En kollega i Trondheim bytter mobil en tirsdag morgen. Hun logger inn på den nye telefonen, åpner Microsoft Authenticator for å flytte over koden til jobbmailen, og oppdager at Autofill-funksjonen hun stolte på for lagrede passord er borte. Samme uke leser hun at Authy, appen hun bruker til Discord og kryptobørsen sin, lekket telefonnummeret til 33 millioner brukere i 2024. Hun lurer på om Google Authenticator, som hun egentlig forlot for tre år siden, er det tryggeste valget likevel. Dette er situasjonen tusenvis av nordiske brukere står i akkurat nå: tre store autentiseringsapper, tre svært forskjellige tilnærminger til sikkerhetskopi, synkronisering og fremtidens passordløse innlogging.
Denne sammenligningen går gjennom Google Authenticator, Microsoft Authenticator og Authy fra Twilio, punkt for punkt: hvordan sikkerhetskopiering fungerer, hva som skjedde i Authy-bruddet, hvorfor Microsoft fjernet autofyll i 2025, og hvorfor bare én av de tre appene har ekte innebygd passkey-støtte i 2026. Du får en spesifikasjonstabell med over ti rader, en prisoversikt, fem konkrete brukssituasjoner, en migreringsguide for å bytte app uten å låse deg ute av kontoene dine, og en klar anbefaling basert på data i stedet for magefølelse.
Gå ikke glipp av nye tech-saker på Google
Legg til Shattered én gang i Google-appen, så dukker artiklene våre opp i forslagene dine.
Hva en autentiseringsapp egentlig gjør
En autentiseringsapp genererer en tidsbasert engangskode, en TOTP-kode (Time-based One-Time Password), basert på en delt hemmelighet som utveksles mellom tjenesten og telefonen din første gang du setter opp to-faktor-autentisering. Standarden er beskrevet i RFC 6238, og alle de tre appene i denne sammenligningen støtter den samme underliggende standarden. Det betyr at den tekniske kjernen, selve kodegenereringen, er identisk uansett hvilken app du velger. Det som skiller Google Authenticator, Microsoft Authenticator og Authy fra hverandre, er alt rundt kjernen: hvordan hemmeligheten sikkerhetskopieres, hvordan den synkroniseres mellom enheter, hvilken kryptering som brukes på lagrede data, og hvilke tilleggsfunksjoner som er bygget inn.
Forskjellen mellom en god og en dårlig autentiseringsapp handler sjelden om selve kodegenereringen. Den handler om hva som skjer når du mister telefonen, bytter til ny mobil, eller når leverandøren av appen bestemmer seg for å endre funksjoner uten forvarsel, slik Microsoft gjorde med autofyll i 2025. En sammenligning som bare teller sekunder til ny kode genereres, bommer på det som faktisk avgjør hvor trygg og praktisk appen er over tid.
Det er også verdt å presisere hvorfor en autentiseringsapp i det hele tatt er bedre enn å ikke bruke to-faktor-autentisering i det hele tatt, og hvorfor den samtidig regnes som sterkere enn den eldste formen for to-faktor: SMS-kode. En TOTP-kode beregnes lokalt på enheten din ut fra en hemmelighet som aldri sendes over et nettverk etter at den er satt opp. En SMS-kode derimot, går via mobilnettet hver gang, og kan i teorien fanges opp gjennom et SIM-swap-angrep, der en angriper overtaler eller lurer teleoperatøren til å flytte telefonnummeret ditt til et nytt SIM-kort de kontrollerer. Når telefonnummeret er flyttet, mottar angriperen alle SMS-koder dine, inkludert bankens og e-postens. Dette er nøyaktig grunnen til at norske banker, Skatteetaten og de fleste større tjenester nå anbefaler eller krever en autentiseringsapp i stedet for SMS der det er mulig, og det er også grunnen til at Authy-bruddet i 2024, som eksponerte telefonnumre snarere enn selve TOTP-hemmelighetene, likevel ble tatt alvorlig: et lekket telefonnummer gjør et SIM-swap-angrep lettere å målrette mot akkurat den personen.
Google Authenticator: enkel, men begrenset i funksjoner
Google Authenticator er den enkleste av de tre appene, og det er samtidig hovedgrunnen til at mange fortsatt bruker den. Appen eies av Google under Alphabet, er gratis, og finnes offisielt kun til Android og iOS. Det finnes ingen offisiell Windows- eller Mac-app og ingen nettleserutvidelse, noe som gjør appen upraktisk hvis du jobber mye fra en stasjonær maskin og stadig trenger å hente telefonen for å taste inn koder.
I april 2023 la Google til synkronisering mot Google-kontoen din med ende-til-ende-kryptering. Før det kunne du kun eksportere kontoer manuelt mellom enheter via QR-kode, og mange brukere låste seg selv ute av tjenester fordi telefonen gikk tapt uten at de hadde tatt sikkerhetskopi. Med synkroniseringen kan du nå logge inn med samme Google-konto på en ny telefon og få alle kodene tilbake automatisk. Du kan fortsatt velge å bruke appen uten synkronisering hvis du ønsker at hemmelighetene aldri skal forlate enheten.
Google Authenticator har ingen innebygd passordhåndtering eller autofyll, og ingen generell passkey-funksjon er bygget inn i appen selv. Passkeys for Google-kontoer håndteres av Google Passordhåndtering, en separat tjeneste, ikke av Authenticator-appen. Det gjør Google Authenticator til et rent TOTP-verktøy: det gjør én ting, og gjør den uten distraksjoner, men du må se andre steder for passordhåndtering og passkeys.
Mangelen på egen PIN-lås eller biometrisk lås direkte i Google Authenticator-appen er en annen detalj som ofte overrasker nye brukere. Appen åpnes uten eget passord utover det du allerede har satt på telefonen selv, altså skjermlås med fingeravtrykk, ansiktsgjenkjenning eller kode. Det betyr at hele sikkerheten i Google Authenticator i praksis hviler på to ting: hvor god skjermlåsen på telefonen din er, og hvor godt beskyttet Google-kontoen din er hvis du har aktivert synkronisering. For de fleste private brukere er dette et akseptabelt sikkerhetsnivå, men det er verdt å understreke at appen ikke legger på et eget, uavhengig sikkerhetslag utover enhetens egen lås.
Microsoft Authenticator: passkeys inne, autofyll ute
Microsoft Authenticator har gjennomgått den største funksjonsendringen av de tre appene det siste året. Appen støttet tidligere Microsoft Autofill, en innebygd passordhåndterer som lagret og fylte ut passord og adresser automatisk i nettlesere og apper. Microsoft fjernet denne funksjonen gradvis fra juli 2025 og fullførte avviklingen i midten av august 2025. Etter det punktet ble lagrede passord og adresser utilgjengelige direkte i appen, og Microsoft henviser nå brukere til Microsoft Edge for passordhåndtering. Den tilhørende nettleserutvidelsen for autofyll ble lagt ned 14. desember 2024.
Det som gjør Microsoft Authenticator interessant i 2026, er at appen fortsatt støtter passkeys direkte, spesielt Microsoft Entra-passkeys for arbeids- og skolekontoer, på både Android og iOS. Det gjør Microsoft Authenticator til den eneste av de tre appene i denne sammenligningen med reell, dokumentert passkey-integrasjon i selve appen, ikke bare i en tilknyttet tjeneste. For bedrifter som allerede bruker Microsoft Entra ID til identitetsstyring, betyr det at samme app kan håndtere både klassiske TOTP-koder for eldre tjenester og passkeys for nyere, passordløse pålogginger.
Sikkerhetskopiering i Microsoft Authenticator går via en personlig Microsoft-konto på Android og via iCloud-baserte mekanismer på iOS. Microsoft har dokumentert at gjenoppretting er begrenset etter enhetstype, det vil si at du ikke nødvendigvis kan gjenopprette en sikkerhetskopi tatt på Android direkte til en iPhone. Dette er en praktisk begrensning verdt å kjenne til før du bytter operativsystem, ikke bare telefonmodell.
En funksjon Microsoft Authenticator har hatt lenge, og som fortsatt er en viktig forskjell fra Google Authenticator, er push-basert godkjenning for Microsoft-kontoer og arbeidskontoer koblet til Entra ID. I stedet for å taste inn en sekstallskode, kan brukeren i mange tilfeller bare trykke «Godkjenn» på en varsling som dukker opp på telefonen når noen prøver å logge inn. Dette er praktisk, men krever samtidig at brukeren er bevisst på såkalt MFA-tretthet, der angripere sender gjentatte godkjenningsforespørsler i håp om at brukeren trykker godkjenn av ren vane eller irritasjon. Microsoft har over tid lagt til tallmatching i godkjenningsvarselet, der brukeren må taste inn et tall som vises på innloggingsskjermen, nettopp for å gjøre denne typen automatisk godkjenning vanskeligere å utnytte.
Authy fra Twilio: synkronisering på tvers av enheter, men et brudd i historien
Authy ble designet fra starten for noe de to andre appene ikke gjorde like godt: ekte synkronisering på tvers av flere enheter samtidig. Der Google Authenticator og Microsoft Authenticator primært handler om gjenoppretting etter at du har byttet enhet, lar Authy deg ha appen aktiv og synkronisert på telefon, tablet og tidligere også datamaskin samtidig. Sikkerhetskopien er kryptert med et eget sikkerhetskopipassord som brukeren velger selv, og Twilio skal ikke kunne dekryptere de lagrede tokenene uten dette passordet.
Den store flekken på Authys rulleblad er sikkerhetshendelsen i juni 2024. Twilio opplyste da at en angriper fikk tilgang til et uautentisert endepunkt og hentet ut data knyttet til 33 millioner Authy-brukere, i hovedsak telefonnumre. Twilio presiserte at hendelsen ikke eksponerte selve autentiseringskodene eller passordene som er lagret i appen, og at angriperen ikke fikk tilgang til systemer med kundepassord eller to-faktor-koder. Likevel er 33 millioner eksponerte telefonnumre et betydelig datasett for phishing- og SIM-swap-angrep, siden et telefonnummer er nøkkelinformasjon for å målrette sosial manipulering mot nettopp disse brukerne. Twilio ba brukere være ekstra oppmerksomme på phishing, smishing og sosial manipulering som later til å komme fra Twilio eller Authy selv, og advarte mot å dele koder, sikkerhetskopipassord eller gjenopprettingsinformasjon som svar på uønskede meldinger.
Authy har også trukket seg tilbake fra noen plattformer. Skrivebordsapplikasjonene for Windows, macOS og Linux nådde slutten av sin levetid 19. mars 2024 og mottar ikke lenger support eller oppdateringer. I praksis betyr dette at Authy i 2026 er en ren mobilapp for Android og iOS, uten en offisiell, støttet måte å bruke tjenesten fra en datamaskin.
Authy skiller seg også fra de to andre appene gjennom en egen PIN-kode som låser selve appen, uavhengig av telefonens skjermlås. Dette gir et ekstra sikkerhetslag som verken Google Authenticator eller Microsoft Authenticator har som standard innstilling på samme måte. Kombinert med muligheten for flere samtidig innloggede enheter, gjør dette Authy til en app bygget for brukere med mange kontoer og høyt tempo, som utviklere, konsulenter og personer som jobber med krypto daglig, men det krever også at brukeren tar sikkerhetskopipassordet på like stort alvor som selve PIN-koden. Et svakt eller gjenbrukt sikkerhetskopipassord gjør hele poenget med egen kryptering illusorisk.
Spesifikasjonstabell: Google Authenticator vs Microsoft Authenticator vs Authy
Tabellen under samler de viktigste tekniske og praktiske egenskapene til de tre appene, slik de fungerer i 2026.
| Egenskap | Google Authenticator | Microsoft Authenticator | Authy (Twilio) |
|---|---|---|---|
| Eier | Google (Alphabet) | Microsoft | Twilio |
| Pris | Gratis | Gratis (Entra-lisens for bedrift separat) | Gratis |
| Plattformer | Android, iOS | Android, iOS | Android, iOS (skrivebord avviklet) |
| Skybackup | Ja, siden april 2023 | Ja, kontobasert | Ja, kryptert med eget passord |
| Kryptering av backup | Ende-til-ende-kryptert | Kryptert, ikke dokumentert som ende-til-ende | Kryptert med brukervalgt passord |
| Flerenhetssynkronisering | Via Google-konto | Backup/gjenoppretting, enhetsbegrenset | Ja, samtidig på flere enheter |
| Passkey-støtte i appen | Nei | Ja, Microsoft Entra-passkeys | Nei |
| Passordhåndtering/autofyll | Nei | Fjernet i august 2025 | Nei |
| Skrivebordsapp | Nei | Nei (bruk Microsoft Edge) | Avviklet 19. mars 2024 |
| Nettleserutvidelse | Nei | Avviklet 14. desember 2024 | Nei, offisielt støttet |
| TOTP (RFC 6238) | Ja | Ja, 30-sekunders rotasjon | Ja |
| Kjent sikkerhetshendelse | Ingen rapportert 2025-2026 | Ingen rapportert 2025-2026 | 33 mill. telefonnumre eksponert, juni 2024 |
| Best for | Enkel bruk, minimalisme | Microsoft 365, Entra-bedrifter, passkeys | Flere enheter samtidig, kryptobørser |
Legg merke til at ingen av appene krever betaling fra vanlige brukere. Det som faktisk skiller dem økonomisk, er hva som skjer i bedriftssammenheng, og det går vi gjennom i neste avsnitt.
Prissammenligning: gratis for deg, lisensiert for bedriften
Alle tre appene er gratis å laste ned og bruke som privatperson. Forskjellen dukker opp når en bedrift skal rulle ut autentisering for ansatte i stor skala. Google Authenticator har ingen bedriftsversjon i det hele tatt, appen er og blir et enkelt forbrukerverktøy. Microsoft Authenticator er gratis for vanlig bruk, men henger sammen med Microsoft Entra ID, der avanserte funksjoner som betinget tilgang, enhetsregistrering og passkey-utrulling i stor skala krever Entra-lisensiering som en del av Microsoft 365- eller Azure-avtaler bedriften allerede har. Authy har et eget utviklerprodukt, Twilio Verify og tilhørende API-er, som fakturerer per verifisering og er et helt annet produkt enn den gratis forbrukerappen.
| Bruksnivå | Google Authenticator | Microsoft Authenticator | Authy (Twilio) |
|---|---|---|---|
| Privatperson, grunnleggende | Gratis | Gratis | Gratis |
| Skybackup/synkronisering | Inkludert gratis | Inkludert gratis | Inkludert gratis |
| Passkey-utrulling i bedrift | Ikke tilgjengelig | Krever Entra ID-lisens | Ikke relevant for appen |
| Utviklerintegrasjon (API) | Ikke tilbudt av Google | Via Microsoft Entra-API | Twilio Verify, fakturert per bruk |
| Support for sluttbruker | Kun hjelpesider | Microsoft-support inkludert | Twilio help center |
For de aller fleste nordiske privatbrukere er altså pris et ikke-tema: alle tre appene koster null kroner. Det er funksjonene, ikke prisen, som avgjør valget. Den egentlige kostnaden dukker opp et annet sted: tidsbruken til IT-support når en ansatt mister tilgang til en konto, kostnaden ved et sikkerhetsbrudd hvis beskyttelsen svikter, og den administrative belastningen av å støtte flere ulike autentiseringsapper samtidig i en organisasjon med blandet enhetspark. Dette er grunnen til at mange mellomstore og store nordiske virksomheter til slutt standardiserer på én app for alle ansatte, selv om det i teorien finnes gode argumenter for å la hver enkelt velge fritt.
Sikkerhetskopiering og synkronisering: hvem taper minst data når telefonen forsvinner?
Google Authenticator: enkel, men historisk sårbar
Før 2023 var Google Authenticator beryktet for én svakhet: hvis du mistet telefonen uten å ha eksportert kontoene dine manuelt på forhånd, var de tapt for godt, med mindre tjenesten du logget inn på hadde egne gjenopprettingskoder. Synkroniseringen mot Google-kontoen fra april 2023 løste dette for de som velger å aktivere den. Ulempen er at hvis Google-kontoen din selv blir kompromittert, kan en angriper i teorien også få tilgang til den synkroniserte listen over autentiseringskoder, noe som gjør styrken på selve Google-kontopassordet og tilhørende gjenopprettingsmetoder enda viktigere.
Microsoft Authenticator: solid, men enhetsbundet
Microsoft Authenticator sikkerhetskopierer til en personlig Microsoft-konto på Android og benytter iCloud-mekanismer på iOS, men Microsofts egen dokumentasjon er tydelig på at gjenoppretting er begrenset av enhetstype. En bruker som bytter fra Android til iPhone kan altså ikke uten videre hente en Android-backup rett inn i iOS-appen. Det er en detalj mange ikke oppdager før de står midt i et platttformbytte og mister tilgangen til flere kontoer samtidig.
Authy: flerenhetsdesignet som også er risikoen
Authys styrke, at appen kan være logget inn og synkronisert på flere enheter samtidig, er også dens svakhet. Flere aktive enheter betyr flere angrepsflater. Nettopp dette var bakgrunnen for deler av kritikken etter 2024-bruddet: når telefonnummeret ditt er koblet til en konto som i prinsippet kan legge til nye enheter via SMS-verifisering, blir telefonnummeret et mål i seg selv for SIM-swap-angrep, uavhengig av om selve TOTP-hemmelighetene lekket eller ikke.
Passkeys tar over: hvor står autentiseringsappene i 2026?
Mens de tre appene i denne sammenligningen fortsatt kjemper om TOTP-brukere, beveger resten av bransjen seg raskt mot passkeys, en passordløs innloggingsmetode basert på FIDO-standarder der enheten din beviser identitet kryptografisk i stedet for å sende en kode. Ifølge FIDO Alliance var fem milliarder passkeys i aktiv bruk globalt i 2026, med 90 prosent global kjennskap til konseptet og 75 prosent av brukerne som hadde aktivert minst én passkey. Likevel bruker bare 49 prosent passkeys regelmessig når det er et tilgjengelig alternativ, noe som viser et betydelig gap mellom tilgjengelighet og faktisk vanedanning.
På virksomhetssiden rapporterte FIDO at 68 prosent av organisasjoner hadde rullet ut eller var i aktiv utrulling av passkeys for ansattes innlogging, og at 82 prosent av de spurte ser fullstendig passordløs autentisering for arbeidsstyrken som et endemål, mens bare 28 prosent faktisk har nådd dette målet ennå. Clerk peker i sin analyse av autentiseringstrender for 2026 på at passkeys og nye identitetsmønstre for AI-agenter nå er en sentral del av sikkerhetsarkitektur, ikke en nisjefunksjon for teknisk avanserte brukere.
Her er det avgjørende poenget for denne sammenligningen: av Google Authenticator, Microsoft Authenticator og Authy er det kun Microsoft Authenticator som har reell, innebygd passkey-støtte i selve appen, gjennom Microsoft Entra-passkeys. Google håndterer passkeys via en separat tjeneste, Google Passordhåndtering, og Authy har ingen generell passkey-funksjon i det hele tatt. Hvis passkeys er en prioritet for deg, peker alt i retning av at Microsoft Authenticator eller en dedikert passordhåndterer med passkey-støtte er mer fremtidsrettet enn de to andre appene i denne sammenligningen.
Samtidig viser en artikkel fra Biometric Update i oktober 2026 at selv om tilgjengeligheten av passkeys har økt kraftig, henger faktisk bruk som primær innloggingsmetode etter. Det betyr at TOTP-koder generert av apper som Google Authenticator, Microsoft Authenticator og Authy fortsatt vil være en del av den nordiske sikkerhetshverdagen i flere år, selv om passkeys gradvis tar over der tjenester faktisk støtter dem fullt ut.
Denne overgangsperioden skaper et praktisk dilemma for IT-avdelinger i nordiske bedrifter: skal man investere tid i å rulle ut en autentiseringsapp optimalt nå, vel vitende om at passkeys etter alt å dømme tar over store deler av behovet om noen år, eller skal man vente på en mer passkey-sentrert strategi? Det korte svaret fra tallene over er at man ikke kan vente. Med bare 28 prosent av organisasjoner som har nådd et fullstendig passordløst mål, og TOTP fortsatt påkrevd av et stort antall eksisterende systemer, banker og offentlige tjenester, er en solid autentiseringsapp-strategi i dag en forutsetning for sikkerhet, ikke en midlertidig løsning man kan skyve på.
Norge og Norden: MinID, BankID og kravene til to-faktor
I en norsk kontekst er det verdt å skille klart mellom disse tre kommersielle autentiseringsappene og de offentlige norske innloggingsløsningene. Norge.no, den offisielle veiledningen for offentlige tjenester, beskriver at MinID støtter en autentiseringsapp som ekstra faktor ved innlogging, der brukeren konfigurerer en vanlig TOTP-app for å generere engangskoder. MinID støtter i tillegg godkjenning via push-varsel direkte i MinID-appen, som et alternativ til SMS-kode.
MinID brukes til en rekke norske offentlige tjenester, deriblant Altinn, Skatteetaten og NAV. BankID, Buypass og Commfides gir et høyere sikkerhetsnivå enn MinID, siden disse krever identitetsbekreftelse i person når den elektroniske identiteten utstedes. Den norske veiledningen er også tydelig på at brukernavn og passord alene, eller Vipps alene, ikke er tilstrekkelig for tjenester som krever to faktorer, og at det anbefales å holde telefoner, tabletter og PC-er oppdatert med siste sikkerhetsoppdateringer som en grunnleggende forutsetning for trygg innlogging generelt.
Det praktiske poenget for norske brukere er dette: du kan fint bruke Google Authenticator, Microsoft Authenticator eller Authy som den TOTP-genererende appen bak MinID-innlogging, siden MinID bygger på samme RFC 6238-standard som de kommersielle appene støtter. Men for BankID, som de fleste nordmenn bruker oftest i hverdagen, er det BankID-appen selv, ikke en tredjeparts autentiseringsapp, som håndterer identitetsbekreftelsen. De tre appene i denne sammenligningen utfyller altså det norske identitetslandskapet, de erstatter det ikke.
For svenske og danske lesere er bildet strukturelt likt, selv om de nasjonale e-id-systemene heter noe annet. Sverige har BankID, og Danmark har MitID som i stor grad har overtatt etter den tidligere NemID-løsningen. I begge land er mønsteret det samme som i Norge: den nasjonale e-id-løsningen håndterer selv den sterkeste formen for identitetsbekreftelse, mens Google Authenticator, Microsoft Authenticator og Authy forblir relevante for alt det andre, fra jobb-e-post og skytjenester til sosiale medier og kryptobørser, der en nasjonal e-id sjelden er et alternativ i utgangspunktet.
Biometrisk lås, PIN-kode og lokal sikkerhet i appen
Et ofte oversett sammenligningspunkt er hva som skjer hvis noen får fysisk tilgang til en allerede opplåst telefon. Her er de tre appene bygget etter ulik filosofi. Google Authenticator har historisk ikke hatt en egen app-lås utover telefonens skjermlås, noe som betyr at enhver som holder en ulåst telefon med appen installert, kan se alle kodene direkte. Microsoft Authenticator følger samme mønster på de fleste installasjoner, men lar bedrifter som bruker Entra ID konfigurere strengere krav til enhetssamsvar (device compliance) gjennom administrasjonsverktøy, slik at appen kan kreve at telefonen møter bestemte sikkerhetskrav før den godtas som autentiseringsenhet.
Authy er den eneste av de tre som tilbyr en innebygd, uavhengig PIN-kode for selve appen som standard funksjon, uavhengig av telefonens skjermlås. Det betyr at selv om noen låser opp telefonen din, må de fortsatt gjennom en egen PIN for å se kodene i Authy. For brukere som deler enhet med andre i husholdningen, eller som er bekymret for at telefonen kan bli stjålet i ulåst tilstand, for eksempel på en pub eller et kollektivtransportmiddel, er dette en reell fordel som ofte drukner i diskusjonen om synkronisering og passkeys. Samtidig er det ingen av appene som i 2026 tilbyr maskinvarebasert nøkkellagring på linje med en fysisk sikkerhetsnøkkel, så for de aller høyeste sikkerhetsbehovene, som administratorer av kritisk infrastruktur, vil en dedikert hardware-nøkkel fortsatt være et sterkere tillegg enn noen av disse tre forbrukerappene alene.
Vanlige feil brukere gjør når de setter opp to-faktor-autentisering
Uavhengig av hvilken app du velger blant Google Authenticator, Microsoft Authenticator og Authy, dukker de samme feilene opp igjen og igjen hos nordiske brukere. Den første og vanligste feilen er å sette opp to-faktor på en kritisk konto, som e-post eller nettbank, uten å lagre gjenopprettingskodene tjenesten gir deg samtidig. Når telefonen senere mistes, stjeles eller bare må nullstilles, står brukeren uten vei tilbake inn i kontoen, og må gjennom en tidkrevende identitetsbekreftelse direkte med tjenesten, hvis det overhodet er mulig.
Den andre vanlige feilen er å bruke samme sikkerhetskopipassord i Authy som man bruker andre steder, noe som gjør hele krypteringsfordelen i praksis verdiløs hvis det passordet allerede er lekket i et annet datainnbrudd. Den tredje feilen er å anta at skybackup betyr at man aldri trenger å tenke på enhetsbytte i det hele tatt, og derfor hoppe over å teste gjenoppretting før man faktisk står i en krisesituasjon, noe som er spesielt risikabelt gitt Microsofts dokumenterte begrensninger på tvers av operativsystem. Den fjerde og siste vanlige feilen er å dele skjermbilder av QR-koder eller engangskoder i chatter eller skylagring uten kryptering, noe som i praksis gir hvem som helst med tilgang til den chatten eller mappen samme tilgang som deg selv til den beskyttede kontoen.
Fem reelle brukssituasjoner og hvilken app som passer best
De tekniske forskjellene over blir tydeligst når man ser dem opp mot konkrete hverdagssituasjoner. Under følger fem scenarier som dekker de fleste nordiske brukstyper.
- Frilanseren med fem kontoer på fem ulike plattformer: En utvikler i Bergen som logger inn på GitHub, AWS, en krypto-børs, e-post og en kundeportal fra både en bærbar og en mobiltelefon, trenger sanntidssynkronisering mellom enheter uten å måtte flytte en fysisk telefon mellom skjermer hele dagen. Authy sin design for flerenhetsbruk, med egen PIN-lås i tillegg til synkroniseringen, passer denne situasjonen best, så lenge brukeren er bevisst på risikoen fra 2024-bruddet og aldri deler sikkerhetskopipassordet med noen, inkludert i interne meldinger til kolleger.
- Den ansatte i en bedrift med Microsoft 365 og Entra ID: Her er valget egentlig gjort på forhånd av IT-avdelingen, og det er sjelden rom for individuelle preferanser. Microsoft Authenticator er det naturlige valget fordi appen allerede er integrert med bedriftens identitetsstyring, støtter betinget tilgang basert på enhetssamsvar, og lar den ansatte bruke passkeys for jobbkontoen uten en tredje app. Tallmatching i godkjenningsvarselet reduserer også risikoen for at ansatte utilsiktet godkjenner en innloggingsforespørsel de ikke selv har startet.
- Den forsiktige privatbrukeren som vil ha minst mulig kompleksitet: En pensjonist som nettopp har satt opp to-faktor for første gang på nettbanken og e-posten, trenger ikke flerenhetssynkronisering, push-godkjenning med tallmatching eller passkeys. Google Authenticator sin enkelhet, kombinert med skybackup fra 2023 og et tydelig, minimalistisk brukergrensesnitt, er tilstrekkelig og enklest å forklare over telefon til et familiemedlem som hjelper med oppsettet.
- Familien som deler digitale tjenester: Når flere familiemedlemmer skal ha tilgang til samme strømmetjeneste, forsikringskonto eller felles e-postkonto for husholdningen, blir enhetsbegrensningene i Microsoft Authenticator og Google Authenticator en praktisk utfordring, siden begge primært er designet for én hovedbruker per konto. Authy sin evne til å være pålogget på flere enheter samtidig, med separat PIN-kode per enhet, løser dette bedre enn de to andre, og lar hvert familiemedlem ha egen tilgang uten å dele en enkelt telefon.
- Sikkerhetsbevisste brukere som allerede har gått over til passkeys der det er mulig: Denne gruppen bruker i praksis en autentiseringsapp bare som reserveløsning for de tjenestene som ikke har innført passkeys ennå, typisk eldre interne systemer på jobb eller mindre nettbutikker. Her er det mindre som skiller appene, siden TOTP-funksjonen i stor grad blir en sikkerhetsmekanisme i bakgrunnen for et fåtall gjenværende kontoer, og valget kan trygt falle på den appen brukeren allerede har mest erfaring med fra tidligere.
Bruksanbefalinger: hvilken app for hvilket behov
Basert på funksjonene, sikkerhetshistorien og plattformstøtten over, kan anbefalingene oppsummeres i fem konkrete scenarier.
- Velg Google Authenticator hvis du vil ha den enkleste appen med minst mulig støy, og du er komfortabel med at Google-kontoen din blir et enda viktigere sikkerhetspunkt å beskytte med et sterkt passord.
- Velg Microsoft Authenticator hvis arbeidsgiveren din bruker Microsoft 365 eller Entra ID, eller hvis passkey-støtte i selve autentiseringsappen er en prioritet for deg fremover.
- Velg Authy hvis du logger inn fra mange enheter samtidig og verdsetter synkronisering høyere enn historikken med 2024-bruddet, men sett alltid et sterkt, unikt sikkerhetskopipassord.
- Unngå å bruke samme app til alt uten backup-plan uansett hvilken av de tre du velger. Test gjenopprettingsprosessen én gang på en ekstra enhet før du er avhengig av den i en krisesituasjon.
- Kombiner med passkeys der tjenesten tillater det i stedet for å se TOTP og passkeys som konkurrerende løsninger. De fleste brukere vil i praksis leve med begge i flere år fremover.
Steg for steg: sette opp en autentiseringsapp for en ny konto
Uansett om du velger Google Authenticator, Microsoft Authenticator eller Authy, følger selve oppsettet mot en ny tjeneste samme grunnmønster. Først går du inn i sikkerhetsinnstillingene på tjenesten du vil beskytte, og velger alternativet for å aktivere to-faktor-autentisering via autentiseringsapp. Tjenesten viser deg da en QR-kode på skjermen, bygget på otpauth-formatet vist tidligere i denne artikkelen.
Deretter åpner du appen du har valgt, trykker på «legg til konto» eller tilsvarende, og velger å skanne QR-kode med kameraet. Appen leser koden, henter ut hemmeligheten og navnet på tjenesten, og begynner umiddelbart å generere en ny sekstallskode hvert 30. sekund. Tjenesten ber deg deretter bekrefte oppsettet ved å taste inn den koden som vises akkurat da i appen, for å verifisere at klokken på telefonen din og tjenestens server er synkronisert innenfor akseptable grenser, siden TOTP er avhengig av at begge parter regner tiden likt.
Når bekreftelsen er godkjent, viser de fleste tjenester en liste med gjenopprettingskoder, vanligvis 8 til 10 engangskoder du kan bruke dersom du mister tilgang til appen. Dette siste steget er det brukere hyppigst hopper over, og det er nøyaktig dette steget som avgjør om et senere telefonbytte blir en femminutters prosess eller en flere dagers kamp med kundeservice for å bevise at kontoen faktisk er din.
Migreringsguide: bytt autentiseringsapp uten å låse deg ute
Å bytte autentiseringsapp er en av de operasjonene der det er lett å gjøre en feil som låser deg ute av flere kontoer samtidig. Følg denne rekkefølgen for å unngå det.
Steg 1: kartlegg alle kontoer før du starter
Logg inn på hver tjeneste som bruker den gamle appen, og noter navnet på tjenesten. Mange brukere har 15 til 30 kontoer koblet til en autentiseringsapp uten å ha full oversikt, og det er lett å glemme en sjelden brukt konto til et gammelt abonnement.
Steg 2: hent ut gjenopprettingskoder der de finnes
De fleste tjenester, inkludert Google, Microsoft og en lang rekke andre, gir deg en engangsliste med gjenopprettingskoder når du setter opp to-faktor. Finn disse i kontoinnstillingene og skriv dem ned eller lagre dem i en passordhåndterer. De fungerer som en nødutgang hvis selve app-overgangen går galt.
Steg 3: deaktiver ikke den gamle appen før den nye er testet
En TOTP-hemmelighet kan i prinsippet legges inn i flere apper samtidig, siden den samme delte hemmeligheten genererer samme kode uansett hvilken app som regner den ut. Legg til kontoen i den nye appen ved siden av den gamle, bekreft at koden fungerer ved faktisk innlogging, og fjern først da kontoen fra den gamle appen.
En typisk konto-URI som utveksles via QR-kode under oppsett, ser slik ut i det underliggende formatet:
otpauth://totp/Eksempeltjeneste:[email protected]?secret=JBSWY3DPEHPK3PXP&issuer=Eksempeltjeneste&algorithm=SHA1&digits=6&period=30Det er denne URI-en en QR-skanner leser og omsetter til en fungerende konto i appen din. Får du aldri sett den rå strengen, er det fordi appen skanner QR-koden direkte, men å vite formatet gjør det lettere å forstå hvorfor samme hemmelighet kan ligge i to apper samtidig under en overgangsperiode.
Steg 4: flytt sikkerhetskopien, ikke bare enkeltkontoer
Hvis du bytter fra Authy til Microsoft Authenticator eller omvendt, finnes det ingen direkte import-funksjon mellom de to appenes proprietære backup-formater. Du må legge til hver konto på nytt via tjenestens eget to-faktor-oppsett, ikke via en fil-overføring mellom appene. Planlegg derfor tid til dette, særlig hvis du har mer enn ti kontoer.
Steg 5: avslutt den gamle appens tilgang til riktig tidspunkt
Når alle kontoer er bekreftet fungerende i den nye appen, slett eller logg ut av den gamle appen, og fjern eventuell gammel sikkerhetskopi fra den tilhørende skytjenesten hvis du ikke har planer om å bruke appen igjen. Dette reduserer antall steder dine autentiseringshemmeligheter faktisk eksisterer.
Fordeler og ulemper for hver app
Google Authenticator
- Fordel: enkel, ryddig app uten unødvendige funksjoner
- Fordel: ende-til-ende-kryptert skybackup siden 2023
- Ulempe: ingen passkey-støtte i appen selv
- Ulempe: ingen skrivebordsversjon eller nettleserutvidelse
Microsoft Authenticator
- Fordel: eneste app av de tre med innebygd passkey-støtte (Entra)
- Fordel: tett integrasjon med Microsoft 365 og Entra ID for bedrifter
- Ulempe: tapte autofyll-funksjonen i august 2025, må nå bruke Edge
- Ulempe: gjenoppretting er begrenset på tvers av operativsystemer
Authy (Twilio)
- Fordel: best støtte for flere enheter aktive samtidig
- Fordel: brukervalgt backup-passord gir brukeren selv kontroll over krypteringsnøkkelen
- Ulempe: 33 millioner telefonnumre eksponert i sikkerhetsbrudd i juni 2024
- Ulempe: skrivebordsapper for Windows, macOS og Linux avviklet i mars 2024
Verdikt: hvilken 2FA-app bør du velge i 2026?
Det finnes ikke én universell vinner, men dataene peker på tydelige mønstre. Hvis arbeidsgiveren din allerede bruker Microsoft 365 eller Entra ID, er Microsoft Authenticator det mest fremtidsrettede valget i 2026, nettopp fordi det er den eneste av de tre appene med dokumentert, innebygd passkey-støtte, samtidig som tapet av autofyll-funksjonen i august 2025 gjør appen renere og mer fokusert på selve autentiseringsjobben. For privatbrukere uten spesielle bedriftsbindinger, og som verdsetter enkelhet over funksjonsbredde, er Google Authenticator fortsatt et solid, gratis valg med ende-til-ende-kryptert backup siden 2023.
Authy forblir det beste valget rent teknisk for brukere som faktisk trenger flere samtidig innloggede enheter, men 2024-bruddet med 33 millioner eksponerte telefonnumre bør vektes inn i vurderingen, spesielt for brukere som er utsatt for målrettet phishing eller SIM-swap, som kryptoinvestorer og personer med offentlig synlig profil. For de aller fleste nordiske lesere handler valget mindre om hvilken app som er objektivt best, og mer om hvilket økosystem du allerede står i: Microsoft for jobb, Google for enkelhet, Authy for multi-enhetsbehov. Uansett hvilken du velger, er det viktigste enkelttallet i hele denne sammenligningen fortsatt dette: bare én av de tre appene har ekte passkey-støtte innebygd, og det er et sterkt signal om hvor bransjen er på vei.
Det er også grunn til å minne om at valget ikke trenger å være permanent eller eksklusivt. Mange nordiske brukere ender opp med en kombinasjon: Microsoft Authenticator for jobbkontoen fordi IT-avdelingen krever det, Google Authenticator eller Authy for private kontoer, og etter hvert flere og flere passkeys etter hvert som bankene, skytjenestene og de store plattformene ruller dem ut som standardalternativ i stedet for et valgfritt tillegg. Den reelle kostnaden ved å bytte app, dokumentert gjennom migreringsstegene over, er lav nok til at du trygt kan endre strategi om seks eller tolv måneder uten at det krever en stor omorganisering av den digitale sikkerheten din.
Vanlige spørsmål om autentiseringsapper
Er Google Authenticator, Microsoft Authenticator og Authy trygge å bruke i 2026?
Ja, alle tre bygger på samme TOTP-standard (RFC 6238) og regnes som sikrere enn SMS-baserte engangskoder, som er utsatt for SIM-swap-angrep. Authy hadde et databrudd i 2024 som eksponerte telefonnumre, men ikke selve autentiseringskodene, så den underliggende TOTP-sikkerheten var ikke direkte brutt.
Kan jeg bruke samme autentiseringsapp til flere kontoer?
Ja, alle tre appene støtter et ubegrenset antall kontoer i praksis. Du legger til en ny konto for hver tjeneste du aktiverer to-faktor-autentisering på, og appen viser alle kodene i en liste.
Hva skjer om jeg mister telefonen med autentiseringsappen min?
Hvis du har aktivert skybackup, kan du installere appen på en ny enhet og gjenopprette kontoene ved å logge inn med samme konto (Google) eller sikkerhetskopipassord (Authy), eller via Microsoft-kontoen (Microsoft Authenticator, med forbehold om enhetsbegrensninger). Uten backup er du avhengig av gjenopprettingskoder du har lagret fra hver enkelt tjeneste.
Hvorfor fjernet Microsoft autofyll fra Authenticator?
Microsoft har ikke publisert en detaljert årsak utover å henvise brukere til Microsoft Edge for passordhåndtering. Endringen skjedde gradvis fra juli 2025 og var fullført i midten av august 2025, og nettleserutvidelsen for autofyll ble avviklet allerede i desember 2024. Dette tyder på en konsolidering av passordhåndtering i Edge, med Authenticator-appen renset til å fokusere på autentisering og passkeys.
Er passkeys tryggere enn en autentiseringsapp?
Passkeys regnes generelt som sikrere fordi de eliminerer både passordet og engangskoden, og i stedet bruker kryptografisk bevis knyttet til enheten din. Ifølge FIDO Alliance er fem milliarder passkeys i aktiv bruk globalt i 2026, men bare 49 prosent av brukerne bruker dem regelmessig når de er tilgjengelige, så autentiseringsapper vil fortsatt være nødvendige for mange tjenester i flere år fremover.
Kan jeg bruke en autentiseringsapp sammen med MinID eller BankID?
Med MinID, ja: MinID støtter en vanlig TOTP-autentiseringsapp som ekstra faktor ved innlogging, i tillegg til SMS-kode eller push-godkjenning i MinID-appen. BankID håndteres derimot av BankID-appen selv, ikke av en tredjeparts autentiseringsapp.
Hvilken app bør bedrifter velge for ansattes to-faktor-autentisering?
For bedrifter som allerede bruker Microsoft 365 eller Entra ID, er Microsoft Authenticator det naturlige valget på grunn av integrasjonen med betinget tilgang og passkey-utrulling. Bedrifter uten Microsoft-økosystem kan vurdere Google Authenticator for enkelhet eller Authy for ansatte som trenger tilgang fra flere enheter samtidig.
Er det mulig å eksportere kontoer fra en autentiseringsapp til en annen?
Det finnes ingen direkte import mellom Google Authenticator, Microsoft Authenticator og Authys proprietære backup-formater. I praksis må du legge til hver konto på nytt i den nye appen via tjenestens eget to-faktor-oppsett, gjerne mens den gamle kontoen fortsatt er aktiv som en sikkerhetsnett til du har bekreftet at den nye fungerer.
Kan jeg bruke en autentiseringsapp på en datamaskin uten mobiltelefon?
Ikke direkte med noen av disse tre appene i 2026. Google Authenticator har aldri hatt en offisiell skrivebordsversjon, Microsoft henviser til Edge for passordrelaterte funksjoner men har ingen frittstående skrivebords-Authenticator, og Authys skrivebordsapplikasjoner for Windows, macOS og Linux ble avviklet 19. mars 2024. Skal du generere TOTP-koder uten mobiltelefon, må du se etter andre, frittstående verktøy som ikke er del av denne sammenligningen.