Passkey
En loginmetode uden adgangskode, hvor en kryptografisk nøgle på telefonen, pc'en eller en sikkerhedsnøgle låses op med fingeraftryk, ansigt eller PIN.
Kort svar
En passkey erstatter adgangskoden med et nøglepar: Den hemmelige nøgle ligger på medarbejderens enhed, og den offentlige nøgle ligger hos tjenesten, fx Microsoft 365. Ved login låser man passkeyen op med fingeraftryk, ansigt eller PIN. Fordi passkeyen kun virker på den rigtige hjemmeside og ikke kan tastes ind et forkert sted, modstår den phishing. Passkeys bygger på de åbne FIDO2-standarder og opfylder i Microsoft Entra ID kravet om MFA.
- Login startesMedarbejderen vælger at logge på med passkey.
- Udfordring sendesTjenesten sender en engangsudfordring til enheden.
- Lås op lokaltFingeraftryk, ansigt eller PIN – det forlader aldrig enheden.
- Enheden signererDen hemmelige nøgle underskriver udfordringen.
- Tjenesten kontrollererSignaturen tjekkes med den offentlige nøgle, og adgang gives.
Hvorfor en passkey er sværere at stjæle end en adgangskode
En adgangskode er en hemmelighed, som både brugeren og tjenesten kender. Den kan gættes, lækkes i et datalæk eller tastes ind på en falsk loginside. En passkey virker anderledes: Den hemmelige del deles aldrig med tjenesten. Tjenesten har kun en offentlig nøgle, som er værdiløs for en angriber.
Samtidig er passkeyen bundet til den hjemmeside eller app, den er oprettet til. Lander medarbejderen på en falsk kopi af Microsofts loginside, findes der simpelthen ingen passkey til den adresse – og der er intet at narre ud af vedkommende. Det er den egenskab, der kaldes phishing-resistens.
Synkroniserede og enhedsbundne passkeys
Microsoft anbefaler enhedsbundne passkeys eller fysiske FIDO2-nøgler til brugere med høje rettigheder og i stærkt regulerede brancher. Til de fleste andre brugere peger Microsoft på synkroniserede passkeys som et bekvemt alternativ til traditionel MFA. I Entra ID kan administratoren styre, hvilke typer der er tilladt.
| Enhedsbundet | Synkroniseret | |
|---|---|---|
| Hvor ligger nøglen? | Kun på én enhed | Krypteret i en skytjeneste, på flere enheder |
| Eksempler | Microsoft Authenticator, FIDO2-sikkerhedsnøgle | Apples iCloud-nøglering, Googles adgangskodeadministrator |
| Hvis enheden mistes | Passkeyen er væk – ny skal oprettes | Findes stadig på de andre enheder |
| Passer typisk til | Administratorer og følsomme roller | De fleste almindelige brugere |
Hvad betyder det i hverdagen?
For medarbejderen bliver login typisk både hurtigere og enklere: ingen adgangskode at huske og ingen kode at taste – bare fingeraftryk eller PIN. For virksomheden er gevinsten først og fremmest, at den mest udbredte angrebsmetode mod Microsoft 365-konti, stjålne adgangskoder og falske loginsider, mister sin effekt.
Eksempel: En klinikassistent logger på Microsoft 365 på klinikkens pc. Hun vælger „Log på med passkey“, scanner QR-koden med sin telefon og bekræfter med fingeraftryk. Der indtastes ingen adgangskode, og en falsk loginside ville ikke kunne bruge noget af det.
Begrænsninger og ting at planlægge
- Mistet enhed: Der skal være en sikker procedure for at oprette en ny passkey – ellers bliver supporten det svage led. Microsoft tilbyder fx midlertidige adgangskoder (Temporary Access Pass) til formålet.
- Ikke alle systemer understøtter passkeys endnu. Ældre branchesystemer kan stadig kræve adgangskode – her hjælper en adgangskodeadministrator eller single sign-on.
- Synkroniserede passkeys afhænger af en privat skykonto, fx medarbejderens Apple- eller Google-konto. Det skal I tage stilling til i jeres politik.
- Adgangskoden forsvinder ikke automatisk. Så længe kontoen også har en adgangskode, kan den stadig angribes ad den vej. Gå efter at gøre passkey til den primære metode.
Spørgsmål I kan stille
- Hvilke medarbejdere – især administratorer – bør først have passkey eller sikkerhedsnøgle?
- Tillader vi synkroniserede passkeys i private Apple- og Google-konti?
- Hvordan genopretter vi adgang sikkert, hvis en medarbejder mister sin telefon?
- Hvilke af vores systemer kan bruge passkeys eller SSO, og hvilke kræver stadig adgangskode?
Hvornår giver det mening at få hjælp?
Få hjælp, når I vil indføre passkeys i Microsoft 365 – især til at vælge mellem synkroniserede passkeys, Authenticator og fysiske nøgler, og til at lave en sikker procedure for mistede enheder.
Spørgsmål og svar
Er en passkey det samme som en adgangskode gemt i telefonen?
Nej. En gemt adgangskode er stadig en hemmelighed, der sendes til hjemmesiden. En passkey sender aldrig sin hemmelige nøgle – den bruges kun til at underskrive en udfordring på enheden.
Hvad sker der, hvis nogen stjæler telefonen med passkeyen?
Passkeyen kan kun bruges, når den låses op med fingeraftryk, ansigt eller PIN. Meld alligevel tyveriet med det samme, så passkeyen kan fjernes fra kontoen.
Forbehold: Passkeys mindsker risikoen for phishing og stjålne adgangskoder betydeligt, men beskytter ikke mod alle angreb, fx malware på en allerede kompromitteret enhed.
Kilder (tjekket 31. oktober 2026)