Passkeys i Microsoft 365: sådan logger I ind uden adgangskode

Adgangskoder er stadig den mest almindelige vej ind i en Microsoft 365-konto, og også den mest sårbare. Phishing-mails, falske login-sider og koder sendt over SMS kan alle misbruges. Passkeys er Microsofts svar på det problem, og de er efterhånden blevet en fuldt understøttet måde at logge ind på med en arbejdskonto.

I denne guide forklarer jeg, hvad en passkey er, hvilke typer der findes, hvordan du som bruger opretter en, og hvad IT skal slå til.

Hvad er en passkey?

En passkey er en digital nøgle, der erstatter adgangskoden. I stedet for at skrive en kode bekræfter du, at det er dig, med din telefon, dit fingeraftryk, dit ansigt eller en PIN-kode på din egen enhed.

Teknisk set består en passkey af to dele: en privat nøgle, der bliver på din enhed, og en offentlig nøgle, som Microsoft gemmer. Begge dele skal bruges for at logge ind, og nøgleparret virker kun til den tjeneste, det er lavet til.

Det betyder i praksis to ting:

Den kan ikke phishes. En falsk login-side kan ikke bruge din passkey, fordi den kun virker over for den rigtige tjeneste.
Du skal være til stede. Hvert login kræver, at du låser passkeyen op på din egen enhed. Ingen kan narre dig til at logge ind på en enhed, de selv styrer.

Microsoft beskriver passkeys som “phishing-resistente” legitimationsoplysninger, og de kan fungere som multifaktorgodkendelse (MFA), fordi de kombinerer noget du har (enheden) med din biometri eller PIN. Passkeys bygger på den åbne FIDO2-standard.

De tre typer passkeys i Microsoft 365

Microsoft skelner mellem passkeys, der er bundet til én enhed, og passkeys der synkroniseres mellem dine enheder.

Passkey i Microsoft Authenticator

Passkeyen gemmes i Microsoft Authenticator-appen på din telefon og forlader aldrig enheden. Det er en “device-bound” passkey. Den kræver iOS 17 eller nyere eller Android 14 eller nyere.

Den er god for de fleste medarbejdere, der allerede har Authenticator på telefonen.

FIDO2-sikkerhedsnøgle

En lille fysisk nøgle, typisk med USB eller NFC, som du sætter i computeren eller holder op til telefonen. Den er også device-bound.

Microsoft anbefaler sikkerhedsnøgler til stærkt regulerede brancher og til brugere med udvidede rettigheder, fx administratorer. Til gengæld påpeger Microsoft, at de kan øge omkostningerne til udstyr, oplæring og support, især når nøgler bliver væk.

Synkroniserede passkeys og Windows Hello

Synkroniserede passkeys gemmes hos en udbyder som Apple iCloud-nøglering eller Google Password Manager og bliver tilgængelige på alle dine enheder, der er logget ind hos udbyderen. Microsoft Entra ID understøtter synkroniserede passkeys som generelt tilgængelige siden marts 2026.

Ifølge Microsoft er synkroniserede passkeys et bekvemt og billigt alternativ til traditionel MFA for de fleste brugere uden for stærkt regulerede miljøer.

Windows Hello er Windows’ egen login med ansigt, fingeraftryk eller PIN. I marts 2026 kom “Microsoft Entra passkeys on Windows” i public preview. Funktionen lader brugere gemme en device-bound passkey i Windows Hello og bruge den til at logge ind i Microsoft Entra ID. Den er stadig i preview og skal slås til af IT.

Hvilken skal vi vælge?

Hvis medarbejderen …	så er det oplagte valg …
allerede bruger Microsoft Authenticator	passkey i Authenticator
er administrator eller arbejder med følsomme systemer	FIDO2-sikkerhedsnøgle eller passkey i Authenticator
vil kunne logge ind fra flere egne enheder uden ekstra app	synkroniseret passkey, hvis IT tillader det
primært arbejder på én Windows-pc	Windows Hello som passkey (pt. i preview)

Sådan opretter du en passkey i Microsoft Authenticator

Microsoft anbefaler at oprette passkeyen direkte i Authenticator-appen. Sådan gør du:

Hent Microsoft Authenticator fra App Store eller Google Play.
Tilføj din arbejdskonto. Har du allerede kontoen i appen, så tryk på kontoen og vælg Create a passkey.
Gennemfør MFA, når du bliver bedt om det.
Opsæt skærmlås på telefonen, hvis du ikke allerede har det.
Slå Authenticator til som passkey-udbyder i telefonens indstillinger. Microsoft beskriver stien på iPhone med iOS 18 som Settings > General > AutoFill & Passwords. Sørg for at AutoFill Passwords and Passkeys er slået til, og at Authenticator er valgt.
Gå tilbage til Authenticator og tryk Done. Du kan nu se, at passkeyen er tilføjet til din konto.

Sådan opretter du en passkey via Security info

Du kan også starte fra en browser, fx på din bærbare:

Gå til Security info på mysignins.microsoft.com/security-info og log ind med MFA.
Vælg + Add sign-in method.
Vælg Passkey in Microsoft Authenticator, eller Passkey hvis du vil gemme den hos en anden udbyder, fx iCloud-nøglering.
Følg guiden. Ved Authenticator bliver du sendt videre til appen for at oprette passkeyen.
Gå tilbage til browseren og vælg Next. Guiden tjekker, at passkeyen er oprettet.
Vælg Done. Passkeyen står nu på din Security info-side.

Bruger du en anden enhed end telefonen til at registrere, skal begge enheder have internet og Bluetooth slået til.

Hvad skal IT slå til?

Denne del er til den, der administrerer jeres tenant. Kort fortalt:

Passkeys slås til i Authentication methods policy i Microsoft Entra admin center under Entra ID > Security > Authentication methods > Policies > Passkey (FIDO2).
Allow self-service set up skal stå til Yes. Ellers kan brugerne ikke selv registrere en passkey via Security info.
Med passkey profiles kan I bestemme, hvilke typer passkeys forskellige grupper må bruge. Fx kun sikkerhedsnøgler for administratorer og synkroniserede passkeys for øvrige medarbejdere.
En registration campaign kan minde brugerne om at oprette en passkey, når de logger ind. Siden maj 2026 understøtter kampagnen passkeys, og brugerne kan vælge “Skip for now”.

Den fulde vejledning findes på Microsoft Learn: How to enable passkeys (FIDO2) in Microsoft Entra ID.

I maj 2026 meddelte Microsoft, at “system-preferred authentication” nu også gælder det første trin i login, ikke kun det andet. Systemet vælger altså den stærkeste metode, brugeren har registreret, til hvert trin.

Det betyder, at brugere med en passkey kan blive logget ind uden at skulle bruge en adgangskode. Ifølge Microsoft gælder det kun for tenants, hvor indstillingen står til “Microsoft managed”, og udrulningen skulle være gennemført i slutningen af juni 2026.

Ofte stillede spørgsmål

Hvad sker der, hvis jeg mister min telefon? En passkey i Authenticator ligger kun på den telefon, den er oprettet på. Har du kun den ene metode, skal IT hjælpe dig med at få adgang igen og registrere en ny. Derfor er det en god idé at have mere end én login-metode registreret. På iPhone har Microsoft varslet en forbedret gendannelse af Authenticator-passkeys fra august 2026 for brugere, der har iCloud-backup slået til for appen.

Kan jeg have passkeys på flere enheder? En synkroniseret passkey i fx iCloud-nøglering er tilgængelig på alle dine enheder hos den samme udbyder, hvis IT har tilladt synkroniserede passkeys. En passkey i Authenticator bliver på telefonen, men du kan bruge den til at logge ind på fx din pc ved at scanne en QR-kode med telefonen.

Virker det på iPhone? Ja. Passkeys i Authenticator kræver iOS 17 eller nyere. Synkroniserede passkeys kan gemmes i Apple iCloud-nøglering.

Virker det på Mac? Microsoft understøtter login på tværs af enheder via QR-kode og med FIDO2-sikkerhedsnøgler, og Microsofts vejledning nævner registrering med Chrome på macOS. Microsoft bemærker, at bruger du Chrome på macOS, skal du give login.microsoft.com adgang til din sikkerhedsnøgle eller enhed, når du bliver spurgt.

Hvad med Android? Passkeys i Authenticator kræver Android 14 eller nyere.

Hvordan sletter jeg en passkey? I Authenticator trykker du på kontoen og vælger Settings > Delete passkey. Du skal også slette den på Security info-siden.

Er en passkey det samme som MFA? En passkey kombinerer din enhed med biometri eller PIN og kan derfor fungere som MFA i sig selv.

Kan IT tvinge os til at bruge passkeys? IT kan via en registration campaign bede brugerne oprette en passkey ved login. Hvor mange gange man kan springe over, afhænger af opsætningen.