SMS-koder til Microsoft-login udfases: Passkeys er standard fra i dag
I dag, tirsdag den 1. september 2026, bliver passkeys standard i Microsoft Entra ID, som styrer login til Microsoft 365. Samtidig udfaser Microsoft de SMS- og opkaldskoder, som Entra ID selv sender, og fra 1. februar 2027 stopper de. Har I medarbejdere, hvis eneste ekstra login-trin er en SMS-kode, skal de have en anden metode inden da.
Fra i dag bliver SMS-brugere bedt om at oprette en passkey
Microsoft varslede ændringen den 13. juli 2026 i meddelelsen MC1426371 i Message Center, hvor administratorer af Microsoft 365 får besked om ændringer. Den gælder brugere, der er sat op til SMS eller opkald som MFA, altså det ekstra trin efter adgangskoden. Det gælder også, hvis SMS er slået til i de gamle MFA-indstillinger.
Fra i dag får de brugere automatisk slået passkeys til. Næste gang de logger ind og bekræfter med MFA, bliver de bedt om at oprette en passkey. Indtil videre kan de springe beskeden over, så tit de vil.
Har I brug for mere tid, kan I midlertidigt fravælge den automatiske opsætning frem til 1. februar 2027. Jeres IT-leverandør kan slå fravalget til via Microsoft Graph, der bruges til at ændre indstillinger i Microsoft 365 med kode. Fravalget udskyder kun opsætningen og beskederne, ikke fristen.
Fra 1. februar 2027 kan beskeden ikke springes over
Fra 1. februar 2027 leverer Microsoft ikke længere selv SMS- og opkaldskoder i Entra ID. Har I ikke valgt en teleudbyder til SMS, skal brugere, hvis eneste MFA-metode er SMS eller opkald, derefter oprette en passkey under login, før de kan komme videre. Den besked kan ikke springes over, og Microsoft skriver, at ingen virksomhed kan fravælge kravet.
Udfasningen gælder også selvbetjent nulstilling af adgangskode. Får jeres medarbejdere i dag en SMS-kode, når de har glemt adgangskoden, skal det også løses på en anden måde. Ændringen rammer kun SMS og opkald. Medarbejdere, der godkender login i Microsoft Authenticator-appen eller allerede bruger passkeys eller Windows Hello for Business, kan fortsætte.
En passkey kan ligge på telefonen, i Windows eller på en nøgle
En passkey bygger på kryptografiske nøgler i stedet for en kode, som brugeren skal taste ind, og den er bundet til en enhed eller et synkroniseret lager. Ifølge Microsoft beskytter den mod phishing, altså falske mails og login-sider, mod SIM-swap, hvor en svindler overtager et telefonnummer, og mod genbrug af opsnappede login-data. Til sammenligning kalder Microsoft SMS og opkald for nogle af de mest sårbare login-metoder i dag.
Entra ID understøtter to slags passkeys. Den ene slags ligger på én enhed, for eksempel i Microsoft Authenticator på telefonen, i Windows på pc'en eller på en fysisk sikkerhedsnøgle, en såkaldt FIDO2-nøgle. Den anden slags gemmes i en adgangskodeadministrator som iCloud-nøglering eller Google Password Manager og følger med på brugerens enheder. Hos Microsoft koster overgangen til passkeys ikke ekstra.
SMS kan fortsætte, men så skal I selv betale for den
Microsoft anbefaler passkeys til alle, hvor det er muligt. Har I et lovkrav eller en driftsmæssig grund til at beholde SMS eller opkald, skal I indgå aftale med en teleudbyder gennem Microsofts markedsplads Microsoft Security Store. Fra 18. september 2026 kan I se udbyderne, og fra 30. oktober 2026 kan I vælge og sætte en udbyder op. Prisen afhænger af udbyder og region.
Det kan I gøre nu
Start med at finde ud af, hvem det rammer. Microsofts vejledning om udfasningen henviser til et PowerShell-script, et lille program, der finder de brugere, som er sat op til SMS eller opkald. Finder det bare én bruger, er I omfattet.
Kig derefter især på medarbejdere uden firmatelefon, for eksempel i produktionen, på lageret eller bag rattet, og på vikarer, der kun er ansat i en periode. SMS virker på enhver mobil, men en passkey kræver en smartphone, en pc eller en fysisk nøgle. Afklar derfor for hver gruppe:
- om de må bruge deres egen telefon til Microsoft Authenticator eller en passkey
- om de kan logge ind med Windows Hello på den pc, de bruger
- om nogle skal have en fysisk sikkerhedsnøgle
- hvordan de selv nulstiller deres adgangskode uden SMS
Fortæl medarbejderne om ændringen nu, så beskeden ikke kommer bag på dem. Microsoft anbefaler at varsle først, derefter vise trin for trin, hvordan man opretter en passkey på sin type enhed, og til sidst minde dem, der mangler.
Vi rådgiver om IT-sikkerhed og kan hjælpe med at kortlægge, hvem der bruger SMS, og lægge planen for overgangen sammen med jeres IT-leverandør.
Kilder
- Passkeys by default and retirement of Microsoft-provided SMS and voice authentication, Microsoft Learn
- FAQ for Microsoft-provided SMS and voice retirement, Microsoft Learn
- MC1426371 - Microsoft Entra: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication, Microsoft 365 Message Center Archive
- Microsoft to Stop Providing Telephony-Based Authentication Methods for MFA in February 2027, Office 365 for IT Pros
