MFA
Totrinsbekræftelse: Ud over adgangskoden skal man bevise sin identitet med noget, man har eller er – fx en app på telefonen eller en passkey.
Kort svar
MFA (multi-factor authentication) betyder, at et login kræver mindst to forskellige typer bevis: noget, man ved (adgangskode), noget, man har (fx telefon eller sikkerhedsnøgle), eller noget, man er (fingeraftryk eller ansigt). Hvis en adgangskode bliver stjålet, kan angriberen ikke logge på med den alene. Metoderne er ikke lige stærke: passkeys og sikkerhedsnøgler modstår phishing langt bedre end sms-koder og godkendelser i en app.
- Phishing-resistentePasskey, sikkerhedsnøgle, Windows Hello for Business, certifikat.
- App med talmatchningMicrosoft Authenticator: indtast tallet fra skærmen i appen.
- Engangskode fra appSekscifret kode fra en authenticator-app – kan fiskes.
- Sms og opkaldBedre end ingenting, men sårbart over for SIM-svindel og phishing.
Sådan virker totrinsbekræftelse
Når en medarbejder logger på, kontrollerer systemet først det første bevis, typisk adgangskoden. Derefter beder det om et andet bevis af en anden type. Pointen er, at de to beviser skal kunne stjæles uafhængigt af hinanden: En adgangskode kan lækkes i et datalæk langt væk, men angriberen har ikke samtidig medarbejderens telefon.
I Microsoft 365 håndteres MFA af Entra ID. Hvornår der spørges om MFA, styres enten af sikkerhedsstandarderne (til alle, når Microsoft vurderer det nødvendigt) eller af Conditional Access-regler, som I selv definerer.
Metoderne sammenlignet
Microsoft anbefaler phishing-resistente metoder som Windows Hello for Business, passkeys og FIDO2-sikkerhedsnøgler, fordi de er bundet til den rigtige hjemmeside og ikke kan „videresendes“ fra en falsk loginside. Den amerikanske standardiseringsorganisation NIST betegner sms og opkald som begrænsede (restricted) metoder.
| Metode | Modstår phishing | Hverdagsbrug | Bemærk |
|---|---|---|---|
| Passkey (på telefon eller pc) | Ja | Hurtig – fingeraftryk eller PIN | Kræver opsætning og plan for mistet enhed |
| Fysisk sikkerhedsnøgle (FIDO2) | Ja | Sæt i USB eller hold mod telefon | Nøgler kan glemmes eller mistes |
| Windows Hello for Business | Ja | Log på pc med ansigt eller PIN | Knyttet til den enkelte pc |
| Authenticator-app med talmatchning | Delvist | Godkend i appen | Kan narres via falsk loginside |
| Engangskode fra app | Nej | Tast kode | Koden kan videregives til svindler |
| Sms eller opkald | Nej | Tast kode fra sms | Sårbar over for SIM-svindel |
Hvordan angribere kommer uden om MFA
MFA stopper langt de fleste angreb, der kun bygger på en stjålet adgangskode. Men angriberne har tilpasset sig, og det er værd at kende de mest almindelige metoder:
- Falske loginsider (adversary-in-the-middle): En phishing-mail leder til en kopi af Microsofts loginside, som videresender både adgangskode og engangskode eller godkendelse til den rigtige side – så angriberen bliver logget ind i stedet for medarbejderen. Phishing-resistente metoder stopper dette.
- MFA-træthed: Angriberen sender godkendelsesanmodning efter anmodning, indtil medarbejderen trykker „godkend“ for at få fred. Talmatchning i Authenticator, hvor man skal indtaste et tal fra skærmen, gør dette meget sværere.
- Ældre loginprotokoller: Gamle mailprotokoller som IMAP og POP kan ikke håndtere MFA. Er de åbne, kan en angriber logge på med adgangskoden alene. Sikkerhedsstandarderne blokerer dem.
- Opkald til support: Angriberen udgiver sig for at være medarbejderen og beder om at få MFA nulstillet – en form for social engineering.
Vær opmærksom: Godkend aldrig en MFA-anmodning, I ikke selv har startet. En uventet anmodning betyder, at nogen kender din adgangskode – skift den, og kontakt IT.
Hvem skal have MFA?
Alle. Ledelse og administratorer er de mest attraktive mål, fordi de har adgang til mest. Microsoft kræver i dag selv MFA for at logge på administrationsportalerne, herunder Microsoft 365 Admin Center, Entra Admin Center og Intune Admin Center – uanset jeres egne indstillinger. Fælleskonti og konti for eksterne konsulenter skal også være dækket, eller have en klar begrundelse for, hvorfor de ikke er det.
Eksempel: En medarbejder logger på Outlook fra en ny computer og bliver bedt om at indtaste tallet 47 i Authenticator-appen på sin telefon. Hun ser tallet på skærmen, taster det, og login er godkendt.
MFA, passkey og SSO – hvad er forskellen?
- MFA er princippet: mindst to typer bevis.
- En passkey er en bestemt loginmetode, der i sig selv opfylder MFA-kravet (noget, man har, plus fingeraftryk eller PIN) og samtidig modstår phishing.
- Single sign-on handler om at logge på én gang og få adgang til flere systemer. SSO og MFA supplerer hinanden: Det ene login, SSO bygger på, bør være beskyttet med MFA.
Spørgsmål I kan stille
- Har alle medarbejdere – også ledelse, administratorer og fælleskonti – MFA slået til?
- Hvilke metoder tillader vi, og bruger nogen stadig sms?
- Er ældre mailprotokoller blokeret i vores Microsoft 365?
- Hvordan kontrollerer vi identiteten, når en medarbejder ringer og beder om at få MFA nulstillet?
- Har administratorerne phishing-resistente metoder som passkey eller sikkerhedsnøgle?
Hvornår giver det mening at få hjælp?
Få hjælp, hvis I er i tvivl om, hvem der faktisk er dækket af MFA, hvis I vil udfase sms, eller hvis I vil indføre passkeys eller sikkerhedsnøgler til administratorer. Vores IT-sikkerhedstjek omfatter blandt andet en gennemgang af login-beskyttelsen.
Spørgsmål og svar
Hvad gør vi, når en medarbejder får ny telefon?
Totrinsbekræftelsen skal flyttes til den nye telefon – helst før den gamle nulstilles. Se vores vejledning Ny telefon og totrinsbekræftelse.
Skal ledelsen også bruge MFA?
Ja – også ledelsen og administratorer, der er de mest attraktive mål. Administratorer bør have de stærkeste metoder, fx passkey eller sikkerhedsnøgle.
Kræver MFA, at medarbejderne bruger deres private telefon?
Ikke nødvendigvis. Alternativer er en firmatelefon, en fysisk sikkerhedsnøgle eller Windows Hello for Business på arbejdscomputeren. Det bør afklares i jeres IT-politik.
Forbehold: MFA reducerer risikoen for kontoovertagelse betydeligt, men ingen loginmetode giver fuld beskyttelse. Teksten er en forklaring og ikke en vurdering af jeres konkrete opsætning eller af eventuelle lovkrav.
Kilder (tjekket 31. oktober 2026)
- Microsoft Entra multifactor authentication overview – Microsoft Learn
- Microsoft Entra authentication overview – Microsoft Learn
- Configure Security Defaults for Microsoft Entra ID – Microsoft Learn
- Plan for mandatory Microsoft Entra multifactor authentication – Microsoft Learn
- NIST SP 800-63B-4: Digital Identity Guidelines – Authentication – NIST