Hvilke persondata blev berørt? Teknisk afgrænsning af et databrud

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

Afgrænsningen af et databrud sker i tre trin: Først fastlægges, hvilke objekter der var berørt, altså filer, postkasser, databasetabeller eller dokumentbiblioteker. Dernæst gennemgås indholdet af de objekter for at finde personoplysninger. Til sidst samles resultatet til en liste over registrerede og datakategorier, uden dubletter og med særlige kategorier markeret. Hvert trin har sine egne kilder og fejlkilder, og tallet i sidste ende er kun så godt som det svageste trin.

Den foreløbige afgrænsning, der skal bruges i en anmeldelse inden for 72 timer, er beskrevet i Persondatabrud på 72 timer. Her handler det om den grundige afgrænsning, der typisk følger.

Trin 1: Hvilke objekter var berørt?

Udgangspunktet er sporene efter adgang. Kilderne afhænger af systemet:

Microsoft 365-postkasser: Auditloggen kan vise, hvilke mails der blev tilgået, herunder via MailItemsAccessed, hvis det er logget. Se MailItemsAccessed og mailbox-auditlog.
SharePoint og OneDrive: Auditloggen viser visning, download og synkronisering pr. fil. Se Filaktivitet i SharePoint og OneDrive.
Filservere: Objektadgangsrevision, hvis den var slået til, ellers indirekte spor som kommandolinjer, arkivnavne og adgangsrettigheder.
Databaser: Audittabeller og forespørgselslogs, hvis de fandtes, ellers applikationens egne logs.
Udtræk: Spor efter pakning og overførsel, se Dataudtræk før kryptering.

Resultatet af trin 1 bør være tre lister: objekter, hvor adgang er bekræftet, objekter, hvor adgang er sandsynlig, og objekter, som den kompromitterede identitet havde adgang til. Den sidste liste er den øvre grænse. Hvor adgangslogning mangler, kan det være nødvendigt at bruge den øvre grænse i den videre opgørelse, og det skal fremgå.

Trin 2: Hvad indeholdt objekterne?

De berørte objekter skal gennemgås for personoplysninger. Ved små mængder kan det ske manuelt. Ved større mængder bruges en kombination af automatisk søgning og manuel kontrol:

Mønstersøgning efter strukturerede oplysninger som CPR-numre, kontonumre, telefonnumre og mailadresser. Mønstre giver falske fund, fx tal, der ligner CPR-numre, og overser data i billeder og scannede dokumenter uden tekstlag.
Søgning efter nøgleord for særlige kategorier, fx helbredsoplysninger, fagforeningsforhold eller oplysninger i personalesager.
Metadata og struktur: En tabel med kolonnerne navn, adresse og CPR-nummer behøver ikke gennemgås række for række for at fastslå kategorierne.
OCR af billeder og PDF-filer uden tekstlag, så de kan indgå i søgningen.

Søgningerne skal testes og dokumenteres: Hvilke mønstre og ord blev brugt, hvor mange fund gav de, og hvor mange var falske ved en stikprøve? Se Søgetermrapport og hitlister.

Data, der er krypteret af ransomware, kan ikke gennemsøges. Brug i stedet den seneste backup af de samme objekter som grundlag, og notér det. Vær opmærksom på, at backuppen kan være nogle dage ældre end angrebet, så de nyeste filer og poster mangler. Den forskel skal beskrives, og hvis det er muligt, suppleres med andre kilder, fx mails eller systemlogs fra de sidste dage.

Trin 3: Fra fund til registrerede

Fund skal omsættes til personer. Det er sværere, end det lyder:

Dubletter: Den samme person kan optræde i mange filer, i flere systemer og med forskellige stavemåder. Sammenkobling sker typisk på entydige nøgler som CPR-nummer eller mailadresse og derefter på navn og adresse.
Roller: Kunder, medarbejdere, leverandørers kontaktpersoner og pårørende er forskellige grupper af registrerede og skal holdes adskilt.
Særlige kategorier: Registrerede med særlige kategorier af oplysninger markeres for sig, fordi de har betydning for vurderingen af risiko og underretning. Den tekniske håndtering af sådanne udtræk er beskrevet i Særlige kategorier af persondata i et udtræk.

Resultatet er en tabel pr. gruppe af registrerede med antal, datakategorier og kilde. Den fulde liste over enkeltpersoner, der skal bruges til underretning, er et selvstændigt arbejdsprodukt med skærpet adgangskontrol.

Data, der tilhører andre

Mange virksomheder behandler persondata på vegne af kunder, fx som hostingleverandør, lønbureau eller leverandør af et fagsystem. Så skal afgrænsningen ikke kun opgøre registrerede, men også fordele dem pr. kunde, fordi hver kunde er dataansvarlig for sine data og skal have sin egen opgørelse. Det kræver, at objekterne kan knyttes til kunder, fx via mappestruktur, databaseskema eller tenant-id. Hvor det ikke kan lade sig gøre entydigt, skal det fremgå, og fordelingen skal beskrives som en vurdering.

Integritet og tilgængelighed

Afgrænsningen handler ikke kun om fortrolighed. Er data ændret, skal det opgøres, hvilke poster der er ændret, og om de oprindelige værdier kan genskabes fra backup eller logs. Er data tabt, fordi de blev krypteret eller slettet, skal det opgøres, hvilke data der ikke kunne gendannes, og hvilken periode tabet dækker, fx alt, der blev oprettet mellem sidste brugbare backup og angrebet. Det er ofte en anden gruppe registrerede end dem, hvis data blev hentet ud.

Når tallet ændrer sig

Afgrænsningen er en proces, og tallet ændrer sig typisk undervejs, efterhånden som flere kilder er undersøgt. Giv hver opgørelse en dato og et versionsnummer, og beskriv, hvad der har ændret sig siden sidst, og hvorfor. Så kan det vises, at ændringer skyldes nye fund og ikke tilfældigheder.

Beskyt data under gennemgangen

Afgrænsningen kræver, at personoplysningerne behandles igen, og det er en ny behandling, der skal håndteres forsvarligt. Arbejd på kopier i et lukket miljø, begræns adgangen til de personer, der udfører gennemgangen, log analytikernes adgang, og slet arbejdskopier efter en aftalt plan. Rapporter og bilag bør så vidt muligt indeholde optællinger og kategorier, ikke selve oplysningerne.

Typiske fejlkilder

Kun bekræftede objekter tælles med, selv om adgangslogning manglede for store dele af data. Tallet bliver for lavt og kan ikke forsvares.
Den øvre grænse bruges ukritisk, så alle registrerede i hele virksomheden tælles med, selv om sporene peger på en afgrænset del.
Falske fund fra mønstersøgning tælles som registrerede.
Dubletter fjernes ikke, så samme person tælles mange gange.
Vedhæftninger og arkiver pakkes ikke ud før søgning, så indholdet overses.
Delte postkasser og fællesmapper glemmes, fordi de ikke hører til en bestemt bruger.

Hvad afgrænsningen kan og ikke kan vise

En grundig afgrænsning kan vise, hvilke data der befandt sig i de berørte objekter, og hvor sikkert det er, at objekterne blev tilgået. Den kan ikke vise, hvad angriberen faktisk har gjort med data, eller om data bliver misbrugt. Den skal heller ikke vurdere risikoen for de registrerede. Det er en juridisk og organisatorisk vurdering, som den tekniske afgrænsning leverer fakta til.

Dokumentation

Rapporten bør beskrive metoden for hvert trin: kilder for adgang, de tre lister over objekter, søgemetoder med testresultater, regler for sammenkobling af dubletter og den endelige opgørelse pr. gruppe af registrerede og pr. datakategori. Angiv for hvert tal, om det er bekræftet, anslået eller en øvre grænse. Når afgrænsningen senere bruges i en sag om erstatning, er det netop metoden, der bliver efterprøvet. Hvordan virksomheden møder sådanne krav, er beskrevet i Kunderne kræver erstatning efter jeres databrud.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse efter et hackerangreb

Læs også: Persondatabrud på 72 timer: de tekniske fakta, der skal være fastlagt · NIS2: varsling og rapporter set fra logkilderne

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For DPO’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik