Fra 1. februar 2027 slutter Microsoft å sende egne SMS-koder og taleanrop for tofaktor i Microsoft 365, og for globale administratorer og eksterne brukere skjer det 1. juli 2027. Passkeys er gratis i alle Entra-planer og kan ikke fiskes slik SMS-koder kan. Vårt råd til småbedrifter er å flytte alle brukere over til passkey før jul.
Oktober er Nasjonal sikkerhetsmåned, og årets tema er «Digital dømmekraft – Små valg. Store konsekvenser.» Innlogging er et av de små valgene med store konsekvenser. Her forklarer vi hva som endres, hvordan dere sjekker om dere er berørt, og hvordan en bedrift med 1–20 brukere gjør overgangen steg for steg.
Nøkkelfakta om passkeys i Microsoft 365
- 1. september 2026: Passkeys ble standard innloggingsmetode i Microsoft Entra ID, og brukere med SMS eller tale får nå et dytt om å registrere passkey.
- 30. oktober 2026: Virksomheter som må beholde SMS, kan velge en egen teleleverandør i Microsoft Security Store.
- 1. februar 2027: Microsoft-levert SMS og tale som tofaktor pensjoneres for alle unntatt globale administratorer og eksterne brukere.
- 1. juli 2027: Samme endring for globale administratorer og eksterne brukere.
- Pris: Passkeys inngår i alle Entra-utgaver, også Entra ID Free, uten ekstra lisens. Teleleverandør for SMS koster penger.
- Telefonkrav: Passkey i Microsoft Authenticator krever iOS 17 eller Android 14 eller nyere.
Når slutter SMS-koder som tofaktor i Microsoft 365?
Ifølge Microsofts egen veiledning om pensjoneringen av SMS og tale (oppdatert 23. september 2026) skjer endringen i to trinn. Fra 1. februar 2027 slutter Microsoft å levere SMS-koder og taleanrop for vanlige brukere. Fra 1. juli 2027 gjelder det også globale administratorer og eksterne brukere.
Én detalj er lett å overse: interne gjestebrukere følger datoen 1. februar 2027, ikke 1. juli. Endringen ble varslet i Microsoft 365 Message Center med meldings-ID MC1426371 i juli 2026. Meldingen fikk ny tidslinje 15. september 2026, så datoene har allerede flyttet seg én gang. Datoene i denne artikkelen gjelder per oktober 2026.
Merk ordlyden: Det er Microsoft-levert SMS og tale som forsvinner. SMS er ikke forbudt, men den som vil beholde det, må selv skaffe og betale en teleleverandør. Mer om det lenger ned.
Blir vi utestengt hvis vi ikke gjør noe?
Nei. Microsoft svarer et tydelig «No» på spørsmålet om kunder blir låst ute, i ofte stilte spørsmål om SMS- og talepensjoneringen (september 2026). Men brukere som bare har SMS eller tale som tofaktormetode, får etter fristen en blokkerende melding: De må registrere en passkey før de kommer videre, og meldingen kan ikke hoppes over.
Fram til 1. februar 2027 kan brukerne utsette dyttet så mange ganger de vil. Det er nettopp derfor mange kommer til å møte veggen en travel morgen i februar. Endringen gjelder også selvbetjent tilbakestilling av passord (SSPR), så den som har glemt passordet og bare har SMS, står fast.
Brukere som allerede logger inn med passkey, Windows Hello for Business eller en annen phishing-sikker metode, kan fortsette som før.
Hva er en passkey?
En passkey er en innloggingsnøkkel som erstatter passord og engangskoder. Den består av et nøkkelpar: Den private nøkkelen ligger på enheten din, og den offentlige nøkkelen ligger hos tjenesten. Du låser den opp på samme måte som du låser opp telefonen eller PC-en – med fingeravtrykk, ansikt eller PIN-kode.
Ifølge Microsoft Learn om passkeys (FIDO2) virker en passkey bare mot nettstedet den ble laget for, og brukeren må være til stede for å låse den opp. Microsoft beskriver derfor passkeys som «almost impossible to phish» – nesten umulige å fiske. Teknologien bygger på FIDO2-standarden fra bransjesamarbeidet FIDO Alliance.
Tre måter å lagre en passkey på
- Synkronisert passkey: lagres i iCloud-nøkkelring eller Google Passordbehandler og følger brukeren mellom egne enheter.
- Passkey i Microsoft Authenticator: enhetsbundet, ligger på én telefon og forlater den ikke.
- Fysisk sikkerhetsnøkkel (FIDO2): en liten USB- eller NFC-brikke. Microsoft anbefaler den for brukere med utvidede rettigheter og i sterkt regulerte bransjer.
Synkroniserte passkeys er enklest, men nøkkelen ligger da også i Apples eller Googles sky. For de fleste ansatte er det en fornuftig avveining. For administratorkontoen velger vi enhetsbundet.
Hvorfor er passkeys tryggere enn SMS-koder?
En SMS-kode er en delt hemmelighet som kan videreformidles. En svindler kan lage en falsk innloggingsside, be offeret taste inn koden og bruke den selv i samme sekund. Koden kan også fanges opp hvis noen får overført telefonnummeret ditt til et nytt SIM-kort. Microsoft skriver rett ut at SMS og tale er «among the most vulnerable authentication methods available today».
En passkey bruker kryptografiske nøkler i stedet for delte hemmeligheter. Ifølge Microsoft er den motstandsdyktig mot phishing, SIM-bytte og gjenbruk av oppfanget innlogging. En falsk nettside får rett og slett ingenting å stjele, fordi nøkkelen bare svarer det ekte Microsoft-domenet.
Svindlere bruker i økende grad KI til å lage troverdige meldinger og falske stemmer. Vi har skrevet om hvordan KI-svindel og stemmekloning rammer bedrifter, og en tryggere innlogging er en av de få tiltakene som virker uansett hvor god svindelen er.
Hva bekymrer norske ledere?
Ifølge en undersøkelse Opinion gjorde for NorSIS i NSM (publisert 1. juni 2026) blant 722 heltidsansatte i virksomheter med 11–50 ansatte, er 33 prosent av lederne mest bekymret for å bli lurt av phishing. Blant de ansatte er tallet 22 prosent. 25 prosent av lederne peker på tap av kontroll over egen innlogging som en stor digital utfordring.
Holder det med Authenticator og push-varsel?
Push-varsler i Authenticator rammes ikke av SMS-fristen, og brukere med det kommer fortsatt inn. Men Microsoft regner verken engangskoder, push-varsler eller kodeapper som phishing-sikre. Passkey i den samme Authenticator-appen er det naturlige neste steget.
Er bedriften vår berørt? Slik sjekker dere
Ikke alle småbedrifter bruker SMS-koder. Microsoft slår på såkalte sikkerhetsstandarder («security defaults») for nye leietakere, og mange mindre bedrifter har dem. Da registrerer brukerne tofaktor med varsler i Microsoft Authenticator, ikke SMS. SMS finnes typisk der tofaktor ble satt opp med de eldre innstillingene per bruker, eller der SMS er slått på i metodepolicyen.
Slik finner dere ut av det:
- Hver ansatt kan logge inn på mysignins.microsoft.com/security-info og se hvilke innloggingsmetoder som er registrert. Står bare telefon med SMS eller anrop oppført, er brukeren berørt.
- Administratoren kan kjøre PowerShell-skriptet Microsoft lenker til fra veiledningen, eller se rapporten «Authentication methods activity» i Entra-administrasjonssenteret.
Microsoft 365-kontoen er også e-postkontoen. Bruker dere Microsoft 365 til e-post på eget domene, er det altså tilgangen til innboksen som står på spill.
Slik setter en liten bedrift opp passkeys i Microsoft 365
For en bedrift med 1–20 brukere er dette en oversiktlig jobb, fordelt på administrator og ansatte. Microsoft-menyene finnes bare på engelsk i veiledningene vi har lest, så vi bruker de engelske navnene.
- Finn hvem som har SMS eller tale. Lag gjerne en egen sikkerhetsgruppe for dem.
- Slå på passkeys. I Microsoft Entra-administrasjonssenteret, under «Authentication methods», åpner dere metoden «Passkey (FIDO2)» og setter «Allow self-service set up» til «Yes».
- Start en registreringskampanje. Under «Registration campaign» kan dere sette tilstanden til «Microsoft Managed» og rette den mot gruppen fra steg 1. Brukerne får da beskjed neste gang de logger inn.
- Si fra til de ansatte. Microsoft peker på god kommunikasjon som det viktigste for en smidig overgang: hva som endres, når, og hva hver enkelt må gjøre.
- Sikre administratorkontoen først (se under).
- Fjern SMS som metode når alle har registrert passkey, slik at ingen kan presses tilbake til den svakere metoden.
Steg for den ansatte
Ifølge Microsofts veiledning for passkey i Authenticator er den anbefalte måten å åpne Authenticator-appen, velge jobbkontoen og trykke «Create a passkey». Telefonen må ha iOS 17 eller Android 14 eller nyere, og Authenticator må være slått på som leverandør av passord og passkeys under autoutfylling. Brukeren må ha fullført tofaktor de siste fem minuttene før registreringen. Alternativt kan passkeyen legges til fra Security info-siden.
Administratoren fortjener ekstra beskyttelse
Microsoft anbefaler FIDO2-sikkerhetsnøkler for brukere med utvidede rettigheter. NSMs grunnprinsipper for IKT-sikkerhet sier det samme på sin måte: Bruk flerfaktorautentisering, og legg oppgaver som krever forhøyede rettigheter på en egen konto, adskilt fra vanlig kontorbruk. I praksis betyr det én vanlig konto til e-post og Teams og én egen administratorkonto med sikkerhetsnøkkel eller passkey i Authenticator. Fristen for globale administratorer er 1. juli 2027, men vi anbefaler ikke å vente så lenge.
Ideelle organisasjoner med donerte Microsoft 365-lisenser treffes av den samme fristen. Se vår guide for ideelle organisasjoner for hvordan lisensene henger sammen, og vår oversikt over cybersikkerhet for småbedrifter for resten av sikkerhetsbildet.
Kan vi fortsette med SMS-koder i Microsoft 365 etter 1. februar 2027?
Ja, men ikke gratis og ikke automatisk. Fra 30. oktober 2026 kan virksomheter som trenger SMS eller tale, velge og sette opp en teleleverandør i Microsoft Security Store. De første leverandørene er Soprano og Telesign, i en privat forhåndsversjon, og Microsoft lover flere leverandører når tjenesten blir allment tilgjengelig.
Microsoft bekrefter at dette koster penger, og at prisen «varierer med leverandør og region». Vi har ikke sett noen norske priser og anbefaler ingen bestemt leverandør. Microsoft anbefaler å ha leverandøren klar minst fire uker før fristen. Regnet fra 1. februar 2027 betyr det senest 4. januar 2027.
Microsoft beskriver denne veien som et unntak for virksomheter med et reelt regulatorisk eller driftsmessig behov, og ber dem dokumentere behovet. For en typisk småbedrift er passkeys både billigere og tryggere.
Ofte stilte spørsmål
Når slutter SMS-koder som tofaktor i Microsoft 365?
Microsoft-levert SMS og tale slutter å virke som tofaktor 1. februar 2027 for vanlige brukere og interne gjester. For globale administratorer og eksterne brukere er datoen 1. juli 2027 (per oktober 2026).
Koster passkeys noe ekstra i Microsoft 365?
Nei. Passkeys inngår i alle Microsoft Entra ID-utgaver, også Entra ID Free, og krever ingen ekstra lisens. Det er bare SMS via en egen teleleverandør som koster penger.
Kan vi skru av passkey-dyttet til vi er klare?
Ja, midlertidig. Administratoren kan reservere seg mot den automatiske påslåingen fram til 1. februar 2027 via Microsoft Graph, men fristen gjelder uansett etter det.
Hvilke telefoner støtter passkey i Microsoft Authenticator?
Telefonen må ha iOS 17 eller nyere, eller Android 14 eller nyere. Med eldre telefon kan brukeren i stedet bruke en fysisk FIDO2-sikkerhetsnøkkel eller en passkey lagret på Windows-PC-en.
Hvor raskt er det å logge inn med passkey?
Microsoft oppgir at synkroniserte passkeys er 14 ganger raskere enn passord og tradisjonell tofaktor – 3 sekunder mot 69. Tallene er målt blant private Microsoft-kontoer, ikke bedriftskontoer.