De ultieme gids voor wachtwoordloze authenticatie in Microsoft 365

By Mirko Peters · 2026-08-27

Welkom terug, luisteraars en lezers! Als je onze laatste podcastaflevering hebt beluisterd, weet je dat we diep zijn ingegaan op een van de meest urgente cyberbeveiligingsthema's van onze tijd: het uitfaseren van het traditionele wachtwoord. In dit bijbehorende blogbericht bouwen we verder op dat gesprek en geven we je een uitgebreid, zeer praktisch stappenplan om wachtwoorden binnen je organisati

Automatically translated with AI from the original post. Read the English original

Titelbild: The Ultimate Guide to Passwordless Authentication in Microsoft 365

Laten we eerlijk zijn: wachtwoorden zijn fundamenteel kapot. Jaar na jaar bevestigen datalekken dat gestolen, zwakke of hergebruikte inloggegevens de belangrijkste aanvalsroute blijven voor cyberaanvallen. Phishingcampagnes zijn zo geavanceerd geworden dat zelfs de meest beveiligingsbewuste medewerkers er af en toe intrappen. Welkom in het tijdperk van Zero Trust. In een Zero Trust-architectuur werken we volgens het principe "vertrouw nooit, verifieer altijd". Je kunt een echte Zero Trust-positie simpelweg niet bereiken als je vertrouwt op een geheime reeks tekens die gebruikers op plakbriefjes schrijven, hergebruiken op verschillende websites of makkelijk afgeven aan een slimme aanvaller op een nagemaakte inlogpagina.

Gelukkig biedt Microsoft 365 een robuuste reeks methoden voor wachtwoordloze authenticatie. Door je organisatie weg te bewegen van wachtwoorden, verklein je het aanvalsoppervlak aanzienlijk, elimineer je het stelen van inloggegevens en—ironisch genoeg—verbeter je de gebruikerservaring. Geen wachtwoordresets meer die de tijd van je helpdesk opslokken, en geen gefrustreerde medewerkers die op maandagochtend buitengesloten zijn van hun account. Laten we de toolkit verkennen en bekijken hoe je een naadloze, wachtwoordloze onderneming realiseert.

Het wachtwoordloze instrumentarium in Microsoft 365 begrijpen

Voordat we ingaan op uitrolstrategieën, brengen we eerst de wapens in ons arsenaal in kaart. Microsoft Azure Active Directory (nu bekend als Microsoft Entra ID) ondersteunt verschillende primaire mechanismen voor wachtwoordloze authenticatie. Elk mechanisme past bij een iets andere gebruikerssituatie, apparaatstatus en zakelijke use case.

Ten eerste hebben we Windows Hello voor bedrijven. Dit is de gouden standaard voor speciaal daarvoor bestemde zakelijke Windows-endpoints. Het vervangt wachtwoorden door sterke tweefactorauthenticatie, bestaande uit een aan het apparaat gebonden referentie die is gekoppeld aan een biometrische factor (zoals een vingerafdruk of gezichtsherkenning) of een pincode. De privésleutel verlaat nooit de hardware van het apparaat, waardoor die immuun is voor datalekken aan serverzijde.

Ten tweede hebben we FIDO2-beveiligingssleutels en passkeys. Dit zijn hardwaretokens (zoals een YubiKey) of op platforms gebaseerde passkeys die open standaarden gebruiken die door de FIDO Alliance zijn ontwikkeld. Ze zijn van nature bestand tegen phishing, omdat het cryptografische uitdaging-antwoordmechanisme ervoor zorgt dat een referentie alleen kan worden gebruikt op precies het domein waarvoor die is geregistreerd. Als een gebruiker op een phishingsite terechtkomt, weigert de sleutel te ondertekenen.

Ten derde hebben we de Microsoft Authenticator-app. Voor organisaties met mobiel-eerst medewerkers, BYOD-scenario's (Bring Your Own Device) of hybride omgevingen biedt het nummer matchen via de Authenticator-app een soepele pushmeldingservaring waarmee gebruikers hun identiteit veilig en snel kunnen bevestigen.

Tot slot hebben we de Tijdelijke toegangspas (TAP). Hoewel dit geen dagelijkse inlogmethode is, is TAP de cruciale brug waarmee je nieuwe gebruikers kunt onboarden, buitengesloten accounts kunt herstellen of nieuwe hardware kunt inrichten, zonder ooit een tijdelijk, onveilig verouderd wachtwoord te hoeven uitgeven.

Windows Hello voor bedrijven implementeren voor zakelijke endpoints

Als je organisatie sterk leunt op Windows 10- en Windows 11-apparaten, dan moet Windows Hello voor bedrijven (WHfB) de fundamentele pijler van je wachtwoordloze traject zijn. Het uitrollen van WHfB vraagt om zorgvuldige planning rond certificeringsautoriteiten en de cloud trust- of key trust-modellen, maar de opbrengst is enorm.

Bij het implementeren van WHfB heb je twee belangrijke implementatiemodellen om uit te kiezen: Cloud Trust en Hybrid Key Trust. Voor moderne cloud-first organisaties is het Microsoft Entra Cloud Trust-model een echte game-changer. Het vereenvoudigt de implementatiearchitectuur doordat er geen afhankelijkheid meer is van synchronisatie van de publieke sleutelinfrastructuur (PKI) naar domeincontrollers. In plaats daarvan vindt authenticatie rechtstreeks in de cloud plaats, met gebruik van de Kerberos-protocolextensies.

Om te beginnen configureer je het Windows Hello for Business-beleid via Microsoft Intune. Ga naar je beveiligingsbeleid voor eindpunten en zorg dat de vereisten voor pincomplexiteit zijn ingesteld, biometrische methoden zijn ingeschakeld en anti-spoofingfuncties zijn ingeschakeld waar de hardware van het apparaat dat ondersteunt. Bepaal ook of gebruikers verplicht een hardwarebeveiligingsmodule moeten gebruiken (TPM 2.0 is verplicht voor beveiliging op enterprise-niveau).

Communiceer tijdens de uitrol duidelijk met je eindgebruikers. Leg uit dat hun Windows-pincode strikt is gekoppeld aan hun fysieke laptop en niet over het netwerk kan worden onderschept. Zodra gebruikers ervaren dat ze met gezichtsherkenning of een snelle pincode, die een beveiligde hardware-enclave ontgrendelt, op hun apparaat kunnen inloggen, zullen ze nooit meer een complex alfanumeriek wachtwoord van 16 tekens willen typen.

FIDO2-beveiligingssleutels en passkeys inzetten

Windows Hello for Business is fantastisch voor Windows-eindpunten, maar hoe zit het met Mac-gebruikers, Linux-ontwikkelaars, gedeelde werkstations of medewerkers die tussen meerdere apparaten wisselen? Hier komen FIDO2-beveiligingssleutels en passkeys het best tot hun recht.

FIDO2-sleutels vormen het hoogtepunt van phishingbestendige authenticatie. Omdat het authenticatieprotocol gebruikmaakt van cryptografie met publieke sleutels, kan de credential op de beveiligingssleutel niet worden gephisht, gestolen via een man-in-the-middle-aanval of uit een databivraak worden verzameld. Wanneer een gebruiker zijn USB-beveiligingssleutel aansluit (of hem via NFC aantikt) en de sensor aanraakt, wordt een cryptografische bevestiging naar Microsoft Entra ID gestuurd.

Het implementeren van FIDO2-sleutels vereist dat je de functie inschakelt in het authenticatiemethodenbeleid van Microsoft Entra. Je kunt dit beleid beperken tot specifieke pilotgroepen, bijvoorbeeld door te beginnen met je IT-beheerders en de top van de organisatie, voordat je het uitrolt naar de rest van het bedrijf. Het is essentieel om registratievereisten af te dwingen, zodat gebruikers hun sleutels registreren terwijl ze zich nog in een beveiligde corporate omgeving bevinden of via een geverifieerd onboardingproces.

Bekijk daarnaast ook platform-passkeys die zijn geïntegreerd in besturingssystemen zoals iOS, Android en macOS. Hiermee kunnen gebruikers de ingebouwde biometrische sensoren van hun telefoon (FaceID, TouchID of Android-biometrie) gebruiken om veilig in te loggen op Microsoft 365-diensten, in verschillende browsers en op verschillende apparaten. Het overbrugt de kloof tussen hardwaretokens en dagelijks gemak.

Mobile-first toegang ontsluiten met Microsoft Authenticator

Niet elke medewerker in je organisatie zit achter een bureau met een eigen laptop of een hardwarebeveiligingssleutel. Frontlinemedewerkers, veldtechnici en externe medewerkers werken vaak in mobile-first omgevingen. Voor deze gebruikers is de Microsoft Authenticator-app het ultieme middel voor wachtwoordloze authenticatie.

Om Microsoft Authenticator wachtwoordloos te gebruiken, moet je aanmelding met de telefoon configureren. Wanneer aanmelding met de telefoon is ingeschakeld, voert de gebruiker zijn gebruikersnaam in en wordt in plaats van een wachtwoord een melding naar zijn mobiele apparaat gestuurd. De Authenticator-app vraagt de gebruiker het overeenkomende getal in te voeren dat op het aanmeldscherm wordt getoond, gevolgd door een biometrische bevestiging (FaceID, vingerafdruk of pincode).

Met deze implementatie wordt het risico op push-vermoeidheidsaanvallen volledig weggenomen. Bij die aanvallen worden gebruikers overspoeld met eindeloze pushmeldingen totdat ze per ongeluk er één goedkeuren. Doordat getalsovereenkomst wordt afgedwongen, moet de gebruiker *wel* naar het aanmeldscherm kijken, het getal lezen en invoeren op zijn telefoon. Als hij niet zelf probeert in te loggen, tikt hij gewoon op „Ik ben het niet”, wat geautomatiseerde risicobeleidsregels in Microsoft Entra ID kan activeren om de aanvaller te blokkeren en het account te markeren.

Zorg bij het uitrollen van Microsoft Authenticator voor wachtwoordloze toegang dat beveiligingsbeleid op apparaatniveau wordt afgedwongen. Vereis een app-vergrendeling in de Authenticator-app zelf en zorg dat het mobiele apparaat zelf wordt beheerd via Microsoft Intune of wordt beschermd door voorwaardelijke toegangsbeleidsregels die compatibele besturingssystemversies vereisen.

Onboarding en herstel beheren met Temporary Access Pass (TAP)

Een van de meest voorkomende aarzelingen bij een passwordless-strategie is het "kip-en-ei"-dilemma van de onboarding. Hoe authenticeer je een nieuwe medewerker die nog geen beveiligingssleutel, geregistreerde telefoon of Windows Hello-pincode heeft? Traditioneel gaven organisaties een tijdelijk, makkelijk te raden initieel wachtwoord uit. Maar dat creëert een kwetsbaar moment precies aan het begin van de levenscyclus van de medewerker.

Hier komt de Temporary Access Pass (TAP) in beeld. Een TAP is een tijdgebonden, op toegangscodes gebaseerde authenticatiemethode die je kunt configureren in Microsoft Entra ID, zodat gebruikers hun passwordless authenticatiemethoden kunnen registreren. Een TAP kan maar één keer worden gebruikt (of meerdere keren als je dat configureert voor specifieke migratiescenario's), heeft een strikte levensduur van minuten tot uren en kan veilig worden gegenereerd door een beheerder of de helpdesk.

Laten we een praktijkscenario voor onboarding met TAP doorlopen:

HR start een workflow voor nieuwe medewerkers en IT maakt het gebruikersaccount aan in Microsoft Entra ID.
Een beheerder genereert een Temporary Access Pass met een verlooptijd van één uur en deelt deze veilig met de nieuwe medewerker via een out-of-band kanaal (zoals een beveiligd sms-bericht of een versleuteld onboardingportaal).
De nieuwe medewerker logt in op zijn of haar nieuwe laptop of browser met *alleen* de TAP.
Omdat de TAP voldoet aan de eisen voor sterke authenticatie, wordt de gebruiker meteen gevraagd om zijn permanente passwordless-inloggegevens te registreren, zoals Windows Hello for Business instellen, een FIDO2-sleutel koppelen of de Microsoft Authenticator-app registreren.
Zodra de registratie is afgerond, verloopt de TAP en is de gebruiker vanaf dag één volledig passwordless.

TAP is net zo revolutionair voor accountherstel. Als een medewerker zijn beveiligingssleutel verliest of een nieuwe telefoon krijgt, hoeft de helpdesk geen terugvalwachtwoord uit te geven. Ze genereren simpelweg een TAP, waarmee de gebruiker zich veilig kan authenticeren en zijn vervangende apparaat of token zelf kan instellen.

Best practices voor het opbouwen van een complete passwordless-strategie

Een hele onderneming wegbewegen van wachtwoorden is geen kwestie van één schakelaar omzetten; het vraagt om een strategische, gefaseerde uitrol. Zoals we in de podcast bespraken, zijn change management en het afdwingen van beleid even belangrijk als de technologie zelf. Hier zijn de kernbest practices om ervoor te zorgen dat je passwordless-traject een groot succes wordt.

1. Kies voor een gefaseerde uitrol

Probeer niet in één weekend een "big bang"-uitrol van passwordless over het hele bedrijf. Begin met je IT- en beveiligingsteams. Zij begrijpen de techniek, kunnen randgevallen oplossen en fungeren als interne ambassadeurs. Rol vervolgens uit naar het managementteam en technisch onderlegde business units. Zodra je de operationele hobbels hebt weggewerkt, schaal je de uitrol op naar de gewone kantoormedewerkers en pak je tot slot de frontlinie of gespecialiseerde productieomgevingen aan.

2. Maak verstandig gebruik van Conditional Access-beleid

Passwordless-beleid moet strak geïntegreerd zijn met Microsoft Entra Conditional Access. Maak beleid dat phishing-resistente authenticatiemethoden vereist voor toegang tot gevoelige cloud-apps, terwijl je eventueel tijdelijk legacy-methoden toestaat voor apps met een lager risico tijdens een overgangsperiode. Gebruik sessiebeheer om de levensduur van sessies te beperken, zodat er opnieuw moet worden geauthenticeerd wanneer risicosignalen toenemen.

3. Investeer zwaar in gebruikerseducatie en change management

Technologische veranderingen mislukken wanneer mensen buiten de vergelijking worden gelaten. Gebruikers zijn gewend aan wachtwoorden; ze gebruiken ze al decennia. Je moet uitleggen *waarom* je deze overstap maakt. Presenteer passwordless-authenticatie niet als een IT-verplichting, maar als een beschermende maatregel die hun leven makkelijker maakt: geen gedoe meer met ingewikkelde wachtwoorden, geen verplichte kwartaalwijzigingen meer en bliksemsnelle logins.

4. Plan voor terugvalopties en randgevallen

Anticipeer altijd op wat er misgaat. Wat als een gebruiker op zakenreis zijn telefoon kapotmaakt? Wat als een fysieke beveiligingssleutel in een plas water valt? Stel duidelijke, veilige werkwijzen op met Temporary Access Passes en geverifieerde identiteitscontroleprotocollen voor de helpdesk, zodat gebruikers snel weer toegang krijgen zonder de organisatiebeveiliging in gevaar te brengen.

Door Windows Hello for Business, FIDO2-beveiligingssleutels, Microsoft Authenticator en Temporary Access Passes te combineren, kun je eindelijk een streep zetten onder het kwetsbare, verouderde wachtwoordtijdperk. De tools zijn klaar, de architectuur is bewezen en de voordelen voor de beveiliging zijn onmiskenbaar. Het is tijd om het licht van een echte, wachtwoordloze Zero Trust-toekomst binnen te stappen.

Bedankt voor het meelezen! Abonneer je zeker op de podcast als je dat nog niet hebt gedaan, deel dit bericht met je securityteam en blijf op de hoogte voor onze volgende deep-dive-aflevering, waarin we geavanceerd threat hunting in Microsoft Defender onder de loep nemen!