Password managere med skybaseret synkronisering har haft en hård periode. Dashlane, LastPass og flere konkurrenter har alle været ramt af databrud eller sikkerhedsadvarsler de seneste år, og mange brugere har set sig om efter et alternativ, hvor masterdatabasen aldrig forlader egen hardware, hvis man ikke selv vælger det. Det er præcis den niche, KeePassXC fylder. Programmet er open source, kører lokalt på Windows, macOS og Linux, og gemmer alt i en enkelt krypteret fil, som du selv bestemmer, hvor skal ligge.
Denne guide tager dig igennem en fuld KeePassXC-opsætning i 14 trin: fra installation og database-oprettelse til browserintegration, TOTP-koder, YubiKey-lås, kommandolinjeautomatisering og et færdigt backup-script, du kan sætte op med cron. Du får også fem almindelige faldgruber, otte konkrete fejlfindingsscenarier og en sammenligning med Bitwarden og 1Password, så du kan vurdere, om den lokale model passer til dig. Sæt cirka 50 minutter af, hvis du følger alle trin fra start til slut.
Guiden er skrevet, så du kan springe direkte til det trin, du har brug for, men læs afsnittet om sikkerhedsmodellen først, hvis du aldrig har brugt en offline password manager før. De fleste fejl, folk begår med KeePassXC, kommer ikke af svag kryptering, men af at misforstå, hvad databasen rent faktisk beskytter mod, og hvad den ikke gør noget ved. Hører du til dem, der generelt vil styrke dit digitale privatliv, kan du finde flere af vores guider under privatliv.
Hvad er KeePassXC, og hvorfor er det værd at bruge i 2026?
KeePassXC er en videreudvikling af den oprindelige Windows-kun KeePass, skrevet som en native applikation i C++ til Windows, macOS og Linux. Projektet er fuldstændig open source, og koden kan gennemgås af hvem som helst på GitHub. Den nyeste stabile udgave er version 2.7.12, mens version 2.8.0 stadig lå som betaudgave ved research til denne artikel. Hold dig til den stabile 2.7-gren, hvis du bruger databasen til noget, der skal fungere hver dag.
Programmet distribueres til Windows som både 64-bit og 32-bit installer samt en portable udgave, til macOS som DMG-installer eller via Homebrew Cask, og til Linux som AppImage, Snap eller native pakker til Ubuntu, Debian, Fedora, Arch Linux, openSUSE og Gentoo. Den brede platformsstøtte er en del af grunden til, at programmet er blevet et standardvalg i mange tekniske miljøer, hvor teammedlemmer sidder på forskellige styresystemer, men stadig skal kunne åbne den samme database.
Den grundlæggende forskel fra Bitwarden, 1Password og NordPass er, at KeePassXC ikke har nogen konto og ingen central server. Alt, programmet håndterer, ligger i én .kdbx-fil, krypteret med AES-256, ChaCha20 eller Twofish-256, og låst op med en masterkode, en nøglefil eller en YubiKey. Der er ingen abonnementspris, ingen cloud-backend, der kan blive hacket centralt, og ingen virksomhed, der kan lukke eller blive opkøbt under dig. Prisen for den frihed er, at du selv skal stå for synkronisering mellem enheder, noget programmet ikke løser ud af boksen.
KeePassXC har været igennem flere uafhængige sikkerhedsgennemgange, blandt andet en applikationssikkerhedsgennemgang af sikkerhedsforsker Fonic Molotnikov og en teknisk ANSSI CSPN-evaluering udført af det franske firma Synacktiv. Begge rapporter beskriver, hvordan databasen bruger AES-256-CBC som standardcipher med Twofish-256 og ChaCha20 som valgfrie alternativer, og hvordan Argon2 bruges til at udlede nøglen fra din masterkode. Du kan læse Synacktiv-rapporten i fuld længde på keepassxc.org, hvis du vil ind i detaljerne, før du stoler på programmet med dine koder.
KeePassXC’s sikkerhedsmodel: Hvad beskytter databasen faktisk imod?
Det er værd at være præcis om, hvad en krypteret .kdbx-fil reelt forsvarer dig imod, før du bygger din daglige rutine op omkring den. Krypteringen beskytter dig mod en angriber, der får fat i selve filen, for eksempel via en stjålet bærbar computer, en lækket cloud-mappe eller en forkert konfigureret backup-server. Uden masterkoden, og eventuel nøglefil eller YubiKey, er filens indhold reelt ulæseligt, så længe du har valgt en lang masterkode og rimelige Argon2-indstillinger.
Det, krypteringen ikke beskytter dig mod, er en kompromitteret enhed. Hvis en angriber allerede har kørende kode på din computer, mens databasen er låst op, kan vedkommende i princippet læse det samme, som du selv kan se på skærmen. Det samme gælder keyloggere, der registrerer din masterkode i det øjeblik du skriver den. KeePassXC er derfor et værktøj, der flytter risikoen fra “en server et sted bliver hacket” til “min egen enhed skal holdes ren”, hvilket for mange brugere er en fordel, men kræver, at du også har styr på grundlæggende endpoint-sikkerhed som opdateret styresystem og antivirus.
Mange spørger også til kvantecomputeres indflydelse på AES-256, da post-kvante kryptering er blevet et varmt emne i både besked-apps og VPN-protokoller. AES-256 er allerede regnet som modstandsdygtig mod kendte kvantealgoritmer som Grovers algoritme, fordi en effektiv nøglelængde på 128 bit stadig er praktisk uknækkelig. Den langt mere konkrete trussel mod din database er derfor en svag masterkode eller en kompromitteret enhed, ikke kvantecomputere i en overskuelig fremtid.
Forudsætninger: Dette skal du have klar, før du starter
Du behøver ikke meget udstyr for at komme i gang, men et par ting gør opsætningen markant nemmere, især de trin der handler om browserintegration og synkronisering.
- KeePassXC 2.7.12 eller nyere (seneste stabile udgave)
- Windows 10/11 64-bit, macOS 12 eller nyere, eller en Linux-distribution med AppImage- eller Snap-support
- En browser med udvidelsesstøtte: Firefox, Chrome, Chromium, Brave, Vivaldi, Edge eller Tor Browser
- Terminaladgang, hvis du vil bruge CLI-trinene (bash, zsh eller PowerShell)
- Valgfrit: en YubiKey 5-serie til hardware-baseret lås
- Valgfrit: Syncthing 1.27 eller Nextcloud 28, hvis du vil synkronisere mellem flere enheder
Afsæt cirka 50 minutter til hele gennemgangen. Installation og database-oprettelse tager 10 minutter, browserintegration og TOTP tager yderligere 15, og de sidste trin med CLI, SSH-agent og backup-script tager resten.
Trin 1: Download og installer KeePassXC
Hent installationsfilen direkte fra det officielle GitHub-projekt i stedet for en tredjeparts-side. Det sikrer, at du får den signerede, uændrede binær.
På Windows kører du installeren og vælger standardplaceringen, med mindre du har en specifik grund til andet. På macOS trækker du blot programmet fra DMG-filen over i Programmer-mappen. På Linux afhænger kommandoen af din distribution:
# Ubuntu/Debian
sudo apt update && sudo apt install keepassxc
# Fedora
sudo dnf install keepassxc
# Arch Linux
sudo pacman -S keepassxc
# Universel installation via Snap
sudo snap install keepassxcForetrækker du en portable løsning uden pakkehåndtering, kan du hente AppImage-filen og gøre den eksekverbar med chmod +x KeePassXC.AppImage. Det er praktisk, hvis du kører KeePassXC fra et USB-drev eller på en maskine, hvor du ikke har adgang til root.
Uanset platform er det værd at tjekke, at den fil, du installerer, matcher checksummen eller signaturen på det officielle release-sted. Det tager under et minut og fjerner enhver tvivl om, at filen er blevet ændret undervejs, for eksempel hvis du har hentet den fra et spejlarkiv eller en langsom forbindelse, hvor downloaden blev afbrudt og genoptaget.
Trin 2: Opret din første krypterede database
Start KeePassXC og vælg “Opret ny database”. Giv databasen et navn, der er let at kende igen, men som ikke afslører indholdet, hvis en fil-browser viser den til andre. Næste skærm beder dig om at sætte en masterkode. Dette er den vigtigste kode, du vælger i hele opsætningen, fordi den beskytter alt andet.
Brug en lang sætning frem for et enkelt ord med tal og specialtegn. En sætning på 20-25 tegn, du selv kan huske, men som ingen andre ville gætte, slår et kort, komplekst kodeord hver gang, fordi angrebstiden stiger eksponentielt med længden. KeePassXC viser en styrkeindikator, mens du skriver, så du kan se effekten i realtid.
Du kan tilføje et ekstra lag i form af en nøglefil. Vælg “Tilføj yderligere beskyttelse” og generer en nøglefil, som du gemmer et andet sted end selve databasen, for eksempel på et USB-drev. Uden både masterkode og nøglefil kan databasen ikke låses op, selv hvis en angriber får fingrene i selve .kdbx-filen.
Trin 3: Vælg krypteringsalgoritme og juster Argon2id
Under “Database-indstillinger” kan du se og ændre krypteringscipher og KDF-indstillinger. AES-256 er standard og et solidt valg for de fleste. ChaCha20 er hurtigere på hardware uden AES-acceleration, og Twofish-256 findes som alternativ, hvis du af princip vil undgå NIST-standardiserede algoritmer.
| Cipher | Hastighed | Når det giver mening |
|---|---|---|
| AES-256 | Hurtig med hardware-acceleration | Standardvalg på de fleste moderne CPU’er |
| ChaCha20 | Hurtig uden hardware-acceleration | Ældre CPU’er eller ARM-baserede enheder |
| Twofish-256 | Moderat | Hvis du vil undgå NIST-godkendte ciphers |
Den vigtigste indstilling står under nøgleudledningsfunktionen (KDF). Vælg Argon2id, som projektet selv anbefaler frem for Argon2d, fordi det giver bedre modstand mod sidekanalsangreb baseret på timing. Sikkerhedsgennemgangen af Molotnikov fandt, at en typisk testopsætning kun brugte omkring 64 MiB hukommelse og 2 tråde med 29 runder, hvilket er for lavt til seriøs beskyttelse i 2026. Rapporten anbefalede i stedet mindst 2048 MiB hukommelse, mindst 2 tråde og omkring 4 runder som udgangspunkt.
Tjek selv, hvor lang tid det tager at låse databasen op på din svageste enhed, og justér derfra. Hvis oplåsning tager mere end 2-3 sekunder på din telefon, skru ned for hukommelsen, men behold Argon2id frem for det ældre Argon2d.
En god tommelfingerregel er at starte med 512 MiB hukommelse og 4 iterationer, teste oplåsningstiden på alle dine enheder, og derefter skrue op i trin af 256 MiB, så længe den svageste enhed stadig låser op på under to sekunder. Parallelitet bør typisk matche antallet af CPU-kerner, din svageste enhed har til rådighed, da en højere værdi end det reelt kun bremser oplåsningen uden at tilføje ekstra sikkerhed.
Trin 4: Tilføj din første adgangskode-post manuelt
Klik på det grønne plus-ikon for at tilføje en ny post. Udfyld titel, brugernavn og URL, så KeePassXC senere kan matche posten med den rigtige side i browseren. Du kan organisere poster i grupper i venstre side, for eksempel “Bank”, “Arbejde” og “Sociale medier”, hvilket gør databasen langt lettere at navigere, når den vokser til flere hundrede poster.
Noter-feltet er nyttigt til sikkerhedsspørgsmål, backup-koder eller interne noter, men husk, at alt i databasen er krypteret som en helhed. Der er ingen grund til at undlade at skrive detaljer ned af bekymring for, at de “fylder” noget.
Avanceret organisering: Grupper, mærker og brugerdefinerede felter
Når databasen vokser forbi et par håndfulde poster, bliver organisering vigtigere end selve krypteringen for, om du faktisk kan finde noget igen. Grupper fungerer som mapper i venstre side af vinduet og kan ligge i flere niveauer, så du kan have en overgruppe “Arbejde” med undergrupper til hvert enkelt system eller kunde. Mærker (tags) er et supplement til grupper og gør det muligt at finde en post på tværs af grupper, for eksempel alle poster mærket “udløber-snart” eller “delt-med-familie”.
Brugerdefinerede felter er særligt nyttige til poster, der kræver mere end brugernavn og adgangskode. En post til en VPS-udbyder kan for eksempel have separate felter for kundenummer, supportkode og IP-adresse, alle beskyttet af den samme kryptering som selve adgangskoden. Du kan markere ethvert brugerdefineret felt som “skjult”, så det vises som prikker i oversigten, indtil du aktivt klikker for at se værdien, hvilket er praktisk, hvis du nogle gange deler skærmen under et møde.
Trin 5: Generér stærke, unikke adgangskoder automatisk
Klik på terningikonet ved siden af adgangskode-feltet for at åbne password-generatoren. Sæt længden til mindst 20 tegn og inkludér store og små bogstaver, tal og specialtegn. Fordi du aldrig skal huske koden selv, er der ingen grund til at gå på kompromis med længden for at gøre den “nemmere”.
Generatoren har også en fane til “Diceware”-baserede passphrases, hvor koden består af flere tilfældige ord. Det er praktisk til de få koder, du reelt skal skrive manuelt, for eksempel masterkoden til databasen selv eller kodeord til en router uden udklipsholder-adgang.
Trin 6: Installer browserudvidelsen KeePassXC-Browser
Udvidelsen hedder KeePassXC-Browser og findes i de officielle udvidelsesbutikker til Chrome, Chromium, Firefox, Brave, Vivaldi, Edge og Tor Browser. Søg efter navnet direkte i din browsers udvidelsesbutik, og undgå udvidelser med lignende navne fra ukendte udviklere, som ofte dukker op i søgeresultaterne over den rigtige.
Når udvidelsen er installeret, skal du aktivere browserintegrationen i selve KeePassXC-programmet under “Værktøjer” og “Indstillinger” og derefter fanen “Browser-integration”. Afkryds boksen for den browser, du bruger, og gem indstillingerne.
Kører du flere browsere parallelt, for eksempel Firefox til private formål og Chrome til arbejde, skal du afkrydse hver enkelt browser for sig i den samme indstillingsliste. KeePassXC håndterer flere aktive forbindelser samtidigt uden problemer, men hver browserprofil skal godkendes individuelt første gang, så regn med et ekstra minut per browser, du vil koble til.
Trin 7: Kobl databasen til din browser
Klik på KeePassXC-Browser-ikonet i browserens værktøjsbjælke. Udvidelsen beder om forbindelse til den lokale KeePassXC-applikation, og programmet viser en popup, hvor du bekræfter forbindelsen og giver den et navn. Dette trin sker kun én gang per browser-profil.
Når forbindelsen er oprettet, vil KeePassXC-Browser automatisk udfylde login-felter, når du besøger en side, der matcher en post i databasen, og tilbyde at gemme nye logins, når du opretter en konto et nyt sted. Udvidelsen understøtter også passkeys i de nyeste versioner, så du kan gemme og bruge FIDO2-baserede login direkte fra databasen.
Trin 8: Opsæt TOTP-koder til to-faktor login
KeePassXC kan generere tidsbaserede engangskoder (TOTP), så du ikke behøver en separat 2FA-app. Åbn en post, gå til fanen “TOTP” og indsæt den hemmelige nøgle, du får vist, når du aktiverer to-faktor-login på en tjeneste, typisk som en QR-kode eller en tekststreng.
Det er værd at overveje, om du vil samle password og TOTP-kode i samme database. Nogle sikkerhedsrådgivere foretrækker at holde dem adskilt, så en kompromitteret database ikke automatisk giver adgang til begge faktorer. Andre foretrækker bekvemmeligheden af at have alt ét sted, beskyttet af samme masterkode og eventuelt en YubiKey. Vælg den model, der passer til din trusselsprofil, ikke bare den der er mest bekvem.
Trin 9: Lås databasen med en YubiKey
KeePassXC understøtter YubiKey challenge-response som et ekstra, hardware-baseret lag ved siden af masterkoden. Sæt din YubiKey i en USB-port, gå til database-indstillinger og vælg “Tilføj YubiKey” under afsnittet for yderligere beskyttelse.
Programmet sender en challenge til nøglen, som svarer med en kryptografisk respons, uden at nogen hemmelighed forlader selve YubiKeyen. Det betyder, at selv hvis en angriber kender din masterkode, kan vedkommende ikke åbne databasen uden den fysiske nøgle. Overvej at konfigurere en ekstra YubiKey som backup og opbevare den et andet sted end den primære, så du ikke bliver låst ude, hvis den første går tabt.
Hvis du endnu ikke har konfigureret nøglen til challenge-response, skal det gøres gennem Yubicos egen YubiKey Manager-software, før KeePassXC kan bruge den. Åbn YubiKey Manager, vælg “Applications” og derefter “OTP”, og konfigurer slot 2 til challenge-response med en tilfældigt genereret hemmelig nøgle. Når det er sat op, vises YubiKeyen automatisk som en mulighed i KeePassXC’s database-indstillinger, næste gang nøglen sidder i en USB-port.
Trin 10: Brug Auto-Type til login uden browserudvidelse
Auto-Type simulerer tastaturindtastning direkte i et vindue, hvilket er nyttigt til desktop-programmer, der ikke kører i en browser, eller til sider hvor udvidelsen ikke virker korrekt. Markér en post, placer cursoren i login-feltet på den aktive side, og tryk den globale genvej, typisk Ctrl+Alt+A på Windows og Linux.
Du kan tilpasse sekvensen for en specifik post, hvis standardopsætningen springer et felt over eller rammer i forkert rækkefølge:
{USERNAME}{TAB}{PASSWORD}{ENTER}Denne sekvens skriver brugernavn, trykker tab, skriver adgangskode og trykker enter, hvilket matcher de fleste standard login-formularer. Rediger sekvensen under postens “Auto-Type”-fane, hvis en bestemt side kræver en anden rækkefølge.
Trin 11: Synkroniser databasen mellem computer og mobil
KeePassXC har ingen indbygget cloud-tjeneste, hvilket er bevidst. I stedet synkroniserer du selv den krypterede .kdbx-fil med den metode, du har mest tillid til. Valget af metode afhænger mest af, hvor mange enheder du skal holde opdateret samtidig, og om de typisk er online på samme tid eller ikke.
| Metode | Fordel | Ulempe |
|---|---|---|
| Syncthing | Peer-to-peer, ingen tredjepartsserver gemmer filen | Kræver, at begge enheder er online samtidig |
| Nextcloud | Fungerer også når enheder ikke er online samtidig | Kræver egen eller betalt server |
| Cloud-drev (Dropbox, Google Drev) | Enkelt at sætte op | Filen ligger krypteret, men hos en tredjepart |
| USB/manuel kopiering | Ingen netværksafhængighed | Let at glemme at synkronisere, risiko for konflikt |
Uanset metode skal du altid lukke KeePassXC, før synkroniseringen kører, og undgå at redigere databasen samtidigt på to enheder. Hvis en konflikt opstår, så KeePassXC spørger, hvilken version du vil beholde, skal du aldrig blot overskrive uden at sammenligne, hvad der er nyest tilføjet i hver fil.
Mobilapps, der kan åbne din KeePassXC-database
KeePassXC-projektet laver ikke selv en officiel mobilapp, men KDBX-filformatet er åbent, så flere uafhængige apps kan åbne, redigere og gemme i den samme database. På Android er KeePassDX det mest brugte valg, med både en gratis udgave og en betalt Pro-version, der låser op for biometrisk login og mørkt tema. På iOS er Strongbox og KeePassium de to mest udbredte apps, begge med gratis niveauer og valgfrie abonnementer for ekstra funktioner som autofyld på tværs af apps.
Når du sætter en mobilapp op, peger du den på den samme fil, som ligger i din valgte synkroniseringsmappe fra forrige trin, for eksempel Syncthing-mappen eller Nextcloud-klienten på telefonen. Sørg for, at mobilappen bruger de samme Argon2-indstillinger uden at gå ned i sikkerhedsniveau for at spare batteri. Nogle mobilapps tilbyder en “hurtig oplåsning” med kortere PIN efter første fulde login, hvilket er en rimelig afvejning, hvis telefonen i øvrigt er krypteret og har skærmlås.
Trin 12: Automatiser opgaver med keepassxc-cli
Kommandolinjeværktøjet keepassxc-cli følger med standardinstallationen og giver adgang til databasen fra scripts og terminal uden at skulle åbne hovedprogrammet.
# List alle poster i databasen
keepassxc-cli ls minedata.kdbx
# Vis detaljer for en specifik post
keepassxc-cli show minedata.kdbx "Bank/Netbank"
# Tilføj en ny post direkte fra terminalen
keepassxc-cli add minedata.kdbx "Arbejde/Intranet" -u brugernavnEt typisk output ved et show-opslag ser sådan ud, når du har indtastet masterkoden korrekt:
Enter password to unlock minedata.kdbx:
Title: Netbank
UserName: brugernavn
Password: PROTECTED
URL: https://netbank.eksempel.dk
Notes: CLI-værktøjet er særligt nyttigt, hvis du vil hente et kodeord ind i et andet script uden at kopiere det til udklipsholderen, hvor det kan blive læst af andre programmer, der overvåger udklipsholderen. Du kan også bruge keepassxc-cli diff til at sammenligne to versioner af samme database, hvilket er praktisk, hvis du er i tvivl om, hvilken fil der er nyest efter en synkroniseringskonflikt fra trin 11, eller keepassxc-cli merge til faktisk at flette de to filer sammen i stedet for at vælge en og kassere den anden.
Trin 13: Integrer SSH-nøgler via KeePassXC’s SSH Agent
KeePassXC kan fungere som SSH-agent og holde dine private SSH-nøgler krypteret inde i databasen i stedet for som rå filer på disken. Funktionen understøtter RSA, Ed25519, DSA og flere ECDSA/OpenSSH-formater. Aktivér den under “Indstillinger” og “SSH Agent”, og markér “Aktivér SSH-agent-integration”.
Tilføj din private nøgle til en post via fanen “SSH-agent” på selve posten, og sæt miljøvariablen, så terminalen peger på KeePassXC i stedet for standard ssh-agent:
export SSH_AUTH_SOCK=$(keepassxc-cli ssh-agent-socket-path 2>/dev/null)
ssh-add -lNår databasen er låst op, kan du logge ind på servere med ssh uden at skrive en separat passphrase, fordi KeePassXC allerede har nøglen klar i hukommelsen. Lås databasen, og nøglen bliver utilgængelig for agenten igen.
Trin 14: Byg et komplet backup- og overvågningsscript
Det sidste trin samler alt i et færdigt, kørbart projekt: et script, der laver en tidsstemplet backup af databasen, beholder de seneste 10 kopier og logger resultatet, så du kan sætte det op som en cron-opgave.
#!/bin/bash
# keepassxc-backup.sh
SRC="$HOME/Dokumenter/minedata.kdbx"
DEST_DIR="$HOME/Backups/keepassxc"
TIMESTAMP=$(date +%Y%m%d-%H%M%S)
LOG="$DEST_DIR/backup.log"
mkdir -p "$DEST_DIR"
cp "$SRC" "$DEST_DIR/minedata-$TIMESTAMP.kdbx"
echo "$TIMESTAMP: backup gemt" >> "$LOG"
# Behold kun de 10 nyeste backups
ls -1t "$DEST_DIR"/minedata-*.kdbx | tail -n +11 | xargs -r rm
echo "$TIMESTAMP: oprydning udført, $(ls "$DEST_DIR"/minedata-*.kdbx | wc -l) backups beholdt" >> "$LOG"Gør scriptet eksekverbart med chmod +x keepassxc-backup.sh, og planlæg det med cron, så det kører hver nat:
# Kør crontab -e og tilføj linjen
0 2 * * * /home/bruger/keepassxc-backup.shResultatet er et selvkørende system, der hver nat tager en frisk kopi af databasen, rydder op i gamle versioner og skriver en logfil, du kan tjekke, hvis noget går galt. Kombinér det gerne med trin 11’s synkroniseringsløsning, så backuppen også ligger uden for den primære maskine.
Hvorfor tekniske teams også vælger KeePassXC
Selvom KeePassXC oftest bliver brugt af enkeltpersoner, dukker programmet også op hos udviklingsteams og it-afdelinger, der skal dele adgang til delte systemer uden at betale for et fuldt enterprise-abonnement hos en hostet udbyder. Kombinationen af keepassxc-cli og SSH-agent-integrationen gør det muligt at bygge deployment-scripts, der henter hemmeligheder direkte fra en krypteret database i stedet for at have dem liggende som klartekst i miljøvariabler eller konfigurationsfiler i et repository.
Den typiske model er en delt, skrivebeskyttet database med systemadgange, som synkroniseres til et team via Nextcloud eller en intern filserver, mens hver udvikler har sin egen personlige database til individuelle konti. Det kræver mere manuel administration end et centralt styret enterprise-produkt, men fjerner samtidig afhængigheden af en ekstern udbyders drift og prismodel, hvilket nogle organisationer vægter højt efter de seneste års databrud hos kommercielle password managere.
KeePassXC vs. Bitwarden og 1Password: Hvad er forskellen?
Den centrale forskel er ikke sikkerhedsniveauet i krypteringen, men hvor tilliden placeres. KeePassXC lader dig selv kontrollere filen og dens placering, mens Bitwarden og 1Password tilbyder en hostet tjeneste med indbygget synkronisering, device-styring og et abonnement, der betaler for driften. Det er heller ikke det samme som klassisk KeePass: KeePass 2.x er stadig primært en Windows/.NET-applikation, og selvom KeePassXC læser samme KDBX-filformat, er det to forskellige kodebaser udviklet af forskellige teams, med forskellige udgivelsescyklusser og platformstøtte.
| Egenskab | KeePassXC | Bitwarden/1Password |
|---|---|---|
| Hosting | Lokal fil, du selv styrer | Udbyderens cloud-infrastruktur |
| Synkronisering | Manuel (Syncthing, Nextcloud, cloud-drev) | Indbygget, automatisk |
| Pris | Gratis, ingen abonnement | Gratis-niveau findes, fuld funktion kræver abonnement |
| Open source | Fuldt open source | Bitwarden delvist, 1Password primært proprietært |
| Offline-brug | Fungerer altid uden internet | Afhænger af lokal cache |
Hvis du vil undgå helt at lægge adgangskoder i tredjeparts hænder, og ikke er bekymret for selv at håndtere synkronisering, er KeePassXC det naturlige valg. Hvis du derimod vil have en løsning, der fungerer identisk på alle enheder uden at tænke på det, er en hostet tjeneste som Bitwarden ofte en bedre balance mellem sikkerhed og bekvemmelighed. Se vores Bitwarden-opsætning, hvis den hostede model lyder mere oplagt for dig.
Sådan migrerer du fra en anden password manager
Den praktiske overgang til KeePassXC starter med en eksport fra den password manager, du bruger i dag. De fleste tjenester, inklusive Bitwarden, 1Password og Chrome’s indbyggede password manager, har en eksportfunktion under kontoindstillinger, der typisk ligger gemt under et punkt som “Eksporter data” eller “Avancerede indstillinger”. Vælg CSV-formatet, hvis det er tilgængeligt, da det er det format, KeePassXC’s importfunktion forstår bedst.
Åbn din nye KeePassXC-database, vælg “Database” i topmenuen og derefter “Importer”, og peg på den CSV-fil, du lige har hentet. KeePassXC viser en forhåndsvisning, hvor du kan matche kolonner som titel, brugernavn, adgangskode og URL til de rigtige felter, før importen gennemføres. Gennemgå et par stikprøver bagefter for at sikre, at specialtegn og lange adgangskoder er kommet helskindet igennem, da nogle eksportformater kan bryde felter med komma eller linjeskift i selve adgangskoden.
Det vigtigste trin kommer efter importen: slet den ukrypterede CSV-fil permanent, og tøm papirkurven. En eksportfil, der bliver liggende i download-mappen, ophæver effektivt den sikkerhed, du lige har opnået, fordi den indeholder alle dine adgangskoder i klartekst.
Brug samtidig overgangen til at rydde op i gamle vaner. Gennemgå listen af importerede poster, og slet konti du reelt ikke bruger længere. Skift adgangskoden på de vigtigste konti, som bank, primær e-mail og arbejdssystemer, i stedet for blot at genbruge den gamle kode fra den forrige password manager. Det er den nemmeste anledning, du får til at starte med en ren, opdateret database frem for at slæbe år af gammel gæld med over i det nye system.
5 almindelige fejl, du skal undgå
De fleste problemer med KeePassXC skyldes ikke svagheder i selve programmet, men vaner overført fra andre, mere automatiserede password managere. Her er de fem fejl, der oftest skaber reelle problemer, i modsætning til dem der blot er irriterende.
- At glemme masterkoden uden backup. Der er ingen “nulstil adgangskode”-knap i KeePassXC. Taber du masterkoden og har ingen nøglefil eller YubiKey-backup, er databasen tabt for evigt.
- At synkronisere databasen, mens den er åben. Det skaber konflikter og i værste fald en korrupt fil, hvis to enheder skriver samtidigt.
- At bruge svage Argon2-indstillinger. Standardværdier, der kun bruger få megabyte hukommelse, gør databasen hurtigere at angribe offline, hvis filen bliver stjålet.
- At eksportere databasen til CSV for “nem” adgang. CSV-filer er ukrypterede klartekstfiler. En eksport, der glemmes på disken, ophæver al beskyttelse.
- At stole på en browserudvidelse med lignende navn. Flere falske udvidelser har brugt navne tæt på “KeePassXC-Browser” i officielle butikker. Tjek altid udvikleren, før du installerer.
Fejlfinding: 8 problemer og løsninger
De fleste problemer med KeePassXC falder i et par faste kategorier: forbindelse mellem program og browser, hastighed på oplåsning, og konflikter når flere enheder rører samme fil. Gennemgå listen herunder, før du begynder at fejlsøge fra bunden.
- Browserudvidelsen finder ikke programmet. Tjek, at KeePassXC kører i baggrunden, og at browserintegrationen er aktiveret for den specifikke browser under indstillinger.
- Auto-Type rammer forkert felt. Juster den specifikke Auto-Type-sekvens for posten i stedet for den globale standard, især på sider med skjulte eller dynamisk indlæste felter.
- Databasen tager lang tid at låse op. Argon2-hukommelsen er sat for højt til enheden. Sænk værdien under database-indstillinger, men gå ikke under 64 MiB.
- YubiKey genkendes ikke. Prøv en anden USB-port, og bekræft at nøglen er konfigureret til challenge-response i slot 2 via YubiKey Manager.
- Synkroniseringskonflikt viser to versioner af filen. Åbn begge filer separat, sammenlign de nyeste poster manuelt, og flet dem ind i én fil, før du sletter den overflødige.
- TOTP-koden matcher ikke tjenesten. Tjek, at systemklokken er korrekt synkroniseret, da TOTP er tidsbaseret og fejler ved mere end 30 sekunders forskel.
- SSH-agent-integration virker ikke efter genstart. Miljøvariablen SSH_AUTH_SOCK nulstilles ved genstart. Tilføj export-linjen til din shell-profil, så den sættes automatisk.
- keepassxc-cli spørger om password, selv i scripts. Brug flaget til at læse adgangskoden fra en fil eller miljøvariabel i stedet for interaktivt, hvis scriptet skal køre uden opsyn, men vurder omhyggeligt, hvor den hemmelighed så opbevares.
Avancerede tips til daglig brug
Når grundopsætningen kører stabilt, er der flere justeringer, der gør KeePassXC endnu mere robust i den daglige brug. Aktivér “Lås database efter inaktivitet” under generelle indstillinger, og sæt tiden til 2-5 minutter på en delt eller bærbar maskine. Det begrænser skaden, hvis du glemmer skærmen ulåst.
Brug flere databaser til forskellige formål, for eksempel én til private konti og én til arbejdsrelaterede systemer, hver med sin egen masterkode. Det begrænser eksponeringen, hvis den ene kode kompromitteres. Overvej også at slå “Ryd udklipsholder efter X sekunder” til, så en kopieret adgangskode ikke ligger tilgængelig i udklipsholderen længere end nødvendigt.
Sæt desuden “Åben seneste database ved start” fra, hvis du deler computer med andre, selv på en konto, kun du har adgang til. Det tvinger KeePassXC til altid at spørge, hvilken fil der skal åbnes, hvilket giver dig et ekstra øjeblik til at genkende, om noget ser forkert ud, for eksempel hvis filstørrelsen eller placeringen pludselig har ændret sig uden din indblanding.
Tjek dit opsæt op mod en ekstern sikkerhedsvurdering en gang om året. Vores gennemgang af ETH Zürichs audit af flere password managere er et godt sted at starte, hvis du vil vide, hvilke angrebsvektorer forskere faktisk tester for. Og hold styr på, om dine øvrige konti dukker op i kendte databrud via vores gennemgang af Have I Been Pwned.
Til sidst: opdater regelmæssigt. Projektets GitHub Security-side viste ved research til denne artikel en rådgivning med id GHSA-3448-gh8j-3227, dateret 23. september 2026, side om side med en status, der på andre tidspunkter viste ingen aktive rådgivninger. Tjek altid den officielle release-side på GitHub for den nyeste stabile version og tilhørende sikkerhedsnoter, før du antager, at din installerede version stadig er fri af kendte svagheder. Hvis du i stedet overvejer en selvhostet serverløsning med webadgang, har vi også en gennemgang af Vaultwarden som selvhostet alternativ, og en note om, hvorfor Chrome-indbygget opbevaring ikke er nok i sig selv i vores artikel om sårbarheder i Chrome Password Manager.
Ofte stillede spørgsmål
Er KeePassXC gratis?
Ja. KeePassXC er fuldt gratis og open source uden abonnement, reklamer eller betalte tillægsfunktioner.
Kan jeg bruge KeePassXC på min telefon?
Det officielle desktop-program findes ikke direkte til Android eller iOS, men databasen i KDBX-formatet kan åbnes med kompatible mobilapps som KeePassDX på Android eller Strongbox og KeePassium på iOS, så længe du selv synkroniserer filen til telefonen, som beskrevet i afsnittet om mobilapps ovenfor.
Hvad sker der, hvis jeg taber min database-fil?
Uden en backup er al indhold tabt, da der ikke findes en central server, der kan gendanne den. Det er netop derfor, trin 14’s backup-script er en del af denne guide.
Er KeePassXC det samme som KeePass?
Nej. KeePass er den oprindelige, primært Windows/.NET-baserede applikation, mens KeePassXC er et separat, native projekt til Windows, macOS og Linux, der bruger samme KDBX-filformat.
Kan jeg importere mine adgangskoder fra Bitwarden eller 1Password?
Ja. KeePassXC kan importere CSV-eksporter fra de fleste andre password managere under “Database” og “Importer”. Slet altid den ukrypterede CSV-fil, så snart importen er bekræftet.
Hvor sikker er Argon2id i praksis?
Argon2id er i dag den anbefalede nøgleudledningsfunktion, fordi den kombinerer modstand mod GPU-baserede brute-force-angreb med modstand mod sidekanalsangreb. Styrken afhænger direkte af de hukommelses- og iterationsværdier, du vælger i trin 3.
Behøver jeg en YubiKey for at bruge KeePassXC sikkert?
Nej, en lang og unik masterkode er nok til de fleste brugere. En YubiKey tilføjer et ekstra lag, der er værdifuldt, hvis din trusselsmodel inkluderer, at nogen fysisk kan få adgang til din computer eller database-fil.
Virker browserudvidelsen i Tor Browser?
Ja, KeePassXC-Browser understøtter officielt Tor Browser ud over Chrome, Firefox, Brave, Vivaldi og Edge, men vær opmærksom på, at Tor Browsers standard sikkerhedsniveau kan begrænse visse udvidelsesfunktioner.
Kan flere personer dele den samme KeePassXC-database?
Ja, men det kræver disciplin omkring synkronisering. Del aldrig masterkoden over usikrede kanaler som e-mail eller sms, og brug i stedet en separat, krypteret kanal til selve koden, mens filen deles via Syncthing eller Nextcloud.
Hvad er forskellen på Argon2d og Argon2id?
Argon2d er optimeret rent mod GPU-baserede angreb, men er mere sårbar over for sidekanalsangreb, der måler timing. Argon2id kombinerer begge tilgange og er derfor det, KeePassXC-projektet og uafhængige sikkerhedsgennemgange anbefaler som standard i 2026.
