Wat zijn passkeys? Inloggen zonder wachtwoord, uitgelegd

Wachtwoorden zijn in de meeste bedrijven de zwakke plek. Mensen gebruiken ze opnieuw voor meerdere accounts, schrijven ze op een geeltje, en typen ze zonder het door te hebben in op overtuigende neppagina’s.

Passkeys zijn de techniek die is gebouwd om wachtwoorden te vervangen, en ze lossen precies de dingen op die de meeste problemen geven. Met een passkey log je in met dezelfde vingerafdruk, gezichtsscan of pincode waarmee je je telefoon of laptop ontgrendelt. Er is geen wachtwoord om te typen, dus er is niets voor een aanvaller om te stelen, te raden of uit je los te peuteren.

In deze blog lees je wat passkeys zijn, waarom ze veel lastiger aan te vallen zijn dan wachtwoorden, en of je bedrijf ermee zou moeten beginnen.

Wat is een passkey?

Een passkey vervangt je wachtwoord door de eigen beveiliging van je apparaat. In plaats van een wachtwoord te typen, bewijs je dat jij het bent op dezelfde manier waarop je je telefoon ontgrendelt: een vingerafdruk, een gezichtsscan of een pincode.

Als je een passkey instelt voor een website, maakt je apparaat twee bij elkaar horende sleutels. De privésleutel blijft vergrendeld op je apparaat en verlaat het nooit. De publieke sleutel wordt bewaard door de website. Als je inlogt, stuurt de site een uitdaging die alleen jouw privésleutel kan beantwoorden, je apparaat beantwoordt die zodra je bevestigt met je vingerafdruk of pincode, en je bent binnen. De website ziet nooit een wachtwoord, want dat is er niet. Deze aanpak komt uit een standaard genaamd FIDO, waar Apple, Google en Microsoft allemaal op bouwen.

Waarom passkeys lastiger aan te vallen zijn dan wachtwoorden

Een wachtwoord is een geheim dat je bij elke login deelt met de website, en dat is precies waar aanvallers op uit zijn. Een passkey heeft geen gedeeld geheim. Dat ene verschil lost de grootste problemen met wachtwoorden op.

Ze zijn niet te phishen. Een passkey werkt alleen op de echte website waarvoor hij is gemaakt. Beland je op een overtuigende nepsite, dan werkt de passkey simpelweg niet, dus er is niets om af te geven. Dat telt, want phishing is hoe de meeste inbraken beginnen.

Er is geen wachtwoord om te stelen bij een datalek. De website bewaart alleen je publieke sleutel, en die is op zichzelf nutteloos. Wordt het bedrijf gehackt, dan is er geen wachtwoordenlijst om mee te nemen en op je andere accounts te proberen.

Niets om te hergebruiken of te vergeten. Elke passkey is uniek voor één site en wordt automatisch gemaakt, dus hergebruikte en zwakke wachtwoorden zijn geen probleem meer.

Oudere methodes zoals sms-codes en goedkeuringsmeldingen in een app zijn nog steeds uit mensen te ontfutselen. Een passkey niet.

Waar je passkeys al kunt gebruiken

De ondersteuning heeft zich snel verspreid. Je kunt al inloggen met passkeys bij Microsoft-, Google- en Apple-accounts, plus een groeiende lijst banken, wachtwoordmanagers en zakelijke tools. Apple, Google en Microsoft hebben passkeys ingebouwd in hun telefoons, laptops en browsers, dus het apparaat in je zak kan ze al opslaan en gebruiken.

Er zijn twee soorten die het weten waard zijn. Een gesynchroniseerde passkey is geback-upt naar je Apple-, Google- of Microsoft-account, dus hij werkt op al je apparaten en je zit gedekt als je er één verliest. Een apparaatgebonden passkey blijft op één apparaat, zoals een fysieke beveiligingssleutel die je inplugt. Dat is de meest afgeschermde optie en een veelgekozen variant voor gevoelige accounts.

Zou je bedrijf ze moeten gebruiken?

Voor de meeste bedrijven wel, en je kunt klein beginnen. Je hoeft niet alles in één keer om te zetten of wachtwoorden op dag één te laten vallen.

Gebruik je Microsoft 365, dan zijn passkeys al beschikbaar via Microsoft Entra. Medewerkers kunnen inloggen met een passkey in de Microsoft Authenticator-app, een beveiligingssleutel of hun eigen apparaat. Ook Google Workspace ondersteunt ze.

Ze zijn bovendien gewoon sneller. Microsoft zegt dat inloggen met een gesynchroniseerde passkey ongeveer 3 seconden kost, tegenover zo’n 69 seconden voor een wachtwoord plus een traditionele MFA-code. Over een heel team telt dat op.

Zo kun je beginnen:

Zet passkeys eerst aan voor je gevoeligste accounts: beheerders, financiën en iedereen die geld kan verplaatsen of systemen kan wijzigen.

Laat de rest een passkey toevoegen als snellere, veiligere manier om in te loggen, in het begin naast hun gewone login.

Zorg dat iedereen een back-up heeft, zoals een tweede apparaat of een beveiligingssleutel, zodat een verloren telefoon niemand buitensluit.

Je IT-partij kan dit aanzetten en de uitrol begeleiden, zodat niemand onderweg buitengesloten raakt.

Waar je op moet letten

Passkeys zijn niet magisch, en een paar dingen zijn het plannen waard.

Accountherstel. Verliest iemand het enige apparaat met zijn passkey en heeft hij geen back-up, dan kan hij buitengesloten raken. Een gesynchroniseerde passkey of een tweede geregistreerd apparaat lost dit op, maar dat moet je vooraf regelen.

Niet alles ondersteunt ze al. De ondersteuning groeit snel, maar sommige oudere systemen en kleinere leveranciers leunen nog op wachtwoorden, dus je draait een tijd allebei naast elkaar.

Gedeelde apparaten en logins. Passkeys zijn gebonden aan een persoon en zijn apparaat, dus gedeelde computers of gedeelde accounts hebben hun eigen plan nodig.

Veelgestelde vragen

Wat zijn passkeys in gewone taal?

Het is een manier om in te loggen met je vingerafdruk, gezicht of pincode in plaats van een wachtwoord. Je apparaat bewijst aan de website dat jij het bent, en er wordt nooit een wachtwoord getypt of opgeslagen.

Zijn passkeys veiliger dan wachtwoorden?

Ja. Ze zijn niet te phishen, er is geen wachtwoord dat een hacker kan stelen bij een datalek, en er is niets om te hergebruiken of te vergeten. Beveiligingsdiensten raden FIDO-gebaseerde logins — en dat zijn passkeys — aan als de sterkste breed beschikbare optie.

Wat gebeurt er als ik het apparaat met mijn passkey verlies?

Was het een gesynchroniseerde passkey, dan is hij geback-upt naar je Apple-, Google- of Microsoft-account en nog beschikbaar op je andere apparaten. Was hij apparaatgebonden en heb je geen back-up, dan gebruik je een herstelmethode om weer binnen te komen — en daarom is een tweede passkey of apparaat vooraf instellen belangrijk.

Ondersteunt Microsoft 365 passkeys?

Ja. Passkeys zijn beschikbaar via Microsoft Entra, zonder extra kosten, ook in de gratis variant. Medewerkers kunnen een passkey gebruiken in de Microsoft Authenticator-app, een beveiligingssleutel of hun eigen apparaat.

Vervangen passkeys tweefactorauthenticatie?

Een passkey kan op zichzelf al als tweefactorauthenticatie tellen. Om hem te ontgrendelen heb je zowel je apparaat (iets wat je hebt) als je vingerafdruk, gezicht of pincode (iets wat je bent of weet) nodig, dus hij dekt twee factoren in één stap en kan de oude routine van wachtwoord-plus-sms-code vervangen.

Hoe werkt inloggen met een passkey in de praktijk?

Je kiest je account, en in plaats van een gebruikersnaam en wachtwoord vraagt je toestel om een biometrische controle: een vingerafdruk of gezichtsherkenning, of anders de pincode van het toestel. Daarmee ontgrendel je de digitale sleutel die lokaal staat opgeslagen, waarna de website of app je toegang geeft. Voor de gebruiker is het één handeling: veilig inloggen zonder dat er een wachtwoord nodig is. Steeds meer apps ondersteunen het, van wachtwoordmanagers tot banken.

Bij OkayICT helpen we MKB-bedrijven veilig van wachtwoorden af te stappen — stap voor stap, zonder dat iemand buitengesloten raakt. Benieuwd of passkeys iets voor jouw team zijn? Neem gerust contact op.