Ransomware er skadelig software, som krypterer virksomhedens systemer og data, så de ikke kan bruges, hvorefter angriberne kræver en løsesum for at låse dem op. Styrelsen for Samfundssikkerhed (SAMSIK) vurderer, at alle organisationer i Danmark risikerer at blive ofre, uanset størrelse og branche, fordi angriberne griber de muligheder, der byder sig. Risikoen kan ifølge sikkerdigital.dk mindskes langt hen ad vejen med god grundlæggende sikkerhed, men den kan ikke fjernes. Ledelsens opgave er derfor dobbelt: at gøre angrebet mindre sandsynligt og at kunne komme tilbage, hvis det alligevel sker. Artiklen giver overblikket og peger videre til dybden.
Hvad der sker
Forløbet varierer, men hovedtrækkene går igen.
- Angriberne kommer ind. Det sker typisk, når en medarbejder i god tro åbner et link eller en vedhæftet fil, men også via tekniske sårbarheder eller stjålne logins. SAMSIK beskriver, at nogle kriminelle lever af at sælge adgange videre, og at et gyldigt login kan være svært at opdage.
- De bevæger sig rundt. Vi vurderer, at der kan gå tid, før noget bliver synligt. I den periode kan de lede efter data og backup.
- De stjæler data. SAMSIK skriver, at det ofte sker, at kriminelle også stjæler data såsom kontrakter, økonomi og personoplysninger.
- Systemerne bliver krypteret. Medarbejderne møder låste filer og en besked, ofte med en frist og et krav om betaling i bitcoin.
- Presset begynder. Angriberne truer med at offentliggøre det stjålne, hvis der ikke bliver betalt.
Tre former, tre konsekvenser
Ordet ransomware dækker over forskellige angreb, og det har betydning for, hvad der kan redde jer.
- Kryptering alene. En god backup kan i princippet løse problemet, hvis den ikke er ramt.
- Dobbelt afpresning. Data er både krypteret og stjålet. Backup giver jer driften tilbage, men ikke kontrollen over de stjålne oplysninger.
- Tyveri uden kryptering. SAMSIK nævner også angreb, hvor de kriminelle alene stjæler data. Driften kører videre, og I opdager det måske først ved kravet.
Et wiper-angreb ligner, men der er ingen modtager af en løsesum, da formålet er ødelæggelse. Det er behandlet i høj trussel fra destruktive angreb.
Kan vi undgå ransomware?
Ingen kan love det. Det brugbare spørgsmål er, hvor let I er at ramme, og hvor længe I står stille. SAMSIK skriver, at små og mellemstore organisationer ofte rammes, blandt andet fordi de har færre ressourcer og lavere beskyttelsesniveau.
Ledelsen kan klare sig uden at kende teknikken, når den kan få svar på fem spørgsmål:
- Har alle konti med adgang udefra flerfaktorlogin?
- Hvor hurtigt bliver kritiske sårbarheder lukket?
- Findes der en kopi af data, som angriberne ikke kan slette med de samme konti?
- Hvornår er et helt system sidst gendannet fra kopien, og hvor længe varede det?
- Hvad kan køre uden systemerne, og hvor længe?
De to mellemste er de vigtigste, og de hører sammen. Spørgsmålene til driften er uddybet i backup og reetablering.
Det, ledelsen beslutter før
Under et angreb er tiden kort, og mail virker måske ikke. Derfor bør fire beslutninger ligge klar. Listen er vores forslag.
- Hvem må koble fra. Må vagten hos leverandøren tage systemer af nettet, eller skal der først ringes til direktøren?
- Rækkefølgen. Hvilket system skal op først? Hvis svaret først findes under angrebet, bliver det den, der råber højest, der vinder.
- Løsesummen. Myndighedernes udgangspunkt er, at man ikke bør betale. Tag principbeslutningen i forvejen, se skal vi betale løsesummen?.
- Kontakterne. Telefonnumre på leverandør, forsikring, advokat og ledelse skal findes uden for systemerne.
Samlet hører det hjemme i ledelsens del af beredskabsplanen og bør afprøves ved en øvelse om bordet. Tjek også, hvad forsikringen dækker, for løsesum og genopretning står ikke altid samme sted i betingelserne.
Det, ledelsen gør under angrebet
Teknikerne arbejder i systemerne, og ledelsen holder styr på fire ure.
- NIS2. Er I omfattet, og er hændelsen væsentlig, skal den tidlige varsling sendes senest 24 timer efter kendskab og underretningen senest efter 72 timer. SAMSIK bruger netop ransomware som eksempel på en hændelse, der skal underrettes. Se hvem i ledelsen der beslutter det.
- Persondata. Datatilsynet regner kryptering af personoplysninger som et brud på sikkerheden, også når ingen uvedkommende har set dem, fordi data er ændret og midlertidigt tabt. Bruddet skal som udgangspunkt anmeldes senest 72 timer efter, at I er blevet bekendt med det. Se én hændelse, to underretninger.
- Forsikring. Skaden skal meldes uden ophold. Se hvem I ringer til først.
- Politi. Politiet anbefaler anmeldelse, og det bør gå hurtigt, da spor forsvinder. Se politianmeldelse efter et cyberangreb.
Samtidig skal der siges noget til kunder, medarbejdere og presse, og alt skrives i en log med tidspunkter. Tænk på et vognmandsfirma med 60 ansatte, der mandag morgen finder planlægningssystemet låst. Direktøren samler kriseledelsen, og økonomichefen ringer til forsikringen. Da der ikke er tid til at finde numrene i en låst mailboks, bruger de den trykte kontaktliste. Beslutningen om at underrette bliver truffet, inden 24 timer er gået, og ruterne køres efter papirlister, mens leverandøren gendanner.
Det, ledelsen gør bagefter
Luk hullet, før der gendannes, ellers risikerer I at åbne samme dør igen. Bed om den rækkefølge, leverandøren vil følge. Bagefter skal der laves en evaluering, som fører til beslutninger, se evaluering efter en hændelse. Omkostningerne kan ifølge SAMSIK blive betydelige, uanset om der betales eller ej, også i form af tabt tillid hos kunderne. Derfor hører samtalen med de største kunder med på listen.
Det skal I lade være med
- At se ransomware som et IT-problem · beslutningerne om drift, penge og kommunikation er ledelsens.
- At regne backup for hele svaret · stjålne data kommer ikke tilbage med en gendannelse.
- At lade medarbejdere eller leverandører tale med angriberne · den beslutning ligger hos direktionen.
Det skal I kræve af den eksterne
- ☐ Svar på de fem spørgsmål, belagt med dokumentation fra leverandøren.
- ☐ Et udkast til de fire beslutninger, klar til ledelsens godkendelse.
- ☐ En øvelse med ransomware som scenarie.
- ☐ En kort oversigt over fristerne, der kan bruges uden adgang til systemerne.
Kilder
- SAMSIK: Cybertruslen mod Danmark 2025: afsnittene om ransomware-angreb og cyberkriminelles datatyveri.
- Sikkerdigital.dk: Ransomware: hvordan et angreb foregår, og hvordan risikoen mindskes.
- Sikkerdigital.dk: Hvad skal du gøre, hvis du er ramt af ransomware?: udgangspunktet om løsesum.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): §§ 12 og 13.
- SAMSIK: Vejledning om hændelsesunderretning: eksemplet om ransomware.
- Datatilsynets vejledning om brud på persondatasikkerheden: eksempel 6 og anmeldelse inden for 72 timer.
- Forsikringsaftaleloven, LBK nr. 1237 af 9. november 2015: § 21.
- Politiets side om anmeldelse af cyberangreb (sikkerdigital.dk).
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem vil angribe os? · Hvad dækker en cyberforsikring?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
