Nye cybertal: Kommunerne stod primært for skud i årets første kvartal

Kommunerne stod for godt 21 procent af de 1.681 registrerede hændelser med tegn på malwareinfektion hos danske virksomheder og organisationer i første kvartal af 2026.

Det viser TDC Erhvervs seneste cybersikkerhedsrapport, som bygger på analyser af den aktuelle trusselsaktivitet i erhvervslivet herhjemme.

Mest udsatte sektor
Kommunerne topper dermed listen som den sektor, der blev udsat for flest cyberangreb i årets første tre måneder. Og der er langt ned til anden og tredjepladsen, hvor telekommunikation og tekstilproduktion lander på henholdsvis 12 og 9 procent.

Førstepladsen betyder ikke nødvendigvis, at kommuner er dårligere beskyttet end andre sektorer, men de er særligt udfordret af flere grunde.

"Når det kommer til cybersikkerhed, sidder kommuner med en ualmindeligt kompleks opgave. De skal både værne om samfundskritiske funktioner og håndtere store mængder følsomme data, ofte via ældre it-systemer opbygget gennem mange år. Det giver en bred angrebsflade, som kræver et løbende og omfattende sikkerhedsarbejde," siger John Henriksen, CEO i TDC Erhverv.

Han tilføjer, at sektoren råder over nogle af landets mest komplekse it-miljøer med tusindvis af brugere, enheder og digitale tjenester på tværs af blandt andet skoler, sundhedspleje, administration og borgerservice.

Samtidig peger han på de kommende fælleskommunale it-serviceorganisationer som et vigtigt skridt mod en samlet sikkerhedsløsning for sektoren.

”Det er enormt vanskeligt for hver enkelt kommune at opbygge de specialiserede cybersikkerhedskompetencer, som det nuværende trusselsbillede kræver. Derfor er planerne om at samle it-driften et vigtigt initiativ, fordi de kan samle ressourcer og kompetencer til at skabe mere robuste it-miljøer,” siger John Henriksen.

Avanceret malware fylder
Rapporten viser derudover, at en del af de observerede hændelser sandsynligvis stammer fra skolenetværk og andre mindre overvågede it-miljøer. Her ser TDC Erhverv især udbredte typer af malware, som er lette for cyberkriminelle at skaffe offentligt og bruge. Ikke mindst såkaldte infostealers, der er udviklet til at stjæle loginoplysninger, adgangskoder og andre følsomme data.

Ser man isoleret på kommunerne, relaterer omkring hver fjerde registrerede hændelse sig til malware-typen XWorm – en såkaldt Remote Access Trojan (RAT), der fungerer som en skjult bagdør, som giver hackere adgang til en kompromitteret computer og mulighed for at stjæle data, overvåge aktivitet og fjernstyre enheden.

"Vi ser en tydelig stigning i, at cyberangreb sigter efter at opnå diskret adgang til systemer og data frem for at gøre væsen af sig med nedbrud, der er synlige fra start. Derfor har det aldrig været vigtigere at opdage angreb hurtigt og reagere effektivt. Især i organisationer med komplekse it-miljøer," siger John Henriksen.

Presset stiger på offentlige institutioner
Både første kvartals og sidste års indsigter indikerer, at offentlige institutioner er blevet et attraktivt mål for ondsindede aktører.

TDC Erhvervs Security Operations Center har gennem 2025 observeret en stigning i såkaldte DDoS-angreb mod samfundsvigtige funktioners domæner, herunder offentlige styrelser, offentlig transport og Skat. Det vil sige digitale overbelastningsangreb, hvor en hjemmeside eller onlinetjeneste belastes med så meget trafik, at den bliver utilgængelig for brugerne.

Aktiviteten steg markant under kommunal- og regionsvalget i november 2025, hvor op mod 100 danske domæner blev ramt gentagne gange over få dage, svarende til omkring en tredobbelt stigning fra tidligere.

Angrebenes timing og intensitet tyder på koordineret og politisk motivation og vidner om, at offentlige institutioner i stigende grad er blevet mål for angreb, der har til formål at skabe forstyrrelser, usikkerhed og pres på samfundskritiske funktioner.

Om rapporten
Rapportens indsigter bygger på analyser af mere end 100 milliarder anonymiserede datapunkter blandt TDC Erhvervs kundebase af virksomheder, myndigheder og offentlige institutioner. Dataene er blevet analyseret i realtid i perioden 1. januar til 20. marts 2026 ved hjælp af kunstig intelligens og avancerede datamodeller for at give et repræsentativt overblik over det aktuelle cybertrusselsbillede.

Download og læs hele rapporten her eller download den i vedhæftningen herunder.