Hvor sikre er password managere?

Det korte svar

En seriøs password manager gemmer Deres adgangsoplysninger i en stærkt krypteret database, som kun kan åbnes med Deres masteradgangskode. Det løser det egentlige problem: Uden en password manager bruger folk svage eller identiske adgangskoder – og netop dér foregår de fleste vellykkede angreb. Derfor anbefaler både BSI og det britiske NCSC udtrykkeligt brugen af password managere.

Det rigtige spørgsmål er altså ikke, om en password manager er sikker nok – men hvilken der opfylder sikkerhedskriterierne.

Sådan beskytter en password manager Deres data

• Kryptering efter industristandard: Databasen krypteres med AES-256 – standardiseret i FIPS 197 og af NSA opført i CNSA 2.0 Suite for særligt beskyttelseskrævende systemer. Nye lokale databaser bruger den autentificerede AES-GCM-tilstand (via Windows CNG), som gør manipulationer af de krypterede data synlige; den klassiske AES-CBC-tilstand forbliver tilgængelig. Vores artikel Rijndael/AES forklarer, hvordan algoritmen arbejder.
• Masteradgangskoden som eneste nøgle: Masteradgangskoden gemmes ikke i klartekst; nøglen afledes kryptografisk af den. Moderne retningslinjer som NIST SP 800-63B kræver hertil bl.a. hukommelseskrævende afledningsmetoder og salt.
• Beskyttelse under brug: Låsefunktion ved inaktivitet, kontrolleret udklipsholder og autoudfyldning reducerer angrebsfladen på arbejdspladsen – også mod skuldersurfing og phishing-tastefejl.
• Transportkryptering: Ved adgang til centrale databaser er forbindelsen beskyttet med TLS 1.3.
• Tidlig opdagelse af læk: Gemte adgangskoder kan tjekkes mod den offentlige database Have I Been Pwned – via k-anonymitet, uden at adgangskoder forlader computeren i klartekst.

Hvad siger BSI, NIST og NCSC?

• BSI: Anbefaler password managere, så der bruges en egen, stærk adgangskode til hver tjeneste – og fraråder siden 2025 regelmæssige adgangskodeskift uden anledning. Begge dele forudsætter i praksis en password manager.
• NIST: SP 800-63B kræver, at tjenester tillader indsættelse af adgangskoder – udtrykkeligt for at password managere kan bruges – og anbefaler tjek mod lister over kompromitterede adgangskoder.
• NCSC (UK): Anbefaler password managere som central byggesten i moderne adgangskodestrategier i organisationer.

Myndighederne er dermed enige: Password manageren er ikke risikoen – den er den anbefalede modforanstaltning.

Restrisici betragtet ærligt

Intet system er risikofrit. Fire punkter bør De kende – og sikre målrettet:

• Masteradgangskoden er den centrale nøgle: Den skal være lang og unik (en adgangssætning) og må ikke bruges noget andet sted. Adgangen kan derudover sikres med 2FA – f.eks. TOTP eller FIDO2-hardwaretokens.
• Kompromitterede enheder: En computer med skadelig software kan aflæse enhver indtastning – det gælder for password managere som for enhver anden applikation. Endpoint-beskyttelse og opdaterede systemer forbliver en pligt.
• Leverandørens cloud som angrebsmål: Centrale cloud-bokse med mange brugere er et yderst attraktivt mål. Denne risiko kan begrænses arkitektonisk: Ved on-premises-drift ligger de krypterede databaser i Deres egen infrastruktur – der findes ingen central producent-boks, som ville være interessant for alle kunder på én gang.
• Glemt masteradgangskode: Uden masteradgangskoden kan dataene ikke gendannes – det er bagsiden af ægte kryptering. For virksomheder løser centrale serverdatabaser med roller og backups dette problem organisatorisk.

Sådan genkender De en sikker password manager

Tabellen kan rulles til siden

For virksomheder kommer krav som roller, centrale politikker og auditlogs oveni – en komplet tjekliste indeholder artiklen Password manager til virksomheder.

Sådan opfylder Password Depot disse kriterier

• Kryptografi: AES-256 (FIPS 197) til databaser, TLS 1.3 med Perfect Forward Secrecy til klient-server-forbindelser; brugeradgangskoder hashes på serversiden med Argon2id.
• Eksternt testet: I den 10-dages penetrationstest udført af SySS GmbH (12/2025) blev der ikke fundet kritiske sårbarheder eller sårbarheder med høj alvorlighedsgrad – rapporten er dokumenteret i Trust Center.
• Certificerede sikkerhedsprocesser: Ledelsessystemet for informationssikkerhed hos producenten AceBIT er certificeret i henhold til ISO/IEC 27001:2022 (TÜV NORD). Bemærkning om transparens: Certificeringen vedrører producentens ISMS – udvikling, salg og support – ikke selve produktet.
• 2FA og adgangskodefrie metoder: TOTP, FIDO2/WebAuthn og Windows Hello sikrer adgangen yderligere.
• Datasuverænitet: Databaserne ligger lokalt, på egen Enterprise Server eller i egen Azure-tenant – uden producent-cloud i tillidskæden.
• Planlagt sikkerhed: Gratis Security-Updates med dokumenteret supportperiode (version 19: mindst december 2030).
• Indbygget læk-tjek: Ekstra → Sikkerhedstjek → Kontrollér i Pwned-adgangskoder tjekker eksisterende adgangskoder mod kendte datalæk.

For virksomheder: Håndhæv sikkerheden centralt

Til privat brug er en godt konfigureret klient tilstrækkelig. I organisationer er central håndhævelse afgørende: Password Depot Enterprise Server fastlægger passwordpolitikker på serversiden, styrer adgang via roller og grupper fra Active Directory eller Entra ID og logger hver adgang i et manipulationssikkert auditspor – grundlaget for audits og ansvarlighed efter GDPR. Dermed bliver en sikker enkeltapplikation til en dokumenterbar sikkerhedsstandard for hele virksomheden.

Konklusion: Sikkert er det, der opfylder kriterier – ikke det, der er bekvemt

Password managere er ifølge BSI's, NIST's og NCSC's samstemmende vurdering den rigtige vej til unikke, stærke adgangskoder. Det afgørende er valget: stærk, dokumenteret kryptografi, uafhængige tests, 2FA og et lagringssted, som De kontrollerer. Den, der derudover tager leverandørens cloud ud af tillidskæden, reducerer også den sidste strukturelle restrisiko.

Ofte stillede spørgsmål om sikkerheden i password managere

Kan password managere hackes?

Angreb retter sig i praksis mod svage masteradgangskoder, kompromitterede enheder eller leverandørers centrale cloud-bokse – ikke mod selve AES-256-krypteringen. En lang, unik masteradgangskode, 2FA og en løsning med selvvalgt lagringssted minimerer disse angrebsflader.

Er det ikke risikabelt at gemme alle adgangskoder ét sted?

Risikoen ved den krypterede samling er betydeligt mindre end risikoen ved alternativet: svage eller genbrugte adgangskoder på tværs af snesevis af tjenester. Netop derfor anbefaler BSI og NCSC udtrykkeligt password managere – det vigtige er en stærk masteradgangskode og 2FA.

Kender producenten mine adgangskoder?

Hos Password Depot nej: Masteradgangskoden gemmes ikke i klartekst, databasen er krypteret med AES-256, og ved on-premises-drift ligger dataene udelukkende i Deres egen infrastruktur.

Er adgangskodelageret i browseren lige så sikkert?

Browserlagre er koblet til browserprofilen, har ikke et selvstændigt masteradgangskode-koncept på alle platforme, ingen centrale politikker og ingen roller eller logfiler til teams. Til privat brugte enkeltkonti bedre end ingenting – uegnet til virksomheder.

Hvad sker der, hvis jeg glemmer min masteradgangskode?

Uden masteradgangskoden kan de krypterede data ikke gendannes – det er konsekvensen af ægte kryptering uden bagdør. I virksomhedsbrug afbøder centrale serverdatabaser, roller og automatiserede backups denne risiko organisatorisk.

Er cloud-password managere usikre?

Seriøse cloud-leverandører krypterer også stærkt. Strukturelt forbliver deres centrale boks dog et yderst attraktivt angrebsmål, og lagringssted samt tilgængelighed ligger hos leverandøren. Den, der skal udelukke det – f.eks. af compliance-grunde – driver adgangskodeadministrationen on-premises eller i egen cloud-tenant.