Databrud i indbakken: Auto-complete skal observeres

Et databrud kan opstå, når en medarbejder vælger den forkerte modtager i mailprogrammets auto-complete-felt og sender fortrolige oplysninger ud af huset.

Datatilsynet har gjort sikker anvendelse af auto-complete til et målrettet tilsynsområde i 2026.

Artiklen viser, hvordan risikovurdering, tekniske kontroller og en klar reaktion kan mindske risikoen.

Auto-complete er designet til hastighed. Programmet foreslår adresser på baggrund af tidligere korrespondance, og et navn kan vælges med få tastetryk. Det er praktisk, men det flytter en vigtig sikkerhedsbeslutning ind i et øjeblik, hvor brugeren ofte arbejder hurtigt. Ens navne, gamle eksterne kontakter og adresser med små forskelle gør fejlen svær at opdage før afsendelse.

Datatilsynet oplyser, at det hvert år modtager flere tusinde anmeldelser om brud på persondatasikkerheden, der skyldes e-mails sendt til forkerte modtagere. I 2026 vil tilsynet følge op med kontroller i både offentlige og private organisationer, især hvor store mængder følsomme eller fortrolige oplysninger behandles, og konsekvensen for de berørte kan være alvorlig.

Et databrud omfatter ikke kun offentliggjorte eller stjålne data. En enkelt uvedkommende modtager kan være nok til at bryde fortroligheden. Derfor skal vurderingen tage udgangspunkt i oplysningerne, modtageren, muligheden for videre spredning og den konkrete risiko for de personer, oplysningerne vedrører.

Awareness er nødvendig, men ikke tilstrækkelig

Træning kan gøre medarbejdere mere opmærksomme, men den fjerner ikke den menneskelige fejl. Datatilsynet skærpede allerede i 2023 sin praksis, fordi organisationer efter gentagne hændelser ofte nøjedes med at love mere awareness. For systematisk e-mailbehandling af fortrolige eller følsomme oplysninger skal der også være en eller flere tekniske kontroller.

Den rigtige løsning afhænger af risikoen og arbejdsgangen. Mulige kontroller kan være at begrænse eller deaktivere auto-complete for udvalgte medarbejdergrupper, vise tydelige advarsler ved eksterne modtagere, kræve en ekstra bekræftelse ved følsomme bilag eller bruge sikre portaler i stedet for almindelig e-mail. Kontrollen bør placeres dér, hvor fejlen kan opstå, og ikke kun beskrives i en politik.

Fire kontroller, ledelsen bør kunne dokumentere

Kortlæg de risikofyldte mailflows

Find de teams, der ofte sender helbredsoplysninger, personnumre, løndata, personalesager eller andre fortrolige oplysninger. Beskriv hvem der sender, til hvem, hvor ofte og gennem hvilke systemer. En generel vurdering af hele organisationen skjuler let de arbejdsgange, hvor risikoen faktisk er størst.

Match teknikken med konsekvensen

Vælg kontroller efter oplysningerne og modtagerkredsen. En advarsel om eksterne domæner kan være nyttig, men den hjælper ikke, hvis to borgere har næsten samme navn. I andre processer kan en godkendt adresseliste, tofaglig kontrol eller en portal med login være mere effektiv.

Mål om foranstaltningerne virker

Registrér nærved-hændelser, tilbagekaldte mails, advarsler og faktiske fejlafsendelser. Følg udviklingen pr. proces, og test med jævne mellemrum, om nye systemindstillinger eller ændrede arbejdsrutiner har svækket kontrollen.

Forbered reaktionen før næste fejl

Medarbejderen skal vide, hvem der kontaktes straks, og må ikke stå alene med vurderingen. Hav en kort procedure for at forsøge at begrænse spredningen, sikre bevis, vurdere risikoen og involvere den dataansvarlige, DPO, sikkerhed og kommunikation.

Når mailen er sendt til den forkerte

Reaktionen skal begynde med fakta. Hvilke oplysninger blev sendt, til hvem, hvornår og via hvilken kanal? Kan modtageren kontaktes gennem en verificeret kanal, og kan sletning eller tilbagelevering dokumenteres? Samtidig skal organisationen bevare mail, logdata og beslutninger, så hændelsen kan vurderes og efterfølgende forklares.

Hvis bruddet sandsynligvis indebærer en risiko for de berørtes rettigheder og frihedsrettigheder, skal den dataansvarlige anmelde det til Datatilsynet uden unødig forsinkelse og senest 72 timer efter at være blevet bekendt med bruddet. Ved høj risiko kan de berørte også underrettes. Ikke alle fejlafsendelser skal anmeldes, men alle brud skal vurderes og dokumenteres.

Den stærkeste indsats er ikke et generelt forbud mod e-mail, men en dokumenteret sammenhæng mellem oplysninger, arbejdsgang, risiko og kontrol. Start med de få mailflows, hvor en fejlafsendelse kan skade mest. Test derefter, om de tekniske barrierer faktisk ændrer adfærden og reducerer hændelserne.

Et naturligt næste skridt er at koble kontrollen til virksomhedens eksisterende risikovurdering og beredskab. Nespone har en praktisk introduktion til ISO 27001-risikovurdering og en it-beredskabsplan, som kan bruges til at forankre ansvar, test og opfølgning.