Hvad er tofaktorgodkendelse (2FA)?

Senest opdateret: 4. september 2026

Fagligt gennemgået af BetterBoard

Tofaktorgodkendelse er en loginmetode, hvor en bruger skal bevise sin identitet med to forskellige autentifikationsfaktorer. Det kan være noget, brugeren ved – eksempelvis en adgangskode – kombineret med noget, brugeren har, såsom en telefon, autentifikationsapp eller fysisk sikkerhedsnøgle.

Metoden kaldes også 2FA, tofaktorautentifikation, tofaktor-login eller 2 faktor godkendelse. Den gør en konto væsentligt vanskeligere at misbruge, fordi en stjålet adgangskode ikke alene er tilstrækkelig til at logge ind.

I en bestyrelsesportal er ekstra loginbeskyttelse særlig relevant, fordi portalen kan indeholde strategiske dokumenter, økonomiske oplysninger og persondata. 2FA er dog ét sikkerhedslag og skal kombineres med korrekt adgangsstyring, sikre enheder, overvågning og gode procedurer.

2FA er en forkortelse for det engelske udtryk two-factor authentication. På dansk anvendes især tofaktorgodkendelse og tofaktorautentifikation.

Ordet faktor er afgørende. To trin er kun reel 2FA, hvis de bygger på forskellige typer bevis. En adgangskode efterfulgt af endnu et spørgsmål, som brugeren også kender svaret på, er to trin, men typisk samme faktor.

Formålet er at gøre adgangen robust over for én kompromitteret faktor. Hvis en angriber får adgangskoden, mangler vedkommende stadig den registrerede telefon, app, nøgle eller anden faktor.

Brugeren indtaster først sit brugernavn og sin adgangskode. Systemet kontrollerer derefter en anden faktor, før sessionen åbnes. Det kan være en engangskode via SMS, en kode fra en app eller en godkendelse med en sikkerhedsnøgle.

Den anden kontrol skal knyttes til den rigtige konto og have en kort gyldighed. Systemet bør begrænse gentagne forsøg og registrere mistænkelige loginhændelser.

Når begge faktorer er godkendt, får brugeren adgang efter sine tildelte rettigheder. 2FA afgør identiteten ved login; det afgør ikke i sig selv, hvilke dokumenter brugeren må se.

Autentifikationsfaktorer opdeles normalt i:

• Noget du ved – eksempelvis adgangskode eller PIN-kode.
• Noget du har – eksempelvis telefon, autentifikationsapp eller sikkerhedsnøgle.
• Noget du er – eksempelvis fingeraftryk eller ansigtsgenkendelse.

Ægte tofaktorgodkendelse kombinerer faktorer fra to forskellige kategorier. To forskellige adgangskoder er fortsat kun noget, brugeren ved.

Biometri bør vurderes omhyggeligt. I mange løsninger bruges fingeraftryk eller ansigt lokalt til at låse en enhed eller et passkey op, uden at den biometriske skabelon sendes til selve tjenesten.

2FA kræver præcis to forskellige faktorer. MFA, multifaktorgodkendelse, er et bredere begreb og kan omfatte to eller flere faktorer.

Totrinsbekræftelse beskriver, at login sker i to trin, men garanterer ikke nødvendigvis, at trinnene tilhører forskellige faktorkategorier. I daglig tale bruges ordene ofte som synonymer.

Ved vurdering af en løsning bør organisationen derfor se på den faktiske metode frem for betegnelsen. Det centrale er, hvilke beviser der kræves, hvor modstandsdygtige de er mod phishing, og hvordan gendannelse håndteres.

2FA er en effektiv grundkontrol, men ingen enkeltfunktion kan sikre en konto alene. Organisationen skal se loginbeskyttelsen som en del af den samlede bestyrelsessikkerhed.

Adgangskoder kan afsløres gennem phishing, datalæk, malware, usikre enheder eller genbrug på flere tjenester. Selv en stærk adgangskode kan kompromitteres, hvis brugeren indtaster den på en falsk login-side.

2FA reducerer konsekvensen, fordi angriberen også skal omgå den anden faktor. Beskyttelsen afhænger dog af metoden. En engangskode kan eksempelvis lokkes ud af brugeren, mens en korrekt implementeret sikkerhedsnøgle er mere modstandsdygtig over for phishing.

Adgangskoder bør fortsat være unikke, og organisationen bør anvende passende politikker og eventuelt en godkendt passwordmanager.

Almindelige metoder er:

• Engangskode sendt via SMS.
• Tidsbaseret kode i en autentifikationsapp.
• Push-besked, som brugeren godkender på en registreret enhed.
• Fysisk sikkerhedsnøgle med eksempelvis FIDO-teknologi.
• Passkey, der er knyttet til en enhed eller sikker konto.
• Biometrisk kontrol på en betroet enhed.
• Engangskoder via hardware-token.

E-mailkoder anvendes også, men giver begrænset ekstra beskyttelse, hvis den samme kompromitterede mailkonto bruges til login og kode. Metoden bør vælges efter risiko, målgruppe og driftsbehov.

Efter korrekt adgangskode sender tjenesten en kortvarig engangskode til brugerens registrerede telefonnummer. Brugeren indtaster koden for at afslutte login.

SMS er let at forstå og kræver normalt ingen særskilt app. Metoden kan derfor være praktisk for en bred og lejlighedsvis brugergruppe.

Sikkerheden afhænger blandt andet af mobilkontoen, telefonnummerets registrering og brugerens modstand mod phishing. Nummerændringer skal håndteres kontrolleret, og engangskoden må aldrig deles med en person, der ringer eller skriver.

En autentifikationsapp genererer normalt en ny tidsbaseret engangskode med korte intervaller. Appen og tjenesten deler ved opsætningen en hemmelig nøgle, ofte overført via en QR-kode.

Koden kan fungere uden mobildækning, men telefonens klokkeslæt skal være korrekt. QR-koden og gendannelsesmaterialet skal beskyttes, fordi de kan gøre det muligt at kopiere faktoren.

Nogle apps synkroniserer konti via en cloudtjeneste. Organisationen bør vurdere, hvordan backup, enhedsskifte og brugerens private konto påvirker sikkerheden.

Systemet sender en forespørgsel til en registreret app, og brugeren godkender eller afviser login. Metoden kan vise oplysninger som tjeneste, tidspunkt og placering.

Push er brugervenligt, men brugeren kan blive udsat for mange uventede forespørgsler og til sidst trykke godkend. Denne teknik kaldes blandt andet MFA fatigue.

Number matching, hvor et tal fra login-siden skal vælges eller indtastes i appen, kan reducere risikoen. Brugeren skal altid afvise en forespørgsel, som vedkommende ikke selv har startet, og rapportere hændelsen.

En sikkerhedsnøgle er en fysisk enhed, som registreres til kontoen og bruges ved login. Moderne nøgler kan kontrollere, at brugeren befinder sig på den rigtige webadresse, og er derfor stærkt modstandsdygtige over for almindelig phishing.

Nøglen kan tilsluttes via USB eller kommunikere trådløst afhængigt af modellen. Brugeren kan have en primær nøgle og en sikkert opbevaret reserve.

Organisationen skal håndtere indkøb, registrering, udlevering, bortkomst og tilbagelevering. Ikke alle systemer og brugere understøtter samme nøgletyper.

Et passkey er en moderne loginoplysning baseret på kryptografiske nøgler. Den private nøgle forbliver på brugerens enhed eller i en beskyttet synkroniseringstjeneste, mens tjenesten kun modtager den offentlige del.

Brugeren låser typisk passkeyet op med enhedens PIN-kode eller biometri. Metoden kan være både brugervenlig og modstandsdygtig over for phishing.

Passkeys kan anvendes uden traditionel adgangskode eller som en stærk faktor. Organisationen bør forstå synkronisering, delte enheder, gendannelse og fratrædelse, før metoden indføres bredt.

En autentifikationsapp er ofte mindre afhængig af mobilnet og telefonnummer end SMS. SMS kan til gengæld være enklere for brugere, som ikke ønsker eller kan installere en app.

Begge metoder giver normalt bedre beskyttelse end adgangskode alene, men engangskoder kan stadig phishes. Sikkerhedsnøgler og visse passkeys kan give stærkere phishing-modstand.

Det bedste valg afhænger af informationsrisiko, brugergruppe, tilgængelighed og supportkapacitet. En løsning kan tilbyde flere godkendte metoder med en klar prioritering.

En phishing-resistent metode binder godkendelsen kryptografisk til den rigtige tjeneste eller webadresse. Brugeren kan derfor ikke uden videre aflevere en gyldig kode til en falsk login-side.

Fysiske sikkerhedsnøgler og korrekt implementerede passkeys er typiske eksempler. SMS- og appkoder kan derimod indtastes på en falsk side og videresendes af angriberen i realtid.

Phishing-resistens er især relevant for administratorer og andre højrisikobrugere. Den fjerner dog ikke behovet for sikre enheder, adgangskontrol og overvågning.

Bestyrelsesmateriale kan indeholde strategi, økonomi, personoplysninger, handler og endnu ikke offentliggjorte beslutninger. En kompromitteret konto kan derfor få alvorlige konsekvenser.

2FA gør det vanskeligere at få adgang alene med en stjålet adgangskode. Det supplerer portalens rollebaserede adgang og sikre dokumentdeling.

Beskyttelsen bør gælde relevante brugere og ikke kun administratorer. En ekstern rådgiver eller et bestyrelsesmedlem med begrænset teknisk erfaring kan stadig have adgang til meget følsomt materiale.

GDPR nævner ikke én bestemt loginmetode som et universelt krav. Den dataansvarlige og databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger ud fra risikoen.

Tofaktorgodkendelse kan være en væsentlig foranstaltning, når systemet behandler personoplysninger eller fortroligt materiale. Om den er nødvendig, afhænger af behandling, trusler og øvrige kontroller.

Læs mere om GDPR. Organisationens vurdering og beslutning bør dokumenteres; aktivering af 2FA er ikke i sig selv bevis for fuld overholdelse.

Autentifikation besvarer spørgsmålet om, hvem brugeren er. Autorisation afgør, hvad den identificerede bruger må se og gøre. Begge dele er nødvendige.

Efter et sikkert login kan for brede rettigheder stadig give adgang til uvedkommende dokumenter. Roller bør følge arbejdsbehovet og kontrolleres regelmæssigt.

En portal bør derfor kombinere stærk autentifikation med mindst mulige rettigheder, adskillelse af administratorroller, kontrolleret deling og hurtig lukning af adgang ved fratrædelse.

Single sign-on, SSO, gør det muligt at bruge en central identitetstjeneste til flere systemer. 2FA kan håndhæves centralt i identitetstjenesten i stedet for særskilt i hver applikation.

Det kan give ensartede politikker, lettere brugeradministration og samlet hændelseslogning. Den centrale konto bliver samtidig meget vigtig og skal beskyttes stærkt.

Organisationen bør afklare, hvor den anden faktor faktisk kontrolleres, hvilke undtagelser der findes, og hvordan adgang lukkes. SSO og 2FA løser forskellige dele af identitetsstyringen.

1. Fastlæg, hvilke brugere og systemer der omfattes.
2. Vælg godkendte faktorer efter risiko og brugerbehov.
3. Beskriv opsætning, identitetskontrol og gendannelse.
4. Registrér den anden faktor gennem en sikker, verificeret proces.
5. Opret reservekoder eller alternativ faktor, hvis politikken tillader det.
6. Test login og gendannelse uden at svække kontrollen.
7. Kommunikér, at engangskoder og godkendelser aldrig må deles.
8. Følg op på manglende aktivering og usædvanlige loginhændelser.

Udrulningen bør starte med administratorer og andre højrisikokonti, men ende med en konsekvent politik for hele den relevante brugergruppe.

Kontrollér først, at brugeren anvender den korrekte konto og metode. Ved SMS bør telefonnummer, signal og forsinkelse kontrolleres. Ved appkoder kan forkert tid på enheden være årsagen.

Gentagne koder bør ikke deles eller indtastes på andre sider. Hvis brugeren modtager en uventet godkendelsesforespørgsel, skal den afvises og rapporteres.

Support skal følge en dokumenteret procedure. Administratoren må ikke fjerne faktoren alene på baggrund af en mail eller et telefonopkald, som en angriber kan efterligne.

Brugeren bør straks melde enheden mistet og få den fjernet som aktiv faktor. Hvis telefonen også indeholder mail, adgangskoder eller portaladgang, kan yderligere sikring være nødvendig.

Adgangen gendannes gennem en godkendt reservefaktor, reservekode eller en kontrolleret identitetsproces. En ny telefon bør ikke registreres alene ud fra oplysninger, som let kan findes offentligt.

Organisationen skal registrere hændelsen og vurdere, om der har været mistænkelige loginforsøg. Gendannelse er en del af sikkerhedsdesignet, ikke kun en supportopgave.

Reservekoder er engangskoder, som kan bruges, hvis den normale faktor ikke er tilgængelig. De bør opbevares separat fra adgangskoden og den enhed, de skal erstatte.

Koderne må ikke deles eller gemmes i et ubeskyttet dokument. Når en kode er brugt, skal den ikke kunne anvendes igen.

Hvis reservekoder mistes eller mistænkes kompromitteret, bør de annulleres og erstattes. Organisationen bør afgøre, om reservekoder passer til risikoniveauet, eller om administratorstyret gendannelse er mere passende.

Teknisk kan det være muligt, men organisationens sikkerhedspolitik bør afgøre, om brugeren eller administratoren må gøre det. På systemer med fortrolige oplysninger bør permanent fravalg normalt ikke være en almindelig mulighed.

Midlertidig deaktivering i en supportsag kræver sikker identitetskontrol, begrænset varighed og dokumentation. En ny faktor bør registreres hurtigst muligt.

Hvis en bruger oplever problemer, bør organisationen først undersøge en alternativ godkendt metode frem for at fjerne beskyttelsen.

Brugeren skal kun godkende forespørgsler, som vedkommende selv har startet. Gentagne uventede push-beskeder kan være tegn på, at en angriber allerede kender adgangskoden.

Systemet kan begrænse antallet af forespørgsler, kræve number matching og vise tydelige oplysninger om login. Mistænkelig aktivitet bør udløse blokering eller yderligere kontrol.

Brugeren skal kunne rapportere hændelsen hurtigt. Adgangskoden bør ændres, aktive sessioner gennemgås, og logdata undersøges efter organisationens beredskabsproces.

Administratorer kan ændre brugere, rettigheder og sikkerhedsindstillinger og er derfor attraktive mål. De bør anvende stærke, helst phishing-resistente faktorer og særskilte administrationskonti.

Gendannelse af en administratorkonto skal have ekstra kontrol. Én person bør ikke uden spor kunne fjerne alle sikkerhedsbarrierer på sin egen konto.

Administratorrettigheder bør begrænses, logges og revurderes. 2FA beskytter login, men kan ikke forhindre misbrug fra en legitim, for privilegeret eller allerede kompromitteret session.

Ved onboarding skal identiteten kontrolleres, og faktoren registreres gennem en kendt kanal. Brugeren bør modtage instruktion i godkendelser, phishing, enhedsskifte og support.

Ved rolleændringer gennemgås både rettigheder og registrerede faktorer. Ved fratrædelse skal konto og aktive sessioner lukkes, og eventuelle fysiske sikkerhedsnøgler returneres.

Processen bør hænge sammen med organisationens øvrige brugeradministration. En gammel konto med fungerende 2FA er stadig en sikkerhedsrisiko, hvis personen ikke længere skal have adgang.

Relevante hændelser kan omfatte vellykkede og afviste loginforsøg, registrering eller fjernelse af faktorer, brug af reservekoder, gendannelse og ændring af telefonnummer.

Logning skal være proportional og beskyttet mod ændring. Adgangen til logdata bør begrænses, og opbevaring skal følge organisationens behov og regler.

Mønstre som mange afviste forespørgsler, login fra usædvanlige steder eller pludselig ændring af faktor kan kræve undersøgelse. Se også principperne for bestyrelsessikkerhed.

Typiske fejl er:

• At gøre 2FA frivillig for brugere med følsom adgang.
• At tillade en svag gendannelsesproces, som omgår beskyttelsen.
• At acceptere ændring af telefonnummer uden sikker identitetskontrol.
• At tro, at 2FA erstatter rettighedsstyring og sikre enheder.
• At bruge e-mail som anden faktor, når mailkontoen er samme sårbare led.
• At ignorere uventede push-beskeder og gentagne loginforsøg.
• At mangle reserveproces ved tabt telefon eller manglende mobildækning.
• At beholde gamle konti og faktorer efter fratrædelse.

Kontrollen skal fungere i praksis – også når brugeren er under tidspres eller har skiftet enhed.

Vurder blandt andet:

• Understøttede faktorer og phishing-modstand.
• Mulighed for at håndhæve 2FA for alle relevante brugere.
• Sikker registrering, ændring og gendannelse.
• Adskilte regler for administratorer og højrisikokonti.
• Logning, varsling og håndtering af mistænkelige forsøg.
• Tilgængelighed for brugere uden smartphone eller mobildækning.
• Integration med SSO og organisationens identitetsstyring.
• Support, dokumentation og styring ved fratrædelse.

En realistisk test bør omfatte normal login, ny enhed, mistet telefon, afvist forespørgsel og administratorstyret gendannelse.

1. Kortlæg systemer, brugergrupper og følsomme oplysninger.
2. Vurder trusler og vælg passende faktorer.
3. Fastlæg politik for krav, undtagelser og gendannelse.
4. Test løsningen med en repræsentativ brugergruppe.
5. Informér og uddan brugerne før aktivering.
6. Udrul først til administratorer og derefter øvrige brugere.
7. Kontrollér, at alle relevante konti er omfattet.
8. Overvåg hændelser, supportbehov og forsøg på omgåelse.
9. Revurdér metoderne, når trusler og teknologi ændrer sig.

Indførelsen bør koordineres med organisationens adgangsstyring, sikkerhedspolitik og beredskab.

Nej. 2FA reducerer risikoen betydeligt, men kan omgås gennem blandt andet realtidsphishing, malware, stjålne sessioner, social engineering eller en svag gendannelsesproces.

Stærkere metoder gør visse angreb vanskeligere. Brugerne skal stadig kontrollere webadressen, beskytte enhederne og reagere på uventede forespørgsler.

Organisationen bør kombinere 2FA med unikke adgangskoder, opdaterede enheder, sikre sessioner, mindst mulige rettigheder, logning og en plan for sikkerhedshændelser.

• Sikkerdigital – danske råd om sikker login, phishing og beskyttelse af konti.
• Datatilsynet – vejledning om passende sikkerhed ved behandling af personoplysninger.
• CISA – vejledning om multifaktorgodkendelse og phishing-resistente metoder.
• NCSC – praktisk vejledning om MFA til onlinetjenester.

Kilderne er generelle. Organisationens valg skal tilpasses de konkrete systemer, brugere, trusler og oplysninger.

BetterBoards bestyrelsesportal tilbyder 2-faktor login som standardfunktion. Efter brugernavn og adgangskode modtager brugeren en engangskode via SMS, som skal indtastes, før der gives adgang til portalen.

Metoden supplerer portalens øvrige sikkerhed og hjælper med at beskytte fortroligt bestyrelsesmateriale, hvis en adgangskode kompromitteres. Brugeren skal holde sit registrerede telefonnummer opdateret og må aldrig dele engangskoden.

Læs den konkrete produktbeskrivelse af 2-faktor login i BetterBoards bestyrelsesportal, eller få et samlet overblik over BetterBoards bestyrelsesportal.