Hvor sikre er passordbehandlere?

Det korte svaret

En seriøs passordbehandler lagrer påloggingsdataene dine i en sterkt kryptert database som bare kan åpnes med hovedpassordet ditt. Det løser det egentlige problemet: Uten passordbehandler bruker folk svake eller identiske passord – og nettopp der går de fleste vellykkede angrepene. Derfor anbefaler både BSI og britiske NCSC uttrykkelig bruk av passordbehandlere.

Det riktige spørsmålet er altså ikke om en passordbehandler er sikker nok – men hvilken som oppfyller sikkerhetskriteriene.

Slik beskytter en passordbehandler dataene dine

• Kryptering etter industristandard: Databasen krypteres med AES-256 – standardisert i FIPS 197 og oppført av NSA i CNSA 2.0 Suite for systemer som krever særlig beskyttelse. Nye lokale databaser bruker den autentiserte AES-GCM-modusen (via Windows CNG), som gjør manipulasjoner av de krypterte dataene synlige; den klassiske AES-CBC-modusen forblir tilgjengelig. Artikkelen vår Rijndael/AES forklarer hvordan algoritmen fungerer.
• Hovedpassordet som eneste nøkkel: Hovedpassordet lagres ikke i klartekst; nøkkelen avledes kryptografisk fra det. Moderne retningslinjer som NIST SP 800-63B krever blant annet minneharde avledningsmetoder og salt.
• Beskyttelse under bruk: Låsefunksjon ved inaktivitet, kontrollert utklippstavle og automatisk utfylling reduserer angrepsflaten på arbeidsplassen – også mot medlesing og phishing-tastefeil.
• Transportkryptering: Ved tilgang til sentrale databaser er forbindelsen beskyttet med TLS 1.3.
• Tidlig varsling om lekkasjer: Lagrede passord kan sjekkes mot den offentlige databasen Have I Been Pwned – med k-anonymitet, uten at passord forlater maskinen i klartekst.

Hva sier BSI, NIST og NCSC?

• BSI: Anbefaler passordbehandlere for å kunne bruke et eget, sterkt passord for hver tjeneste – og fraråder siden 2025 regelmessig passordbytte uten foranledning. Begge deler forutsetter i praksis en passordbehandler.
• NIST: SP 800-63B krever at tjenester tillater innliming av passord – uttrykkelig for at passordbehandlere skal kunne brukes – og anbefaler sjekk mot lister over kompromitterte passord.
• NCSC (UK): Anbefaler passordbehandlere som en sentral byggestein i moderne passordstrategier i organisasjoner.

Myndighetenes linje er dermed entydig: Passordbehandleren er ikke risikoen – den er det anbefalte mottiltaket.

Restrisikoer, ærlig betraktet

Intet system er uten risiko. Fire punkter bør du kjenne til – og sikre målrettet:

• Hovedpassordet er den sentrale nøkkelen: Det må være langt og unikt (en passfrase) og må ikke brukes noe annet sted. Tilgangen kan i tillegg sikres med 2FA – for eksempel TOTP eller FIDO2-maskinvarenøkler.
• Kompromitterte endepunkter: En maskin med skadevare kan lese med på alt som tastes – det gjelder passordbehandlere som enhver annen applikasjon. Endepunktsbeskyttelse og oppdaterte systemer forblir en plikt.
• Leverandørens Cloud som angrepsmål: Sentrale Cloud-hvelv for mange brukere er et svært attraktivt mål. Denne risikoen kan begrenses arkitektonisk: Ved On-Premises-drift ligger de krypterte databasene i egen infrastruktur – det finnes intet sentralt produsenthvelv som er interessant for alle kunder samtidig.
• Glemt hovedpassord: Uten hovedpassordet kan dataene ikke gjenopprettes – det er baksiden av ekte kryptering. For bedrifter løser sentrale serverdatabaser med roller og sikkerhetskopier dette problemet organisatorisk.

Slik kjenner du igjen en sikker passordbehandler

For bedrifter kommer krav som roller, sentrale retningslinjer og audit-logger i tillegg – en fullstendig sjekkliste finner du i artikkelen Passordbehandler for bedrifter.

Slik oppfyller Password Depot disse kriteriene

• Kryptografi: AES-256 (FIPS 197) for databaser, TLS 1.3 med Perfect Forward Secrecy for klient-server-forbindelser; brukerpassord hashes på serversiden med Argon2id.
• Eksternt testet: I den 10 dager lange penetrasjonstesten til SySS GmbH (12/2025) ble det ikke funnet kritiske eller svært alvorlige sårbarheter – rapporten er dokumentert i Trust Center.
• Sertifiserte sikkerhetsprosesser: Informasjonssikkerhetsstyringssystemet til produsenten AceBIT er sertifisert etter ISO/IEC 27001:2022 (TÜV NORD). Merknad om transparens: Sertifiseringen gjelder produsentens ISMS – utvikling, salg og support – ikke selve produktet.
• 2FA og passordløse metoder: TOTP, FIDO2/WebAuthn og Windows Hello sikrer tilgangen i tillegg.
• Datasuverenitet: Databasene ligger lokalt, på egen Enterprise Server eller i egen Azure-tenant – uten produsent-Cloud i tillitskjeden.
• Forutsigbar sikkerhet: Kostnadsfrie sikkerhetsoppdateringer med dokumentert supportperiode (versjon 19: minst desember 2030).
• Innebygd lekkasjesjekk: Verktøy → Sikkerhetssjekk → Sjekk mot pwned-passord kontrollerer eksisterende passord mot kjente datalekkasjer.

For bedrifter: håndhev sikkerheten sentralt

Privat er en godt konfigurert klient tilstrekkelig. I organisasjoner er sentral håndheving avgjørende: Password Depot Enterprise Server definerer passordpolicyer på serversiden, styrer tilganger via roller og grupper fra Active Directory eller Entra ID og logger hver tilgang i et manipulasjonssikkert auditspor – grunnlaget for audits og ansvarlighet etter GDPR. Slik blir en sikker enkeltapplikasjon til en dokumenterbar sikkerhetsstandard for hele virksomheten.

Konklusjon: Sikkert er det som oppfyller kriterier – ikke det som er bekvemt

Passordbehandlere er etter samstemt vurdering fra BSI, NIST og NCSC den riktige veien til unike, sterke passord. Det avgjørende er valget: sterk, dokumentert kryptografi, uavhengige tester, 2FA og et lagringssted du kontrollerer. Den som i tillegg tar leverandørens Cloud ut av tillitskjeden, fjerner også den siste strukturelle restrisikoen.

Vanlige spørsmål om sikkerheten i passordbehandlere

Kan passordbehandlere hackes?

Angrep retter seg i praksis mot svake hovedpassord, kompromitterte endepunkter eller leverandørenes sentrale Cloud-hvelv – ikke mot selve AES-256-krypteringen. Et langt, unikt hovedpassord, 2FA og en løsning med selvvalgt lagringssted minimerer disse angrepsflatene.

Er det ikke risikabelt å lagre alle passord på ett sted?

Risikoen ved den krypterte samlingen er betydelig mindre enn risikoen ved alternativet: svake eller gjenbrukte passord på dusinvis av tjenester. Nettopp derfor anbefaler BSI og NCSC passordbehandlere uttrykkelig – det viktige er et sterkt hovedpassord og 2FA.

Kjenner produsenten passordene mine?

Hos Password Depot: nei. Hovedpassordet lagres ikke i klartekst, databasen er kryptert med AES-256, og ved On-Premises-drift ligger dataene utelukkende i egen infrastruktur.

Er passordlagringen i nettleseren like sikker?

Nettleserlagring er koblet til nettleserprofilen, mangler et selvstendig hovedpassordkonsept på alle plattformer og har verken sentrale retningslinjer eller roller og logger for team. For privat brukte enkeltkontoer bedre enn ingenting – for bedrifter uegnet.

Hva skjer hvis jeg glemmer hovedpassordet mitt?

Uten hovedpassordet kan de krypterte dataene ikke gjenopprettes – det er konsekvensen av ekte kryptering uten bakdør. I bedriftsbruk demper sentrale serverdatabaser, roller og automatiserte sikkerhetskopier denne risikoen organisatorisk.

Er Cloud-passordbehandlere usikre?

Seriøse Cloud-leverandører krypterer også sterkt. Strukturelt forblir deres sentrale hvelv likevel et svært attraktivt angrepsmål, og lagringssted og tilgjengelighet ligger hos leverandøren. Den som må utelukke dette – for eksempel av compliance-grunner – drifter passordadministrasjonen On-Premises eller i egen Cloud-tenant.