Passkeys vs FIDO2: diepgaande vergelijking voor veilige, wachtwoordloze authenticatie

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Vergelijk passkeys en FIDO2-beveiligingssleutels voor phishingbestendige, wachtwoordloze authenticatie, met WebAuthn, Microsoft Entra ID, herstel en uitrol in de onderneming.

Automatically translated with AI from the original post. Read the English original

passkeys vs FIDO2 vraagt om een duidelijke, praktische keuze op basis van het gebruikersscenario, de beveiligingseisen en de Microsoft 365-omgeving. Begin met het beoogde resultaat, controleer de huidige Microsoft-richtlijnen, test met representatieve gebruikers en leg de verantwoordelijkheid vast voordat je de aanpak breed uitrolt.

Praktische checklist passkeys vs FIDO2

• Bepaal het zakelijke scenario en de verantwoordelijke eigenaar.
• Valideer het ontwerp met een representatieve pilot.
• Beoordeel de gevolgen voor beveiliging, toegang en support.

Raadpleeg Microsoft Learn voor actuele productrichtlijnen.

Laatst gecontroleerd: juli 2026.

Digitale accounts beveiligen zonder het gedoe, of het risico, van wachtwoorden wordt de nieuwe gouden standaard. Als je zoekt naar moderne authenticatie voor jezelf of je organisatie, kom je al snel FIDO2 en passkeys tegen. Die twee termen worden vaak door elkaar gebruikt, maar wat betekenen ze eigenlijk, en hoe verhouden ze zich tot elkaar in de praktijk, zeker in omgevingen waarin Microsoft een grote rol speelt, qua beveiliging, gebruiksgemak en uitrol?

Deze gids zet de essentiële zaken op een rij: hoe FIDO2 en passkeys werken, wat ze van elkaar onderscheidt en waarom ze veranderen hoe we inloggen op apparaten en clouddiensten. Je krijgt praktische inzichten over dreigingsmodellen, compliance, gebruikerservaring en de details van het opzetten van wachtwoordloze authenticatie die echt blijft werken. Of je nu Microsoft 365 beheert, je eigen IT-afdeling runt of gewoon accounts wilt waar kwaadwillenden moeilijk grip op krijgen: je bent hier op de juiste plek.

Wat zijn FIDO2 en passkeys?

FIDO2 is een open standaard voor wachtwoordloze authenticatie, ontwikkeld door de FIDO Alliance en het World Wide Web Consortium (W3C). Het doel is gebruikers veilig te laten inloggen zonder wachtwoorden, met behulp van public-key-cryptografie. De kern van FIDO2 bestaat uit twee protocollen: WebAuthn (voor websites en applicaties) en CTAP (voor communicatie met authenticators zoals telefoons of hardwaresleutels).

Passkeys zijn een gebruiksvriendelijke implementatie van de FIDO2-standaard. Simpel gezegd is een “passkey” in essentie een FIDO2-credential die voor je wordt beheerd door het besturingssysteem van je apparaat, zoals iCloud Keychain van Apple, Google Wachtwoordbeheer of Credential Manager van Microsoft. Passkeys vervangen losse wachtwoorden: je logt in door je apparaat te ontgrendelen of door biometrie te gebruiken, zoals Face ID, Touch ID of Windows Hello.

Het belangrijkste punt: hoewel alle passkeys op FIDO2 draaien, wordt niet elke FIDO2-credential als “passkey” op de markt gebracht. Passkeys bieden meestal extra gemak, zoals synchronisatie tussen apparaten of eenvoudig herstel, maar de cryptografische mechanismen, publieke en private sleutels, zijn hetzelfde. Bij traditionele wachtwoorden onthou je het geheim. Bij FIDO2 en passkeys blijft het geheim (de private sleutel) vergrendeld op je apparaat, en wordt alleen een bewijs naar de server gestuurd, nooit de sleutel zelf.

Samengevat: FIDO2-authenticatie levert het gestandaardiseerde gereedschap, terwijl passkeys dat gereedschap in je zak, op je laptop of in de cloud plaatsen, en daarmee wachtwoordloos en phishingbestendig inloggen mogelijk maken.

Wachtwoorden uitschakelen en phishingbestendigheid bereiken

Het belangrijkste van FIDO2 en passkeys is niet alleen dat inloggen makkelijker wordt, hoewel dat een prettige bijkomstigheid is. Het gaat er vooral om eindelijk afscheid te nemen van wachtwoorden, die berucht zwak zijn tegen phishing, hergebruikaanvallen en brute-force-raden. Bij FIDO2 en passkeys is authenticatie gebaseerd op public-key-cryptografie: er wordt geen wachtwoord verzonden of opgeslagen dat een aanvaller kan phishen of stelen.

Je start de login door je apparaat te ontgrendelen, bijvoorbeeld met een vingerafdruk, gezichtsscan of apparaatpincode. Vervolgens bewijst je apparaat cryptografisch dat het in het bezit is van de private sleutel, op een manier die alleen werkt met de juiste server (de zogenoemde relying party), en de sleutel zelf wordt nooit over het netwerk gestuurd. Zelfs als een hacker je met een nep-website misleidt, werkt de sleutel niet, omdat die is gekoppeld aan de oorsprong van de echte site.

Deze aanpak maakt klassieke phishingaanvallen, zoals het oogsten van inloggegevens via sites die er bijna identiek uitzien, vrijwel overbodig. Er is geen wachtwoord dat je kunt stelen en elders hergebruiken, en aanvallers kunnen onderschepte inloggegevens niet opnieuw afspelen omdat elke aanmelding een nieuwe uitdaging gebruikt. Credential stuffing, waarbij aanvallers wachtwoorden uit datalekken gebruiken om massaal in te loggen, is met passkeys ook meteen van de baan.

Organisaties stappen hier niet alleen op over vanwege de technische beveiliging, maar ook om compliance- en zakelijke redenen. Door FIDO2 en passkeys uit te rollen, zeker in combinatie met Microsoft Defender for Office 365 en Microsoft Purview voor datagovernance, kunnen bedrijven een hele categorie op inloggegevens gerichte aanvallen blokkeren zonder extra belasting voor hun gebruikers.

Hoe FIDO2-authenticatie onder de motorkap werkt

Om te begrijpen waarom FIDO2 zoveel veiliger is dan de oude manier van inloggen, is het handig om even in de black box te kijken. In de kern draait FIDO2 om public-key-cryptografie om je identiteit tegenover een dienst aan te tonen, zonder ooit de geheimen bloot te geven waarmee je accounts daadwerkelijk worden ontgrendeld.

Wanneer je een FIDO2-login instelt (of een passkey registreert), genereert je apparaat een uniek sleutelpaar: één publieke en één private sleutel. De publieke sleutel gaat naar de dienst waarop je wilt inloggen, terwijl de private sleutel je apparaat nooit verlaat. Bij elke aanmelding daagt de server je apparaat uit om aan te tonen dat je de private sleutel bezit, meestal door een willekeurige waarde te ondertekenen, en controleert het resultaat met de publieke sleutel die hij heeft opgeslagen.

Dit alles steunt op strikt beheerde opslag en gebruikersverificatie. Je private sleutel is opgeslagen in een beveiligde enclave en is alleen toegankelijk wanneer je je apparaat ontgrendelt of je biometrie gebruikt. Dit is een belangrijke reden waarom FIDO2- en passkey-adoptie zo'n vlucht neemt in systemen die hardwarematige beveiliging kunnen afdwingen, zoals Microsoft Windows, Apple macOS/iOS en Android.

We duiken in de volgende secties dieper in de specifieke werking van registratie- en authenticatieprocessen, en in de manier waarop je inloggegevens worden beschermd en aan je apparaat worden gekoppeld.

FIDO2-registratie- en authenticatieproces uitgelegd

1. Registratie: Wanneer je je voor het eerst met FIDO2 registreert bij een dienst, maakt je apparaat een nieuw cryptografisch sleutelpaar aan. De publieke sleutel wordt naar de dienst (de relying party) gestuurd, terwijl de private sleutel op je apparaat blijft.
2. Attestatie: Het apparaat kan de dienst laten zien dat het een legitieme authenticator is door een attestatiecertificaat aan te bieden. Zo weet de dienst dat de inloggegevens in beveiligde hardware zijn aangemaakt.
3. Authenticatie: Bij het inloggen stuurt de dienst een unieke uitdaging. Je apparaat ondertekent deze uitdaging met de private sleutel, nadat je je hebt geverifieerd met een pincode, vingerafdruk of iets dergelijks.
4. Validatie door de server: De ondertekende uitdaging wordt teruggestuurd naar de server, waar die wordt gecontroleerd met de opgeslagen publieke sleutel. Klopt die, dan ben je binnen. Er worden geen geheimen uitgewisseld en er valt niets te phishen.

Veilige opslag en apparaatbinding voor passkeys

• Hardwarematige beveiliging: Passkeys en FIDO2-inloggegevens worden vaak opgeslagen in speciale beveiligde hardware, zoals een Trusted Platform Module (TPM), de Secure Enclave (Apple) of de Titan M-chip (Google). Zo worden je sleutels gescheiden van de rest van het apparaat, waardoor aanvallen veel lastiger worden.
• Authenticatie met biometrie of pincode: Om je passkey te gebruiken, moet je deze ontgrendelen, meestal met een biometrische methode of de pincode van je apparaat. De biometrische gegevens verlaten de hardware nooit en worden niet naar de online dienst gestuurd, zodat je identiteitskenmerken privé blijven.
• Apparaatbinding: Het cryptografische sleutelpaar is gekoppeld aan je fysieke apparaat, en niet alleen aan je online account. Een aanvaller moet dus eerst je apparaat zien te compromitteren en de lokale beveiliging omzeilen om binnen te komen.
• Beveiliging bij export en synchronisatie van inloggegevens: Voor platforms die passkeys over meerdere apparaten synchroniseren (zoals iCloud-sleutelhanger of Google Wachtwoordbeheer), worden de inloggegevens end-to-end versleuteld. Alleen je eigen apparaten, na de juiste authenticatie, kunnen de passkeys lezen en gebruiken.
• Beveiliging van de levenscyclus: Apparaten kunnen referenties veilig wissen wanneer je ze reset of buiten gebruik stelt. Organisaties kunnen voorwaardelijke toegang en governance afdwingen via oplossingen zoals Microsoft Entra ID en voorwaardelijke toegangsbeleidsregels om het gebruik van referenties te beheersen en compromitteringen op te lossen.

Gesynchroniseerde passkeys en softwaregebonden oplossingen vergeleken

Niet alle passkeys zijn gelijk. Zodra je wachtwoordloze authenticatie instelt, merk je snel verschillen in hoe je referenties worden beheerd, vooral of ze via de cloud over je apparaten worden gesynchroniseerd, of juist op één apparaat zijn vastgezet. Deze architectuurkeuzes hebben echte gevolgen voor gebruiksgemak en risico.

Gesynchroniseerde passkeys, zoals die van iCloud-sleutelhanger op Apple-apparaten of Google Wachtwoordbeheer op Android, geven je toegang tot je inloggegevens op telefoons, tablets en computers, vaak erg gemakkelijk. Maar dat brengt ook eigen afwegingen op het gebied van beveiliging en betrouwbaarheid met zich mee, vooral wat betreft mogelijke blootstelling als de cloudprovider wordt gehackt of de synchronisatieverbinding wordt onderbroken.

Softwaregebonden passkeys daarentegen leven volledig op één apparaat. Als je naar een nieuw apparaat wilt overstappen, moet je ze handmatig overzetten of opnieuw registreren. Soms is dat een kleine ergernis, soms een doorslaggevend bezwaar voor organisaties die duizenden gebruikers beheren en apparaten zonder tussenkomst van IT vernieuwen.

Hierna bespreken we waarom deze modellen ertoe doen, welke risico's elke aanpak met zich meebrengt en hoe je de juiste kiest voor jouw omgeving, of je nu persoonlijke inloggegevens beveiligt of wachtwoordloos inloggen voor een hele organisatie uitrolt.

Gesynchroniseerde passkeys over apparaten heen: voordelen en risico's

• Gemak op meerdere apparaten: Gesynchroniseerde passkeys (zoals iCloud of Google Wachtwoordbeheer) laten je direct inloggen vanaf elk apparaat binnen je ecosysteem, wat zorgt voor een naadloze ervaring op telefoons, tablets en laptops.
• Geautomatiseerd herstel: Apparaat kwijt? Je passkeys zijn nog steeds veilig en kunnen worden hersteld vanaf een ander vertrouwd apparaat. Dat beperkt het aantal situaties waarin gebruikers buitengesloten raken en de ondersteuningsproblemen die daaruit voortvloeien.
• Risico's door cloudafhankelijkheid: Omdat inloggegevens via de cloud worden verstuurd, ook al zijn ze versleuteld, is het risico groter als de synchronisatieprovider wordt gehackt of uitvalt. Je beveiligingsniveau hangt dan af van een externe partij.
• Afgesloten platformomgevingen: Synchronisatie werkt meestal het best binnen hetzelfde ecosysteem, zoals alleen Apple- of alleen Google-apparaten. Dat zorgt voor wrijving zodra gebruikers wisselen tussen iOS, Android, Windows of macOS.

Softwaregebonden passkeys en de afwegingen bij apparaatsynchronisatie

• Alleen lokale beveiliging: Deze passkeys zijn strak gekoppeld aan één apparaat, wat betekent dat geen enkele cloudprovider ze kan blootstellen als die wordt gehackt. Ideaal voor omgevingen die strengere isolatie vereisen.
• Beperkte overdraagbaarheid: Als je van apparaat wisselt, moet je passkeys handmatig exporteren, migreren of resetten. Dat kost extra werk, maar kan het aanvalsoppervlak verkleinen.
• Lastig herstel: Als je apparaat verloren gaat of defect raakt, zijn je lokale passkeys ook weg. Een veilige back-up of duidelijke herstelprocedures zijn essentieel om blijvende buitensluiting te voorkomen.
• Geschiktheid per use case: Organisaties met hoge eisen aan betrouwbaarheid of gereguleerde omgevingen (denk aan de financiële sector of de overheid) kiezen hier vaak voor bij bevoegde accounts en gevoelige systemen, ondanks de extra operationele inspanning.

Hardwarebeveiligingssleutels en externe authenticators uitgelegd

Hardwarebeveiligingssleutels zijn speciale, fysieke apparaten die worden gebruikt voor wachtwoordloze authenticatie met FIDO2- en passkey-systemen. Ze bestaan in verschillende vormen, meestal USB-, NFC- of Bluetooth-dongles, die je aan een sleutelhanger draagt of bij je werkstation bewaart. Populaire modellen zijn onder meer YubiKey, SoloKey en Feitian.

Wat hardwarebeveiligingssleutels onderscheidt, is hun ontwerp tegen manipulatie. De cryptografische geheimen (privésleutels) worden binnen het apparaat gegenereerd en verlaten het nooit, ook niet als de verbonden computer of telefoon is gecompromitteerd. Daardoor zijn ze uitzonderlijk bestand tegen phishing en malware, en daarom worden ze geprefereerd voor beheerders-, root- of waardevolle accounts.

In tegenstelling tot platformgebonden passkeys vertrouwen hardwaresleutels op industriestandaarden zoals het Client to Authenticator Protocol (CTAP) om met apparaten en browser-API's (zoals WebAuthn) te communiceren. Dat betekent dat ze over het algemeen overal bruikbaar zijn, niet gebonden aan Apple-, Google- of Microsoft-platforms, zolang de doeltoepassing FIDO2 ondersteunt.

In sommige omgevingen, vooral in gereguleerde of risicovolle sectoren, is het gebruik van dergelijke sleutels verplicht vanwege compliance of AAL3-beveiligingsniveau (het hoogste betrouwbaarheidsniveau volgens NIST SP 800-63B). Ze zijn niet zo gebruiksvriendelijk als passkeys die over al je apparaten worden gesynchroniseerd, maar ze bieden topbeveiliging voor rollen waarbij een compromittering simpelweg geen optie is.

Levenscyclus van inloggegevens en beveiliging in elke fase

Overstappen naar FIDO2 en passkeys gaat niet alleen om betere inlogschermen, maar om strengere beveiliging gedurende de hele levenscyclus van inloggegevens. Elke stap, van het moment dat een passkey wordt aangemaakt tot het moment dat hij wordt gebruikt, opgeslagen of ingetrokken, brengt andere uitdagingen en aanvalsoppervlakken met zich mee.

Door deze levenscyclus te begrijpen, kunnen organisaties zien waar ze hun beveiligingsmaatregelen en governance op moeten richten. Bij het aanmaken van inloggegevens is bijvoorbeeld sterke attestatie en binding nodig, terwijl tijdens het actieve gebruik moet worden gemonitord op phishingpogingen of pogingen om een apparaat te compromitteren. Opslag en back-up, bij wachtwoorden altijd een zwak punt, kunnen met goed beheerde apparaatgebonden inloggegevens of robuuste cloudversleuteling juist een sterk punt worden.

Levenscyclusbeheer omvat ook de minder glamoureuze, maar essentiële kant: rotatie, intrekking en accountherstel. Het bijhouden van wie welke sleutels heeft, zorgen voor een nette opruiming wanneer medewerkers vertrekken, en kunnen reageren op verloren of gecompromitteerde apparaten zonder de productiviteit te verstoren, maken allemaal deel uit van een slim passwordless-playbook.

Voor Microsoft-omgevingen sluit sterk beheer van de levenscyclus van inloggegevens goed aan op brede data-governance- en toegangsstrategieën, zoals beschreven in bronnen als Microsoft 365 Data Access Governance, waar eigenaarschap, verantwoordelijkheid en beoordelingsprocessen essentieel zijn voor veilig samenwerken.

Aanmaken van inloggegevens, aanvallen en statusbeheer

• Veilig aanmaken: Genereer FIDO2-inloggegevens altijd in hardwarematig beveiligde sleutelopslag, met sterke attestatie om de authentieke herkomst van het apparaat te waarborgen.
• Phishingbestendigheid: Passkey- en FIDO2-authenticatieflows zijn van nature bestand tegen phishing, omdat geheimen niet worden verzonden en ondertekeningsuitdagingen per sessie uniek zijn.
• Replay- en MITM-aanvallen: Unieke, eenmalige cryptografische uitdagingen voorkomen dat aanvallers onderschepte antwoorden opnieuw afspelen of man-in-the-middle-aanvallen uitvoeren.
• Statusbeheer: Controleer regelmatig de status van inloggegevens, trek ongebruikte of gecompromitteerde sleutels in en houd een inventaris bij, zeker voor geprivilegieerde accounts of accounts met veel toegang.

Herstel, intrekking en beperkingen van inloggegevens

Geen enkel systeem is perfect: zelfs de sterkste passkeys en beveiligingssleutels kunnen verloren gaan, gestolen worden of kapotgaan. Planning voor herstel en intrekking van inloggegevens is essentieel, vooral als je team of organisatie op grote schaal overstapt naar passwordless authenticatie.

Wanneer een passkey of FIDO2-inloggegeven verloren gaat, hangen de herstelopties af van hoe het beheerd wordt. Voor gesynchroniseerde passkeys (zoals iCloud-sleutelhanger van Apple of Google Wachtwoordbeheer) kun je je inloggegevens meestal naar een nieuw apparaat herstellen zodra je de authenticatie op apparaatniveau en de herstelstappen hebt doorlopen. Dit beperkt de uitvaltijd, maar vereist vertrouwen in de beveiliging en herstelmechanismen van de cloudaanbieder.

Beveiligingssleutels brengen extra complexiteit met zich mee: als je een hardwaresleutel verliest, moet je reservesleutels hebben geregistreerd of beheerdersprocedures voor noodtoegang hebben ingesteld. Anders kun je volledig buitengesloten raken. Intrekking wordt door de server afgehandeld: zodra je een sleutel als verloren meldt, wordt de openbare sleutel uit je profiel verwijderd, waardoor het verloren inloggegeven onbruikbaar wordt.

Aan de andere kant kan te veel vertrouwen op back-up- en herstelfuncties de beveiliging ondermijnen: herstelprocessen moeten bestand zijn tegen social engineering en bedreigingen van binnenuit. Regelmatige beoordelingen en automatisering via tools zoals Microsoft Purview Audit kunnen organisaties helpen het gebruik van inloggegevens, intrekkingsgebeurtenissen en mogelijke risico's voor compliance- of forensische onderzoeksbehoeften te monitoren.

Uiteindelijk betekent het kiezen van een herstel- en intrekkingsstrategie een afweging tussen gebruiksgemak en robuuste controles; er bestaat geen one-size-fits-all-oplossing. Het in kaart brengen van scenario’s voor apparaatverlies en het uitrollen van oplossingen voor gelaagd accountherstel zijn essentieel voor elke serieuze passwordless-implementatie.

Passkeys versus beveiligingssleutels: de juiste keuze maken

Als het moment van beslissen aanbreekt, komt de keuze tussen passkeys en hardwarebeveiligingssleutels neer op je use case, de behoefte aan gebruiksgemak en je dreigingsomgeving. Beide zijn gebaseerd op dezelfde basis, namelijk FIDO2-protocollen en public-key-cryptografie, maar ze werken in de dagelijkse praktijk heel verschillend.

Passkeys zijn sterk in omgevingen waarin gebruikers naadloos toegang nodig hebben op meerdere apparaten, bijvoorbeeld eindgebruikers met telefoons, tablets, laptops en cloudapps zoals Microsoft 365. Hun kracht zit in het gebruiksgemak: ontgrendel je apparaat en je bent aangemeld, zelfs over een verzameling persoonlijke of werkapparaten heen.

Beveiligingssleutels bieden daarentegen de hoogste beveiliging, wat cruciaal is voor beheerders, bevoorrechte gebruikers en iedereen die zich absoluut geen compromittering kan veroorloven. Doordat ze draagbaar zijn, zijn ze ideaal in scenario’s waarin je je moet aanmelden vanaf onbeheerde of openbare systemen. Het nadeel: als je vergeet ze mee te nemen, ze kwijtraakt of ze kapotgaat, kan het herstellen van de toegang lastiger zijn.

In gereguleerde en risicovolle contexten zorgt het toevoegen van beveiligingssleutels aan een Zero Trust-aanpak (zoals beschreven in Zero Trust for Microsoft 365) voor continue verificatie die gelijke tred houdt met snel veranderende dreigingsmodellen, terwijl de wrijving voor gebruikers beperkt blijft.

Toepassingen in enterprise- en gereguleerde sectoren: 1Kosmos 1Key en verder

1. 1Kosmos 1Key voor hoge zekerheid: Deze oplossing levert FIDO2-conforme, passwordless authenticatie die is ontworpen om te voldoen aan de strikte AAL3-eisen van NIST SP 800-63B. Ze combineert biometrische identiteitsverificatie, apparaatvertrouwen en dynamische authenticatiefactoren voor bevoorrechte gebruikers en accounts met een hoog risico.
2. Verbeterde enterprise-integratie: 1Key integreert soepel met zakelijke Microsoft-platforms en automatiseert identiteitsprovisioning, beheer van de levenscyclus van toegang en intrekking voor schaalbare cloudimplementaties.
3. Regelgevingscompliance: Het platform biedt kant-en-klare compliancemappings voor gereguleerde sectoren, zoals financiële instellingen, de zorg en de overheid. Daarmee ondersteunt het identiteitsverificatie, sterke logging en audittrails die voldoen aan strikte rapportageverplichtingen.
4. Veilige toegang voor burgers en medewerkers: Organisaties die cloudapps of portalen voor burgers uitrollen, krijgen passwordless toegang met behoud van identiteitsverificatie en governance. Dat scheelt operationele hoofdpijn door verloren inloggegevens of wachtwoordresets.
5. Synergie met Power Platform en governance: Door oplossingen zoals 1Key te koppelen aan bredere governanceframeworks (zoals besproken in Power Platform governance best practices) sluit identiteitsgedreven beveiliging beter aan op het beleid voor enterprisedata, connectors en omgevingen.

Gebruikerservaring en authenticatie op meerdere apparaten verbeteren

Als er één ding is waar gebruikers en beheerders het over eens zijn, dan is het wel dat wachtwoorden een ramp zijn. Passkeys willen dat oplossen door inloggen eenvoudig, intuïtief en minder stressvol te maken, zeker over meerdere apparaten en cloudplatforms heen. Met passkeys hoef je geen ingewikkelde zinnen meer te onthouden of na elke kwartaalse ‘security awareness’-campagne je wachtwoord opnieuw in te stellen.

Een grote winst van passkeys is authenticatie op meerdere apparaten. Eenmaal opgeslagen in de sleutelhanger van je account (of dat nu Apple, Google of Microsoft is), kun je vrijwel direct inloggen op apparaten binnen hetzelfde ecosysteem. Logins goedkeuren met alleen een gezichtsscan of vingerafdruk versnelt niet alleen het proces, het vermindert ook de wrijving voor gebruikers die tussen apparaten of locaties wisselen.

Vanuit adoptieperspectief draait alles om het verminderen van wrijving. Veel IT-teams vrezen verzet tegen afgedwongen wachtwoordbeleid of een stijgend aantal helpdesktickets door geblokkeerde accounts. Passkeys beperken dit: gebruikers hoeven zich niet bezig te houden met wachtwoorden, inlogmoeheid of eindeloze resetcycli. Barrières voor adoptie zitten vaker in ecosysteemcompatibiliteit of de initiële instelling van apparaten, en beide verbeteren snel.

Slimme organisaties geven prioriteit aan hun uitrolstrategie door passkeys eerst uit te proberen met kleine teams, feedback te verzamelen en de registratie van apparaten te automatiseren. Zo blijft het proces gestructureerd en gebruiksvriendelijk, zonder concessies te doen aan beveiliging.

Veelgestelde vragen, beveiligingssleutels vs. passkeys en veiligheid bij werken op afstand

• Zijn passkeys en beveiligingssleutels hetzelfde? Niet helemaal. Passkeys zijn digitale FIDO2-referenties die worden beheerd door je apparaat of cloud. Beveiligingssleutels zijn fysieke apparaten die je aansluit of waarop je tikt om je te authenticeren. Beide gebruiken dezelfde cryptografische basis.
• Kan ik passkeys gebruiken op Apple-, Google- en Windows-apparaten? Tot op zekere hoogte. Gesynchroniseerde passkeys werken het best binnen één ecosysteem. Echte ondersteuning over platformgrenzen heen bestaat, maar die is wisselend, en de browsercompatibiliteit met FIDO2-functies verschilt.
• Kan iemand mijn passkey op afstand stelen? Tenzij je apparaat (en het bijbehorende back-upaccount in de cloud) is gecompromitteerd, is diefstal van passkeys op afstand zeer onwaarschijnlijk. De sleutels zelf verlaten je apparaat nooit ongecodeerd.
• Zijn passkeys veilig voor werken op afstand en cloudtoegang? Ja, mits ze worden gecombineerd met apparaatbeleid en tools zoals Microsoft Defender en Purview. Passkeys zorgen dan voor robuuste verificatie op afstand en verkleinen het risico op phishing, malware en identiteitsdiefstal aanzienlijk.
• Kunnen wachtwoordmanagers passkeys opslaan? Nieuwere versies van managers zoals 1Password, iCloud-sleutelhanger en Google Wachtwoordbeheer ondersteunen passkeys inmiddels. Controleer bij de integratie in je identiteitsflow altijd of ze compatibel zijn en FIDO2/WebAuthn ondersteunen.

Conclusie, beveiligingsvergelijking en eindaanbevelingen

1. Beveiligingsconclusie: Zowel passkeys als FIDO2-referenties schaffen wachtwoorden en hun zwakke punten af. Passkeys winnen voor de meeste gebruikers op gebruiksgemak, terwijl hardwarebeveiligingssleutels nog steeds de voorkeur hebben in scenario's met hoge zekerheidseisen.
2. Gebruiksgemak vs. overdraagbaarheid: Gesynchroniseerde passkeys bieden naadloos inloggen op meerdere apparaten, wat ze geschikt maakt voor de gemiddelde gebruiker of een zakelijk apparatenpark. Hardwaresleutels zijn overdraagbaar, maar vereisen dat je een fysiek token bij de hand hebt.
3. Uitrolstrategie: Pas in gereguleerde omgevingen gelaagde beveiliging toe: combineer passkeys voor algemene gebruikers, beveiligingssleutels voor beheerders en oplossingen voor ondernemingen zoals 1Kosmos 1Key voor AAL3-conforme werkprocessen.
4. Levenscyclus en herstel: Plan herstel- en intrekkingsprocessen vóór de migratie. Back-ups en audits (zie Governance voor AI en toegangsbeheer) zijn cruciaal om downtime en afwijkingen van compliance te voorkomen.
5. Toekomstbestendigheid: Volg de ontwikkeling van standaarden voor interoperabiliteit en compliance, zeker in Microsoft 365- en Azure-omgevingen, zodat je voorop blijft lopen bij nieuwe identiteits- en dreigingsuitdagingen.

Vervolgstappen en verdere verdieping in identiteitsbeveiliging

• Microsoft-documentatie: Bekijk de officiële documentatie over FIDO2, passkeys en wachtwoordloze uitrol in Microsoft 365 en Azure.
• Podcasts over identiteitsbeveiliging: Luister naar praktische discussies over auditing en governance in M365.fm: Auditing User Activity with Microsoft Purview.
• Technische gidsen: Lees technische blogs over het instellen en oplossen van problemen met FIDO2- en passkey-authenticatie voor grote organisaties.
• Compliance-best practices: Bestudeer NIST SP 800-63B en leer hoe toonaangevende wachtwoordloze oplossingen aansluiten op zekerheidsniveaus (IAL, AAL).
• Communityforums: Sluit je aan bij forums over beveiliging, Microsoft 365 en identiteitsbeheer om vragen te stellen en praktijkervaringen te delen met collega's.

🎧 Dit moet je ook beluisteren

• Identity Governance in Microsoft Entra

  Leer praktische eigenaarschaps- en toegangsbeheersing voor Microsoft 365.

• Microsoft 365 Governance Operating Model

  Ontdek de beslissingen die technologie-adoptie duurzaam maken.

• AI Agents – Simply Explained

  Begrijp de governancecontext voor AI-ondersteund werk.

Passkeys vs FIDO2: praktische richtlijnen voor ondernemingen

Passkeys en FIDO2-beveiligingssleutels bieden beide phishingbestendige authenticatie, maar ze maken verschillende afwegingen op het gebied van draagbaarheid, herstel, apparaatbeheer en gebruikerservaring. Een goede uitrol legt het credentialmodel, het registratieproces, het herstelproces, de eisen voor bevoegde gebruikers en de uitzonderingen voor verouderde applicaties vast.

Implementatiechecklist

1. Inventariseer identity providers, browsers, apparaten en ondersteunde applicaties.
2. Kies per risicoprofiel voor gesynchroniseerde of aan het apparaat gebonden credentials.
3. Registreer meerdere authenticators voordat je afdwingt.
4. Beveilig het herstel en de identiteitsverificatie via de helpdesk.
5. Test eerst bij bevoegde gebruikers en meet de fouten voordat je breed uitrolt.

Veelgemaakte fouten

• Passwordless aanmelden afdwingen zonder herstelroute.
• Aannemen dat elke browser en elke verouderde applicatie hetzelfde credential ondersteunt.
• Gedeelde authenticators toestaan, waardoor verantwoordelijkheid verzwakt.
• Levenscyclus van apparaten en procedures voor verloren authenticators negeren.

Veelgestelde vragen

Wat is een passkey?

Een passkey is een FIDO-credential dat gebruikmaakt van public-keycryptografie en wordt ontgrendeld met een gebaar op het apparaat, een biometrische scan of een lokale pincode.

Wat is FIDO2?

FIDO2 is de authenticatiestandaard die is gebouwd op WebAuthn en het Client to Authenticator Protocol, en die phishingbestendig aanmelden mogelijk maakt.

Zijn passkeys en FIDO2 hetzelfde?

Passkeys zijn een gebruiksvriendelijke credentialervaring die is gebaseerd op FIDO-standaarden. FIDO2 beschrijft het bredere technische ecosysteem en de authenticatieprotocollen.

Zijn passkeys veiliger dan wachtwoorden?

Ja. Passkeys gebruiken aan de oorsprong gebonden public-keycryptografie, waardoor een website geen herbruikbaar geheim ontvangt dat aanvallers kunnen stelen of opnieuw afspelen.

Zijn passkeys bestand tegen phishing?

Ja, mits correct geïmplementeerd. Het credential is gebonden aan de oorsprong van de legitieme website en onthult geen wachtwoord aan een phishingpagina.

Is een YubiKey een FIDO2-passkey?

Een YubiKey kan FIDO2-credentials opslaan en fungeert als beveiligingssleutel. Of het een passkey wordt genoemd, hangt af van het credential en de productterminologie.

Zijn passkeys veiliger dan een YubiKey?

Geen van beide is altijd veiliger. Gesynchroniseerde passkeys verbeteren herstel en gebruiksgemak, terwijl aan hardware gebonden sleutels een sterke apparaatcontrole en scheiding bieden.

Wat is een gesynchroniseerde passkey?

Een gesynchroniseerde passkey wordt geback-upt via een goedgekeurde credentialmanager of platformecosysteem, zodat hij op meerdere apparaten beschikbaar kan zijn.

Wat is een aan het apparaat gebonden passkey?

Een aan het apparaat gebonden passkey blijft op één authenticator of apparaat staan en wordt niet naar een ander platform gesynchroniseerd.

Vervangt FIDO2 wachtwoorden volledig?

Het kan wachtwoorden vervangen voor ondersteunde applicaties, maar organisaties hebben nog steeds strategieën nodig voor herstel, verouderde authenticatie en de levenscyclus van accounts.

Ondersteunt Microsoft Entra ID passkeys?

Microsoft Entra ID ondersteunt FIDO2-beveiligingssleutels en passkeygerelateerde authenticatiemogelijkheden, afhankelijk van de tenantconfiguratie en de huidige functionaliteit van de service.

Hoe hangt WebAuthn samen met passkeys?

WebAuthn is de API van browser en platform waarmee websites en identity providers public-keycredentials kunnen aanmaken en gebruiken.

Wat gebeurt er als een gebruiker zijn passkeyapparaat kwijtraakt?

De gebruiker heeft dan een andere geregistreerde authenticator of een goedgekeurde herstelmethode nodig. Organisaties moeten meerdere authenticators registreren voordat ze passwordless toegang afdwingen.

Kunnen passkeys op meerdere apparaten worden gebruikt?

Gesynchroniseerde passkeys kunnen beschikbaar zijn op ondersteunde apparaten, terwijl aan het apparaat gebonden credentials op elke authenticator moeten worden geregistreerd.

Kunnen passkeys tussen gebruikers worden gedeeld?

Nee. Credentials moeten één persoon of een goedgekeurde workloadidentiteit vertegenwoordigen. Gedeelde authenticators verzwakken de verantwoordelijkheid.

Beschermen passkeys tegen het opnieuw afspelen van credentials?

Ja. De privésleutel blijft op de authenticator en elke authenticatie bevat een uitdaging die eenvoudig opnieuw afspelen voorkomt.

Kan een passkey worden gestolen?

Een aanvaller kan een apparaat stelen, maar het credential is meestal beschermd door een lokale ontgrendelfactor en onthult geen herbruikbaar wachtwoord.

Wat is passwordless authenticatie?

Passwordless authenticatie verifieert een gebruiker met een cryptografische authenticator, biometrie, een pincode of een beveiligingssleutel in plaats van een onthouden wachtwoord.

Wat zijn de nadelen van passkeys?

Uitdagingen zijn herstel, interoperabiliteit tussen platforms, scenario's met gedeelde apparaten, verouderde applicaties en het begrip van gebruikers tijdens de uitrol.

Hoe moeten organisaties passkeyherstel regelen?

Vereis meerdere authenticators, leg de verificatie via de helpdesk vast, bescherm herstelmethoden en monitor registratie- en resetgebeurtenissen.

Kunnen passkeys werken met mobiele apparaten?

Ja. Ondersteunde mobiele besturingssystemen kunnen passkeys maken of gebruiken via platformauthenticators of externe beveiligingssleutels.

Werken passkeys in alle browsers?

Dat hangt af van de browser, het besturingssysteem, de identity provider en het type credential. Test de gewenste gebruikersscenario's voordat je uitrolt.

Zijn passkeys geschikt voor beheerders?

Ja. Ze zijn vooral waardevol voor bevoegde gebruikers, die phishing-resistente authenticatie moeten gebruiken en aparte beheeridentiteiten moeten hebben.

Hoe beïnvloeden passkeys voorwaardelijke toegang?

Ze kunnen voldoen aan eisen voor sterke authenticatie wanneer de identity provider de authenticator herkent en aan de beleidsvoorwaarden is voldaan.

Hoe moeten passkeys worden uitgerold?

Begin met bevoegde gebruikers en gebruikers met een hoog risico, regel herstel, test met representatieve apparaten en breid daarna uit met registratie- en supportmetrieken.

Wat moet je monitoren na de uitrol?

Monitor registratie, authenticatiefouten, herstelgebeurtenissen, omzeilingen van beleid, het aantal helpdeskmeldingen en het aanmeldrisico.

Vervangen passkeys MFA?

Een passkey kan een phishing-resistente multifactorervaring bieden wanneer hij het bezit van de authenticator combineert met een lokale ontgrendelingsfactor.

Kunnen passkeys serviceaccounts beschermen?

Passkeys voor mensen vervangen geen workloadidentiteit. Gebruik voor services beheerde identiteiten, certificaten of andere geschikte niet-menselijke credentials.

Wat is het belangrijkste voordeel voor ondernemingen?

Het belangrijkste voordeel is dat het risico op phishing en wachtwoordresets afneemt, terwijl de beveiliging van het aanmelden en de gebruikerservaring verbeteren.

Wat is de eerste implementatiestap?

Inventariseer applicaties en gebruikers, controleer de ondersteuning door de identity provider, leg het herstel vast en test met een kleine groep voordat je passwordless aanmelden afdwingt.

Ontdek gerelateerde M365.fm-bronnen: M365.fm Learning Hub, Microsoft 365 governance checklist en Microsoft Copilot security model.