Synced en device-bound passkeys in Microsoft Entra ID: welke moet je gebruiken?

By Mirko Peters · 2026-10-28

Vergelijk synced en device-bound passkeys in Microsoft Entra ID. Ontdek welke authenticatiemethode past bij gewone medewerkers en welke bij IT-beheerders.

Automatically translated with AI from the original post. Read the English original

Bij het invoeren van moderne authenticatie is de keuze tussen synced en device-bound passkeys in Microsoft Entra ID de belangrijkste architectuurbeslissing voor IT-leiders. Beide opties elimineren kwetsbare wachtwoorden en maken AI-gestuurde phishing kansloos, maar ze gaan heel verschillend om met apparaatverlies, cloudsynchronisatie en zichtbaarheid voor beheerders.

Belangrijkste punten

• Synced passkeys slaan inloggegevens op in betrouwbare cloudaccounts, zoals iCloud of Google. Ze reizen daardoor mee over apparaten heen en blijven beschikbaar als je telefoon kwijt is.
• Device-bound passkeys staan uitsluitend op één fysiek apparaat, zoals een hardwarebeveiligingssleutel of de Microsoft Authenticator-app, en kunnen niet worden gesynchroniseerd.
• Microsoft raadt synced passkeys aan voor gewone medewerkers, vanwege het hoge gebruiksgemak en de geringe wrijving.
• IT-beheerders en accounts met veel bevoegdheden gebruiken best device-bound hardwaresleutels om volledige controle over de inloggegevens te behouden.
• Microsoft Entra ID ondersteunt beide typen inloggegevens, waardoor organisaties productiviteit van gebruikers kunnen afwegen tegen strikte beveiligingsbeleid.

Synced passkeys in de onderneming begrijpen

Synced passkeys zijn de ultieme combinatie van veiligheid en gebruiksgemak voor de moderne werkplek. Wanneer een gebruiker een synced passkey aanmaakt op zijn mobiele apparaat of werkstation, wordt de privésleutel versleuteld opgeslagen in een account bij een betrouwbare cloudprovider, zoals Apple iCloud Keychain, Google Wachtwoordbeheer of oplossingen van derden zoals 1Password en Dashlane. Door deze architectuur volgt de inloggegevens de gebruiker naadloos over zijn hele ecosysteem.

Koopt een medewerker een nieuwe laptop of vervangt hij een beschadigde smartphone, dan herstelt inloggen bij zijn cloudaccount meteen de toegang tot zijn passkeys. Volgens cijfers die Microsoft naar voren brengt, registreren ongeveer 99 procent van de gebruikers met succes synced passkeys. Ook zijn de aanmeldingen ongeveer veertien keer sneller dan bij traditionele wachtwoorden gecombineerd met multifactorauthenticatie. Voor gewone informatiemedewerkers die werken met Microsoft 365-apps zoals Teams en Outlook, verwijderen synced passkeys wrijving en verhogen ze tegelijk de beveiliging van de organisatie.

Dit gemak heeft voor IT-beheerders wel een keerzijde op het gebied van zichtbaarheid. Omdat synced passkeys zich over cloudecosystemen repliceren, verliezen beheerders de precieze controle over welke apparaten een kopie van de privésleutel bevatten. Door dit gebrek aan hardware-isolatie zijn synced opties minder geschikt voor IT-rollen met hoge bevoegdheden, waar absolute zekerheid over de grenzen van de inloggegevens essentieel is.

De rol van device-bound passkeys voor bevoegde gebruikers

Anders dan hun in de cloud gesynchroniseerde tegenhangers, zijn device-bound passkeys permanent verankerd aan één fysiek stuk hardware. De privésleutel wordt rechtstreeks op het apparaat aangemaakt en kan dat apparaat fysiek niet verlaten. Dit type omvat speciale fysieke beveiligingssleutels, maar ook passkeys die lokaal in de Microsoft Authenticator-app zijn opgeslagen.

Voor IT-beheerders en accounts die de sleutels van het bedrijfsrijk in handen hebben, zijn apparaatgebonden passkeys de gouden standaard. Als een medewerker een telefoon verliest waarop een apparaatgebonden passkey is ingesteld in de Authenticator-app, verdwijnt die specifieke credential samen met het toestel. Er is geen cloudback-up die hem automatisch herstelt, waardoor het risico op replicatie van credentials via de cloud volledig wordt uitgesloten.

Deze aanpak brengt uitdagingen met zich mee voor het herstel als het fysieke token verloren gaat of beschadigd raakt, maar hij biedt de compromisloze beveiliging die nodig is voor het beheer van Azure-infrastructuur en voor de rol van globale beheerder. Organisaties kunnen deze strikte parameters afdwingen binnen Microsoft Entra ID door attestatie-instellingen te gebruiken om hardwaregebaseerde authenticatie verplicht te stellen.

De afwegingen beheersen in Microsoft Entra ID

Passkeys succesvol uitrollen binnen een onderneming vraagt om inzicht in de operationele afwegingen die bij elke vorm horen. Passkeys zijn geen toekomstmuziek meer: nu Microsoft Entra ID passkeys standaard maakt als aanmeldervaring en oude sms- en spraakcodes uitfaseert, moeten organisaties een tweesporenstrategie ontwerpen.

Voor de gemiddelde medewerker zorgt het uitrollen van gesynchroniseerde passkeys voor een hoge adoptie, minder helpdesktickets voor wachtwoordresets en een aanzienlijk hoger slagingspercentage bij authenticatie. De gebruikerservaring blijft snel, en vertrouwt op bekende biometrische prompts zoals gezichtsherkenning of een vingerafdruk.

Voor bevoegde gebruikers daarentegen zorgt het verplicht stellen van apparaatgebonden hardwarebeveiligingssleutels voor een harde barrière tegen geavanceerde cyberdreigingen. Organisaties moeten duidelijke herstelprocessen inrichten voor verloren hardwaretokens, zodat beheerders snel toegang kunnen intrekken in Entra ID zonder de integriteit van het identiteitssysteem in gevaar te brengen.

Conclusie

Kiezen tussen gesynchroniseerde en apparaatgebonden passkeys draait niet om één universele oplossing, maar om het koppelen van het juiste beveiligingsmiddel aan het juiste gebruikersprofiel. Door gesynchroniseerde passkeys in te zetten voor dagelijkse productiviteit en apparaatgebonden hardwaresleutels te reserveren voor beheerteams, bereiken organisaties optimale beveiliging zonder aan gebruiksgemak in te boeten. Wil je de bredere technische achtergrond van deze credentials verkennen? Luister de volledige aflevering van de M365 FM Podcast voor een expertdiscussie over moderne cloudbeveiliging van Microsoft.

Veelgestelde vragen

Kan ik gesynchroniseerde passkeys gebruiken voor beheerdersaccounts in Microsoft Entra ID?

Dat kan technisch gezien wel, maar Microsoft raadt ten zeerste apparaatgebonden hardwaresleutels aan voor IT-beheerders en zeer bevoegde rollen, om ongeautoriseerde replicatie van credentials in de cloud te voorkomen.

Wat gebeurt er met een gesynchroniseerde passkey als ik mijn smartphone verlies?

Er gebeurt niets dramatisch. Omdat gesynchroniseerde passkeys veilig zijn geback-upt in je account bij de betrouwbare cloudprovider, herstel je met datzelfde account op een nieuw apparaat meteen je passkeys.

Zijn apparaatgebonden passkeys compatibel met de Microsoft Authenticator-app?

Ja. Passkeys die rechtstreeks in de Microsoft Authenticator-app zijn opgeslagen, worden geclassificeerd als apparaatgebonden. Ze blijven dus gekoppeld aan dat specifieke toestel en worden niet gesynchroniseerd naar externe cloudsleutelhangers.

Kunnen beheerders specifieke passkeytypen afdwingen in Microsoft Entra ID?

Ja. Beheerders kunnen attestatiebeleid gebruiken in Microsoft Entra ID om aanmeldingen uitsluitend toe te staan met apparaatgebonden passkeys, voor omgevingen met een hoog beveiligingsniveau.