Kan vi knække jeres adgangskoder?

I sætter reglerne. Vi tester, om de holder.

Det er 2026, og adgangskoder er stadig jeres forreste forsvarslinje. Selv om adgangskodefri teknologier og stærke alternativer til godkendelse vinder frem, er virkeligheden enkel: de fleste mellemstore og store organisationer er stadig stærkt afhængige af adgangskoder.

Det ved angriberne.

Et svar, vi ofte hører, er: "Vores politik kræver 15 tegn eller mere, det må da være nok?" Femten er et fornuftigt minimum, og det betyder mest på de konti, der kan gøre størst skade. Men en politik sætter kravet til nye adgangskoder, ikke til dem, der allerede er i brug, og det er dér, hullet er. Det følgende er, hvad målingen fandt, ikke hvad politikken siger.

De skjulte huller i adgangskodepolitikker

Noget af det mest oversete ved adgangskodepolitikker er, hvornår de får virkning. En opdateret politik gør ikke organisationen sikker med det samme:

• Nye krav gælder ofte kun for en del af brugerne
• Eksisterende adgangskoder er gyldige, indtil de udløber eller bliver tvunget skiftet
• Konti oprettet før en ændring af politikken kommer måske aldrig til at overholde den

Resultatet? En stor del af jeres miljø kan køre med gamle, svage eller ikke-kompatible adgangskoder, uden at nogen opdager det.

Svage adgangskoder er stadig overalt

Trods mange års awareness-kampagner ser vi fortsat mønstre som:

• Sæsonadgangskoder, for eksempel SummerSummer2026
• Firmanavne eller brandord
• Varianter af "Password plus et tal"
• Adgangskoder genbrugt på flere konti

Det er præcis de mønstre, angribere udnytter, og de virker stadig foruroligende godt.

Reel sikkerhed kræver reelle tests

Hos PB Security gætter vi ikke. Vi tester.

Vi har specialbygget hardware til at knække adgangskoder, designet til hastighed. Det gør det muligt at analysere, hvor modstandsdygtige adgangskoderne er under realistiske forhold, ikke ud fra teoretiske antagelser. Målet er ikke at udstille brugerne. Det er at give ledelsen et klart og holdbart billede af risikoen.

Sådan så én opgave ud

Her er hovedtallene fra en nylig analyse. Organisationen er ikke navngivet, og pointen med tallene er ikke, at miljøet var usædvanligt. Det var det ikke.

De fem mest almindelige adgangskoder var Company1234, Summer2025, qwert@12345, Start2015 og Password12345. De fem svage ord, der optrådte oftest, var Summer, Password, Start, Winter og admin.

De fem problemer, vi oftest markerede, var: fundet i et datalæk, firmanavnet eller en variant af det, gentagne eller fortløbende tegn, tastaturmønstre og adgangskoder, der indeholder brugerens eget navn.

Læg mærke til, hvad der ikke står på listen. Intet eksotisk, intet der krævede en ny teknik. To tredjedele af en organisations adgangskoder kom frem på mønstre, der har været beskrevet i tyve år.

Hvad vores analyse af adgangskoder leverer

Et klart overblik, I kan handle på, herunder:

• Adgangskoder, der ikke overholder jeres egen politik
• De mest brugte og delte adgangskoder i organisationen
• Hvor stor en andel af adgangskoderne der blev knækket
• Svage adgangskoder: ordbogsord, sæsonbestemte og forudsigelige mønstre, firmaspecifikke ord og adgangskoder fundet i kendte datasæt fra læk

Resultatet giver grundlag for velinformerede beslutninger om håndhævelse af politikken, brugernes awareness og strategien for godkendelse, ud fra fakta frem for antagelser.

Hvor svage adgangskoder fører hen

De fem tiltag, vi oftest anbefaler efter en analyse, er i rækkefølge:

• Tving et skift af de svage adgangskoder
• Hæv længden i jeres politik til 15 tegn eller mere
• Indfør en liste over forbudte adgangskoder
• Forhindr genbrug af adgangskoder
• Indfør SSO og MFA overalt, hvor det er muligt

Andre tiltag kan være relevante. Det er et spørgsmål om at vurdere risikoen, og det er det, analysen er til. Vores anbefalinger til adgangskoder gennemgår mere detaljeret, hvad vi anbefaler, herunder de tal, vi foreslår for almindelige brugere, administratorer og servicekonti.

Hvad I kan bruge det til

Tallene ovenfor kom fra én organisation, og de er helt almindelige. Er jeres politik ændret inden for de seneste år, er det nyttige spørgsmål ikke, hvad den kræver i dag. Det er, hvor mange konti der er ældre end den, og det kan ingen svare på ud fra politikdokumentet.

I sætter reglerne. Vi tester, om de holder.