Bagdøre efter en administrator: opdagelse og dokumentation

Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen

Når en administrator fratræder i konflikt, eller der er mistanke om misbrug, skal det undersøges, om der findes adgangsveje, som overlever en spærring af den personlige konto: ekstra brugerkonti, app-registreringer med egne nøgler, registrerede enheder, fjernadgangsværktøjer, planlagte opgaver, videresendelsesregler og netværksåbninger. Rækkefølgen er afgørende: Find dem, dokumentér dem med oprettelsestidspunkt, opretter og seneste brug, og fjern dem derefter samlet og planlagt. Fjernes de først, forsvinder ofte netop de oplysninger, der kan vise, hvem der oprettede dem og hvornår. Ledelsens del, når en tidligere ansat stadig logger ind, er beskrevet i En tidligere medarbejder logger stadig ind. Her er den tekniske gennemgang på tværs af konti, cloud og netværk. Den samlede undersøgelse af en administrator står i Undersøgelse af en administrator, der kan slette loggen, og Windows-mekanismerne i dybden i Persistence i Windows.

Haster det? Auditlogs for oprettelserne og fjernadgangsportalernes forbindelseslogs udløber, og en adgangsvej kan bruges eller fjernes igen, mens der ventes. Se akut forensisk sikring; hastesager koster ekstra.

En “bagdør” betyder i denne sammenhæng enhver adgangsvej, der ikke er godkendt og dokumenteret. Mange af dem er oprettet i god tro som led i arbejdet og blot aldrig fjernet. Undersøgelsen skal skelne, ikke forudsætte.

Hvornår gennemgangen skal ske

Gennemgangen bør ske så tæt på overtagelsen af administratorens adgange som muligt, og helst som en del af den samme plan. Starter den først uger senere, kan auditlogs for oprettelserne være udløbet, og adgangsveje kan være brugt eller fjernet igen. Begynd med de oplysninger, der udløber: auditlog i identitetsudbyderen og cloudtjenesterne, fjernadgangsportalernes forbindelseslogs og firewallens logs. Konfigurationen af systemerne ændrer sig sjældent af sig selv og kan gennemgås bagefter, så længe ingen rydder op i mellemtiden.

Hvor der ledes

Identitet · Ekstra konti, gæstekonti, genaktiverede konti, ekstra MFA-metoder, undtagelser fra adgangspolitikker
Applikationer · App-registreringer og tjenesteprincipper med hemmeligheder eller certifikater, samtykker til apps
Enheder · Registrerede eller tilmeldte enheder med gyldige tokens
Mail · Videresendelse, indbakkeregler, transportregler, delegeringer
Servere og klienter · Lokale administratorkonti, tjenester, planlagte opgaver, autostart, SSH-nøgler
Fjernadgang · Fjernsupportværktøjer, RMM-agenter, VPN-konti og -profiler
Netværk · Firewallregler, portviderestillinger, administrativ adgang udefra, DNS-ændringer
Cloud og SaaS · IAM-brugere, adgangsnøgler, API-tokens, integrationsbrugere

Identitet og applikationer

Start i identitetsudbyderen, fordi den giver adgang til det meste. Undersøg konti oprettet, aktiveret eller ændret i perioden, og hvem der gjorde det. Undersøg også MFA-metoder tilføjet til andre konti end administratorens egen, og undtagelser i politikker for betinget adgang.

App-registreringer er en særlig risiko, fordi en registrering med en hemmelighed eller et certifikat kan give adgang til data uden en brugerkonto og uden MFA. Gennemgå registreringer og tjenesteprincipper, deres tilladelser, hvornår legitimationsoplysninger er tilføjet, og hvornår de sidst blev brugt. Samtykker, som brugere har givet til eksterne apps, hører med. → OAuth-apps og samtykke

Registrerede enheder kan beholde gyldige tokens, selv efter at en adgangskode er skiftet. → Registrerede enheder i Entra ID som vedvarende adgang

Mail

Videresendelse på postkasser, indbakkeregler, transportregler på organisationsniveau og delegeringer til andre postkasser kan sende eller give adgang til mail uden synlige logins. Gennemgå dem for hele organisationen, ikke kun for administratorens egen postkasse, og dokumentér oprettelsen i auditloggen. → Indbakkeregler og videresendelse

Servere og klienter

På servere og klienter ledes efter mekanismer, der starter kode eller giver adgang uden brugerens medvirken: tjenester, planlagte opgaver, autostartpunkter, lokale administratorkonti og, på Linux-systemer, autoriserede SSH-nøgler og cron-job. Sammenlign med en kendt, godkendt tilstand, hvis den findes, fx en standardopsætning eller en tidligere sikkerhedsgennemgang. → Autostart, planlagte opgaver og tjenester

Fjernadgang

Fjernsupportværktøjer og RMM-agenter, der ikke er en del af den godkendte opsætning, er en almindelig adgangsvej. Det samme er VPN-konti uden for den centrale identitetsstyring og fjernskrivebordsadgang åbnet i firewallen. Dokumentér for hvert værktøj, hvilken konto det er knyttet til hos leverandøren, og om leverandørens portal har en log over forbindelser. IT-leverandørens egne adgange er beskrevet i IT-leverandørens adgang: RMM-logs.

Netværk og cloud

Firewallregler, portviderestillinger og administrativ adgang til netværksudstyr udefra gennemgås med oprettelsesdato og ændringshistorik, hvis udstyret gemmer den. I cloudplatforme gennemgås IAM-brugere, adgangsnøgler og deres seneste brug. I SaaS-systemer gennemgås API-tokens og integrationsbrugere. Glem ikke domæneregistrator og DNS: En ændret kontaktadresse eller ekstra bruger hos registratoren kan give kontrol over domænet.

Backup og adgangskodebokse

Backup er en overset adgangsvej. Undersøg, hvem der har adgang til backupportalen og til eventuelle kopier uden for huset, om der er oprettet ekstra konti eller nøgler, og om opbevaringsregler er ændret. I adgangskodeadministratoren gennemgås, hvilke delte bokse administratoren havde adgang til, og om loggen viser åbning eller eksport af poster i perioden op til fratræden. Begge dele afgør, hvilke legitimationsoplysninger der skal skiftes. → Adgangskodeadministratorer: auditlogs ved fratræden

Sådan dokumenteres et fund

For hver adgangsvej registreres, før noget ændres:

Hvad: type, navn, id og konfiguration, eksporteret i systemets eget format, hvis muligt.
Hvornår: oprettelse og seneste ændring, fra auditloggen.
Hvem: den konto, der oprettede eller ændrede den.
Brug: seneste anvendelse og, hvis muligt, anvendelser efter fratræden.
Rettigheder: hvad adgangsvejen giver adgang til.
Begrundelse: findes der en ticket, en ændringsanmodning eller en aftale, der forklarer den?

Eksporter og skærmbilleder gemmes med hashværdier og indgår i sagens dokumentation. Notér, hvem der foretog gennemgangen, og med hvilken konto.

Fjern planlagt og samlet

Når adgangsvejene er dokumenteret, fjernes de i én koordineret handling, så den fratrådte ikke kan bruge én adgang til at genskabe en anden. Notér tidspunktet for hver fjernelse. Skift derefter delte legitimationsoplysninger, som administratoren kendte, fx tjenestekonti, nødadgange og adgangskoder i delte bokse.

Hold bagefter øje med mislykkede forsøg på at bruge de fjernede adgange. De er selvstændige spor, som kan vise, at adgangsvejen var i brug, og fra hvor.

Typiske fejl

At fjerne først. Uden dokumentation kan det ikke vises, hvem der oprettede adgangen, eller at den blev brugt.
Kun at se på administratorens egne konti. Adgangsveje oprettes ofte på andre konti, i apps eller på systemniveau.
At antage ond vilje. Mange glemte adgange er oprettet til et legitimt formål. Begrundelsen undersøges, før fundet vurderes.
At lade den fratrådte hjælpe med oprydningen. Spørgsmål om, hvilke adgange der findes, besvares ud fra systemerne selv, ikke ud fra en liste fra den, sagen handler om.
At glemme leverandørernes portaler. Fjernadgangs- og RMM-værktøjer har deres egne konti, som ikke ses i virksomhedens identitetsudbyder.

Gennemgangen kan med fordel munde ud i en fortegnelse over alle privilegerede adgange, som ledelsen godkender. Den er både grundlaget for at vurdere fundene og en beskyttelse fremadrettet: Næste gang en administrator fratræder, kan fortegnelsen bruges som tjekliste, og afvigelser fra den kan opdages hurtigt i stedet for at blive fundet tilfældigt.

Sammenhæng med resten af undersøgelsen

Fundene indgår i den bredere undersøgelse af administratorens handlinger, hvor de skal holdes op mod uafhængige kilder. En adgangsvej, der er oprettet kort før fratræden uden en ticket og brugt efter spærringen, vejer anderledes end en, der har eksisteret i årevis og aldrig er brugt. → Undersøgelse af en administrator, der kan slette loggen

Hvad fundene kan vise

Gennemgangen kan vise, at en adgangsvej fandtes, hvem der oprettede den, hvornår, og om den er brugt. Den kan ikke alene vise, hvorfor den blev oprettet. Er den brugt efter fratræden, er det næste spørgsmål, fra hvor og af hvem, og det kræver de samme kilder og den samme forsigtighed som enhver anden undersøgelse af adgang.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse ved fratræden

Læs også: Undersøgelse af en administrator, der kan slette loggen · IT-leverandørens adgang: RMM-logs og leverandørens egne konti

→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik