Executive Summary
De fleste angreb mod danske SMV’er starter ikke med avanceret hacking. De starter med noget, der ligner hverdag: en phishing-mail, en stjålet adgangskode eller en webapplikation med en fejl, som ingen har opdaget. Når det sker, handler risikoen ikke kun om IT. Det handler om drift, kundetillid, leverancer og i sidste ende om, hvor hurtigt din virksomhed mister kontrol.
Det er derfor, en pentest er nyttig for ledelsen. Den viser, hvordan en angriber realistisk kan bevæge sig fra første fod indenfor til adgang til systemer, mail eller data. Samtidig giver den et konkret grundlag for at prioritere indsatser, budget og ansvar, før et lille hul bliver til en reel hændelse.
I praksis finder en pentest ofte de samme mønstre hos SMV’er: mennesker der bliver presset af phishing, genbrugte eller svage adgangskoder og webapps med kendte svagheder. Det er ikke et tegn på, at nogen har fejlet. Det er et tegn på, at sikkerhed skal testes i virkeligheden og ikke kun på papir. Når du forstår angrebskæden, bliver det også langt lettere at styrke modstandskraften trin for trin.
Det første en angriber gør, er at samle små brikker
En angriber starter sjældent med at trykke på en stor rød knap. Første fase er rekognoscering. Her samler man offentligt tilgængelige oplysninger om virksomheden: domæner, medarbejdere, leverandører, login-sider, teknologier og gamle systemer, der stadig er eksponeret. For en dansk SMV kan det være information fra LinkedIn, leverandørportaler, jobopslag eller en glemt testside på webserveren.
Det lyder uskyldigt, men det er ofte her, angrebet bliver billigt og effektivt. Når en angriber ved, hvem der sidder i økonomi, hvilke cloudtjenester I bruger, og hvordan jeres kundeportal ser ud, bliver phishing mere troværdigt og adgangsforsøg mere præcise. MITRE ATT&CK beskriver netop rekognoscering, phishing og misbrug af gyldige konti som centrale teknikker i moderne angrebskæder. Se referencer hos MITRE ATT&CK.
En pentest tester denne fase ved at se på, hvor meget en outsider kan finde om jer uden særlige rettigheder. Det giver ledelsen svar på et vigtigt spørgsmål: Hvor let er det at bygge et troværdigt angreb mod netop vores virksomhed? Det svar kan bruges til at prioritere alt fra domænehygiejne og eksponering til træning og processer.
Initial adgang kommer ofte via phishing eller stjålne adgangskoder
Når angriberen har kortlagt nok, skal der findes en vej ind. Hos SMV’er er det ofte mailkontoen, fjernadgang eller en webapp, der bliver første trin. Verizon DBIR 2025 peger på, at stjålne legitimationsoplysninger fortsat spiller en stor rolle i brud, og at phishing fortsat er en af de mest brugte veje ind. Se Verizon DBIR.
I praksis betyder det, at en medarbejder klikker på et link, indtaster sine oplysninger på en falsk login-side eller bruger en adgangskode, der allerede er lækket et andet sted. Det kan også være en webapplikation, hvor adgangskontrol eller inputvalidering ikke er stram nok. OWASP Top 10 har i flere år vist, at webfejl som broken access control ligger helt i toppen af de mest alvorlige applikationsrisici. Se OWASP Top 10.
En pentest tester ikke kun, om der findes en teknisk sårbarhed. Den tester også, om et realistisk angreb faktisk kan føre til adgang. For ledelsen er det en vigtig forskel. Det er noget andet at vide, at en sårbarhed eksisterer, end at vide om den kan bruges til at kompromittere en konto, en webportal eller en forretningskritisk proces. Hvis risikoen er reel, bliver prioritering meget lettere.
Når artiklen berører medarbejderadfærd og phishing, giver det mening at tænke det sammen med awareness-træning. En pentest viser nemlig ofte, at teknik og adfærd hænger tæt sammen.
Når først angriberen er inde, forsøger de at bevæge sig videre
Det store problem er sjældent den første konto alene. Værdien opstår for angriberen, når én adgang kan bruges til mere. Det kaldes lateral bevægelse. I ikke-teknisk sprog betyder det blot, at angriberen bruger den første adgang til at nå videre til flere systemer, flere brugere eller mere følsomme data.
Det kan for eksempel ske, hvis en kompromitteret mailkonto giver indsigt i interne processer, nulstillingsflows eller dokumenter med følsomme oplysninger. Det kan også være en bruger med for brede rettigheder, delte administrator-konti eller manglende segmentering mellem systemer. Små fejl bliver pludselig kædet sammen.
En pentest er værdifuld her, fordi den viser, hvor hurtigt et mindre kompromis kan vokse. Ikke som teori, men som sammenhængende angrebskæde. Mange ledelser tror, at risikoen stopper ved én kompromitteret konto. I praksis er spørgsmålet ofte, hvad den konto kan åbne for bagefter. Derfor hænger en pentest også tæt sammen med et sikkerhedstjek, som kan fange konfigurationsfejl og eksponeringer, før de bliver udnyttet.
For budget og prioritering er dette ofte det mest nyttige fund. Hvis testen viser, at en enkelt bruger hurtigt kan føre til bredere adgang, har du et klart argument for at investere i bedre rettighedsstyring, stærkere loginbeskyttelse og mere tydelige processer.
Dataudtræk er målet, ikke bare adgang
En angriber går sjældent efter adgang for adgangens skyld. Målet er som regel data, penge eller forstyrrelse af driften. Når adgang først er opnået, vil angriberen typisk lede efter kundedata, økonomioplysninger, mails, dokumenter eller systemer, der kan bruges til afpresning eller svindel.
For en SMV er dette et forretningsproblem længe før det bliver et teknisk problem. Mister du kontrol over mails, kontrakter, kundedata eller interne filer, rammer det både tillid, leveringsevne og dokumentationskrav. Det er også her, dialogen med compliance bliver konkret. Hvis du arbejder med NIS2, GDPR eller kundekrav om dokumenteret sikkerhed, er det nyttigt at kunne vise, at sikkerheden faktisk er testet i praksis. Her kan en modenhedsanalyse supplere ved at koble de tekniske fund til styring, roller og dokumentation.
En god pentest bør derfor ikke ende i en lang teknisk liste alene. Den bør vise, hvilke data eller processer der realistisk kunne være blevet ramt, hvor stor forretningspåvirkningen er, og hvilke huller der bør lukkes først. Det gør testen anvendelig for både IT, ledelse og bestyrelse.
Hvorfor finder en pentest ofte det samme hos SMV’er?
Svaret er enkelt. Mange SMV’er har travlt, få interne specialister og en IT-drift, der er bygget op over tid. Det giver naturligt overlap mellem gamle vaner og nye systemer. Resultatet er ofte de samme tre mønstre: phishing der virker, adgangskoder der kan misbruges, og webapplikationer eller portaler med fejl, som ingen har testet offensivt.
Det betyder ikke, at alle virksomheder ser ens ud. Men det betyder, at angribere går efter det, der er nemmest, billigst og hurtigst at udnytte. Det er også derfor, en pentest sjældent starter med noget eksotisk. Den starter dér, hvor sandsynligheden er høj og friktionen lav. Verizon DBIR og MITRE ATT&CK understøtter netop, at phishing, credential abuse og misbrug af gyldige konti er gennemgående mønstre i virkelige hændelser, mens OWASP viser, at klassiske webfejl fortsat er blandt de mest almindelige og alvorlige problemer.
For ledelsen er læringen vigtig. En pentest er ikke bare en teknisk øvelse. Det er en reality check på, om jeres vigtigste kontroller virker under pres. Når testen peger på gentagne mønstre, bliver det muligt at arbejde mere strategisk med sikkerhed. Ikke alt på én gang, men de få steder hvor risikoen og effekten er størst.
Hvad ledelsen konkret kan bruge resultatet til
Den største værdi opstår, når fund bliver omsat til beslutninger. En pentest bør give et klart billede af, hvilke huller der skal lukkes først, hvilke kontroller der kræver investering, og hvilke risici ledelsen aktivt vælger at acceptere i en periode. Det gør sikkerhed mere styrbar og mindre mavebaseret.
Resultatet kan typisk bruges til tre ting:
- At prioritere indsatser efter reel forretningspåvirkning frem for teknisk støj
- At sætte budget på de områder, hvor et lille løft giver stor risikoreduktion
- At dokumentere over for kunder, ledelse og revisorer, at sikkerheden er testet i praksis
Hvis I ønsker en mere løbende og samlet tilgang, kan det give mening at se pentest som en del af et større sikkerhedssetup som Forkant™, hvor teknik, adfærd og opfølgning hænger bedre sammen.
Det vigtigste næste skridt er enkelt: Vælg én realistisk angrebskæde, som ville gøre ondt på din virksomhed, hvis den lykkes. Det kan være phishing til mailkonto, stjålne adgangskoder til cloudmiljøet eller en webapp med adgang til kundedata. Få derefter testet netop den kæde ende til ende. Så får du ikke bare en rapport. Du får et beslutningsgrundlag, der kan bruges med det samme.