Af Azends rådgivere i IT-sikkerhed og compliance · Opdateret 23. oktober 2026
MFA står for multifaktor-godkendelse. Det betyder, at adgang kræver mindst to uafhængige beviser på, at brugeren er den rette, typisk noget man ved (en adgangskode) kombineret med noget man har (en telefon eller en sikkerhedsnøgle) eller noget man er (fingeraftryk eller ansigt).
Du møder også betegnelserne tofaktorgodkendelse, to-faktor godkendelse, totrinsbekræftelse og 2FA. I praksis dækker de det samme: ud over adgangskoden skal du bekræfte, at det er dig, med noget du har eller noget du er.
Formålet er enkelt: en stjålet adgangskode skal ikke være nok til at komme ind.
Adgangskoder lækkes i stort omfang gennem databrud hos tjenester, folk har brugt med samme kode. De phishes. Og de gættes, fordi mennesker vælger genkendelige mønstre. Kravet om at koden skal være lang og kompleks løser ikke problemet, en stjålet 24-tegns kode er lige så brugbar for angriberen som en kort.
MFA ændrer regnestykket: koden alene er værdiløs.
Ordene bruges i flæng, men der er en lille forskel, som er værd at kende, når I vælger løsning.
MFA (multifaktor-godkendelse) er fællesbetegnelsen. Adgang kræver mindst to forskellige typer bevis: noget du ved (adgangskode eller pinkode), noget du har (telefon eller sikkerhedsnøgle) og noget du er (fingeraftryk eller ansigt).
Tofaktorgodkendelse eller 2FA er MFA med præcis to af de typer. Det er den form, de fleste møder i hverdagen, for eksempel adgangskode plus en godkendelse i Microsoft Authenticator.
Totrinsbekræftelse er det navn, Microsoft og Google bruger i deres brugerflader. Vær opmærksom på, at to trin ikke altid betyder to faktorer. En adgangskode efterfulgt af et sikkerhedsspørgsmål er to trin, men begge dele er noget du ved. Det er ikke rigtig MFA og giver ikke den samme beskyttelse.
Det er her mange opsætninger halter, og det er værd at være konkret om. Rangeret fra svagest til stærkest:
01
Bedre end ingenting, men sårbar over for SIM-swapping og over for phishing-sider, der beder om koden i realtid.
02
Stærkere end sms, men kan stadig phishes, hvis brugeren indtaster koden på en falsk loginside.
03
Brugeren trykker godkend i en app. Sårbar over for MFA-fatigue, hvor angriberen udløser anmodninger igen og igen indtil brugeren trykker ja for at få ro.
04
Brugeren skal indtaste et tal, der vises på loginskærmen. Det stopper MFA-fatigue, fordi et tilfældigt tryk ikke længere er nok.
05
Kryptografisk bundet til det rigtige domæne. Kan ikke phishes, fordi nøglen simpelthen ikke svarer på en falsk side. Den stærkeste form for MFA.
Anbefalingen er derfor ikke blot “slå MFA til”, men: brug nummermatchning som minimum, og passkeys eller hardwarenøgler til administratorkonti og til brugere med adgang til følsomme data.
Erfaringen fra praksis er, at MFA sjældent mangler helt, det mangler i hjørnerne, og det er hjørnerne der bliver brugt:
Et konkret råd: gennemgå ikke om MFA er slået til, men hvor mange logins der faktisk gennemføres uden. Det tal er ofte en overraskelse.
Modstanden mod MFA handler oftest om friktion. Det er en reel indvending, og løsningen er ikke at fjerne MFA, men at bruge betinget adgang: en kendt, opdateret enhed på et kendt sted skal ikke spørges hver gang, mens et login fra en ny enhed i et nyt land skal. Så ligger friktionen der, hvor risikoen er.
De fleste af vores kunder arbejder i Microsoft 365, og her er der to veje. Hvilken der passer, afhænger af jeres licenser og hvor meget kontrol I har brug for.
✓ Sikkerhedsstandarder (security defaults): en grundindstilling, der kræver MFA for alle brugere. Den er gratis og hurtig at slå til, men giver ingen mulighed for undtagelser eller finjustering.
✓ Betinget adgang (conditional access): regler, der fx kræver MFA ved login uden for kontoret, fra ukendte enheder eller til administratorkonti. Det kræver Microsoft Entra ID P1, som indgår i Microsoft 365 Business Premium.
Når vi ruller tofaktorgodkendelse ud hos en virksomhed, gør vi typisk dette:
✓ Kortlægger først alle konti, også fællespostkasser, servicekonti og gamle brugere
✓ Vælger Microsoft Authenticator med nummermatchning som standardmetode
✓ Lader medarbejderne registrere sig i en kort periode, før kravet slås til
✓ Opretter to nødadgangskonti, der er udtaget af reglerne og overvåges
✓ Blokerer ældre protokoller, der kan omgå MFA, som fx gammel IMAP og POP
Den sidste del bliver ofte glemt. Hvis gamle protokoller står åbne, kan en angriber logge ind med adgangskoden alene, selvom MFA er slået til for brugeren.
MFA er én del af en større disciplin: identitets- og adgangsstyring (IAM), som også handler om, hvem der har hvilke rettigheder, og at adgangen lukkes, når en medarbejder stopper.
Vi hjælper med at kortlægge hvor mange logins der faktisk gennemføres uden multifaktor-godkendelse, og lukke hullerne. Læs mere om it-sikkerhed hos Azend, eller tag en uforpligtende snak med en af vores rådgivere.
2FA, tofaktorgodkendelse, er MFA med præcis to faktorer. MFA er den bredere betegnelse og dækker to eller flere faktorer. I daglig tale bruges de i praksis om det samme.
Sms er bedre end ingen MFA, men det er den svageste form. Den kan omgås via SIM-swapping og via phishing-sider der beder om koden i realtid. Nummermatchning i en app eller passkeys er væsentligt stærkere.
Det er et angreb, hvor angriberen, som har adgangskoden, udløser gentagne godkendelsesanmodninger, indtil brugeren trykker godkend for at få ro. Nummermatchning stopper angrebet, fordi et tilfældigt tryk ikke længere er nok.
NIS2 kræver passende tekniske foranstaltninger og nævner multifaktor-godkendelse eller løbende autentifikationsløsninger blandt de foranstaltninger, omfattede virksomheder skal overveje. I praksis vil manglende MFA være svær at forsvare i en risikovurdering.
Totrinsbekræftelse er Microsofts og Googles betegnelse for tofaktorgodkendelse. Du logger ind med din adgangskode og bekræfter derefter med et ekstra trin, typisk en godkendelse i en app eller en kode. Det giver kun reel beskyttelse, hvis det ekstra trin er en anden type bevis end adgangskoden.
Ja, grundbeskyttelsen via sikkerhedsstandarder er inkluderet i alle Microsoft 365-abonnementer. Vil I styre MFA med regler, fx kun at kræve det uden for kontoret, kræver det betinget adgang, som følger med Microsoft 365 Business Premium eller en Entra ID P1-licens.
✓ Sikkerdigital.dk: Brug sikkert login og beskyt virksomheden
✓ Microsoft Learn: Sådan virker nummermatchning i Authenticator
✓ Styrelsen for Samfundssikkerhed: Hvad er NIS 2?
Forsøg på at narre en medarbejder, og hvad der faktisk stopper det.
Central styring af de enheder, medarbejderne arbejder på.
Identitets- og adgangsstyring: hvem må hvad, og hvornår.
Ny IT-partner? 69 88 49 39