“Vi er for små til at blive angrebet.” Det er den sætning IT-sikkerhedsfolk hører oftest fra ejere af små og mellemstore virksomheder – og det er en af de dyreste misforståelser i dansk erhvervsliv.
Cyberkriminelle går ikke efter de mest interessante ofre. De går efter de nemmeste. Og en lille virksomhed med forældet software, ingen backup og passwordet “Sommer2024” er et langt nemmere mål end en stor virksomhed med et dedikeret sikkerhedsteam.
I 2026 er ransomware-angreb, phishing og databrud ikke noget der kun sker for store virksomheder. Det sker for tandlæger, håndværksfirmaer, regnskabskontorer og webshops. Konsekvenserne er de samme: nedetid, datatab, kunder der mister tilliden – og i alvorlige tilfælde, en virksomhed der aldrig kommer sig.
Denne guide gennemgår hvad IT-sikkerhed for SMV’er faktisk indebærer, hvad de vigtigste trusler er, og hvad du konkret skal gøre for at beskytte din virksomhed – uden at det kræver et dedikeret sikkerhedsteam.
De vigtigste trusler mod SMV’er i 2026
Ransomware
Ransomware er malware der krypterer alle filer på computeren og netværket – og kræver løsesum for at låse dem op. Et vellykket ransomware-angreb kan lægge en virksomhed helt ned i dage eller uger.
Det starter typisk med en phishing-mail eller en sårbar VPN-forbindelse. En medarbejder klikker på et link, malwaren installeres, og inden IT opdager det, er alle filer krypteret – inklusiv backups hvis de er tilsluttet netværket.
Ifølge CFCS (Center for Cybersikkerhed) er ransomware fortsat den alvorligste cybertrussel mod danske virksomheder. Selv betalte løsesummer garanterer ikke at filerne gendannes.
Phishing og Business Email Compromise (BEC)
Phishing er falske e-mails der udgiver sig for at være fra banker, myndigheder, leverandører eller chefen – med det formål at få modtageren til at klikke på et link, afgive loginoplysninger eller overføre penge.
Business Email Compromise er en avanceret variant: angriberen kompromitterer eller imiterer en lederens e-mail og instruerer bogholderen om at overføre et beløb til en “ny leverandørkonto”. Det er virksomt. Og det sker i Danmark hver dag.
Svage passwords og manglende MFA
Det mest udbredte sikkerhedshul er også det nemmeste at lukke: svage passwords og manglende multifaktorgodkendelse (MFA). Angribere bruger automatiserede værktøjer til at gætte passwords – og “Sommer2024!” holder ikke i tre sekunder.
Uopdateret software
Kendte sårbarheder i Windows, Office og tredjepartssoftware udnyttes aktivt af angribere. En computer der ikke er opdateret i tre måneder er et åbent vindue.
Insider-trusler og menneskelige fejl
Den hyppigste årsag til databrud er ikke avancerede hackere – det er menneskelige fejl: forkert vedhæftet fil, klik på phishing-link, delt password, eller en medarbejder der sender fortrolige data til den forkerte modtager.
De 7 vigtigste IT-sikkerhedstiltag for SMV’er
Du behøver ikke et dedikeret sikkerhedsteam for at have en fornuftig IT-sikkerhed. De følgende syv tiltag dækker de mest kritiske risici og kan implementeres i enhver virksomhed.
1. Multifaktorgodkendelse (MFA) på alle konti
MFA er det tiltag der har størst effekt pr. investeret krone. Det betyder at en bruger – ud over password – skal bekræfte sin identitet via en kode på mobiltelefonen, en authenticator-app eller en hardware-nøgle.
Selv hvis en angriber stjæler dit password, kan vedkommende ikke logge ind uden den anden faktor. Microsoft estimerer at MFA blokerer over 99 % af automatiserede angreb.
Implementer MFA på: Microsoft 365 / Azure AD, e-mail, VPN, banker og alle administrative systemer.
Værktøj: Microsoft Authenticator, Google Authenticator eller hardware-nøgler (YubiKey).
2. Opdater software konsekvent
Alle enheder på netværket – computere, servere, routere, printere – skal opdateres regelmæssigt. Windows Update, Office-opdateringer og firmware-opdateringer til netværksudstyr.
Konkret: Aktiver automatiske opdateringer på alle enheder. Brug Microsoft Intune eller Windows Update for Business til at styre opdateringer centralt. Sæt en månedlig rutine til at tjekke at kritisk netværksudstyr er opdateret.
3. Backup – og test den
En backup du ikke har testet, er ikke en backup. Det er et håb.
3-2-1-reglen: 3 kopier af dine data, på 2 forskellige medier, hvoraf 1 er offsite (eller i cloud). En backup der er tilsluttet netværket kan krypteres af ransomware ligesom de primære data.
Konkret: Microsoft 365 er ikke en backup – det er et produktivitetssystem. Brug en dedikeret backup-løsning som Veeam, Acronis eller Backblaze Business. Test gendannelse kvartalsvis.
4. Endpoint protection på alle enheder
Antivirus er ikke nok i 2026. Endpoint Detection and Response (EDR) er den moderne erstatning – det er software der ikke bare blokerer kendte trusler, men aktivt overvåger adfærd på enheden og reagerer på mistænkelig aktivitet.
Anbefalede løsninger til SMV’er:
- Microsoft Defender for Business – inkluderet i Microsoft 365 Business Premium. God grundbeskyttelse, nem at administrere centralt.
- CrowdStrike Falcon Go – stærkere EDR, god til virksomheder med højere risikoprofil.
- Bitdefender GravityZone – konkurrencedygtig pris, god beskyttelse til SMV’er.
5. Stærke passwords og password manager
Krav om stærke passwords er ubrugelige hvis medarbejderne skriver dem på en gul lap. En password manager løser det: den genererer og gemmer stærke, unikke passwords til alle systemer – og medarbejderne behøver kun huske ét masterpassword.
Anbefalede løsninger:
- 1Password Teams – populær, brugervenlig, god adminpanel
- Bitwarden for Business – open source, billig, solid
- Microsoft Entra ID Password Protection – til virksomheder på Microsoft-platformen
6. Netværkssegmentering og firewall
Et fladt netværk – hvor alle enheder taler frit med hinanden – er et sikkerhedsproblem. Hvis én enhed kompromitteres, kan angriberen bevæge sig frit rundt.
Konkret:
- Opdel netværket i segmenter: kontornetværk, gæste-WiFi, produktionsnetværk
- Gæste-WiFi skal aldrig have adgang til interne systemer
- Brug en erhvervsfirewall (Fortinet FortiGate, Cisco Meraki, Ubiquiti UniFi) – ikke en forbrugerrouter
7. Sikkerhedsbevidsthed – træn medarbejderne
Tekniske løsninger er ikke nok. Det menneskelige led er det svageste. Medarbejdere der kender de vigtigste angrebsmetoder – phishing, sociale ingeniørangreb, mistænkelige links – er den bedste forsvarsline.
Konkret:
- Lav en simpel phishing-øvelse: send en simuleret phishing-mail til medarbejderne og se hvem der klikker
- Gennemgå de vigtigste sikkerhedsregler ved onboarding
- Sæt en klar procedure for: “hvad gør du hvis du har klikket på noget mistænkeligt?”
IT-sikkerhed og GDPR
GDPR (Databeskyttelsesforordningen) stiller krav til hvordan virksomheder behandler og beskytter persondata. Det er ikke kun de store virksomheders ansvar – alle virksomheder der behandler persondata om kunder, medarbejdere eller leverandører er omfattet.
Nøglekravene:
- Adgangsstyring: Kun medarbejdere der har et legitimt behov, må have adgang til persondata
- Kryptering: Persondata skal krypteres under transport og ved opbevaring
- Brud-procedure: Virksomheden skal anmelde databrud til Datatilsynet inden for 72 timer
- Databehandleraftaler: Alle leverandører der behandler data på dine vegne skal have en databehandleraftale
En grundlæggende IT-sikkerhedsopsætning – MFA, opdateret software, backup, endpoint protection – dækker størstedelen af de tekniske GDPR-krav.
IT-sikkerhed niveau-for-niveau: hvad passer til din virksomhed?
Niveau 1 – Grundlæggende (1–10 medarbejdere)
Minimum der ikke er til forhandling:
- MFA på Microsoft 365 og e-mail
- Automatiske Windows-opdateringer
- Microsoft Defender aktiveret
- Cloud backup af kritiske data (Microsoft 365 Backup eller Backblaze)
- Adskilt gæste-WiFi
Anslået månedlig omkostning: 500–2.000 kr. udover eksisterende Microsoft 365-licenser
Niveau 2 – Professionel (10–50 medarbejdere)
Alt fra niveau 1, plus:
- Centraliseret endpoint protection (Microsoft Defender for Business eller Bitdefender)
- Password manager til alle medarbejdere
- Netværkssegmentering med erhvervsfirewall
- Sikkerhedstræning for medarbejdere (1× om året)
- Dokumenteret backup-procedure med kvartalsvis test
Anslået månedlig omkostning: 2.000–8.000 kr. afhængigt af antal brugere og valgte løsninger
Niveau 3 – Avanceret (50+ medarbejdere eller høj risikoprofil)
Alt fra niveau 2, plus:
- EDR med aktiv overvågning (CrowdStrike, SentinelOne)
- SIEM (Security Information and Event Management)
- Penetrationstest (1× om året)
- Incident response-plan
- Cyberforsikring
Hvad koster IT-sikkerhed?
| Tiltag | Typisk pris | Bemærkning |
|---|---|---|
| MFA (Microsoft Authenticator) | Gratis | Inkluderet i Microsoft 365 |
| Microsoft Defender for Business | Ca. 65 kr./bruger/md. | Del af Microsoft 365 Business Premium |
| Password manager (1Password Teams) | Ca. 50 kr./bruger/md. | |
| Backup (Veeam/Acronis) | 500–3.000 kr./md. | Afhænger af datamængde |
| Erhvervsfirewall (Fortinet FortiGate) | 3.000–15.000 kr. | Engangsomkostning |
| Sikkerhedstræning (Knowbe4) | Ca. 100 kr./bruger/md. |
Den samlede månedlige sikkerhedsomkostning for en 10-personers virksomhed på niveau 2 er typisk 3.000–6.000 kr./md. – langt under den gennemsnitlige omkostning ved et ransomware-angreb, der typisk løber op i 100.000–500.000 kr. i nedetid, gendannelse og tabt omsætning.
Effitec leverer infrastruktur og IT-sikkerhed til virksomheder
Effitec leverer infrastruktur og IT-sikkerhedsløsninger til virksomheder med fokus på stabilitet, enkelhed og skalerbarhed. Vi hjælper med at kortlægge jeres nuværende setup, identificere de vigtigste risici og levere det rette udstyr og de rette løsninger – tilpasset din virksomheds størrelse og behov.
Vi leverer ikke unødigt komplekse løsninger. Vi leverer et sikkert fundament der virker i praksis.
Læs mere om infrastruktur og IT-sikkerhed hos Effitec → eller kontakt os →
Ofte stillede spørgsmål om IT-sikkerhed for SMV’er
Er min virksomhed for lille til at blive hacket? Nej. Cyberkriminelle går primært efter de nemmeste mål – og det er typisk små virksomheder med forældet software, svage passwords og ingen backup. Størrelsen er irrelevant. Sikkerheden er det der tæller.
Hvad er MFA og hvorfor er det vigtigt? MFA (multifaktorgodkendelse) kræver at brugeren bekræfter sin identitet med en ekstra faktor – typisk en kode på telefonen – ud over passwordet. Det blokerer over 99 % af automatiserede angreb, selv hvis passwordet er kompromitteret.
Hvad er ransomware? Ransomware er malware der krypterer alle filer på computeren og netværket og kræver løsesum for at låse dem op. Det er den alvorligste cybertrussel mod danske virksomheder. Den bedste beskyttelse er opdateret software, god backup og MFA.
Hvad er den vigtigste IT-sikkerhedsforanstaltning jeg kan tage? MFA på alle konti – særligt e-mail og Microsoft 365. Det er den enkeltste foranstaltning med størst effekt og kan implementeres på en eftermiddag.
Er Microsoft 365 en backup? Nej. Microsoft 365 er et produktivitetssystem, ikke en backup-løsning. Slettet data kan gendannes i en begrænset periode, men det er ikke en erstatning for en dedikeret backup-løsning. Brug Veeam, Acronis eller Microsoft 365 Backup som tillæg.
Hvad kræver GDPR af min virksomhed ift. IT-sikkerhed? GDPR kræver at persondata beskyttes med passende tekniske foranstaltninger: adgangsstyring, kryptering, og procedurer for håndtering af databrud. En grundlæggende IT-sikkerhedsopsætning dækker størstedelen af de tekniske krav.
Hvad gør jeg hvis vi har været udsat for et angreb? Stop spredningen: isolér de berørte enheder fra netværket. Kontakt jeres IT-partner eller leverandør. Anmeld til Datatilsynet inden for 72 timer hvis persondata er kompromitteret. Gendannelse fra backup er oftest den hurtigste vej tilbage til normal drift.
Hvad koster IT-sikkerhed for en lille virksomhed? En grundlæggende sikkerhedsopsætning (niveau 1) koster typisk 500–2.000 kr./md. En professionel opsætning til 10–50 medarbejdere (niveau 2) koster 2.000–8.000 kr./md. Det er markant billigere end konsekvenserne af et angreb.
Relaterede artikler: