Myten om hackerangreb: Databrud starter også med en fejlsendt mail
Databrud handler ikke kun om hackere. I Datatilsynets opdaterede statistik er oplysninger sendt til forkert modtager den hyppigste registrerede hændelsestype. Her er tallene – og fem konkrete tiltag til din virksomhed.
Når vi taler om databrud, tænker mange på hackere, ransomware og stjålne adgangskoder.
Men for en dansk SMV kan hændelsen begynde langt mere hverdagsagtigt: En medarbejder vælger den forkerte modtager i mailprogrammet. En lønfil bliver vedhæftet en kundemail. Eller et dokument deles med flere personer end tiltænkt.
Datatilsynets opdaterede statistik understreger, hvorfor de situationer fortjener opmærksomhed. Oplysninger sendt til forkert modtager er den hyppigste registrerede hændelsestype i datasættet.
Det betyder ikke, at virksomheden skal vælge mellem cybersikkerhed og gode arbejdsgange. Den har brug for begge dele.
Hvad viser Datatilsynets tal?
Det åbne datasæt, opdateret den 30. oktober 2026, indeholder 72.014 registrerede sager fra 2018 til september 2026. Heraf vedrører 7.787 sager januar–september 2026. Det sidste tal er altså ikke et helårstal.
På tværs af hele datasættets periode er der registreret:
| Hændelsestype | Antal registreringer | Andel af hændelsesregistreringer |
|---|---|---|
| Rigtige oplysninger sendt til forkert modtager | 23.605 | 30,3 % |
| Ondsindet aktivitet | 5.273 | 6,8 % |
Vigtigt: Procenterne er beregnet ud fra i alt 77.898 hændelsesregistreringer, også kaldet hændelsestags. En sag kan have flere hændelsestyper. Tallene betyder derfor ikke, at 30,3 % af alle unikke databrud skyldes en forkert modtager. Kategorien »ondsindet aktivitet« er heller ikke det samme som hackerangreb alene.
Alligevel er budskabet tydeligt: Forkert modtager optræder langt oftere som registreret hændelsestype end ondsindet aktivitet. Databrud er ikke kun en opgave for IT-afdelingen.
Du kan selv udforske tallene og deres afgrænsning på GDPRdesks statistikside.
Hvornår er en fejlsendt mail et databrud?
En mail til forkert modtager kan være et brud på persondatasikkerheden, hvis den giver uvedkommende adgang til personoplysninger.
Det kan eksempelvis være en kundeliste med navne og kontaktoplysninger, lønoplysninger om en medarbejder eller oplysninger om sygdom. Eksemplerne er illustrative – ikke konkrete sager fra statistikken.
Der behøver ikke at være følsomme oplysninger efter GDPR artikel 9, før der kan være tale om et databrud. Almindelige personoplysninger kan også kræve beskyttelse.
Omvendt er en fejlsendt mail uden personoplysninger ikke i sig selv et brud på persondatasikkerheden. Første spørgsmål er derfor: Hvilke oplysninger blev faktisk delt, og med hvem?
Hvorfor er det relevant for små og mellemstore virksomheder?
Mange SMV’er arbejder hurtigt og har få personer til at håndtere kunder, løn, leverandører og administration. Det gør klare, enkle rutiner værdifulde.
En firewall kan ikke alene forhindre, at en medarbejder vælger den forkerte »Michael« i adressefeltet. Og et stærkt kodeord kan ikke rette en forkert vedhæftning.
Derfor bør sikkerhedsarbejdet også omfatte modtagerkontrol, adgangsstyring og en fælles forståelse af, hvad medarbejderne skal gøre, når en fejl opdages. Målet er ikke at placere skyld. Målet er at begrænse skaden og lære af hændelsen.
Fem konkrete tiltag, der mindsker risikoen
1. Kontrollér modtageren før afsendelse
Gør et ekstra tjek til en fast vane, når mailen indeholder personoplysninger. Kontrollér den fulde adresse – ikke kun navnet, mailprogrammet foreslår.
2. Del færre oplysninger
Spørg, om modtageren har brug for hele dokumentet. Fjern unødvendige oplysninger, og undgå at sende komplette lister, når et mindre udsnit er tilstrækkeligt.
3. Vælg en passende delingsform
Overvej adgangsbegrænset deling eller en sikker kanal, når oplysningernes karakter kræver det. Kontrollér også rettighederne på et delt link: »Alle med linket« kan være bredere adgang end tilsigtet.
4. Aftal, hvem medarbejderne skal kontakte
En medarbejder skal kunne melde en fejl hurtigt uden først at finde ud af, hvem der har ansvaret. Udpeg en kontaktperson, og gør processen enkel.
5. Øv hverdagsfejl – ikke kun hackerangreb
Brug korte eksempler fra jeres arbejde: forkert vedhæftning, synlige modtagere i en masseudsendelse eller et dokument med for brede adgangsrettigheder. Små gentagelser kan styrke opmærksomheden.
Hvad gør du, hvis mailen allerede er sendt?
Reagér hurtigt. Stop yderligere deling, begræns adgang, hvor det er muligt, og kontakt den utilsigtede modtager med en relevant anmodning om sletning og om ikke at bruge eller videredele oplysningerne. Gem dokumentation for håndteringen.
Vurdér derefter risikoen for de berørte personer ud fra de konkrete forhold: oplysningerne, modtageren, mulige konsekvenser og de tiltag, der faktisk er gennemført. En slettebekræftelse kan indgå i vurderingen, men gør ikke automatisk hændelsen risikofri.
Hvis bruddet sandsynligvis indebærer en risiko for personers rettigheder og frihedsrettigheder, skal det anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter, at virksomheden er blevet bekendt med det. Ved sandsynlig høj risiko skal de berørte som udgangspunkt også underrettes uden unødig forsinkelse.
Alle brud skal dokumenteres internt, også når vurderingen er, at de ikke skal anmeldes.
Er du i tvivl om, hvor du skal begynde?
Start med GDPRdesks gratis værktøj »Skal jeg anmelde?«. Det giver en indledende vurdering – ikke en erstatning for virksomhedens konkrete vurdering og ansvar.
Har I brug for en mere struktureret håndtering, kan GDPRdesk hjælpe med screening, foreløbig brudvurdering og dokumentation. Se abonnementerne og adgangen til brudanalyse.
Det vigtigste er ikke kun at holde hackerne ude. Det er også at have styr på den næste mail, der forlader virksomheden.
Ofte stillede spørgsmål
Er en mail til forkert modtager altid et databrud?
Nej. Det afhænger blandt andet af, om mailen indeholder personoplysninger, og om de er blevet delt med en uvedkommende. En mail uden personoplysninger er ikke i sig selv et brud på persondatasikkerheden.
Skal alle fejlsendte mails anmeldes til Datatilsynet?
Nej. Anmeldelsespligten afhænger af risikoen for de berørte personers rettigheder og frihedsrettigheder. Brud skal dog dokumenteres internt, også når de ikke anmeldes.
Viser statistikken, at hver tredje sag skyldes en forkert modtager?
Nej. Forkert modtager udgør 30,3 % af hændelsesregistreringerne i det samlede datasæt, ikke 30,3 % af unikke sager. En sag kan have flere hændelsestyper.
Kilder:
- Datatilsynet: Detaljeret statistik over brud på persondatasikkerheden.
- Datatilsynets åbne datasæt, snapshot opdateret 30. oktober 2026, dækning til september 2026.
- GDPR artikel 4, nr. 12, artikel 33 og artikel 34.