Fra kodeordstræt til passkey-klar på den rolige måde

Det korte svar er at du godt kan skifte til passkeys uden at låse dig selv ude, hvis du gør det i den rigtige rækkefølge. Men det længere svar er mere interessant.

For passkeys er ikke bare endnu en indstilling i sikkerheds-menuen. Det er et skift i hele måden du logger ind på. Det kan føles magisk, når det virker. Og ekstremt irriterende, hvis du står med ny telefon, ny laptop og nul adgang til din mail.

Her får du den danske “migrationsplan”: hvordan du går fra kodeord til passkeys skridt for skridt, med nødplaner, så du kan være moderne uden at være hovedløs.

1. Hvad passkeys faktisk løser (og hvad de ikke løser)

Før vi taler plan: vi skal være enige om, hvad en passkey er, og hvad den ikke er.

1.1 Hvad er en passkey, i helt almindelige ord?

En passkey er en digital nøgle, der ligger på dine enheder i stedet for i din hjerne.

Når du bruger passkeys, sker der grundlæggende det her:

• Websitet siger: “Hej, jeg kender en nøgle til den her konto, har du den?”
• Din telefon/computer svarer: “Ja, og jeg kan bevise det, hvis ejeren lige godkender med Face ID, fingeraftryk eller pinkode.”
• Du logger ind uden at skrive kodeord.

Teknisk set bruger passkeys såkaldt WebAuthn og FIDO2, men det behøver du ikke kunne udtale. Pointen er, at det er en moderne standard, som Apple, Google, Microsoft, 1Password osv. er enige om at støtte.

1.2 Det passkeys er gode til

Passkeys fjerner nogle af de største problemer ved kodeord:

• Phishing bliver sværere: En passkey kan ikke “stjæles” via et falsk login-site på samme måde som et kodeord, fordi den er låst til det rigtige domæne.
• Du behøver ikke huske eller genbruge kodeord: Mindre fristelse til at bruge “Sommer2024!” alle steder.
• Login bliver hurtigere: Især på mobil føles det som “Face ID, bum, inde”.
• De passer godt til 2FA: Mange steder bliver passkey faktisk din stærke første-faktor, så hele loginflowet bliver både sikrere og nemmere.

1.3 Det passkeys ikke kan trylle væk

Der er også ting, passkeys ikke løser:

• Mistet adgang til din primære konto: Hvis din Google- eller Apple-konto ryger, og det er der dine passkeys ligger, har du stadig et problem.
• Dårlige sikkerhedsvaner ellers: Du kan stadig klikke på mærkelige links, give samtykke til shady apps eller dele for meget offentligt. Her er vi over i digital vane-psykologi mere end teknik.
• Alle tjenester er ikke klar: Mange store spillere støtter passkeys, men du vil stadig møde konti, der kun kan køre klassisk kodeord + evt. 2FA.

Så nej, det er ikke “slut med at tænke på sikkerhed”. Men det er en reel opgradering, hvis du gør det gennemtænkt.

2. Før du starter: 6 ting der afgør, om passkeys bliver nemt eller kaos

Her kommer beslutnings-delen. De her seks spørgsmål afgør, hvor smooth din tur fra kodeord til passkeys bliver.

2.1 Hvor mange enheder bruger du til login i hverdagen?

Hvis du kun bruger din telefon, er livet simpelt. De fleste af os kører dog et miks:

• Telefon (iPhone eller Android)
• Computer (Mac eller Windows)
• Nogle gange tablet

Jo flere enheder, jo vigtigere er synkronisering. Passkeys fungerer bedst, når de automatisk syncer mellem dine enheder via:

• iCloud Nøglering på Apple-enheder
• Google Password Manager på Android/Chrome
• Microsoft-konto i Edge/Windows

Hvis du ofte skifter mellem f.eks. iPhone og en Windows-laptop, skal du være ekstra opmærksom på, hvor dine passkeys egentlig bor. Mere om det lige om lidt.

2.2 Hvor ligger dine logins i dag?

Der er tre typiske scenarier:

• Du bruger browserens indbyggede gem-kodeord: Altså Safari/iCloud, Chrome/Google eller Edge/Microsoft. God nyhed: De samme systemer bruger nu også passkeys.
• Du har en ekstern password manager: 1Password, Bitwarden osv. Flere af dem understøtter også passkeys. Tjek, om din gør.
• Du kører ren hjerne + notesbog: Så er det nærmest et gratis niveau-op at få noget struktur nu.

Her bør du tage 5 minutter og bladre igennem logins på din telefon og computer. Hvad popper der op som gemte adgangskoder? Det her er din startliste.

2.3 Hvilket “økosystem” er din hverdag mest bundet op på?

Passkeys bliver typisk gemt i dit hoved-økosystem:

• På iPhone + Mac: iCloud Nøglering
• På Android + Chrome: Google Password Manager
• På Windows + Edge: Microsoft-konto

Hvis du er dybt inde i Apple-universet, giver det mening at lade iCloud være centrum. Hvis du er mere blandet (Android-telefon, men Chrome overalt), er Google ofte det nemmeste center.

Det vigtige: vælg ét primært hjem til dine passkeys, og vid hvad det er. Kaos opstår, når du ikke kan huske, om det var Google, Apple eller en password manager, der “har” din nøgle.

2.4 Er din Apple-, Google- eller Microsoft-konto selv sikkert sat op?

Det her er den kedelige, men afgørende del.

Hvis dine passkeys ligger i iCloud eller Google, og nogen får adgang til den konto, har de i praksis nøglen til mange af dine andre konti.

Tjek derfor:

• 2FA er slået til på din Apple ID / Google / Microsoft-konto.
• Gendannelsesmail og telefonnummer er opdateret.
• Du har styr på backup-koder eller gendannelsesmuligheder derinde.

Det er samme logik som ved valg af betalingsmetode online, hvor du også gerne vil sikre “laget nedenunder”, som vi har været forbi i artiklen om sikre betalingsmetoder.

2.5 Har du vigtige konti bundet til et gammelt nummer eller en gammel mail?

Passkeys ændrer ikke din gamle realitet: mange recovery-flows går stadig via mail eller SMS.

Inden du går i gang, bør du især tjekke:

• Bank
• Mailkonti (Gmail, Outlook, iCloud Mail osv.)
• Apple ID / Google-konto
• Sociale medier du ikke vil miste

Hvis de stadig er bundet til en gammel mail eller et nedlagt mobilnummer, så ret det først. Det her sparer dig for “hvorfor får jeg ikke koden”-panik senere.

2.6 Er du typen der skifter telefon ofte?

Hvis du skifter telefon hver 1-2 år (eller oftere), så planlæg passkeys med det i baghovedet:

• Sørg for at backup og sync er slået til på din konto (iCloud/Google/Microsoft).
• Ved du, hvordan du gendanner en ny telefon fra backup?
• Har du en ekstra enhed (tablet, laptop), der også kan bruges til login?

Jo mere du kører én-enheds-liv, jo sårbarere er du, hvis netop den enhed ryger.

3. Migration i 5 trin: fra kodeord til passkeys uden nedbrud

Nu til selve migrationsplanen. Tænk på det som en rute, ikke et stort hop.

3.1 Trin 1: Start med lav-risiko konti

Fristelsen er ofte at starte med “de vigtige” konti. Min klare anbefaling: gør det modsatte.

Start med konti, hvor det ikke er verdens undergang, hvis du lige skal igennem et lidt bøvlet gendannelsesflow:

• Streaming (Netflix, HBO Max, Disney+ osv.)
• Nyhedsmedier
• Gaming-konti, der ikke er koblet til betaling
• Services du nemt kan nulstille via mail

Vent med:

• Bank
• MitID
• Primær mail
• Apple ID / Google-konto

De sidste kan du sagtens lade være på 2FA/kodeord-setup lidt længere, eller følge deres egne anvisninger, når de en dag selv skubber dig over på passkeys.

3.2 Trin 2: Slå passkey til, men behold kodeord som fallback i starten

De fleste tjenester, der understøtter passkeys, tilbyder det som et ekstra login-valg, ikke som en hård erstatning fra dag ét.

Typisk ser flowet sådan her ud:

1. Du logger ind med dit normale kodeord.
2. Går ind i “Sikkerhed” eller “Login og sikkerhed”.
3. Vælger “Tilføj passkey” / “Brug passnøgle” / “Set up passkey”.
4. Får en popup fra din browser/telefon om at gemme en passkey.
5. Godkender med Face ID, Touch ID eller pinkode.

På det her tidspunkt har du typisk både:

• Dit gamle kodeord
• Din nye passkey

Mit råd: lad det være sådan i en periode. Brug passkey til hverdag, men slet ikke kodeordet før du:

• Har testet login fra mindst én ekstra enhed.
• Er 100 % sikker på, hvor passkeyen er gemt.

3.3 Trin 3: Test på tværs af enheder, mens du stadig er logget ind

Når du har sat en passkey op til en service, så lav en lille test, før du logger ud alle steder:

• Log ud på din computer, prøv at logge ind igen med passkey.
• Hvis tjenesten understøtter det, prøv også på din telefon.

Hvis du får et login-flow, hvor der står noget i stil med “Brug en anden enhed” eller en QR-kode, er det typisk fordi tjenesten vil bruge din telefon som “nøgleboks”. Det er normalt, især når du er på en computer uden direkte adgang til den gemte nøgle.

Her er det ekstra vigtigt, at du ved, hvad der sker, hvis netop den telefon ryger (det tager vi i nødplan-sektionen).

3.4 Trin 4: Ryd forsigtigt op i gamle kodeord

Når du har kørt med passkeys på en given tjeneste i noget tid uden problemer, kan du vælge at:

• Skifte dit gamle kodeord til et langt, unikt kodeord, du kun gemmer i din password manager.
• Eller, hvor tjenesten tillader det, fjerne kodeords-login helt.

Personligt er jeg fan af “skjul kodeordet, men dræb det ikke” på de vigtige ting. Altså:

• Lad det være aktivt i baggrunden.
• Gem det kun i din sikre password manager.
• Brug det aldrig til hverdag, kun hvis alt andet fejler.

3.5 Trin 5: Rul stille og roligt ud til vigtigere konti

Når du føler dig tryg ved flowet, kan du begynde at rulle det ud til:

• Mailkonti (Gmail, Outlook.com)
• Store platforme som Google, Microsoft, Apple, hvis de tilbyder passkeys på en måde, du forstår
• Sociale medier, der tilbyder det

Her er det en rigtig god idé at kombinere med en lille “sikkerheds-weekend”, som du måske kender fra vores weekend-oprydning i gamle konti. Det føles mindre voldsomt, når du gør det som en samlet oprydningsøvelse.

4. Nødplaner: når noget går galt

Nu til de scenarier, de fleste tænker på, når de hører ordet “passkey”: Hvad hvis jeg mister min telefon? Hvad hvis jeg skifter mellem iPhone og Android? Hvad hvis jeg står uden enheder?

4.1 Mistet telefon: sådan får du adgang igen

Forestil dig, at din telefon bliver væk eller stjålet. Hvad der sker, afhænger af, hvordan du har sat tingene op.

Scenario A: Dine passkeys syncer via iCloud / Google / Microsoft

Hvis dine passkeys ligger i skyen, ser nødplanen typisk sådan ud:

1. Du får fat i en anden enhed (lånt computer, din egen laptop, ny telefon).
2. Du logger ind på din Apple ID / Google-konto / Microsoft-konto med:

• Kodeord
• 2FA (SMS, backup-koder, sikkerhedsnøgle mm.)

3. Når du er inde, og enheden er godkendt, vil dine passkeys typisk blive gendannet via sync.
4. Derefter kan du logge ind på andre tjenester igen med passkeys.

Nøglen her er, at du ikke må have gjort dig totalt afhængig af den mistede telefon til 2FA. Hav altid:

• Backup-koder et sikkert sted (print eller password manager).
• Evt. en ekstra 2FA-app eller en anden enhed, der også kan modtage koder.

Scenario B: Dine passkeys lå kun lokalt på den telefon

Hvis du ikke havde sync slået til (eller brugte et system, der kun gemte passkeys lokalt), er du mere afhængig af gamle login-veje:

• Skift kodeord via “Glemt kodeord” på mail.
• Brug eventuelle backup-koder til din konto.
• Kontakt support, hvis det handler om noget kritisk som bank.

Det er endnu en grund til at sørge for, at din mail og dine primære konti er opdaterede og har en stærk recovery-struktur.

4.2 Ny telefon: sådan flytter du sikkert

Når du får ny telefon, handler det om to ting:

• At din konto-backup kommer ordentligt over.
• At du ikke samtidig skifter SIM/eSIM, MitID osv. helt uplanlagt (se eSIM-artiklen, hvis du også står dér).

iPhone til ny iPhone

Her er den sikreste vej typisk:

1. Lav en frisk iCloud-backup på den gamle telefon.
2. Brug “Kom i gang hurtigt” / direkte migration mellem de to iPhones.
3. Log ind med samme Apple ID på den nye telefon.
4. Vent på, at iCloud Nøglering er synkroniseret.

Passkeys bør komme med, hvis iCloud Nøglering var slået til.

Android til ny Android

Her er det tilsvarende:

1. Tjek at backup er slået til på din Google-konto.
2. På den nye telefon logger du ind med samme Google-konto.
3. Vælg at gendanne apps og data fra den gamle enhed.
4. Sørg for, at Google Password Manager er aktiv.

Passkeys vil typisk følge med som en del af kontodata, hvis de var gemt hos Google.

4.3 Skift iPhone ↔ Android: dine realistiske muligheder

Her bliver det lidt mere tricky, for Apple og Google er stadig glade for hver deres have.

Fra iPhone (iCloud) til Android

Nogle ting kan flyttes automatisk (kontakter, billeder osv.), men passkeys er ikke altid noget, du bare “eksporterer”.

Realistisk plan:

• Før skift: Sørg for, at dine vigtigste logins også findes som normale kodeord i en password manager, du kan bruge på begge platforme.
• Efter skift: Log ind på dine tjenester på Android med kodeord + 2FA.
• Opsæt nye passkeys, der nu gemmes i Google Password Manager.

Fra Android (Google) til iPhone

Samme logik den anden vej:

• Brug f.eks. “Overfør til iOS” til at flytte en del data.
• Sørg for, at login-info også eksisterer som kodeord, ikke kun passkeys.
• Gendan login med kodeord på iPhone, sæt nye passkeys op, nu gemt i iCloud Nøglering.

Det lyder lidt kedeligt, men det er ofte sikrere at tænke “genskab passkeys på den nye platform” end at prøve at hacke en perfekt eksport/import-løsning.

5. Passkey vs 2FA: hvad skal du stadig have slået til?

En af de mest forvirrende ting ved passkeys er forholdet til 2FA (totrinsbekræftelse). Er passkeys en erstatning, eller kører de sammen?

5.1 Tænk i lag, ikke i enten/eller

2FA betyder, at du har to uafhængige faktorer, f.eks.:

• Noget du ved (kodeord)
• Noget du har (telefon/sikkerhedsnøgle)
• Noget du er (fingeraftryk/Face ID)

En passkey er i sig selv en stærk “noget du har + er” faktor, fordi den ligger på din enhed og kræver biometrisk godkendelse eller pinkode.

Nogle tjenester bruger derfor passkeys som en samlet “super-faktor”, der i praksis kan erstatte kombinationen af kodeord + 2FA.

5.2 Hvad giver mening at beholde af ekstra sikkerhed?

Mit overblik, i en ret dansk hverdag:

• Bank, MitID, skat osv.: Brug det, de anbefaler. De ligger ofte foran på sikkerhed og har egne flows. Her er 2FA indbygget i hele oplevelsen.
• Mailkonti: Behold 2FA (helst via app eller sikkerhedsnøgle). Din mail er stadig nøglen til næsten alt.
• Sociale medier: Behold 2FA, også selv om du bruger passkeys, hvis platformen tillader det. De er hyppige mål.
• Mindre kritiske tjenester: Her kan passkeys alene være et stort hop op i sikkerhed i forhold til genbrugte kodeord.

Hvis en tjeneste selv skriver noget ala “passkeys giver stærkere sikkerhed end kodeord + SMS-kode”, så følg deres vejledning. De kender deres eget setup bedst.

5.3 Pas på phishing forklædt som “passkey support”

En sidste ting: Når noget nyt som passkeys ruller ud, følger svindlerne med. Du kan godt få mails, der påstår, at du “skal opgradere din konto til passkeys” via et link.

Tommelregel her, samme som ved fupshops og svindelsider:

• Klik ikke på mærkelige links, der beder dig “aktivere passkeys”.
• Gå i stedet direkte ind på tjenestens app eller site, og tjek deres sikkerhedsindstillinger dér.
• Tjek altid adresselinjen, før du godkender nye login-metoder.

6. Sådan gør du passkeys til en stille opgradering, ikke et projekt

Hvis du sidder og tænker “det her virker som meget arbejde”, så vil jeg vende den om: Du behøver ikke rydde alt på én gang.

1. Vælg dit primære hjem til passkeys (iCloud, Google, Microsoft eller password manager).
2. Sikr den konto med stærk 2FA og opdaterede recovery-oplysninger.
3. Start med 3-5 lav-risiko konti og test flowet.
4. Byg nødplanen: backup-koder, ekstra enhed, styr på mail og nummer.
5. Rul passkeys ud til vigtigere konti, når du føler dig tryg.

Det er faktisk mere “et nyt lag oven på din hverdag” end det er en total omlægning, hvis du tager det i små bidder.

Personligt synes jeg, det mest tilfredsstillende øjeblik er, når man fanger sig selv i at logge ind et sted, man før hadede at skrive kodeord til, og det nu bare er Face ID og slut. Den slags små sejre gør hele sikkerhedsdelen lidt mindre tung.