Passkeys uitrollen: zo stap je in fases af van wachtwoorden

De meeste bedrijven weten inmiddels wel wat passkeys zijn. De vraag die daarna komt is praktischer: hoe ga je passkeys uitrollen over een heel team, zonder dat er een week lang niemand meer bij zijn spullen kan?

Dat is een ander onderwerp dan de techniek erachter. Wat een passkey is en waarom hij niet te phishen valt, legden we uit in wat zijn passkeys en passkeys in 2026. Dit artikel gaat over de uitrol: met wie je begint, wat je parallel laat draaien, en waar het in de praktijk misgaat.

Het goede nieuws vooraf: als je Microsoft 365 of Google Workspace gebruikt, heb je alles al. Er is geen nieuwe leverancier, geen extra licentie en geen apart platform nodig. Het is vooral een kwestie van instellen en van een goede volgorde.

Even kort, voor wie halverwege instapt: een passkey is een sleutel die vastzit aan het apparaat waarop je hem aanmaakt. Je logt wachtwoordloos in met je vingerafdruk, gezichtsherkenning of een pincode. Het apparaat bewijst dat jij het bent, en er gaat geen wachtwoord over de lijn dat gestolen kan worden. Omdat de passkey gekoppeld is aan het apparaat en aan het juiste domein, valt phishing er technisch niet op los te laten. Dat maakt het veiliger dan MFA met een sms-code of een appmelding, die wel te onderscheppen zijn. Apple, Google en Microsoft ondersteunen passkeys inmiddels allemaal, dus je gebruikers hebben de techniek waarschijnlijk al in hun broekzak. Voor hen is het vooral sneller: geen wachtwoord meer onthouden en geen toegang meer kwijt door een resetverzoek.

Migreren is geen omschakeling

De grootste denkfout bij passkeys is dat het een moment is: op datum X gaan de wachtwoorden eruit en de passkeys erin. Zo werkt het niet, en zo zou je het ook niet willen.

Een migratie is een periode waarin beide naast elkaar bestaan. Mensen melden zich met een passkey aan op de apparaten waarop ze die hebben ingesteld, en vallen terug op hun oude methode waar dat nog niet kan. Die overlap is geen tekortkoming van het plan, het is het plan.

Wat je in die periode wilt bereiken, is dat de passkey de gewoonte wordt. Niet dat het wachtwoord op dag één verdwijnt.

Er zit wel een addertje onder het gras, en dat is meteen de meest gemaakte fout: als je een passkey toevoegt naast sms-codes en verder niets uitzet, is je beveiliging nauwelijks verbeterd. Een aanvaller kiest dan gewoon de zwakste route die nog openstaat. Waarom sms-codes tegenwoordig te omzeilen zijn, staat in waarom sms-codes niet meer genoeg zijn. Het opruimen van oude methodes is dus geen bijzaak — het is de stap waar het rendement zit.

Stap 1: kijk waar het al kan

Begin met een simpele inventarisatie: welke systemen gebruikt jullie team dagelijks, en welke daarvan ondersteunen passkeys al?

In de praktijk valt dat uiteen in drie groepen. Ten eerste de grote platforms: Microsoft 365, Google Workspace, en de meeste bekende zakelijke diensten. Daar kan het gewoon. Ten tweede de branchesoftware — boekhoudpakketten, planningssystemen, portalen van leveranciers — waar het per pakket verschilt. Ten derde de systemen die het voorlopig niet gaan ondersteunen, vaak oudere toepassingen die op een eigen server draaien.

Die derde groep is geen reden om te wachten. Het is een reden om te beginnen bij de eerste groep, want daar zit het overgrote deel van het dagelijkse inloggen.

Stap 2: begin bij de accounts met de meeste sleutels

De verleiding is om te beginnen bij de mensen die het handigst zijn met techniek. Beter is om te beginnen bij de accounts waar het meeste mee kan: beheerders, directie, en iedereen die bij financiën of klantgegevens kan.

Dat heeft twee redenen. Die accounts zijn het meest waard voor een aanvaller, dus daar levert de overstap direct het meeste op. En het is een kleine groep, dus je ontdekt de rafelrandjes voordat vijftig mensen ertegenaan lopen.

Voor beheeraccounts is een fysieke sleutel het overwegen waard: een klein apparaatje dat je in een USB-poort steekt of tegen je telefoon houdt. Koop er dan twee per persoon en leg de tweede in de kluis. Dat is dezelfde redenering als bij het break-glass-account uit het stappenplan voor MFA-uitrol.

Stap 3: regel het herstel vóórdat je uitrolt

Dit is de stap die het vaakst wordt overgeslagen en die het meeste gedoe voorkomt. Wat gebeurt er als iemand zijn telefoon laat vallen, een nieuwe laptop krijgt of op maandag zijn sleutel thuis heeft laten liggen?

Bij de meeste consumentendiensten synchroniseren passkeys via het account van de gebruiker, dus dan staat de passkey ook op zijn andere apparaten. Maar in een zakelijke omgeving wil je niet afhankelijk zijn van iemands privé-cloudaccount. Regel daarom drie dingen vooraf: minstens twee aanmeldmethodes per gebruiker, een vastgelegde route waarlangs de beheerder iemand opnieuw kan laten registreren (met een controle dat hij het echt is), en de afspraak dat die route niet via een enkel telefoontje loopt — want dat is precies de route die aanvallers proberen.

Wat we er in de praktijk bij aanraden: laat iedereen zijn passkey op twee apparaten instellen. Dat lost negen van de tien herstelvragen op voordat ze bij de helpdesk komen.

Stap 4: rol uit in golven

Neem na de eerste groep een team van vijf tot tien mensen en begeleid die aanmelding live — letterlijk even meekijken tijdens een kwartier op een ochtend. Dat scheelt meer dan een handleiding, want de eerste registratie is het enige moment dat het onwennig is. Daarna is het een vingerafdruk of een gezichtsscan.

Verzamel wat er misgaat, pas de instructie aan en rol daarna de rest uit. Reken op enkele weken voor een team van dertig, niet op een middag.

Communiceer ook waarom je het doet, en doe dat in gewone taal: je hoeft niets meer te onthouden, je hoeft niet meer op codes te wachten, en een nagemaakte inlogpagina heeft niets meer om te stelen. Dat laatste is het echte argument — zie ook sessiekaping en phishing 2.0.

Stap 5: ruim op wat je niet meer nodig hebt

Zodra een gebruiker zijn passkey op twee apparaten heeft staan en er een week probleemloos mee werkt, kunnen de zwakkere methodes eruit. Eerst sms, daarna het wachtwoord waar de dienst dat toestaat.

Voor alles wat nog geen passkeys ondersteunt, is een wachtwoordmanager de tussenoplossing: unieke, lange wachtwoorden per dienst, zodat een lek bij de ene dienst niets oplevert bij de andere. Zie hoe wachtwoordmanagers je accounts beschermen. Voegt zo’n dienst later passkeys toe, dan is het nog maar één registratie — geen gedragsverandering meer.

Een voorbeeld uit de praktijk

Een groothandel met 34 medewerkers begon in het voorjaar met vier accounts: twee beheerders, de directeur en de financieel medewerker. Die kregen elk een fysieke sleutel plus een passkey op hun telefoon. Dat duurde één ochtend.

Daarna volgden twee golven van vijftien mensen, met twee weken ertussen. De grootste ergernis bleek niet de techniek maar de verwarring rond één oud pakket dat geen passkeys ondersteunt: mensen dachten dat het stuk was omdat het nog om een wachtwoord vroeg. Dat was opgelost met één regel in de instructie.

Na zes weken stond sms uit voor alle accounts. De wachtwoordresets bij de helpdesk zakten van gemiddeld zes per maand naar minder dan één.

Veelgestelde vragen

Werken passkeys op alle apparaten?

Op moderne telefoons, tablets en laptops wel: iPhone, Android, Windows en Mac ondersteunen het allemaal, net als Chrome, Edge en Safari. De beperking zit niet in de apparaten maar in de diensten — niet elk pakket ondersteunt het al. Daarom is de inventarisatie in stap 1 de eerste actie en niet de laatste.

Wat als iemand zijn telefoon kwijtraakt?

Als de passkey op een tweede apparaat staat, meldt die persoon zich daar gewoon mee aan en registreert hij een nieuw apparaat. Staat hij maar op één apparaat, dan is er een herstelroute via de beheerder nodig. Precies daarom regel je die route vóórdat je uitrolt, en niet op de dag dat het gebeurt. Zie ook wat te doen als een telefoon of laptop kwijt is.

Is dit verplicht vanuit wetgeving?

Passkeys als zodanig zijn nergens verplicht. Wel geldt voor steeds meer bedrijven een zorgplicht om passende maatregelen te nemen, onder meer via de Nederlandse uitwerking van NIS2 (zie wat NIS2 betekent). Phishing-bestendige aanmelding is daarbij een van de maatregelen die goed uitlegbaar is. Wij zijn geen juristen, dus laat de precieze verplichtingen voor jouw situatie toetsen.

Wat merken gebruikers ervan?

In plaats van een wachtwoord typen krijgen ze bij het inloggen een prompt op hun eigen apparaat: vingerafdruk, gezicht of pincode. Dat is de hele handeling. De meeste mensen vinden die manier van inloggen na een dag prettiger dan wat ze gewend waren, juist omdat er niets meer te onthouden valt. Technologie die minder van iemand vraagt, is technologie die blijft hangen.

Kunnen we passkeys combineren met onze huidige MFA?

Tijdens de migratie wel, en dat is ook de bedoeling. Maar het doel is niet om een methode toe te voegen — het is om er uiteindelijk minder over te houden. Zolang sms als terugvaloptie openstaat, blijft die route bruikbaar voor een aanvaller. Zet hem dus uit zodra de passkey staat.

Denk je erover om over te stappen maar weet je niet waar je moet beginnen? We brengen graag in kaart welke systemen bij jullie al klaar zijn en maken er een uitrol van die je team gewoon bijhoudt. Bel 030-7115791 of mail info@okayict.nl.