald om ændring af konto til depositum. Indtil nu har navn og adresse været nok. Ledelsen indfører, at ændringer kun sker efter opringning til det registrerede nummer eller via selvbetjeningen, og at to personer ser dem. En enkelt lejer klager over det ekstra opkald, og resten siger ingenting.
Det gør I nu
Hold mødet denne måned. Skriv listen over steder, placer dem i de tre niveauer, og giv hver af dem en metode. Læg vejledningen, hvor kundeservice arbejder, og fjern CPR-nummeret som kontrolspørgsmål i manuskripter og skabeloner. Se også efter, hvor CPR-numre står i systemer og mails, for mange kan undvære dem. Ser I tegn på misbrug, så tag det med til advokat, og brug jeres beredskab.
Det skal I lade være med
- At stille nye spørgsmål, der kan slås op · fødselsdato og adresse giver ingen ekstra sikkerhed.
- At ringe tilbage på det nummer, personen lige har oplyst · brug det, I havde i forvejen.
- At lade travlhed være en undtagelse · skriv, hvad der gælder, når telefonen ringer konstant.
Det skal I kræve af den eksterne
- ☐ En liste over steder, hvor oplysninger udleveres eller ændres.
- ☐ Tre niveauer med en metode til hvert.
- ☐ Svar fra leverandørerne om logning og godkendelse af ændringer.
- ☐ En vejledning på en side til kundeservice og bogholderi.
- ☐ Besked til kunderne om, hvorfor kontrollen er ændret.
Kilder
- Styrelsen for Samfundssikkerhed: Myndigheder, organisationer og virksomheder bør supplere identitetskontrol, 6. oktober 2026.
- Styrelsen for Samfundssikkerhed: Uvedkommende har fået adgang til borgeres CPR-oplysninger, 5. oktober 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem må ringe til IT-leverandøren og bestille? · IT i ejendomsadministration
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
