Kort sagt: For it-sikkerheden i en ejendomsadministration tæller først og fremmest de systemer, hvorigennem lejere og ejere indsender data: portaler, skadesanmeldelser og ansøgningsformularer til boliger. Afklar, hvilke af dem der kører på jeres egen server, lad PHP-rettelsen bekræfte, og hold en erstatningsvej klar til hastende skadesanmeldelser.
Hvilke PHP-systemer ejendomsadministratorer og mæglere bruger
Mange administrationer arbejder med en branchesoftware til ejendomme, lejeindtægter og forbrugsafregning. Udadtil kommer flere systemer til: lejer- og ejerportaler med dokumentarkiv, onlineformularer til skadesanmeldelser med fotoupload, boligtilbud med interesseformular og lejerens selvoplysning, områder til ejerforeningens møder med referater og beslutninger.
En del af det drives som tjeneste fra softwareudbyderen, en anden del kører på det egne website, ofte WordPress med ejendoms-plugins. For PHP2Shell er netop denne skelnen afgørende.
Dertil kommer grænseflader, som man i hverdagen næppe lægger mærke til: Ejendomstilbud overføres automatisk fra branchesoftwaren til websitet og til ejendomsportaler, målerstande kommer fra målerleverandører, håndværkerordrer løber via egne formularer. Hver af disse forbindelser kræver adgangsdata, som ofte er gemt på webserveren. Efter en hændelse skal de alle fornyes, ellers bliver der en bagdør for angriberen ind til tilgrænsende systemer.
Hvilke data lejere og ejere betror jer
I en ejendomsadministration ligger lejekontrakter, kontoforbindelser til betalingsservice, forbrugsafregninger, målerstande, korrespondance om mangler og tvister samt fotos fra boliger. Hos interesserede kommer selvoplysninger med indkomstdokumentation, id-kopier og kreditoplysninger til. I ejerportaler findes beslutninger, henlæggelser og delvis oplysninger om låsesystemer.
For angribere er disse data interessante af to grunde: De muliggør identitetsmisbrug, og de leverer alt, hvad man har brug for til troværdige svindelmails, f.eks. en angivelig ny kontoforbindelse til huslejen. Uploadede filer er desuden en typisk angrebsvej. Hvordan uploads gennemføres sikkert, forklarer vejledningen Filuploads i PHP.
Ejendomsadministration og it-sikkerhed: hvad en hændelse betyder
Falder portalen ud, mangler kanalen til hastende meldinger som vandskader eller varmeudfald. Det skaber pres på telefon og vagtordning, men kan planlægges. Farligere er et uset angreb:
- Lejere modtager forfalskede betalingsopfordringer med fremmed IBAN, der nævner rigtige kontraktdata.
- Selvoplysninger fra boligansøgere kopieres og bruges til svindel.
- Ejere mister tilliden til administrationen, hvilket bliver et emne på næste møde.
Er der tegn på et dataudslip, kan en anmeldelse til tilsynsmyndigheden efter GDPR's 72-timersregel være påkrævet. Vurderingen foretager I sammen med jeres databeskyttelsesrådgiver.
Bekræfter ingen, at PHP på jeres portals server er patchet og genstartet, så tag portalen af nettet. Omdirigér skadesanmeldelser midlertidigt til telefon og vagtordning.
Det typiske ansvarshul
| System | Drift | Hvem patcher PHP |
|---|---|---|
| Branchesoftware på kontoret | It-passer | oftest ikke berørt |
| Portal som tjeneste fra udbyderen | Softwareudbyder | Udbyder, anmod om bekræftelse |
| Portal på egen server | Hostingudbyder eller tjenesteudbyder | ifølge aftalen, ofte uafklaret |
| Website med boligtilbud | Bureau og hostingudbyder | Hostingudbyder ved webhosting |
Dertil kommer, at ingen i mindre administrationer har det samlede overblik. Bureauet kender websitet, it-passeren kontor-pc'erne, softwareudbyderen sin portal.
Inddrag ejere, bestyrelser og lejere rigtigt
I ejerforeningsadministrationen (WEG-Verwaltung) er ejere og bestyrelsesmedlemmer ikke kun berørte, men også opdragsgivere. De forventer med rette, at administrationen ved en hændelse rapporterer åbent og dokumenterbart. En kort rapport med årsag, berørte systemer, trufne foranstaltninger og åben status er bedre end tavshed til næste møde.
Lejere har først og fremmest brug for praktiske henvisninger: hvilken meldevej der aktuelt gælder, at kontoforbindelser ikke ændres pr. mail, og til hvem de kan videregive mistænkelige beskeder. Koordinerede tekster forhindrer, at viceværter, sagsbehandling og bogholderi giver forskellige oplysninger.
De første timer for direktionen
- List alle portaler og formularer, og afklar for hver, hvor den kører.
- Lad patchstatus på 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 hhv. backport og genstart bekræfte skriftligt.
- Sikr logs fra 20.10.2026, og lad upload-mapper kontrollere for ukendte filer.
- Kontrollér portalernes medarbejderkonti, og sikr dem efter oprydningen med tofaktorlogin.
- Gør lejere forebyggende opmærksom på, at kontoforbindelser ikke ændres pr. mail.
Hvordan hjælper PHP SOS konkret?
- Vi registrerer jeres portaler og formularer og afklarer med udbyder, bureau og hostingudbyder, hvem der er ansvarlig.
- Vi kontrollerer patchstatus og genstart og undersøger upload-mapper og databaser for webshells.
- Ved et angreb renser vi inden for rammerne af nødhjælp ved hackede websites og dokumenterer hændelsen for databeskyttelsesrådgiver og forsikringsselskab.
- Med en sikkerhedsvedligeholdelsesaftale forbliver PHP på jeres servere varigt aktuelt og overvåget.
Ofte stillede spørgsmål
Vores lejerportal er en software fra en udbyder. Er vi berørt?
Kører portalen som tjeneste hos udbyderen, er denne ansvarlig for server og PHP. Spørg dér skriftligt om status. Kører den samme software på jeres egen server eller hos jeres hostingudbyder, ligger rettelse og genstart hos jer eller jeres tjenesteudbyder.
Hvilke data fra lejerens selvoplysning er særligt følsomme?
Indkomstdokumentation, kopier af id-kort, kreditoplysninger og oplysninger om arbejdsgiver egner sig til identitetsmisbrug og svindel. De bør kun gemmes, så længe det er nødvendigt for udlejningen. Hvor længe det er, afklarer I med jeres databeskyttelsesrådgiver.
Hvordan forhindrer vi forfalskede betalingsopfordringer til lejere?
Meddel lejerne, at jeres kontoforbindelse ikke ændres pr. mail eller portalbesked, uden at I bekræfter det på en anden vej. Efter en hændelse bør I aktivt advare lejere. Teknisk hjælper hærdning af portalerne og tofaktorlogin til medarbejderkonti.