Hvis en ransomware-gruppe låser jeres filer en mandag morgen, føles det som at møde op til et kontor, hvor alle døre pludselig er smækket og nøglerne er væk. Det er ikke kun IT, der går ned, det er fakturaer, produktion, booking, løn og kundesvar.
Et godt ransomware-beredskab virksomheder kan være forskellen på få timers stop og flere ugers kaos. Her får du en praktisk guide til danske SMV’er, med klare trin før, under og efter, plus en plan for de første 60 minutter og et minimumsberedskab på 30 dage.
Før angrebet: gør det svært at komme ind, og nemt at komme tilbage
Ransomware starter ofte med noget helt simpelt: et klik, et genbrugt kodeord, en åben fjernadgang, eller en pc på gæste-wifi, der kan “se” serveren. Målet her er at reducere både sandsynligheden og skaden.
Minimumstiltag, der flytter mest
Backups med 3-2-1-1-0 (og gendannelsestest)
En backup uden test er som en brandslukker uden tryk. Brug 3-2-1-1-0:
- 3 kopier af data (produktion + to backups)
- 2 forskellige medier (fx NAS + cloud)
- 1 kopi offsite (uden for huset)
- 1 kopi offline eller “immutabel” (kan ikke ændres af angriberen)
- 0 fejl ved backup-verificering (automatiske checks, alarmer og test)
Planlæg en fast gendannelsestest hver måned: kan I genskabe en filserver, en økonomidatabase og en Microsoft 365-postkasse, uden at gætte?
Segmentering af netværk
Del netværket op: kontor-pc’er, servere, gæste-wifi, IoT (printere, kameraer) og produktion skal ikke ligge i samme “rum”. Med simpel segmentering og firewall-regler kan et angreb blive til ét ramt område, ikke hele huset.
MFA og styring af admin-adgang
Slå MFA til på mail, fjernadgang og alle admin-konti. Brug separate admin-brugere, og giv kun rettigheder når der er behov (princip om mindst mulig adgang). Hvis I bruger Microsoft 365, kan det give mening at samle sikkerhedsfeatures i et abonnement med bedre kontrol, fx via Skalerbart Microsoft 365-abonnement for virksomhedssikkerhed.
Phishing-træning som rutine
Træning virker bedst i små bidder: 10 minutter pr. kvartal, konkrete eksempler, og en enkel “sådan melder du mistænkelige mails”-regel. Det matcher også billedet af, at mange SMV’er stadig mangler basale tiltag, som beskrevet i Digital sikkerhed i danske SMV’er 2024.
EDR og logning, så I kan se hvad der skete
EDR (endpoint-beskyttelse) og central logning gør det muligt at opdage angreb tidligt og dokumentere hændelsen bagefter. Det er også et vigtigt grundlag for forsikring og myndighedsdialog. Brug CFCS som fagligt udgangspunkt, fx deres Vejledning om ransomware.
Incident response playbook (én side)
Lav en kort playbook, der ligger offline og på print: hvem ringer I til, hvilke systemer slukkes først, hvor ligger netværksdiagram, hvilke leverandører er kritiske, og hvem udtaler sig eksternt.
Under angrebet: de første 60 minutter (beslutningstræ + containment)
Når ransomware rammer, vinder du ikke på panik og hurtige “fixes”. Du vinder på at stoppe spredning, sikre beviser og få overblik. Brug nedenstående beslutningstræ som start.
Beslutningstræ for de første 60 minutter
| Tid | Hvis du ser tegn på ransomware | Så gør du dette | Formål |
|---|---|---|---|
| 0-10 min | Krypterede filer, “readme”-krav, mærkelig diskaktivitet | Isolér den ramte pc (træk netkabel, slå wi-fi fra), stop delte drev | Stop spredning |
| 10-20 min | Flere maskiner viser tegn | Afbryd netværk segmentvis (ikke alt blindt), blokér SMB/RDP hvor muligt | Begræns skaden |
| 20-30 min | Mistanke om stjålne konti | Deaktiver berørte brugere, nulstil admin-koder, tving MFA-sessioner ud | Luk adgang |
| 30-45 min | Systemer er ramt | Sæt “ændringsstop”: ingen genstart af servere uden plan, ingen oprydning endnu | Bevar beviser |
| 45-60 min | Drift påvirket | Start krise-kommunikation internt, kontakt IT-partner, vurder forsikring og anmeldelse | Styring |
Isolering og containment uden at ødelægge spor
- Tag fotos og noter: Hvilken maskine, hvilket tidspunkt, hvilke beskeder på skærmen, hvilke filer/mapper er ramt.
- Gem logs: firewall, mail, EDR, serverlogs. Kopiér til et sikkert sted.
- Undgå “rengøring” for tidligt: Sletning af filer eller geninstallation kan fjerne beviser og gøre efterforskning sværere.
- Kortlæg “patient zero”: Var det en mail, en fjernadgang, en kompromitteret leverandørkonto?
Kontaktpunkter: politi, forsikring, leverandører
Kontakt jeres cyberforsikring tidligt, hvis I har en. Mange policer kræver hurtig underretning, og de kan stille incident response-ressourcer til rådighed. Overvej også politianmeldelse. Dokumentér alle beslutninger undervejs, hvem der godkendte hvad, og hvornår.
Kommunikér roligt til medarbejdere: “Lad pc’en være isoleret, klik ikke på mails, meld symptomer til én kanal.” Det er bedre end 20 parallelle tråde.
Efter angrebet: sikker gendannelse, GDPR (72 timer) og en 30-dages plan
Når spredningen er stoppet, begynder det tunge arbejde: gendannelse, afklaring af databrud, og at lukke hullet, så det ikke gentager sig.
Gendannelse: start med det, der tjener penge
Prioritér efter forretning, ikke efter teknik:
- Identitet og adgang (AD/Microsoft 365, admin-konti, MFA, tokens)
- Kommunikation (mail, telefoni, supportkanaler)
- Kerne-systemer (økonomi, ordre, produktion, fagsystemer)
- Filservere og arkiver
Gendan til et rent miljø, hvis muligt. Kør en gendannelsestest af backup, før I “åbner” for alle. Her er 3-2-1-1-0 igen jeres sikkerhedsnet.
Hvis filer er krypteret, så kig efter kendte dekrypteringsmuligheder og rådgivning, fx #NoMoreRansom hos ENISA. Det er ikke en garanti, men det er et bedre sted at starte end hurtige, dyre beslutninger. Betaling af løsesum giver ingen sikkerhed for gendannelse, og det kan øge risikoen for nye krav og gentagne angreb.
GDPR: 72 timer og dokumentation, der holder
Hvis persondata kan være berørt, gælder der ofte en 72-timers frist for anmeldelse til Datatilsynet. Det handler ikke om at vide alt på 72 timer, men om at kunne forklare hvad der er sket, hvad I gør nu, og hvilken risiko der er for de registrerede. Brug Datatilsynets Håndtering af brud på persondatasikkerheden som tjekliste for vurdering, underretning og logbog.
Hav en enkel dokumentationspakke klar:
- Tidslinje for hændelsen
- Hvilke systemer og data var påvirket
- Hvilke tiltag blev taget (containment, gendannelse)
- Kommunikationsudkast til kunder og leverandører
- Læringspunkter og nye kontroller
Minimumsberedskab på 30 dage (kan gennemføres i en travl SMV)
| Uge | Fokus | Leverance |
|---|---|---|
| 1 | Overblik og stop huller | Inventarliste, MFA på alle, admin-konti adskilt, fjernadgang gennemgået |
| 2 | Backup, 3-2-1-1-0 | Offline eller immutabel kopi, alarmer, første gendannelsestest |
| 3 | Netværk og endpoint | Segmentering (gæste-wifi, kontor, server), EDR rullet ud, central logning |
| 4 | Øvelse og kommunikation | 60-minutters øvelse, playbook på print, skabeloner til kundebesked |
Fysisk adgang bliver ofte glemt i IT-beredskab. Hvis en angriber kan få enheder eller netværk i hånden, bliver alt lettere. Overvej stram adgangsstyring til serverrum og nøgleområder, fx Salto Smart Access – sikker adgangshåndtering.
For ekstra branchekontekst kan I bruge CFCS’ vurderinger til risikosnak i ledelsen, fx CFCS’ trusselsvurdering for produktionsvirksomheder.
Konklusion: beredskab er en muskel, ikke et dokument
Ransomware er ikke længere “kun” et IT-problem, det er et driftstop, der rammer hele virksomheden. Med et jordnært ransomware beredskab virksomheder, gode backups (3-2-1-1-0), netværkssegmentering, MFA og en plan for de første 60 minutter kan I begrænse skaden markant. Start med 30-dages planen, og hold fast i gendannelsestest og små øvelser. Det er sådan, man gør sig klar til den dag, man håber aldrig kommer.
