Mikä on kaksivaiheinen tunnistautuminen – kattava opas 2026

Mikä on kaksivaiheinen tunnistautuminen, ja miksi se on tänä päivänä välttämätön osa digitaalista turvallisuutta? Kaksivaiheinen tunnistautuminen (lyhenne 2FA, englanniksi two-factor authentication) tarkoittaa kirjautumismenetelmää, jossa käyttäjä todentaa henkilöllisyytensä vähintään kahdella eri tekijällä salasanan lisäksi. Suomessa vahva sähköinen tunnistautuminen on jo arkirutiinia – mutta sen taustalla olevat periaatteet, käytännöt ja riskit ovat monelle epäselviä.

Mikä on kaksivaiheinen tunnistautuminen – perusteet selkeästi

Kaksivaiheinen tunnistautuminen tarkoittaa, että kirjautuminen edellyttää kahteen eri tekijäluokkaan kuuluvia todentajia. ENISA:n julkaisemien tietoturvamäärittelyjen mukaan kolme tunnistustekijäluokkaa ovat:

• Tieto – jotain, mitä käyttäjä tietää (esimerkiksi salasana tai PIN-koodi)
• Hallinta – jotain, mitä käyttäjällä on hallussaan (esimerkiksi puhelin, fyysinen avain tai älykortti)
• Biometria – jotain, mitä käyttäjä on (esimerkiksi sormenjälki tai kasvontunnistus)

Oleellinen yksityiskohta, jonka ENISA korostaa: kaksi vaihetta ei tarkoita kahta kertaa samaa tekijäluokkaa. Salasana ja PIN eivät yhdessä muodosta kaksivaiheista tunnistautumista, koska molemmat kuuluvat tietoluokkaan. Tekijöiden on kuuluttava eri luokkiin.

Kaksivaiheisen tunnistautumisen historia ja kehitys

Vahvan sähköisen tunnistautumisen juuret Suomessa ulottuvat 1990-luvulle, jolloin pankit alkoivat ottaa käyttöön kertakoodilappuja verkkopankkien suojaamiseksi. Mobiilivarmenteen onnistuneet kirjautumiset kasvoivat Theseuksen julkaiseman FiCom-datan mukaan vain 0,4 miljoonasta vuonna 2016 peräti 232 miljoonaan vuonna 2024 – kasvu kertoo siitä, kuinka nopeasti menetelmät ovat monipuolistuneet. EU-tasolla kaksivaiheisen tunnistautumisen standardointia ja yhteentoimivuutta on kehitetty erityisesti eIDAS-asetuksen (2014) ja sen uudistuksen (2022) myötä, ja ENISA on julkaissut digitaalisen identiteetin standardeja tukemaan EU:n digitaalista identiteettilompakkoa.

Mikä on kaksivaiheinen tunnistautuminen käytännössä – yleisimmät menetelmät

Käytännössä kaksivaiheinen tunnistautuminen toteutuu useilla eri tavoilla. Alla vertailu yleisimmistä menetelmistä.

SMS-koodi vai sovellus – mikä on turvallisempi?

Tekstiviestipohjainen kertakoodi on laajimmin käytetty toinen tekijä, mutta se on myös haavoittuvaisempi kuin sovelluspohjainen vaihtoehto. ENISA on julkaissut erillisen ohjeen SIM-swappingin välttämiseksi, mikä kertoo siitä, että tekstiviestipohjainen toinen tekijä on tunnistettu riskiksi: hyökkääjä voi huijata operaattorin siirtämään puhelinnumeron omalle SIM-kortilleen ja näin vastaanottaa uhrin kertakoodit. Sovelluspohjainen TOTP (Time-based One-Time Password) kuten Google Authenticator tai Microsoft Authenticator generoi koodit paikallisesti laitteella, jolloin SIM-swapping ei auta hyökkääjää.

FIDO2 ja fyysinen turva-avain – vahvin vaihtoehto

Kaikkein phishing-resistant vaihtoehto on fyysinen FIDO2-avain, kuten YubiKey tai Google Titan Security Key. Nämä laitteet toimivat USB-, NFC- tai Bluetooth-liitännällä ja varmistavat, että käyttäjä on fyysisesti läsnä kirjautumistilanteessa. Phishing-sivustot eivät pysty sieppaamaan FIDO2-autentikaatiota, koska avain sitoo itsensä nimenomaiseen verkkotunnukseen.

Kaksivaiheinen tunnistautuminen Suomessa – pankit ja julkiset palvelut

Suomessa kaksivaiheinen tunnistautuminen on rakentunut erityisesti pankkitunnusten varaan. Euroopan komission Digital Public Administration Factsheet 2022 osoittaa, että julkisen sektorin sähköisten palvelujen kirjautumisista 90 % tehtiin vuonna 2022 pankkien myöntämillä sähköisillä tunnuksilla. Mobiilioperaattoreiden varmenteilla tehtiin 8 % kirjautumisista ja kansallisella henkilökortilla vain 2 %.

Suomi menestyy hyvin kansainvälisessä vertailussa: Interoperable Europe -portaalin vuoden 2026 seuranta-asiakirjan mukaan Suomen pistemäärä rajat ylittävässä sähköisessä tunnistautumisessa (cross-border eID) on 82,4, kun EU:n keskiarvo on 41,7. Tämä tarkoittaa, että suomalaiset voivat käyttää kansallisia tunnistusvälineitä laajasti myös muiden EU-maiden palveluihin.

Suomi ylittää selvästi EU:n keskiarvon rajat ylittävässä sähköisessä tunnistautumisessa – pisteet 82,4 vastaan EU:n 41,7 – mikä kertoo kansallisen tunnistusinfrastruktuurin vahvuudesta.

Miksi kaksivaiheinen tunnistautuminen ei ole automaattisesti turvallinen

Kaksivaiheinen tunnistautuminen parantaa turvallisuutta merkittävästi, mutta se ei ole aukottoman turvallinen, jos toteutus on puutteellinen. ENISA:n EUVD-haavoittuvuustietokanta raportoi vuosina 2025–2026 useita 2FA-ohitushaavoittuvuuksia tunnetuissa ohjelmistoissa. Esimerkiksi Devolutions Server -ohjelmistossa (versio 2026.1.11 ja vanhemmat) kaksivaiheisen tunnistautumisen voitiin ohittaa käyttämällä osittain käytettyä istuntoa uudelleen, kun taas GitLab-yhteistyöalustassa havaittiin WebAuthn-pohjaisen 2FA:n ohitusmahdollisuus kaikissa versioissa ennen 18.8.7, 18.9.3 ja 18.10.1.

Lisäksi käyttäjiin kohdistuvat huijaukset, kuten phishing-sivustot, voivat siepata SMS-koodit reaaliajassa niin sanotussa adversary-in-the-middle -hyökkäyksessä. Tämä ei tarkoita, että 2FA olisi hyödytön, vaan että menetelmän valinnalla on suuri merkitys.

2FA vs. monivaiheinen tunnistautuminen – mikä ero?

Kaksivaiheinen tunnistautuminen on monivaiheisen tunnistautumisen (MFA, Multi-Factor Authentication) erityistapaus: siinä käytetään täsmälleen kahta tekijää. MFA voi tarkoittaa kahta, kolmea tai useampaa tekijää. Korkean riskin järjestelmissä, kuten terveydenhuollon potilastietojärjestelmissä tai finanssialan backoffice-järjestelmissä, saatetaan vaatia kolme tekijää: salasana, sovelluspohjainen koodi ja fyysinen avain.

Kaksivaiheinen tunnistautuminen ja EU:n digitaalinen identiteettilompakko

EU kehittää parhaillaan yhtenäistä digitaalista identiteettilompakkoa (EU Digital Identity Wallet), joka tulee muuttamaan tapaa, jolla eurooppalaiset todentavat henkilöllisyytensä verkossa. ENISA:n digitaalisen identiteetin standardijulkaisu kattaa luottamuspalvelut, sähköisen tunnistamisen välineet ja EU:n digitaalisen identiteettilompakon. Suomessa vahvan tunnistautumisen infrastruktuuri on jo kypsä, mikä antaa hyvät lähtökohdat siirtymälle kohti EU-laajuista tunnistautumista. Etätyön tietoturvan näkökulmasta kaksivaiheinen tunnistautuminen on myös erillinen teema – voit lukea lisää aiheesta artikkelista etätyön tietoturva 2026.

EU:n digitaalinen identiteettilompakko tulee muuttamaan eurooppalaisen tunnistautumisen perustan – Suomi on jo hyvässä asemassa korkean eID-kypsyytensä ansiosta.

Miten otat kaksivaiheisen tunnistautumisen käyttöön – käytännön ohjeet

Kaksivaiheisen tunnistautumisen käyttöönotto vaihtelee palvelusta riippuen, mutta yleinen prosessi on seuraava:

1. Kirjaudu palveluun ja avaa tilin turvallisuus- tai tietosuoja-asetukset.
2. Etsi kohta »Kaksivaiheinen tunnistautuminen», »2FA» tai »Monivaiheinen tunnistautuminen».
3. Valitse menetelmä: SMS, sovellus (TOTP) tai fyysinen avain.
4. Jos valitset sovelluksen: lataa Google Authenticator, Microsoft Authenticator tai Authy, skannaa QR-koodi palvelun näyttämältä sivulta.
5. Tallenna varmuuskoodit turvalliseen paikkaan – ne ovat ainoa tapa päästä tilille, jos puhelin katoaa.
6. Testaa kirjautuminen uudelleen varmistaaksesi, että 2FA toimii.

Tietoturvan kokonaistilanteen kannalta 2FA:n käyttöönotto liittyy laajempaan digitaaliseen hygieniaan. DarkSword-tyyppisiä uhkia, joita käsitellään tarkemmin artikkelissa iPhone-käyttäjiä uhkaava DarkSword, torjutaan parhaiten juuri vahvalla tunnistautumisella ja ajan tasalla pidettävällä ohjelmistolla.

Usein kysytyt kysymykset kaksivaiheisesta tunnistautumisesta

Onko kaksivaiheinen tunnistautuminen sama asia kuin vahva tunnistautuminen?

Ei täysin. Vahva sähköinen tunnistautuminen on eIDAS-asetuksessa määritelty oikeudellinen käsite, joka edellyttää vähintään kahta tekijää sertifioidussa toteutuksessa. Kaksivaiheinen tunnistautuminen on yleinen tekninen termi, joka kattaa laajan kirjon menetelmiä – myös sellaisia, jotka eivät täytä eIDAS:n vahvan tunnistautumisen kriteerejä. Suomalaiset pankkitunnukset täyttävät vahvan tunnistautumisen vaatimukset.

Voiko kaksivaiheisen tunnistautumisen ohittaa?

Teoriassa kyllä, mutta käytännössä se on huomattavasti vaikeampaa kuin pelkän salasanan murtaminen. ENISA:n EUVD-tietokanta on dokumentoinut useita 2FA-ohitushaavoittuvuuksia vuosina 2025–2026. Hyökkääjät voivat yrittää SIM-swappausta, phishing-sivustoja tai käyttää hyväkseen ohjelmiston haavoittuvuuksia. Siksi ohjelmistojen päivittäminen ja vahvempaan menetelmään siirtyminen on tärkeää.

Mitä tehdä, jos puhelin katoaa?

Tallenna käyttöönottovaiheessa annetut varmuuskoodit turvallisesti etukäteen. Useimmissa palveluissa voit myös kirjautua vaihtoehtoisen sähköpostiosoitteen tai varapuhelinnumeron kautta. Jos varmuuskoodeja ei ole tallennettu, ota yhteyttä palvelun asiakastukeen henkilöllisyyden vahvistamiseksi.

Tarvitaanko 2FA kaikissa palveluissa?

Ei kaikkialle, mutta erityisesti sähköpostitileissä, verkkopankeissa, pilvipalveluissa ja kaikissa palveluissa, joissa säilytetään henkilötietoja tai maksuvälineitä, 2FA on erittäin suositeltava. ENISA suosittelee kaksivaiheista tunnistautumista erityisesti henkilötietoja käsitteleville järjestelmille.

Miksi pankkitunnukset ovat Suomessa niin suosittuja?

Suomalaiset pankit ottivat varhain käyttöön kattavan verkkopankkiinfrastruktuurin, ja pankkitunnuksista tuli de facto kansallinen tunnistautumisstandardin toteutus. Luottamus pankkeihin on Suomessa korkea, ja tunnukset toimivat jo lähes kaikkialla – julkisissa palveluissa, vakuutusyhtiöillä ja yhä useammassa yksityisessä palvelussa. Tilastokeskuksen vuoden 2020 väestötutkimuksen mukaan Theseus-julkaisun siteeraaman datan perusteella 98 % vastanneista suomalaisista oli käyttänyt pankkitunnistautumismahdollisuuksia.

Mikä on mobiilivarmenteen ja pankkitunnusten ero?

Molemmat ovat vahvan sähköisen tunnistautumisen menetelmiä, mutta niiden tekniikka eroaa. Pankkitunnukset perustuvat pankin myöntämiin tunnuksiin ja kertakoodilappuihin tai sovellukseen. Mobiilivarmenne perustuu SIM-kortille tallennettuun varmenteeseen ja PIN-koodiin – sen myöntää teleoperaattori (DNA, Elisa, Telia). FiComin vuoden 2025 datan mukaan mobiilivarmenteen käyttö kasvoi 0,4 miljoonasta kirjautumisesta vuonna 2016 peräti 232 miljoonaan vuonna 2024.

Yhteenveto – kaksivaiheinen tunnistautuminen on digiajan perussuoja

Kaksivaiheinen tunnistautuminen on yksinkertaisin ja tehokkain tapa suojata digitaaliset tilit luvattomalta käytöltä. Suomessa menetelmä on jo laajasti käytössä pankkitunnusten ja mobiilivarmenteen muodossa, ja suomalaiset ovat EU-tasolla eturintamassa sähköisessä tunnistautumisessa. Menetelmät kehittyvät jatkuvasti: SMS-koodista siirrytään kohti phishing-resistant ratkaisuja kuten FIDO2-avaimia ja sovelluspohjaista TOTP:tä.

Tärkeimmät opit tiivistettynä:

• 2FA tarkoittaa kahta eri tekijäluokkaa – ei kahta salasanaa
• Sovelluspohjainen TOTP on turvallisempi kuin SMS-koodi
• FIDO2-avain on phishing-resistant ja soveltuvin korkean riskin käyttöön
• Suomessa 90 % julkisten palvelujen kirjautumisista tehdään pankkitunnuksilla (2022)
• Varmuuskoodit on tallennettava ennen kuin puhelin katoaa
• Ohjelmistojen päivittäminen on välttämätöntä, koska 2FA-toteutuksissa esiintyy haavoittuvuuksia

Lähteet

• ENISA – Reinforcing trust and security: Security Measures (WP2018) — haettu 24. elokuuta 2026
• ENISA – How to Avoid SIM-Swapping (2021) — haettu 24. elokuuta 2026
• ENISA – Digital Identity Standards (2023) — haettu 24. elokuuta 2026
• ENISA EUVD – EUVD-2026-17923 (Devolutions Server 2FA bypass) — haettu 24. elokuuta 2026
• ENISA EUVD – EUVD-2026-15804 (GitLab WebAuthn 2FA bypass) — haettu 24. elokuuta 2026
• Euroopan komissio – Digital Public Administration Factsheet 2022 Finland — haettu 24. elokuuta 2026
• Interoperable Europe – Finland Supporting Document 2026 — haettu 24. elokuuta 2026
• Theseus – Mobile Certificate as scam prevention method in Finland (Jokinen, 2025) — haettu 24. elokuuta 2026
• Theseus – Means of digital personal identification and authentication in Finland (Tossavainen) — haettu 24. elokuuta 2026