Myndighedernes råd er klart. På sikkerdigital.dk, som drives af Styrelsen for Samfundssikkerhed, står det, at man som udgangspunkt aldrig bør betale løsesummen ved et ransomwareangreb. Ransomware er skadelig software, der gør data og systemer utilgængelige, typisk ved kryptering, hvorefter angriberne kræver betaling. Spørgsmålet om at betale kommer alligevel op under et angreb, fordi presset er stort og tiden kort. Derfor bør ledelsen tage en principbeslutning, mens der er ro, og forberede de alternativer, myndighederne peger på: backup, anmeldelse til politiet og hjælp udefra. Teksten gengiver myndighedernes udsagn og er ikke juridisk rådgivning.
Myndighedernes begrundelse
Sikkerdigital.dk giver tre grunde til ikke at betale:
- En betaling bekræfter, at ransomwareangreb virker, og at kriminaliteten kan betale sig.
- Der er ingen garanti for, at virksomheden får de rigtige nøgler til at låse data op.
- Der er ingen garanti for, at angriberen forlader systemerne, og det kan øge risikoen for et nyt angreb.
I stedet råder siden til at undersøge andre muligheder for at få data tilbage, først og fremmest den seneste backup. Siden peger også på nomoreransom.org, hvor det hollandske politi og Europols center for cyberkriminalitet stiller dekrypteringsværktøjer til rådighed for de typer ransomware, hvor der findes et. Siden oplyser, at der ikke findes værktøjer til alle typer.
Siden beskriver også, hvordan angriberne arbejder: med tidsfrister, krav om betaling i bitcoin, falske hotlines og frigivelse af enkelte filer for at bevise, at de kan låse op. Det er pres, der er skabt for at få beslutningen truffet hurtigt.
Hvorfor beslutningen hører til på forhånd
Under et angreb står ledelsen med et lammet system, utålmodige kunder og en frist fra angriberne. Det er et dårligt tidspunkt at tage stilling til et principielt spørgsmål. En beslutning, der er truffet og skrevet ned i forvejen, flytter diskussionen fra om man skal betale til, hvordan virksomheden kommer tilbage uden.
Principbeslutningen kan stå på én side i ledelsens del af beredskabsplanen, se beredskabsplan for ledelsen. Den bør mindst svare på:
- at virksomhedens udgangspunkt følger myndighedernes råd om ikke at betale
- at ingen medarbejder eller leverandør må kontakte eller svare angriberne uden direktionens godkendelse
- at advokat og forsikringsselskab inddrages, før direktionen tager stilling til krav fra angriberne
- at beslutningen og begrundelsen skrives i hændelsesloggen
Beslutningen bør vedtages af direktionen og forelægges bestyrelsen, fordi den kan få store økonomiske følger. Hvordan bestyrelsen inddrages under selve hændelsen, er emnet for bestyrelsen under en alvorlig hændelse.
Tag transportvirksomheden med 45 ansatte, der en mandag morgen finder alle planlægningsfiler krypteret og en besked med en betalingsfrist på tre dage. Fordi principbeslutningen ligger i planen, bruger direktøren den første time på at ringe til driftsleverandøren, forsikringsselskabet og politiet. Ingen svarer angriberne. Driften vurderer, at backup fra søndag aften kan læses tilbage på to døgn, og ledelsen beslutter at køre ruterne manuelt imens.
Backup er det egentlige alternativ
Myndighedernes råd forudsætter, at virksomheden kan genskabe sine data på anden vis. Det kan den kun, hvis backup findes, er beskyttet mod at blive krypteret sammen med resten og faktisk kan læses tilbage. Ledelsen bør vide, hvor lang tid en genskabelse tager, og hvor meget data der går tabt. Spørgsmålene til driften er samlet i backup og reetablering set fra ledelsen.
Om en genskabelse virker i praksis, kan kun afprøves. Hvordan test kan vise, hvor sårbar virksomheden er over for ransomware, er beskrevet på sikkerhedstesten.dk.
Politiet og sporene
Politiet anbefaler på sikkerdigital.dk, at virksomheder anmelder cyberangreb, blandt andet fordi det er strafbart, og fordi efterforskningen styrker samfundets modstandskraft. Anmeldelse sker på politi.dk eller på telefon 114, hvor man på hverdage mellem 7 og 20 kan blive stillet videre til medarbejdere med særlig viden om cyberangreb. Politiet råder til at anmelde hurtigst muligt, fordi mange digitale spor bliver slettet eller overskrevet.
Mens angriberne stadig er aktive, er politiets råd at koble de ramte maskiner fra både internettet og det interne net, men lade strømmen være tændt, fordi sporene ellers kan gå tabt. Politiet understreger, at det ikke er dets opgave at genetablere systemerne. Den opgave ligger hos virksomheden og dens IT-leverandør eller et sikkerhedsfirma. Pressen hører heller ikke om angrebet fra politiet af egen drift. Ledelsens beslutning om anmeldelse er beskrevet i politianmeldelse efter et cyberangreb.
Forsikring, rådgivning og hotline
Har virksomheden en cyberforsikring, er det selskabet og policen, der afgør, hvad selskabet forventer under et ransomwareangreb. Det skal ledelsen undersøge, før det sker, og kontaktoplysningerne skal stå i planen, se cyberforsikringen i beredskabsplanen. Juridiske spørgsmål om et krav fra angriberne hører hos virksomhedens advokat.
Styrelsen for Samfundssikkerhed driver desuden Cyberhotline for digital sikkerhed på 33 37 00 37, som kan give basal vejledning om, hvordan man forholder sig ved et angreb, og hvem det er relevant at kontakte. Sikkerdigital.dk har også en skabelon til en nødplan for mindre virksomheder, udviklet sammen med politiet, med roller og kontakter samlet ét sted. Styrelsen skriver selv, at skabelonen ikke tager højde for særlig regulering som NIS2.
Det skal I lade være med
- At tage stilling til betaling første gang under angrebet · beslutningen skal være truffet før.
- At lade nogen svare angriberne på egen hånd · al kontakt skal godkendes af direktionen.
- At regne med backup, der aldrig er læst tilbage · alternativet til betaling hviler på den.
- At slukke de ramte maskiner i panik · politiet råder til at afbryde netværket og lade dem stå tændt.
- At vente med politianmeldelsen, til systemerne kører · sporene forsvinder imens.
Det skal I kræve af den eksterne
- ☐ Et udkast til principbeslutningen, som direktionen kan vedtage på ét møde.
- ☐ En kontaktliste med politi, advokat, forsikring og hotline, kontrolleret ved opkald.
- ☐ Et klart svar fra driften om, hvor lang tid en fuld genskabelse fra backup tager.
- ☐ Et ransomwarescenarie i den årlige beredskabsøvelse, se beredskabsøvelse for ledelsen.
- ☐ Ingen rådgivning om at betale eller forhandle; den eksterne holder sig til sikkerhedsledelsen og henviser jura til jeres advokat.
Hvad gør I nu? Læg principbeslutningen på dagsordenen til næste ledelsesmøde, og bed driften om datoen for seneste fulde genskabelse fra backup.
Kilder
- Sikkerdigital.dk: Hvad skal du gøre, hvis du er ramt af ransomware?: udgangspunktet om ikke at betale, begrundelserne, backup og nomoreransom.org.
- Sikkerdigital.dk: Ransomware: hvordan et angreb og afpresningen foregår.
- Politiets side om anmeldelse af cyberangreb (sikkerdigital.dk): politiets anbefaling, 114, sikring af spor, politiets opgaver og Cyberhotline.
- Sikkerdigital.dk: Nødplan ved cyberangreb: skabelon til mindre virksomheder og dens afgrænsning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Backup og reetablering set fra ledelsen · Er hændelsen væsentlig? Hvem beslutter underretning
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
