Kort sagt: Er jeres forenings website hacket eller står den på upatchet PHP, kræver det ikke et stort budget, men et klart ansvar. Et bestyrelsesmedlem forhører sig hos hostingudbyderen om patchstatus, sikrer adgangene og beslutter om nødvendigt midlertidigt at slukke siden. Medlemsdata har dermed forrang over begivenhedskalenderen.
Hvordan foreningswebsites typisk er opbygget
De fleste forenings- og forbundssider kører på WordPress eller Joomla, sat op af et engageret medlem, ofte for mange år siden. Typiske funktioner: begivenheder og kampprogrammer, fotogallerier, et medlemsområde med referater, online-medlemsansøgninger med SEPA-betalingsaftale, donationsformularer og tilmeldinger til kurser, turneringer eller ture.
Forbund driver desuden portaler for medlemsvirksomheder eller lokalafdelinger, udvalgsområder med fortrolige dokumenter og seminarbookinger. Næsten alt dette beror på PHP og ligger på billigt webhosting.
Hvilke medlemsdata der ligger på serveren
Online-medlemsansøgninger indeholder navne, fødselsdatoer, adresser og bankforbindelser. I sportsforeninger er mange medlemmer mindreårige, ansøgninger nævner så også de forældremyndighedshavende. Nogle oplysninger hører til de særlige kategorier efter art. 9 GDPR, f.eks. helbredsoplysninger i genoptrænings- og handicapsport eller medlemskab af fagforeninger og religiøse fællesskaber.
Ofte ligger der desuden glemte filer på serveren: medlemslister som regneark til kassereren, eksporter til udsendelse af foreningsbladet, gamle backups. Netop dem er der hurtigt kopieret ved et angreb.
Hos forbund kommer andre data til: kontaktpersoner og nøgletal hos medlemsvirksomheder, høringssvar i udkast, referater fra bestyrelses- og fagudvalgsmøder. Hvad der dér er drøftet fortroligt, kan ved et udslip svække forhandlingspositioner eller sætte medlemmer op mod hinanden. For forbund er medlemsområdet derfor ofte mere følsomt end det offentlige website.
Forening og hacket website: hvad det konkret betyder
- Misbrug af bankdata: Med navne og IBAN kan forfalskede betalingsaftaler eller svindelmails i foreningens navn forberedes.
- Omdømme i lokalsamfundet: En foreningsside, der omdirigerer til tvivlsomme tilbud, bemærkes af medlemmer, sponsorer og lokalpressen.
- Anmeldelsespligt: Også foreninger er dataansvarlige efter GDPR. Ved et dataudslip kan en anmeldelse til tilsynsmyndigheden inden for 72 timer være nødvendig. Større foreninger har en databeskyttelsesrådgiver hertil, mindre henvender sig til paraplyorganisationen eller juridisk rådgivning.
Det typiske hul: frivilligt arbejde og bestyrelsesskifte
I foreningen kender ofte kun én person de tekniske detaljer. Melder hun sig ud, eller skifter bestyrelsen, mangler adgangsdata, og ingen ved, hvilken PHP-version der kører. En CMS-opdatering lukker ikke PHP2Shell. Ved almindeligt webhosting er hostingudbyderen ansvarlig for PHP, men forespørgslen skal komme fra foreningen.
Fastlæg i bestyrelsen, hvem der er ansvarlig for websitet, og deponér adgange til domæne, hosting og admin-område, så mindst to personer kan få adgang. Beskyt admin-konti med tofaktorlogin.
Første skridt for bestyrelsen
- Spørg skriftligt hos hostingudbyderen: Er PHP for vores pakke opdateret til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller patchet via backport og genstartet?
- Uden et klart svar eller ved uregelmæssigheder: Sluk siden midlertidigt. Begivenheder kan i mellemtiden udsendes pr. rundmail.
- Bed hostingudbyderen om at opbevare logs fra 20.10.2026.
- Fjern gamle medlemslister, eksporter og ubrugte plugins fra serveren, og slet overskydende admin-konti.
- Ved tegn på et dataudslip inddrages databeskyttelsesrådgiveren eller paraplyorganisationen.
Prioritér fornuftigt med lille budget
Ingen forening behøver gennemføre enhver sikkerhedsforanstaltning på én gang. Fornuftigt er en rækkefølge efter skade: Først alt beskyttes eller fjernes, der indeholder bankforbindelser og data om børn. Så siderne med login, altså medlemsområde og admin-adgang. Til sidst begivenheder, beretninger og gallerier, som under alle omstændigheder er offentlige.
Ofte er den billigste løsning at afgive funktioner i stedet for selv at drive dem. Medlemsansøgninger og betalingsaftaler kan håndteres via en foreningsadministration, som en udbyder driver, i stedet for via en selvbygget formular. Forbund med portaler for medlemsvirksomheder bør undersøge, om der dér ligger fortrolige udvalgsdokumenter, som ville være bedre placeret i et separat beskyttet system. Jo færre data der ligger på foreningens website, desto mindre besvær forårsager den næste sårbarhed.
Hvordan hjælper PHP SOS konkret?
- Vi hjælper bestyrelsen med at få adgange tilbage og afklarer patchstatus med hostingudbyderen.
- Ved mistanke kontrollerer vi siden for skadelig kode og ukendte konti og renser den via vores nødhjælp.
- Vi rydder målrettet op: Det, en forening ikke har brug for, fjernes i stedet for fortsat at blive sikret.
- Vi giver jer en kort, forståelig overdragelse med, så også den næste bestyrelse ved, hvad der ligger hvor.
Ofte stillede spørgsmål
Hæfter bestyrelsen, hvis foreningens website bliver hacket?
Foreningen er ansvarlig for sine medlemmers data, og bestyrelsen repræsenterer foreningen. Om og i hvilket omfang et personligt ansvar kommer i betragtning, afhænger af det enkelte tilfælde og vedtægterne. Det er et spørgsmål for juridisk rådgivning eller paraplyorganisationen.
Vores webmaster er meldt ud. Hvordan kommer vi til adgangene?
Hostingudbyderens aftalepart er som regel foreningen. Med dokumentation for tegningsberettigelsen, f.eks. et registerudtog, kan bestyrelsen få adgange nulstillet hos hostingudbyderen. Bagefter bør adgangsdataene ligge et sted, som mindst to bestyrelsesmedlemmer har adgang til.
Hvad koster ingenting og hjælper med det samme?
Spørg hostingudbyderen skriftligt om PHP-patchstatus, slet ubrugte admin-konti, fjern plugins, der ikke længere bruges, og slet gamle medlemseksporter fra serveren. Det sænker risikoen tydeligt, men erstatter ikke en kontrol, hvis der allerede er tegn på et hack.