Identiske passord: derfor er gjenbruk av passord så farlig

Hva betyr gjenbruk av passord?

Vi snakker om gjenbruk av passord når det samme eller et bare lett endret passord brukes til flere kontoer. I praksis opptrer det i tre former:

• Identiske passord: Ett passord for e-post, CRM, Cloud-lagring og nettbutikk – det klassiske tilfellet.
• Variasjoner: «Sommer2025!» blir til «Sommer2026!» eller «Sommer2025!!» – for automatiserte angrep praktisk talt like lett å gjette som originalen.
• Blanding av privat og jobb: Det private strømmepassordet er samtidig pålogging til et bedriftssystem. En lekkasje hos forbrukertjenesten rammer dermed bedriften direkte.

Hvor utbredt problemet er, viser undersøkelser jevnlig: Omtrent en tredjedel av internettbrukerne i Tyskland bruker det samme passordet til flere tjenester (Bitkom, januar 2025).

Credential Stuffing: Slik utnytter angripere identiske passord

Etter en datalekkasje sirkulerer stjålne kombinasjoner av e-postadresse og passord i lyssky forumer og samlinger. Ved Credential Stuffing kjører angripere disse listene automatisert mot påloggingssidene til andre tjenester – med botnett, fordelt over tusenvis av IP-adresser for å omgå sperrer. Hver gjenbruk blir dermed et treff (NCSC: advisory om Credential Stuffing).

Hvor direkte utnyttbart dette er, dokumenterer Verizon Data Breach Investigations Report: I angrepsklassen «Basic Web Application Attacks» var rundt 88 % av de rapporterte hendelsene knyttet til stjålne påloggingsdata. I motsetning til et brute-force-angrep må ingenting «knekkes» her – passordet er jo allerede kjent.

Fra enkeltlekkasje til kjedereaksjon

Den egentlige skaden oppstår når angrepene kjedes sammen: Med en overtatt e-postkonto kan angripere utløse passordtilbakestillinger for andre tjenester. Med en overtatt medarbeiderpålogging skaffer de seg tilgang til bedriftsnettverket, utvider privilegier, beveger seg lateralt – og ruller i verste fall ut løsepengevirus. BSI advarte allerede i 2024 uttrykkelig mot automatiserte påloggingsforsøk mot eksponerte systemer.

Et typisk forløp: lekkasje hos en forbrukertjeneste → samme kombinasjon fungerer i jobbens webmail → via postkassen tilbakestilles samarbeidsverktøy og Cloud-tjenester → fra den kompromitterte kontoen sendes interne phishing-e-poster til kolleger. Hvert ledd i denne kjeden forutsetter bare én ting: et gjenbrukt passord.

Hvorfor gjenbruk av passord er spesielt risikabelt i bedrifter

I bedriftssammenheng skjerper tre faktorer risikoen:

• Delte kontoer: Team-pålogginger for sosiale medier, leverandørportaler eller tjenestekontoer deles ofte muntlig, per e-post eller i lister – og overlever utskiftninger i personalet uendret. Den som en gang kjente passordet, kjenner det fortsatt.
• Uklar offboarding: Når noen slutter i bedriften, vet ingen med sikkerhet – uten sentral administrasjon – hvilke tilganger personen kjente og hvilke passord som må endres.
• Privat-jobb-blanding: Lekkasjer hos private tjenester kan bedriften verken forhindre eller oppdage – men virkningen kan begrenses hvis jobbpassordene garantert er unike.

Hvordan en sentral passordadministrasjon løser disse strukturproblemene, beskriver vår oversikt Passordbehandler for bedrifter; den organisatoriske siden behandler den praktiske artikkelen Sikker administrasjon av passord i bedriften.

Oppdag gjenbrukte og kompromitterte passord

Det første steget er åpenhet: Hvilke passord er svake, brukt flere steder eller allerede dukket opp i kjente datalekkasjer? To verktøy hjelper med det:

• Passordanalyse: Password Depot vurderer kvaliteten på lagrede passord og synliggjør svake oppføringer som bør erstattes.
• Sjekk mot kompromitterte lister: Via Verktøy → Sikkerhetssjekk → Sjekk mot pwned-passord sjekker Password Depot lagrede passord mot den offentlige databasen Have I Been Pwned – med k-anonymitet, uten at passordene dine forlater maskinen i klartekst. Nøyaktig denne sjekken anbefales også av NIST SP 800-63B.

Kjør sjekken regelmessig – særlig etter offentlig kjente datalekkasjer eller phishing-hendelser – og bytt ut berørte passord umiddelbart.

Forhindre gjenbruk av passord: tiltakene i oversikt

Det som virker, er kombinasjonen av retningslinje, teknikk og hverdagsegnethet – forbud alene strander på at ingen klarer å huske dusinvis av unike passord:

Tabellen kan rulles sidelengs

Stopp gjenbruk av passord sentralt med Password Depot Enterprise Server

Enkelttiltak hjelper – men unikhet lar seg bare håndheve sentralt. Password Depot Enterprise Server forankrer tiltakene i infrastrukturen:

• Sentrale passordretningslinjer: Minstelengde, tillatte oppføringstyper og generatorregler gjelder på serversiden for alle – ikke som anbefaling, men som krav.
• Delte kontoer uten delte hemmeligheter: Team-tilganger ligger i felles, krypterte databaser med roller og rettigheter – i stedet for i lister og chatter. Ved offboarding ser du sentralt hvilke oppføringer som er berørt.
• Sikkerhetssjekk for alle: Svake passord og passord som har dukket opp i lekkasjer, oppdages og erstattes – for hele organisasjonen i stedet for per enkeltbruker.
• MFA og katalogintegrasjon: FIDO2/WebAuthn og TOTP sikrer tilgangen ekstra; brukere og grupper kommer via Active Directory, SSO og MFA fra deres eksisterende identitetsforvaltning.
• Sporbarhet: Audit-logger besvarer spørsmålet «Hvem hadde tilgang til hva, og når?» – viktig for hendelsesanalyse og revisjoner.

Konklusjon: Unikhet er det mest effektive enkelttiltaket

Gjenbruk av passord er ikke et komfortproblem, men selve mekanismen som gjør en fremmed datalekkasje til deres sikkerhetshendelse. Løsningen har i årevis vært konsensus hos BSI, NIST og NCSC: lange, unike passord per tjeneste, en passordbehandler som gjør det praktisk gjennomførbart, sjekk mot lekkasjelister og MFA. I bedrifter hører det med en sentral passordadministrasjon som håndhever disse reglene – i stedet for å anbefale dem.

Vanlige spørsmål om identiske passord

Hva er Credential Stuffing?

Et automatisert angrep der kombinasjoner av e-postadresse og passord fra datalekkasjer prøves i massevis mot påloggingssidene til andre tjenester. Det fungerer bare fordi mange gjenbruker passord – ingenting må knekkes underveis.

Hvordan vet jeg om passordet mitt er berørt av en datalekkasje?

Gjennom en sjekk mot offentlige lekkasjedatabaser som Have I Been Pwned. I Password Depot er denne sjekken innebygd: Verktøy → Sikkerhetssjekk → Sjekk mot pwned-passord – med k-anonymitet, uten at passordene dine overføres i klartekst.

Er det nok å endre passordet litt?

Nei. Variasjoner som påhengte årstall eller utropstegn er forutsigbare og testes automatisk av angrepsverktøyene. Det eneste sikre er et tilfeldig generert passord som er unikt per tjeneste.

Hvor ofte bør man bytte passord?

Hendelsesbasert i stedet for etter kalenderen: ved mistanke om eller bevis på kompromittering, etter phishing-hendelser eller når medarbeidere med tilgang slutter. BSI, NIST og NCSC fraråder rutinemessig tvunget bytte uten foranledning, fordi det fører til svakere, forutsigbare passord.

Beskytter flerfaktorautentisering mot Credential Stuffing?

MFA er et av de mest effektive mottiltakene: Selv med riktig passord strander påloggingen på den andre faktoren. Phishing-resistente metoder som FIDO2/passkeys gir sterkest beskyttelse. MFA erstatter imidlertid ikke unike passord – begge deler hører sammen.

Hvordan forhindrer bedrifter gjenbruk av passord systematisk?

Med en sentral passordadministrasjon som Password Depot Enterprise Server: passordretningslinjer på serversiden, generator for unike passord, felles sikkerhetssjekk mot lekkasjelister, MFA samt roller og audit-logger for delte tilganger.