En autoforhandler blev ramt af ransomware gennem en konto uden flerfaktorlogin, og angriberne fandt oplysninger om titusindvis af kunder på et drev, der skulle have været nedlagt i 2018. Datatilsynet udtalte i november 2026 alvorlig kritik af virksomheden, fordi den ikke havde kontrolleret, at dens egne regler om sletning virkede. Sagen giver en kunde med outsourcet drift en tjekliste over det, der skal kontrolleres hos virksomheden selv og hos driftsleverandøren.
Artiklen er skrevet til kunden. Afgørelsen siger ikke, at driften lå hos en ekstern leverandør, og den tager ikke stilling til en leverandørs ansvar. Den handler om virksomhedens egne foranstaltninger. Koblingen til driftsleverandøren er en tolkning.
Sagen
Datatilsynet traf afgørelse 9. november 2026 under j.nr. 2025-441-4624. Angrebet blev opdaget 5. januar 2025. Angriberen kom ind via en terminalserver med en brugerkonto, der havde adgang fra internettet uden flerfaktorlogin. Ifølge afgørelsen skulle kontoen have haft flerfaktorlogin, men det blev overset på grund af en fejl i et værktøj til administration af brugerkonti. Angriberen skaffede sig derefter en konto med vidtgående rettigheder, også til de servere, der kørte virtuelle maskiner.
Mere end 48.000 personer blev berørt, heraf 194 medarbejdere. Oplysninger om 25.000 til 30.000 kunder skulle formentlig have været slettet. De lå på et serverdrev, som efter en beslutning i 2018 ikke længere skulle bruges og burde have været nedlagt. Medarbejderne fortsatte med at gemme filer der, og virksomhedens instruks tillod stadig fællesdrev.
Afdækningen af bruddet var vanskelig, fordi virksomheden ikke havde det fornødne overblik. Den endelige afdækning skete først i januar 2026.
Datatilsynets vurdering
Afgørelsen bygger på databeskyttelsesforordningens artikel 5, stk. 1, litra e, om opbevaringsbegrænsning, og artikel 32, stk. 1, herunder litra d, der handler om at afprøve og evaluere sikkerhedsforanstaltningerne med faste mellemrum.
Fra 2018 til bruddet havde virksomheden ingen procedure for at afprøve, om sletningen virkede, og den havde ikke fjernet det drev, der ikke skulle bruges. Datatilsynet skrev, at litra d normalt vil indebære, at der sammen med en organisatorisk foranstaltning, der omfatter meget behandling, indføres en procedure for regelmæssig afprøvning. Om drevet skrev Datatilsynet, at det i sig selv er en naturlig og effektiv foranstaltning at nedlægge en server eller et serverdrev. Der var heller ikke fastlagt et internt ansvar. Afgørelsen nævner også artikel 30 om fortegnelsen, der skal indeholde slettefrister.
Leverandørens rolle i afgørelsen
En leverandør optræder kun to steder. Virksomhedens databehandler havde et team til hændelseshåndtering, der undersøgte angrebet, og Datatilsynet holdt i december 2025 møde med virksomheden og databehandleren. Afgørelsen siger ikke, hvem der administrerede brugerkontiene eller værktøjet med fejlen.
Det, man efter en tolkning kan læse ud af sagen, er dette. Kritikken ramte den dataansvarlige for dens egne foranstaltninger, selv om en IT-leverandør var involveret. Har I lagt driften ud, flytter ansvaret for jeres regler ikke med. I skal stadig kunne vise, at de regler, I har sat, bliver fulgt og kontrolleret.
Det, I selv skal kontrollere
Punkterne bygger på en tolkning og er skrevet til en virksomhed med outsourcet drift.
Flerfaktorlogin på alle konti med adgang udefra. Få en liste over alle konti, der kan logge ind fra internettet, også servicekonti og gamle konti, og kontrollér, at hver har flerfaktorlogin. Stol ikke på et skærmbillede fra et administrationsværktøj alene. Fejlen i sagen sad i værktøjet.
Udfasede drev og servere. Find de systemer, I har besluttet at holde op med at bruge. Kontrollér, at de faktisk er nedlagt, og at ingen gemmer på dem. En beslutning om udfasning bør følges af en kontrol af, at systemet er væk.
Sletning, der virker. Har I slettefrister, så kontrollér med faste mellemrum, at data faktisk bliver slettet. Dokumentér afprøvningen.
Et ansvar. Udpeg, hvem der ejer reglerne om sletning og adgang, og hvem der kontrollerer dem.
Overblik. Kan I efter en hændelse hurtigt sige, hvilke data der lå hvor? Fortegnelsen efter artikel 30 er stedet at begynde.
Det, I skal spørge driftsleverandøren om
Hvem administrerer brugerkontiene? Er det leverandøren, så bed om en årlig gennemgang af konti med adgang udefra og deres flerfaktorstatus.
Hvordan kontrolleres værktøjet? Spørg, hvordan leverandøren sikrer, at det værktøj, der viser flerfaktorstatus, viser det rigtige. Det kan fx ske ved en stikprøve, hvor status kontrolleres direkte i systemet.
Hvem nedlægger udfasede systemer? Aftal, hvem der gør det, og hvordan I får bekræftelse.
Hvad gør leverandøren ved en hændelse? Afklar, hvem der undersøger, og hvordan I får de oplysninger, I skal bruge til en anmeldelse.
Den generelle kontrol af adgange hos en leverandør er beskrevet i til- og fratrædelser hos leverandøren.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen hos jer ejer reglerne om adgang og sletning, og at aftalen med driftsleverandøren siger, hvem der gør hvad, og hvordan I får bevis.
Uden den kontrol kan en regel stå på papiret i årevis uden at virke. I sagen gik der mere end seks år fra beslutningen om at stoppe brugen af drevet, til angriberne fandt det.
Det skal I lade være med
- At læse sagen, som om ansvaret flyttede til leverandøren · afgørelsen handler om virksomhedens egne foranstaltninger.
- At regne en beslutning om udfasning for en nedlæggelse · drevet i sagen blev brugt i årevis.
- At stole på et administrationsværktøjs visning af flerfaktorstatus · fejlen sad i værktøjet.
Det skal auditten kunne vise
- ☐ En liste over konti med adgang udefra og kontrolleret flerfaktorstatus for hver.
- ☐ Bevis for, at udfasede drev og servere er nedlagt.
- ☐ Dokumenteret afprøvning af, at sletning virker.
- ☐ En navngiven ejer af reglerne om adgang og sletning.
- ☐ En aftale med driftsleverandøren om, hvem der administrerer konti og nedlægger systemer.
Kilder
- Datatilsynet, afgørelse af 9. november 2026, j.nr. 2025-441-4624, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 5, 30 og 32, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Få en liste over alle konti med adgang fra internettet, og kontrollér flerfaktorstatus direkte i systemerne.
Læs også: Audit af driftsleverandøren · Audit ved kontraktophør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
