De fleste kodeordspolitikker i danske virksomheder er skrevet ud fra råd, der var gældende for femten år siden: mindst otte tegn, store og små bogstaver, tal, specialtegn, og skift hver 60. eller 90. dag.

Resultatet kender alle. Sommer2025! bliver Sommer2025!! og derefter Efteraar2025!. Kodeordet står på en gul seddel under tastaturet, fordi ingen kan huske fire varianter af det samme. Og medarbejderne oplever IT-sikkerhed som noget, der gør deres arbejde besværligt uden nogen synlig gevinst.

Både NIST i USA og danske myndigheder har siden justeret anbefalingerne markant. Her er, hvad der faktisk virker — og hvorfor de gamle råd i nogle tilfælde gjorde sikkerheden dårligere.

Længde slår kompleksitet

Et kodeord på 16 tegn med kun små bogstaver er sværere at knække end et på 8 tegn med alle tegntyper. Matematikken er ikke til diskussion: hvert ekstra tegn ganger antallet af muligheder.

Derfor: sæt minimumslængden op, og drop de tvungne tegnkrav. Tegnkrav gør kodeord sværere at huske uden at gøre dem tilsvarende sværere at gætte, fordi folk løser kravet på forudsigelige måder — første bogstav stort, tal til sidst, udråbstegn på enden.

Den praktiske metode er en adgangsfrase: fire eller fem tilfældige ord sat sammen. Den er lang, den er lettere at huske, og den er sværere at gætte end de kryptiske varianter, folk alligevel skriver ned. Vigtigt: ordene skal være tilfældige, ikke en sætning fra en sang eller et citat.

Stop med tvungne skift uden grund

Tvungne kodeordsskift får folk til at vælge svagere kodeord i forudsigelige mønstre. Det er dokumenteret gentagne gange, og det er grunden til, at anbefalingen er ændret.

Skift bør ske, når der er en anledning: mistanke om kompromittering, en medarbejder der er fratrådt og har kendt et fælles kodeord, eller et kodeord der optræder i et kendt datalæk.

Det sidste kan overvåges. Microsoft Entra ID kan blokere kendte kompromitterede kodeord ved oprettelse og skift, og dark web-overvågning kan give besked, når en af jeres adresser optræder i et nyt læk. Det er en langt mere præcis udløser end en dato i kalenderen.

Det vigtigste er, at kodeord ikke genbruges

Den mest almindelige måde, en virksomhedskonto bliver overtaget, er ikke et avanceret angreb. Det er, at medarbejderen brugte samme kodeord til arbejdsmailen og til en webshop, der blev hacket for tre år siden.

Angriberen prøver kombinationen mod Microsoft 365, banken og alt andet. Det er fuldt automatiseret og kaldes credential stuffing. Der er ingen målretning mod jer — jeres adresse var blot med i en liste på flere millioner.

Genbrug er derfor den enkeltfaktor, der betyder mest. Og genbrug kan man kun undgå med en passwordmanager, fordi ingen kan huske 90 unikke adgangsfraser. Det er ikke et spørgsmål om disciplin; det er et spørgsmål om, hvad der er menneskeligt muligt.

MFA er ikke til diskussion

Selv et perfekt kodeord kan phishes. Multifaktorgodkendelse er den enkeltforanstaltning, der stopper langt de fleste kontoovertagelser, og den skal være slået til på alle konti — ikke kun på ledelsens.

Vælg app-baseret godkendelse med talmatch frem for SMS. SMS kan opsnappes, og der findes en velkendt angrebstype, hvor telefonnummeret flyttes til angriberens SIM-kort. Talmatch — hvor brugeren indtaster et tal fra skærmen i appen — stopper desuden de angreb, hvor man bare trykker godkend af vane.

Undgå det klassiske selvmål: kodeord i regneark og noter

Vi finder stadig regneark ved navn Adgangskoder, noter i Outlook med logins til bank og fagsystemer, og et delt dokument i et team, hvor halvdelen af huset er medlem.

Det er den nemmeste gevinst i verden for en angriber, der har fået adgang til én konto. I stedet for at skulle bryde ind ét sted ad gangen får de alt på én gang — og de får det uden at udløse nogen alarm, fordi de blot åbner en fil, brugeren har adgang til.

Alt, hvad der skal deles i et team — fælles logins til en portal, koden til firewallen, en administratorkonto, alarmkoden — hører i en passwordmanager med delte bokse og logning af, hvem der har hentet hvad.

Sådan ville en fornuftig politik lyde

  • Mindst 14 tegn, ingen krav om specifikke tegntyper.
  • Ingen tvungne skift efter tidsplan — kun ved konkret anledning.
  • Kendte kompromitterede kodeord blokeres automatisk.
  • MFA på alle konti, app-baseret med talmatch.
  • Passwordmanager stillet til rådighed af virksomheden, ikke medarbejderens eget valg.
  • Administratorkonti er separate fra daglige brugerkonti.
  • Kodeord deles aldrig i mail eller chat.
  • Kodeord genbruges aldrig mellem arbejde og privat.

Det med administratorkonti er vigtigere end det ser ud

At administratorrettigheder ligger i en separat konto betyder, at et phishing-angreb mod den daglige mailkonto ikke giver angriberen nøglerne til hele huset.

Det er en af de billigste og mest effektive foranstaltninger, der findes, og den mangler i et flertal af de opsætninger, vi kigger på første gang. Typisk fordi den, der satte systemet op, var én person, der havde brug for begge ting, og fordi det var enklere at have det i samme konto.

Praktisk: opret en separat administratorkonto pr. person, der har brug for det, uden mailboks og uden licens til daglig brug. Log kun ind med den, når der skal laves administration. Og sæt betinget adgang op, så administrative handlinger altid kræver MFA.

Hvad med adgangsnøgler og passkeys?

Passkeys erstatter kodeordet med en nøgle, der ligger i telefonen eller computeren og bekræftes med fingeraftryk eller ansigt. De kan ikke phishes, fordi de er bundet til det rigtige domæne, og de kan ikke genbruges.

Understøttelsen er nu god nok til, at det er værd at begynde med de vigtigste systemer. Vi anbefaler at starte med Microsoft 365 og de administrative konti — der er gevinsten størst, og der er brugerne typisk mest teknisk trygge.

Bemærk, at passkeys ikke fjerner behovet for en gendannelsesvej. Mister brugeren sin telefon, skal der være en måde tilbage — og den må ikke være så løs, at den bliver den svageste vej ind.

Kommunikér ændringen rigtigt

Går I fra en gammel politik til en ny, er der en gratis gevinst i kommunikationen: I fjerner et krav, folk hader. Sig det højt.

Beskeden kan være: fremover skal I ikke længere skifte kodeord hver tredje måned. Til gengæld skal kodeordet være længere, I får en passwordmanager, og MFA gælder for alle. Det er en handel, de fleste medarbejdere gerne indgår.

Undgå at præsentere det som en stramning. Det er en ombytning af et irriterende krav med et, der virker.

Netdk hjælper med at få det indført i praksis

Vi sætter kodeordspolitik, MFA, betinget adgang og passwordmanager op for virksomheder i Aarhus, Randers, Silkeborg, Viborg, Skanderborg, Lystrup og Odder — og vi holder den korte snak med medarbejderne, så det ikke opleves som en straf.

Vi gennemgår også, om der ligger kodeord i regneark, noter og delte dokumenter, som bør flyttes. Det er en af de kontroller, der næsten altid finder noget.

Næste skridt

Vil I have en gennemgang af, hvordan jeres adgange faktisk er sat op? Ring på 70 23 57 70 for en gratis sikkerhedsgennemgang.