En adgangskodeboks uden internetforbindelse kan ikke lækkes fra en server, fordi der ikke findes en server at angribe. Det er den korte version af forskellen mellem KeePassXC og Bitwarden, men tallene bag den sætning er mere interessante end sætningen selv. Bitwarden har samlet 37 registrerede sårbarheder i den amerikanske sårbarhedsdatabase NVD siden 2019, heraf fem alene i 2026 med en kritisk score på op til 9,8. KeePassXC har seks i hele sin levetid, og ingen af dem kræver fjernadgang til en server, fordi KeePassXC aldrig har haft en server. Det gør ikke KeePassXC automatisk til det rigtige valg for alle, for Bitwarden løser et problem KeePassXC slet ikke forsøger at løse: synkronisering mellem telefon, laptop og browser uden at brugeren selv skal tænke på det.

Begge programmer er open source. Begge krypterer med stærke, moderne algoritmer. Men arkitekturen bag dem er så forskellig, at sammenligningen reelt handler om to filosofier for digital sikkerhed: den lokale fil, man selv kontrollerer fuldt ud, mod den synkroniserede tjeneste, der gør livet lettere på bekostning af en smule tillid til en tredjepart. For danske og nordiske brugere, der i stigende grad spørger sig selv, hvor deres data egentlig ligger, er det valg blevet mere relevant end for få år tilbage.

Det handler ikke kun om paranoia. En it-afdeling, der skal dokumentere databehandling under GDPR, en advokat med tavshedspligt, og en almindelig familie, der bare vil slippe for at huske 40 forskellige kodeord, har tre vidt forskellige krav til, hvad en “god” adgangskodemanager og privatlivsværktøj er. Denne gennemgang forsøger at besvare, hvilket produkt der vinder for hvem, baseret på officielle priser, dokumenterede krypteringsvalg og registrerede sårbarheder, snarere end på markedsføring fra de to leverandører selv.

Google · Foretrukne kilder

Gå ikke glip af nye tech-historier på Google

Tilføj Shattered én gang i Google-appen, så dukker vores artikler op i dine forslag.

Tilføj nu

Hvad er KeePassXC, og hvad er Bitwarden?

KeePassXC er en gratis, open source-adgangskodemanager under GPLv3-licensen. Den er en videreudvikling af KeePassX, som selv var en cross-platform-port af det oprindelige Windows-program KeePass Password Safe. Hele ideen er enkel: alle adgangskoder, noter og filer ligger krypteret i en enkelt .kdbx-fil på brugerens egen disk. Der er ingen konto at oprette, intet abonnement at betale, og ingen server, som KeePassXC-teamet driver eller har adgang til. Nyeste stabile version er 2.7.12, udgivet 10. marts 2026, mens en 2.8.0-beta1 i skrivende stund testes og blandt andet retter en hukommelsesfejl ved import af gamle KeePass 1-filer. Vores egen trin-for-trin-guide til KeePassXC går i dybden med selve installationen og den første database.

Bitwarden er også open source i sin klientkode, men driften er en kommerciel cloud-tjeneste fra Bitwarden Inc. Adgangskodeboksen krypteres på enheden, før den sendes til Bitwardens servere, og synkroniseres derefter automatisk til alle andre enheder. Virksomheden kalder modellen zero-knowledge, fordi Bitwardens medarbejdere ifølge selskabets eget sikkerhedsdokument aldrig kan se kodeord i klartekst. Den nyeste udgivelsescyklus i august 2026 bragte webklient, browserudvidelse, desktop-app, mobilapp og CLI alle op på version 2026.8.0 samtidig, hvilket er typisk for, hvordan Bitwarden ruller opdateringer ud på tværs af hele produktfamilien. Opsætningen af selve kontoen er dækket i vores Bitwarden-guide, og forskellen til en anden kommerciel konkurrent er beskrevet i sammenligningen mellem Bitwarden og 1Password.

Den vigtigste pointe at forstå, før man ser på priser og krypteringsalgoritmer, er denne: KeePassXC er et værktøj, mens Bitwarden er en tjeneste. Det ene stiller krav om, at brugeren selv håndterer backup og synkronisering. Det andet stiller krav om, at brugeren stoler på en leverandørs servere, driftssikkerhed og evne til at patche hurtigt, når noget går i stykker.

Typebrugeren ser også forskellig ud. KeePassXC trækker systemadministratorer, udviklere og folk, der allerede kører egne servere til andre formål, fordi den tekniske opsætning ikke skræmmer dem. Bitwarden trækker en bredere skare, fra teenagere der skal dele en streaming-konto med forældrene, til it-chefer, der skal dokumentere adgangskontrol for en revisor. Ingen af de to profiler er forkerte, de stiller bare forskellige krav til, hvad “nemt” betyder i praksis.

Specifikationer side om side: de 14 vigtigste forskelle

Tabellen herunder samler de tekniske egenskaber, som i praksis afgør, hvilket program der passer til en given brugssituation. Tallene for Bitwarden stammer fra selskabets eget sikkerhedsdokument og officielle prisside, mens KeePassXC-tallene kommer fra projektets egen dokumentation og udgivelsesnoter.

EgenskabKeePassXCBitwarden
ArkitekturLokal kdbx-fil, ingen serverCloud-synkroniseret boks (eller selvhostet)
Pris0 $ (gratis, open source)Gratis, eller fra 19,80 $/år (Premium)
LicensGPLv3, fuldt open sourceKlientkode open source, serverdrift proprietær
Nyeste version2.7.12 (10. marts 2026), beta 2.8.0-beta12026.8.0 (web, browser, desktop, mobil, CLI)
KrypteringsalgoritmerAES-256, ChaCha20, Twofish (valgfrit)AES-CBC 256-bit med HMAC-godkendelse
Nøgleafledning (KDF)Argon2d, Argon2id, AES-KDFPBKDF2-SHA256 (600.000 iterationer), Argon2id som alternativ
Andet trin ved loginMasterkodeord plus valgfri nøglefilTOTP, FIDO2, YubiKey OTP, Duo, passkeys
SynkroniseringBrugerens eget værktøj (Nextcloud, Syncthing m.fl.)Indbygget på alle enheder
Officiel mobilappIngen, kun tredjepartsklienterJa, iOS og Android
BrowserudvidelseKeePassXC-Browser, version 1.10.3Officiel udvidelse til alle større browsere
SelvhostingOverflødig, filen er allerede lokalOfficiel server eller uofficiel Vaultwarden
PlatformeWindows, macOS, LinuxWindows, macOS, Linux, iOS, Android, web
CertificeringANSSI CSPN (version 2.7.9, november 2025)SOC 2 Type II, SOC 3, ISO 27001
NVD-sårbarheder i alt6 siden 202337 siden 2019

Hver linje i tabellen peger på den samme grundforskel. KeePassXC har færre bevægelige dele, fordi der ikke er noget netværk involveret i selve adgangskodeopbevaringen. Bitwarden har flere funktioner, men også flere angrebsflader: en webklient, en server, en synkroniseringsprotokol og et API, som alle kan have fejl, der ikke findes i et program, der aldrig taler med internettet.

Det betyder ikke, at man kan læse tabellen som en ren sejrsliste for KeePassXC. Fraværet af en officiel mobilapp og fraværet af indbygget synkronisering er reelle mangler for en stor del af brugerne, ikke bare fodnoter. En teknisk sammenligning fortæller, hvad hvert produkt kan, men den fortæller ikke, hvilket produkt der faktisk bliver brugt korrekt hver dag, hvilket i sidste ende er den vigtigste sikkerhedsfaktor af dem alle.

Priser i 2026: gratis arkitektur mod abonnementsmodel

KeePassXC koster ingenting, uanset hvor mange adgangskoder man gemmer, hvor mange enheder man bruger den på, eller hvor mange år man bliver ved. Det er den direkte konsekvens af GPLv3-licensen og af, at der ikke er driftsomkostninger at finansiere. Bitwardens prismodel er bygget op i fem lag, fra en gratis plan til en virksomhedsplan, og priserne herunder er hentet direkte fra selskabets officielle prisside.

PlanPrisBrugereVigtigste egenskaber
Gratis (begge produkter)0 $1 (ubegrænset lokalt i KeePassXC)Grundlæggende opbevaring og generering af kodeord
Bitwarden Premium1,65 $/md., faktureret årligt til 19,80 $1Rapporter om lækkede kodeord, 1 GB filvedhæftning, TOTP-generator
Bitwarden Families3,99 $/md., faktureret årligt til 47,88 $Op til 6Delte samlinger, administratorgendannelse af konti
Bitwarden Teams4 $/md. pr. brugerPr. brugerSCIM-provisionering, hændelseslogning, delte samlinger
Bitwarden Enterprise6 $/md. pr. brugerPr. brugerSSO, politikstyring, dedikeret kundesupport

Regnestykket er ligetil for en enkeltperson. Over fem år koster Bitwarden Premium 99 dollar, mens KeePassXC stadig koster nul. Forskellen bliver mindre relevant for en familie eller et team, hvor Bitwardens delingsfunktioner sparer tid, som ellers ville gå til manuel synkronisering. En familie på seks personer betaler 47,88 dollar om året for Families-planen, hvilket svarer til under 8 dollar per person, og får i bytte en fælles adgangskodehvalv, de ikke selv skal bygge med Nextcloud eller en delt mappe.

Mange små virksomheder vælger en tredje vej: at selvhoste Vaultwarden, en uofficiel men Bitwarden-kompatibel server skrevet i Rust. Det giver adgang til Bitwardens klienter og brugervenlighed uden at betale for Teams eller Enterprise, men ansvaret for drift, opdateringer og backup flytter fra Bitwarden Inc. til virksomheden selv. Vaultwarden er ikke udviklet eller supporteret af Bitwarden, og de to bør ikke forveksles i en sikkerhedsvurdering.

Skalerer man priserne op til en lidt større gruppe, bliver forskellen mere konkret. Ti medarbejdere på Bitwarden Teams koster 40 dollar om måneden, altså 480 dollar om året, baseret på de 4 dollar pr. bruger, selskabet selv angiver. Vælger virksomheden i stedet Enterprise-planen til de samme ti personer, lander regningen på 720 dollar om året. KeePassXC ville koste nul i licens, men kræver, at virksomheden selv bygger en løsning til deling og tilbagekaldelse af adgang, hvilket for de fleste organisationer hurtigt bliver dyrere i arbejdstimer end selve Bitwarden-licensen.

Kryptering: hvilke algoritmer beskytter adgangskodeboksen?

Begge produkter bruger kryptering, der i dag anses for sikker, men valgene bag kulissen er forskellige nok til at have praktisk betydning. KeePassXC lader brugeren vælge mellem tre krypteringsalgoritmer til selve databasen: AES-256, ChaCha20 og Twofish. Til nøgleafledning, altså processen der omdanner masterkodeordet til en krypteringsnøgle, understøtter programmet Argon2d, Argon2id og det ældre AES-KDF, ifølge projektets egen dokumentation.

Bitwarden bruger AES-CBC med 256-bit nøglelængde og HMAC-godkendelse til selve vault-dataene, hvilket fremgår af selskabets sikkerhedsdokument. Standard-nøgleafledningen er PBKDF2-SHA256 med 600.000 iterationer, hvilket ligger markant over tidligere branchestandarder, og brugere kan selv skifte til Argon2id efter at have oprettet en konto. Hvert enkelt element i vaulten krypteres desuden med sin egen tilfældige 64-byte cipher-nøgle, som derefter krypteres igen med brugerens eller organisationens symmetriske nøgle, før noget overhovedet sendes til serveren.

Argon2 mod PBKDF2 i praksis

Argon2id regnes generelt som den mere moderne og hukommelseskrævende KDF, fordi den er sværere at angribe med GPU-klynger end PBKDF2. KeePassXC har tilbudt Argon2 som mulighed i årevis og lader brugeren justere både hukommelsesforbrug og antal iterationer manuelt. Bitwarden tilbyder samme algoritme, men som en valgfri indstilling frem for standard, hvilket betyder, at mange Bitwarden-konti i praksis stadig kører på PBKDF2-SHA256, simpelthen fordi brugeren aldrig har ændret standardindstillingen.

Forskellen har mindre praktisk betydning, end det kan lyde. 600.000 PBKDF2-iterationer er i 2026 stadig et solidt forsvar mod brute-force-angreb, medmindre masterkodeordet i sig selv er svagt. Den egentlige lektie er, at krypteringsstyrken i begge systemer i sidste ende hænger på brugerens eget kodeord. En kort eller gætbar masterkode gør den stærkeste KDF irrelevant.

Her er NIST’s retningslinjer i dokumentet SP 800-63B relevante for begge produkter, uanset hvilket man vælger. Standarden anbefaler en minimumslængde på 15 tegn for masterkodeord og fraråder tvungne, periodiske kodeordsskift uden konkret anledning som en lækage. En lang, unik sætning slår i praksis et kortere kodeord fyldt med specialtegn, fordi angriberens regnekraft rammer en eksponentiel mur ved længde, mens kompleksitet alene kun giver lineær modstand. Det gælder, uanset om databasen ligger lokalt i en kdbx-fil eller krypteret på en server i Bitwardens cloud.

Sikkerhedshistorik: CVE’er, revisioner og certificeringer

Her bliver forskellen mellem de to arkitekturer konkret og målbar. Den amerikanske sårbarhedsdatabase NVD lister 37 registrerede CVE’er for Bitwarden siden den første i 2019, mens KeePassXC har seks siden 2023. Tallet i sig selv fortæller ikke hele historien, fordi antallet af sårbarheder også afhænger af, hvor mange forskere der aktivt leder efter fejl i et givent produkt. Men sårbarhedernes type er mindst lige så vigtig som deres antal.

CVEProduktDatoCVSSKort beskrivelse
CVE-2026-42994Bitwarden CLImaj 20269,8 kritiskOndsindet kode i en npm-pakke i et 93-minutters tidsvindue
CVE-2026-43639Bitwarden Servermaj 20269,1 kritiskOvertagelse af organisation via provider-API i skytjenesten
CVE-2026-60104Bitwarden Serverjuli 20268,7 højLækage af vault-nøgle via Trusted Device Encryption
CVE-2026-43640Bitwarden Servermaj 20268,1 højOmgåelse af krav om genautentificering ved SCIM-nøgler
CVE-2026-43638Bitwarden Servermaj 20265,4 mediumManglende adgangskontrol ved import af cipher-data
CVE-2026-4158KeePassXCapril 20267,3 højLokal rettighedseskalering via usikker OpenSSL-konfiguration
CVE-2025-65203KeePassXC-Browserdecember 20257,1 højAutofill i en sandboxed iframe omgår CSP-beskyttelse
CVE-2026-69150KeePassXCoktober 20264,3 mediumHeap-fejl ved import af gamle .kdb-filer, rettet i 2.8.0-beta1

Mønsteret er klart. Næsten alle Bitwardens 2026-sårbarheder kræver netværksadgang til serveren og udnytter fejl i autorisationslogik, API-endepunkter eller SCIM-provisionering, altså de dele af systemet, der kun findes, fordi Bitwarden er en cloud-tjeneste. Den mest alvorlige, CVE-2026-42994, var ikke engang en fejl i Bitwardens egen kode, men et forsyningskædeangreb, hvor en kompromitteret npm-pakke indeholdt skadelig kode i en afgrænset periode i april 2026, ifølge rapporteringen af hændelsen fra sikkerhedsfirmaet Checkmarx.

KeePassXCs sårbarheder kræver derimod stort set alle lokal adgang til maskinen i forvejen. CVE-2026-4158 forudsætter, at en angriber allerede kan køre kode med lave rettigheder på systemet. CVE-2026-69150 kræver, at offeret selv åbner en manipuleret, ulåst .kdb-fil. Der findes ingen server at scanne, intet API at angribe udefra og ingen konto, en fremmed kan logge ind på fra et andet land. Det er ikke et bevis på, at KeePassXC er fejlfrit, men det viser, hvordan en mindre angrebsflade i praksis reducerer, hvad en ekstern angriber overhovedet kan nå.

Tælles sværhedsgraden op, bliver kontrasten endnu tydeligere. To af Bitwardens fem 2026-sårbarheder i tabellen rammer kritisk niveau med en CVSS-score over 9,0, og ingen af dem kræver fysisk adgang til en enhed, kun netværksadgang til en API-endepunkt. Af KeePassXC’s nyeste sårbarheder når ingen op over 7,3, og samtlige kræver, at angriberen allerede har en form for lokal fodfæste, enten i form af kørende kode eller en fil, offeret selv vælger at åbne. Det er en strukturel forskel, ikke en tilfældighed i, hvilke fejl der er fundet i en given måned.

Begge produkter har officielle certificeringer at fremvise. KeePassXC version 2.7.9 til Windows 10 modtog i november 2025 en sikkerhedsgodkendelse fra den franske cybersikkerhedsmyndighed ANSSI under den første sikkerhedscertificering CSPN, med rapportnummer ANSSI-CSPN-2025/16 og en gyldighedsperiode på tre år. Bitwarden fremhæver i stedet SOC 2 Type II, SOC 3 og ISO 27001-certificeringer, som dokumenterer selskabets interne sikkerhedsprocesser og driftskontroller, men som ikke er en kodegennemgang af selve produktet på samme måde som ANSSI’s certificering. En uafhængig gennemgang fra Toolradar i 2026 konkluderer da også, at de to produkter reelt besvarer forskellige spørgsmål om tillid snarere end at konkurrere på det samme kriterium.

Den tidligere gennemgang fra ETH Zürichs akademiske sikkerhedsaudit af kommercielle adgangskodemanagere, som fandt 25 angrebsvektorer i Bitwarden, LastPass og Dashlane, peger i samme retning. Fejlene lå ikke i selve krypteringen, men i browserintegration, autofill-logik og grænseflader mellem klient og server, altså præcis de lag, en ren offline-fil som KeePassXC slet ikke har brug for.

Hvad siger uafhængige anmeldelser i 2026?

Ud over de officielle certificeringer og sårbarhedsdatabaserne er det værd at se på, hvordan uafhængige anmeldere rangerer de to produkter i praksis. En 2026-sammenligning fra Open Source Groups placerer KeePassXC som et af de mest fuldstændige open source-alternativer på markedet, netop med henvisning til den brede understøttelse af AES-256, ChaCha20 og Twofish samt den aktive udvikling, der har bragt projektet fra version 2.7.11 til 2.7.12 og videre til en 2.8-beta i løbet af 2026.

En separat gennemgang fra Top5soft, med undertitlen “7 Picks Tested After the Supply-Chain Wake-Up”, peger direkte på npm-hændelsen bag CVE-2026-42994 som en del af baggrunden for, at flere sikkerhedsbevidste brugere i 2026 er begyndt at overveje offline-alternativer igen, efter flere år hvor cloud-synkroniserede managere har domineret anbefalingerne. Samme tendens bekræftes af en dedikeret KeePassXC-gennemgang fra Privacygear, der beskriver produktet som valget for brugere, der vil have en adgangskodeboks “uden sky” og uden en vendor, der kan blive mål for et angreb på deres vegne.

Det samlede billede fra disse tre uafhængige kilder, kombineret med NVD-tallene og ANSSI-certificeringen, peger i samme retning som denne gennemgangs egne data: KeePassXC vinder på ren sikkerhedsarkitektur og pris, mens Bitwarden vinder på funktionalitet, brugervenlighed og tilgængelighed på tværs af enheder. Ingen af anmelderne udråber det ene produkt som en universel vinder, og det bør man heller ikke forvente af en sammenligning mellem to så forskellige designfilosofier.

Synkronisering: skyen mod din egen fil

Bitwardens synkronisering er automatisk og usynlig. Opdater et kodeord på telefonen, og det ligger klar på laptoppen få sekunder efter, uden at brugeren foretager sig noget. Det er den funktion, langt de fleste Bitwarden-brugere faktisk betaler for, selv når de tror, de betaler for sikkerhed.

KeePassXC har ingen indbygget synkronisering, fordi filen i udgangspunktet kun findes på én maskine. Brugere, der vil have adgang til samme database på flere enheder, lægger typisk .kdbx-filen i en mappe, der i forvejen synkroniseres af et andet værktøj, for eksempel Nextcloud, Syncthing eller en almindelig skytjeneste. KeePassXC selv har ingen viden om, hvordan eller hvor filen ender med at blive synkroniseret, hvilket både er styrken og svagheden ved modellen. Styrken er, at brugeren fuldt ud vælger, hvem der får adgang til den krypterede fil undervejs. Svagheden er, at brugeren selv skal sætte det op korrekt og selv skal håndtere konflikter, hvis to enheder redigerer filen samtidig uden netforbindelse.

For en dansk bruger, der er bekymret for, hvor data fysisk ligger, giver KeePassXC-modellen en konkret fordel. Lægges filen i et selvhostet Nextcloud-miljø med server i Danmark eller EU, ligger de krypterede data aldrig på en amerikansk server. Bitwarden driver sin cloud-infrastruktur på Microsoft Azure, med Azure Transparent Data Encryption som en del af beskyttelsen i hvile, hvilket for de fleste brugere er praktisk uproblematisk, men som for virksomheder med strenge datasuverænitetskrav kan være en afgørende detalje i en risikovurdering.

Konflikthåndtering er den praktiske detalje, mange glemmer at spørge om, før de vælger den manuelle model. Redigerer man en KeePassXC-database på telefonen uden netadgang, mens en anden version af samme fil samtidig redigeres på en laptop, ender man typisk med to filer, der skal flettes manuelt, eller i værste fald en overskrevet ændring. Bitwarden løser det samme problem på serversiden, fordi hver ændring sendes direkte til vaulten med det samme, og der derfor aldrig opstår to divergerende kopier af samme data. Det er en lille detalje i brochuren, men den kan koste en bruger en hel aftens arbejde, hvis det går galt på den forkerte dag.

Browserudvidelser og mobilapps

Bitwarden tilbyder officielle udvidelser til alle større browsere og officielle apps til både iOS og Android, udviklet og supporteret direkte af Bitwarden Inc. Det giver en ensartet oplevelse, hvor autofill, generering af nye kodeord og synkronisering fungerer identisk, uanset hvilken enhed man sidder ved.

KeePassXC har en officiel browserudvidelse kaldet KeePassXC-Browser, som i sin nyeste udgave, version 1.10.3, blev opdateret 2. juni 2026. Udvidelsen kommunikerer med den lokalt installerede desktop-app og kræver derfor, at programmet kører på maskinen, mens man browser. Det er en bevidst designbeslutning, fordi det betyder, at ingen adgangskodedata forlader computeren via udvidelsen.

Her ligger den klareste praktiske ulempe ved KeePassXC. Projektet udvikler ikke selv en mobilapp. Android-brugere må i stedet bruge tredjepartsklienter som KeePassDX, og iOS-brugere griber typisk til Strongbox eller KeePassium. Disse apps er kompatible med kdbx-formatet, men er udviklet af andre teams end KeePassXC selv, hvilket betyder, at sikkerhedsniveauet og opdateringshastigheden kan variere fra app til app. For en bruger, der primært arbejder på en computer og kun sjældent har brug for mobiladgang, er det en mindre hindring. For en bruger, der lever i telefonen det meste af dagen, er det en reel barriere.

Der er også en afhængighed, som ofte overses: KeePassXC-Browser kræver, at desktop-programmet kører i baggrunden, mens man browser. Lukker man KeePassXC helt ned for at spare på batteriet på en bærbar, stopper autofill i browseren samtidig. Bitwardens browserudvidelse har ingen tilsvarende afhængighed, fordi den taler direkte med Bitwardens servere eller den lokalt krypterede cache, uden at kræve en separat skrivebordsapp åben samtidig. Det er en lille detalje, der ikke fremgår af nogen specifikationsliste, men som mærkes i den daglige brug.

Totrinsbekræftelse og nøglefiler

Bitwarden understøtter et bredt udvalg af andenfaktor-metoder: TOTP-apps, FIDO2-sikkerhedsnøgler, YubiKey OTP, Duo Security og passkeys med PRF-understøttelse, samt email-baseret verifikation som fallback. Den brede vifte skyldes, at Bitwarden skal beskytte en kontologin, altså selve adgangen til den krypterede vault på serveren, ikke bare dataene i den.

KeePassXC har et andet problem at løse, fordi der ikke findes nogen konto at logge ind på. Beskyttelsen af databasen bygger på masterkodeordet, eventuelt kombineret med en separat nøglefil som et andet faktor. Uden filen, der typisk gemmes på et USB-drev eller en anden enhed end selve computeren, kan databasen ikke åbnes, selv med det korrekte kodeord. Det er en anden form for totrinsbeskyttelse end TOTP eller en fysisk sikkerhedsnøgle, men løser et lignende formål: at et stjålet kodeord alene ikke er nok til at få adgang.

Begge modeller har en svaghed, der er værd at nævne. Taber man nøglefilen i KeePassXC uden en separat backup, er databasen permanent utilgængelig, der findes intet gendannelsesflow som ved en cloud-konto. Bitwarden har omvendt en administratorgendannelsesfunktion i Families- og Teams-planerne, som gør det muligt at få adgang igen, men netop det flow er, hvad flere af 2026-sårbarhederne i tabellen ovenfor har udnyttet.

Det er værd at fremhæve den praktiske konsekvens for en almindelig bruger. Vælger man KeePassXC, bør man opbevare en krypteret backup af både databasen og en eventuel nøglefil to separate steder, for eksempel et USB-drev i en skuffe og en krypteret fil i en cloud-mappe, fordi der ikke er nogen support-afdeling at ringe til, hvis filen går tabt. Vælger man Bitwarden, er gendannelsen lettere, men den afhænger samtidig af, at kontoens egen sikkerhed, herunder den valgte 2FA-metode, ikke selv bliver kompromitteret først.

Selvhosting: Vaultwarden mod en fil uden server

Mange tekniske brugere ønsker Bitwardens funktioner uden at betale for en cloud-licens eller uden at lægge data hos en amerikansk leverandør. Løsningen er typisk Vaultwarden, en community-udviklet serverimplementering skrevet i Rust, der er kompatibel med Bitwardens officielle klienter, men som ikke er udviklet, godkendt eller supporteret af Bitwarden Inc. Vaultwarden kan køre på en billig virtuel server eller en Raspberry Pi i hjemmet og giver adgang til stort set alle klientfunktioner uden abonnementsbetaling.

Fordelen er klar: fuld kontrol over data og nul løbende abonnementsudgift. Ulempen er lige så klar: brugeren bliver selv sin egen sikkerhedsafdeling. Opdateringer, firewallregler, backup og overvågning af logfiler bliver et personligt eller virksomhedsansvar, og en fejlkonfigureret Vaultwarden-server kan i praksis være mere udsat end Bitwardens egen, professionelt drevne infrastruktur. Vores trin-for-trin-guide til Vaultwarden-opsætning går i detaljer med, hvordan man minimerer den risiko.

KeePassXC undgår hele diskussionen, fordi der aldrig er noget at hoste. Filen ligger, hvor brugeren lægger den. Det er ikke en selvhostingløsning i traditionel forstand, det er bare fraværet af et problem, som Bitwarden og Vaultwarden begge er svar på.

Fem virkelige brugsscenarier

Teori og specifikationer er nyttige, men beslutningen bliver tydeligere, når man ser den i konkrete situationer. Her er fem typiske scenarier, som i praksis peger i hver sin retning.

  • Freelance-udvikleren med SSH-nøgler og API-tokens. En selvstændig konsulent, der arbejder for flere kunder med fortrolighedskrav, vælger ofte KeePassXC, fordi ingen tredjepart nogensinde ser dataene, og fordi databasen let kan opdeles i flere separate filer, én pr. kunde, for at undgå at en kompromitteret klient kan se en andens hemmeligheder. Det kræver lidt mere disciplin at holde styr på flere filer, men giver en klar adskillelse, som en delt cloud-vault ikke giver af sig selv.
  • Familien på seks med delte streaming-konti. Bitwarden Families til 47,88 dollar om året løser et konkret koordineringsproblem: alle i familien ser samme opdaterede kodeord til Netflix og banken, uden at nogen sender dem i en SMS eller en note-app. Når et kodeord ændres efter en lækage et andet sted, opdateres det automatisk hos alle seks medlemmer samtidig, hvilket ville være en manuel opgave i en KeePassXC-model.
  • IT-teamet, der onboarder 200 medarbejdere. En mellemstor virksomhed, der skal give adgang til delte systemer hurtigt og tilbagekalde den igen, når folk forlader jobbet, har brug for Bitwarden Enterprise med SSO og SCIM-provisionering, selv om netop SCIM-funktionen var involveret i en af 2026-sårbarhederne. Fordelen ved et centralt system er, at en enkelt administrator kan fjerne en fratrådt medarbejders adgang til samtlige delte systemer på få minutter, i stedet for at skulle ændre adgangskoder manuelt system for system.
  • Journalisten med en luftgab-bærbar. En undersøgende journalist, der arbejder med kilder under trussel, foretrækker typisk en KeePassXC-database på en bærbar uden permanent netforbindelse, synkroniseret manuelt via et krypteret USB-drev frem for en cloud-tjeneste. Her er selve fraværet af en netværksforbindelse en sikkerhedsfunktion, fordi ingen ekstern part overhovedet kan nå databasen, uanset hvor avanceret et angreb de forsøger.
  • Den lille virksomhed, der vil spare på licenser. Et firma med ti medarbejdere, der ikke har budget til Bitwarden Teams, sætter en Vaultwarden-server op på egen infrastruktur og får de samme klientfunktioner til prisen af en billig VPS og den tid, det tager at holde serveren opdateret. Besparelsen er reel, men kommer med et nyt ansvar: virksomheden selv skal følge med i sikkerhedsopdateringer til serveren, noget Bitwardens egne kunder slipper for.

Et sjette scenarie er værd at nævne, fordi det dækker en stor gruppe danske brugere: studerende og unge på deres første lønmodtagerkonto, der skal holde styr på et stigende antal login til bank, SU, studieportaler og sociale medier samtidig. Her vinder Bitwardens gratis plan typisk over KeePassXC alene, fordi den indbyggede synkronisering mellem en billig Android-telefon og en delt familiecomputer løser et reelt problem uden at kræve teknisk opsætning, mens en lignende KeePassXC-løsning først skal bygges med en ekstra synkroniseringstjeneste ovenpå.

Det fælles mønster er, at valget sjældent handler om, hvilket produkt der er “bedst” i absolut forstand. Det handler om, hvilket problem der er størst i den konkrete situation: koordinering mellem mennesker, eller minimering af tillid til tredjeparter.

Sådan migrerer du mellem KeePassXC og Bitwarden

Begge programmer understøtter standardiserede eksport- og importformater, hvilket gør et skift mellem dem relativt smertefrit, så længe man følger rækkefølgen nedenfor og ikke efterlader en ukrypteret eksportfil liggende på disken bagefter.

Fra Bitwarden til KeePassXC

  1. Log ind på Bitwardens webvault, og gå til Værktøjer, derefter Eksporter vault.
  2. Vælg formatet .json (ukrypteret) eller det krypterede JSON-format, hvis filen skal beskyttes under overførslen.
  3. Åbn KeePassXC, og vælg Database, derefter Importer, og peg på den eksporterede fil.
  4. KeePassXC kortlægger felter som brugernavn, kodeord og URL automatisk til en ny eller eksisterende database.
  5. Gennemgå de importerede poster manuelt for fejlkortlagte felter, særligt brugerdefinerede noter.
  6. Slet den ukrypterede eksportfil permanent, og tøm papirkurven, så den ikke ligger tilgængelig i klartekst.

Fra KeePassXC til Bitwarden

  1. I KeePassXC, vælg Database, derefter Eksporter, og vælg CSV-format.
  2. Log ind på Bitwardens webvault, gå til Værktøjer, derefter Importer data.
  3. Vælg KeePass (CSV) som kildeformat i rullemenuen.
  4. Upload filen, og lad Bitwarden bekræfte antallet af importerede poster, før siden forlades.
  5. Kontrollér et udsnit af posterne manuelt, især felter med flere linjer eller specialtegn.
  6. Slet CSV-filen permanent fra disken, da CSV-eksport fra KeePassXC altid er ukrypteret.

Den praktiske fælde ved begge retninger er den samme: eksportfilen ligger i klartekst, mens den eksisterer. Gør migreringen på en maskine, der med sikkerhed ikke er kompromitteret, og brug om muligt en krypteret container eller en krypteret USB-nøgle til selve overførslen mellem programmerne.

Tidsforbruget afhænger mest af antallet af poster og hvor pænt de oprindelige data er strukturerede. En database med under 100 poster tager typisk et kvarters tid at migrere og kontrollere manuelt. Databaser med flere hundrede poster, særligt hvis de er samlet over flere år med inkonsistente feltnavne, kræver ofte en eftermiddag, fordi automatisk feltmapning sjældent fanger alle specialtilfælde som brugerdefinerede noter eller flere brugernavne på samme post. Det er værd at afsætte den tid, frem for at skynde sig og risikere at miste data, der ikke opdages, før man har brug for dem måneder senere.

Fordele og ulemper: KeePassXC mod Bitwarden

KeePassXC

  • Fordel: Fuldstændig gratis uden skjulte begrænsninger eller betalte låsninger.
  • Fordel: Ingen server at angribe, hvilket forklarer det markant lavere CVE-tal.
  • Fordel: Fuld kontrol over, hvor og hvordan data fysisk opbevares og synkroniseres.
  • Ulempe: Ingen officiel mobilapp, kun tredjepartskompatible alternativer.
  • Ulempe: Synkronisering og backup er brugerens eget ansvar, ikke en indbygget funktion.
  • Ulempe: Deling af adgangskoder med andre personer kræver manuelt arbejde eller et separat værktøj.

Samlet set er KeePassXC et program bygget til kontrol frem for bekvemmelighed. Det straffer ikke brugeren med abonnementsgebyrer eller funktionslåsninger, men det forudsætter også, at brugeren selv tager ansvar for de opgaver, en cloud-tjeneste normalt løser i baggrunden.

Bitwarden

  • Fordel: Automatisk synkronisering på tværs af alle enheder uden manuel indgriben.
  • Fordel: Officielle apps til alle større platforme, med ensartet brugeroplevelse.
  • Fordel: Indbyggede delingsfunktioner til familier og teams, plus avanceret administration i Enterprise-planen.
  • Ulempe: Flere angrebsflader givet cloud-arkitekturen, hvilket afspejles i 37 historiske CVE’er.
  • Ulempe: Afhænger af tredjepartens evne til at patche hurtigt, som ved CLI-forsyningskædeangrebet i 2026.
  • Ulempe: Fulde funktioner kræver et betalt abonnement fra 19,80 dollar om året og opefter.

Bitwarden er omvendt bygget til bekvemmelighed frem for minimal angrebsflade. Det løser et koordineringsproblem på tværs af mennesker og enheder, som KeePassXC slet ikke forsøger at løse, men den løsning kommer med en cloud-infrastruktur, der uundgåeligt tilføjer flere potentielle fejlpunkter end en enkelt lokal fil.

Hvem bør vælge hvad? Anbefalinger efter brugertype

Der findes ikke ét rigtigt svar, men der findes gode tommelfingerregler afhængigt af, hvem der sidder bag skærmen. Listen herunder tager udgangspunkt i, hvor meget koordinering mellem flere personer en given brugssituation kræver, fordi det i praksis er den faktor, der oftest afgør, om den lokale model eller cloud-modellen vinder.

  • Privatpersoner med lav risikoprofil og flere enheder: Bitwarden Free eller Premium er det enkleste valg, fordi synkronisering og mobilapps virker uden ekstra opsætning.
  • Teknisk kyndige brugere, der prioriterer kontrol over bekvemmelighed: KeePassXC kombineret med egen synkronisering via Nextcloud eller Syncthing giver fuld suverænitet over dataene.
  • Familier, der deler adgang til fælles konti: Bitwarden Families er billigere og mere brugervenligt end at bygge en delt løsning med KeePassXC-filer manuelt.
  • Virksomheder med compliance- og revisionskrav: Bitwarden Teams eller Enterprise, eventuelt kombineret med egen Vaultwarden-server, giver den provisionering og logning, revisorer typisk efterspørger.
  • Journalister, aktivister og andre med høj trusselsprofil: KeePassXC uden netværkstilkoblet synkronisering minimerer antallet af parter, der overhovedet kan blive mål for et angreb.
  • Småvirksomheder med begrænset budget men teknisk kompetence internt: Vaultwarden-selvhosting giver Bitwarden-funktionalitet uden licensudgiften, forudsat at der er en person, der kan holde serveren patchet.

Ingen af disse seks kategorier er faste. En freelancer kan starte med KeePassXC og skifte til Bitwarden Teams, den dag virksomheden ansætter den første medarbejder. En familie kan starte med Bitwarden Free og opgradere til Families, når antallet af delte konti vokser. Pointen er at vælge efter den situation, man rent faktisk står i i dag, og acceptere, at det kan ændre sig.

Dommen: hvad siger tallene?

Sat op mod hinanden handler valget ikke om, hvilket produkt der er teknisk bedst krypteret, for begge bruger algoritmer, der i 2026 anses for sikre nok til statslige hemmeligheder. Valget handler om, hvor meget bekvemmelighed man er villig til at betale for i form af en større angrebsflade, og hvor meget kontrol man er villig til at opgive i form af mindre bekvemmelighed.

Det er også værd at huske, at valget ikke er permanent. Begge produkter understøtter åbne eksportformater, så en bruger, der starter med Bitwarden og senere får brug for mere kontrol, eller en bruger, der starter med KeePassXC og senere får brug for nemmere deling, kan skifte uden at starte helt forfra. Den fleksibilitet er i sig selv en del af, hvorfor begge produkter har overlevet som relevante valg i et marked, hvor nye konkurrenter dukker op hvert år.

Det sidste tal, der er værd at tage med sig, er ikke et sikkerhedstal, men et adfærdstal: den adgangskodemanager, man rent faktisk bruger hver dag uden at give op og gå tilbage til gule post-it-sedler eller samme kodeord genbrugt overalt, slår næsten altid den teoretisk mest sikre løsning, man aldrig fik sat ordentligt op. Vælg det produkt, der matcher den disciplin, man realistisk har tid og lyst til at holde ved, og lad specifikationerne i tabellerne herover guide detaljerne derfra.

Tallene peger klart i en retning for den sikkerhedsbevidste enkeltbruger: 6 CVE’er mod 37, 0 dollar mod mindst 19,80 dollar om året, og en arkitektur, der strukturelt umuliggør de typer angreb, Bitwarden har kæmpet med i 2026. Men tallene peger lige så klart den anden vej for familier, teams og virksomheder, hvor koordinering mellem flere mennesker er selve problemet, og hvor en manuelt synkroniseret fil hurtigt bliver en flaskehals snarere end en fordel.

Den mest robuste strategi for mange er faktisk en hybrid: KeePassXC til de allermest kritiske hemmeligheder som gendannelseskoder, krypteringsnøgler og administratoradgange, og Bitwarden eller Vaultwarden til den daglige mængde af login-oplysninger, der kræver synkronisering mellem telefon og computer. Det er ikke et kompromis af dovenskab, det er en anerkendelse af, at de to produkter faktisk løser forskellige problemer.

Ofte stillede spørgsmål

Er KeePassXC helt gratis, også til kommerciel brug?
Ja. KeePassXC er udgivet under GPLv3-licensen og kan bruges gratis af både privatpersoner og virksomheder uden begrænsninger eller skjulte betalingsmure.

Kan man bruge KeePassXC og Bitwarden samtidig?
Ja, og mange sikkerhedsbevidste brugere gør præcis det: KeePassXC til de mest kritiske nøgler, Bitwarden til den daglige adgangskodemængde, der skal synkroniseres mellem enheder.

Er Vaultwarden det samme som Bitwarden?
Nej. Vaultwarden er en uofficiel, open source server, der er kompatibel med Bitwardens klienter, men den er ikke udviklet eller supporteret af Bitwarden Inc.

Hvilken er mest sikker, KeePassXC eller Bitwarden?
Det afhænger af angrebsmodellen. KeePassXC har en markant mindre angrebsflade og langt færre registrerede CVE’er, fordi der ikke findes en server at angribe. Bitwarden kompenserer med professionelle certificeringer som SOC 2 og ISO 27001 samt bredere 2FA-understøttelse.

Kan KeePassXC synkroniseres uden en cloud-tjeneste?
Ja. Databasen er bare en fil, så den kan synkroniseres via et lokalt netværk, en selvhostet Nextcloud-server, en krypteret USB-nøgle eller et peer-to-peer-værktøj som Syncthing.

Understøtter begge passkeys?
Bitwarden har native passkey-understøttelse med PRF-kapabilitet. KeePassXC’s nyere udgivelser understøtter også lagring og udfyldning af passkeys via browserudvidelsen, men funktionen er nyere og mindre udbredt end i Bitwarden.

Hvad sker der med dataene, hvis Bitwardens servere bliver hacket?
Fordi Bitwarden bruger zero-knowledge-kryptering, forbliver selve kodeordene krypteret, selv hvis en angriber får adgang til databasen. Risikoen ligger i stedet i metadata, kontoadgang og de typer autorisationsfejl, der er beskrevet i CVE-tabellen ovenfor.

Bør en virksomhed vælge begge til forskellige formål?
Det er ofte den mest fornuftige løsning: Bitwarden Teams eller Enterprise til den daglige adgangsstyring blandt medarbejdere, og en isoleret KeePassXC-database til de allermest kritiske systemadgange, som kun få personer skal kunne nå.

Hvad gør et masterkodeord stærkt i 2026?
NIST’s retningslinjer i SP 800-63B anbefaler mindst 15 tegn og fraråder tvungne, periodiske skift uden en konkret anledning som en kendt lækage. En lang, unik sætning er langt stærkere end et kortere kodeord fyldt med specialtegn, uanset om det beskytter en lokal KeePassXC-database eller en Bitwarden-konto.

Kan jeg importere mine Chrome- eller Safari-adgangskoder direkte?
Begge programmer understøtter import fra de store browseres indbyggede adgangskodehåndtering via CSV eller JSON. Det kræver typisk, at man først eksporterer adgangskoderne fra browseren til en fil og derefter importerer den samme fil i KeePassXC eller Bitwarden, med samme forholdsregler om at slette den ukrypterede mellemfil bagefter.