Håndværkere på farten: sådan beskytter I mobil, tablet og mail
Når tilbud, tegninger, kundedata og godkendelser ligger på telefonen i firmabilen, er telefonen en del af virksomhedens IT. Spørgsmålet er ikke, om den skal beskyttes, men hvor meget styring der er rimelig.
Beslut først, hvilke enheder der ejes af firmaet, og hvilke der er medarbejdernes egne. Firmaets telefoner og tablets bør tilmeldes central styring (fx Microsoft Intune), så I kan kræve skærmlås, holde dem opdateret og slette dem, hvis de bliver væk. På private telefoner kan app-beskyttelse holde firmadata inde i Outlook, Teams og OneDrive uden at styre resten af telefonen. Kombinér det med MFA og regler for, hvilke enheder der må logge på.
Kort fortalt
- Firmaejede enheder: tilmeld dem central styring – så kan I kræve kode, opdatere og fjernslette.
- Private telefoner: brug app-beskyttelse, der kun gælder firmadata i arbejdsapps.
- Uden adgangsregler (Conditional Access) kan medarbejdere stadig logge på fra ubeskyttede apps.
- Den hyppigste risiko er ikke hackere, men en mistet telefon uden skærmlås.
Hvad står der egentlig på spil i firmabilen?
For mange håndværksvirksomheder er telefonen det vigtigste arbejdsredskab uden for værkstedet. Den bruges til mail, fotodokumentation, tilbud, timeregistrering, kundens adresse og portkode, leverandørernes ordrebekræftelser og ofte også til at godkende log-ind med MFA. Det betyder, at en telefon, der bliver glemt på en byggeplads, kan give adgang til langt mere end opkald.
Risikoen er sjældent avanceret. Det handler typisk om tre ting: en enhed bliver væk eller stjålet, en medarbejder stopper og har stadig firmadata på sin private telefon, eller firmafiler havner i private apps og skytjenester, hvor ingen har overblik over dem.
Eksempel: En svend fotograferer et tavleanlæg og sender billedet til mester via en privat beskedapp. Billedet ligger nu i telefonens fotoalbum, i den private app og i dens backup – uden for virksomhedens kontrol, også efter at svenden er stoppet.
Den første beslutning: hvem ejer enheden?
Inden I vælger teknik, skal I afklare ejerskabet, fordi det afgør, hvor meget I må og bør styre. På en firmaejet telefon er det rimeligt at kræve skærmlås, styre opdateringer og kunne nulstille hele enheden. På en medarbejders private telefon er det ikke rimeligt at kunne slette feriebilleder – her skal beskyttelsen kun gælde firmaets data.
Microsoft Intune kan begge dele. Enheder kan tilmeldes (enrolles) og styres fuldt ud, eller I kan bruge app-beskyttelsespolitikker, som ifølge Microsoft også virker på enheder, der ikke er tilmeldt nogen form for central styring. Microsoft beskriver netop scenariet, hvor en medarbejder har både en firmatelefon, der er tilmeldt, og en privat tablet, der kun er beskyttet på app-niveau.
| Central styring af enheden | App-beskyttelse uden tilmelding | |
|---|---|---|
| Typisk brug | Firmaejede telefoner og tablets | Medarbejdernes egne telefoner |
| Hvad styres | Hele enheden: kode, opdateringer, apps, Wi-Fi, VPN | Kun firmadata i understøttede apps |
| Ved tab eller fratrædelse | Hele enheden kan nulstilles | Kun firmadata i apps slettes |
| Apps installeres | Kan udrulles centralt | Medarbejderen henter dem i app-butikken |
| Privatliv | Kræver klar aftale med medarbejderen | Private data røres ikke |
Hvad app-beskyttelse faktisk gør
App-beskyttelse virker i de apps, der understøtter Intune, fx Outlook, Teams, Word, Excel og OneDrive. Ifølge Microsoft kan I blandt andet kræve en PIN-kode eller fingeraftryk for at åbne firmadata, forhindre at firmadata kopieres over i private apps, forhindre at filer gemmes på private lagringssteder og slette firmadata fra apps uden at fjerne apps eller private data (selektiv sletning).
Der er begrænsninger, som er værd at kende. På en enhed uden tilmelding bliver apps ikke udrullet, og Wi-Fi-, VPN- og certifikatindstillinger kan ikke sendes til enheden. På Android kræver app-beskyttelse, at appen Intune Company Portal er installeret, selv om telefonen ikke tilmeldes. Og hver bruger skal have en Intune-licens tildelt.
Vær opmærksom: Microsoft skriver selv, at app-beskyttelse bør kombineres med Conditional Access for at sikre, at reglerne håndhæves. Uden adgangsregler kan en medarbejder i mange tilfælde bare logge på mailen i telefonens indbyggede mailapp eller en browser, hvor beskyttelsen ikke gælder.
Når en telefon bliver væk
Det er her, forskellen mellem de to modeller mærkes. En firmaejet enhed, der er tilmeldt Intune, kan nulstilles til fabriksindstillinger på afstand, hvilket fjerner alle data, apps og indstillinger. Microsoft nævner netop mistede og stjålne enheder som et typisk formål. En privat telefon med app-beskyttelse kan ikke nulstilles af virksomheden – men firmadata i de beskyttede apps kan fjernes.
Uanset model bør medarbejderne vide, hvem de skal ringe til, og at det skal ske samme dag. Samtidig bør I spærre eller nulstille adgangen til kontoen, så en aktiv log-ind-session ikke kan bruges videre.
- Hvem kontakter medarbejderen, når en telefon er væk – også uden for kontortid?
- Kan I se, hvilke enheder der har adgang til hver medarbejders konto?
- Er der en fast procedure for at nulstille enheden og logge kontoen ud overalt?
- Bliver MFA-metoden flyttet til en ny telefon, før den gamle slettes? Se ny telefon og totrinsbekræftelse.
Netværk ude hos kunden
Håndværkere arbejder på andres matrikler og bliver ofte tilbudt kundens Wi-Fi eller et åbent net på en tankstation. Sikkerdigital.dk anbefaler at undgå åbne trådløse netværk til arbejde og i stedet bruge telefonens internetdeling til computeren. Det er et enkelt råd at gøre til fast praksis: bærbare og tablets kobles på telefonens hotspot – ikke på det net, der tilfældigvis er tilgængeligt.
Sikkerdigital.dk understreger også, at både computere, telefoner og tablets skal holdes opdaterede. På firmaejede enheder kan I gøre det til et krav via central styring; på private telefoner kan app-beskyttelse kræve en minimumsversion af styresystemet, før appen giver adgang til firmadata.
Rækkefølgen, vi typisk anbefaler
Vores vurdering: I en håndværksvirksomhed med 5–30 medarbejdere giver det mest at starte med det, der mindsker skaden ved et tab, og først derefter stramme yderligere. Det vigtigste er, at reglerne er enkle nok til, at de bliver fulgt ude i marken.
- 1. Lav en liste over firmaets telefoner og tablets og hvem der har dem – og over, hvem der læser firmamail på egen telefon.
- 2. Slå MFA til for alle, gerne med en godkendelsesapp frem for sms.
- 3. Tilmeld firmaejede enheder i central styring med krav om skærmlås og opdateringer.
- 4. Indfør app-beskyttelse på private telefoner, der bruges til firmamail og -filer.
- 5. Bloker adgang fra apps og enheder, der ikke lever op til reglerne, med Conditional Access.
- 6. Skriv en kort regel om fotos og filer: arbejdsbilleder gemmes i OneDrive eller SharePoint, ikke i private apps.
Det, der kan vente
Mobil trusselsbeskyttelse, avancerede regler for hvilke websteder der må uploades til, og separate enheder til hver opgave kan være relevante senere. Men uden styr på de seks trin ovenfor giver de ikke meget. Det samme gælder dyre robuste enheder: et cover og en skærmlås beskytter data bedre end en ekstra tyk tablet uden kode.
Spørgsmål og svar
Kan vi se medarbejdernes private beskeder og billeder med app-beskyttelse?
Nej. Ifølge Microsoft gælder app-beskyttelse kun firmadata, når appen bruges med arbejdskontoen. Private data i telefonen bliver ikke styret eller slettet af virksomheden.
Skal en medarbejder acceptere at få sin private telefon tilmeldt?
Det bør I aftale skriftligt og klart. Vi anbefaler typisk, at private telefoner kun får app-beskyttelse, mens fuld styring forbeholdes enheder, firmaet ejer.
Er det nok med en kode på telefonen?
Det er et vigtigt første skridt, men det forhindrer ikke, at firmafiler kopieres til private apps, eller at en tidligere medarbejder fortsat har data. Derfor kombineres koden med app-beskyttelse eller central styring.
Kilder (tjekket oktober 2026): App protection policies overview – Microsoft Learn · Wipe devices with Microsoft Intune – Microsoft Learn · Skab en sikker hjemmearbejdsplads – Sikkerdigital.dk
Overblik over jeres mobile enheder
I en gratis IT-gennemgang ser vi på, hvilke telefoner og tablets der har adgang til jeres data, og hvad der giver mening at styre i jeres hverdag.
