Passkeys: het einde van het wachtwoord?

In ons artikel over wachtwoorden noemden we ze al kort: passkeys. Inmiddels zie je de optie overal opduiken, bij Google, Microsoft, Apple, je bank en steeds meer zakelijke software. Tijd om ze goed uit te leggen. Want passkeys lossen precies de problemen op waar wachtwoorden al jaren mee worstelen.

Het probleem met wachtwoorden

Een wachtwoord is een geheim dat jij kent én dat de website kent. Dat is de zwakke plek. Een geheim dat op twee plekken bestaat, kan ook op twee plekken uitlekken:

• Bij jou, als je het intypt op een nagemaakte inlogpagina. Phishing werkt nog steeds verrassend goed, ook bij oplettende mensen.
• Bij de website, als die gehackt wordt en de wachtwoorden op straat komen te liggen.

Tweestapsverificatie helpt, maar ook een code uit een app of sms kun je op een nep-pagina invullen. Aanvallers vangen die code tegenwoordig gewoon mee en gebruiken hem binnen een paar seconden.

Wat is een passkey?

Een passkey is een digitale sleutel die op je apparaat wordt bewaard: je telefoon, laptop of een wachtwoordmanager. Je ontgrendelt hem zoals je je telefoon ontgrendelt, met je vingerafdruk, je gezicht of je pincode.

Achter de schermen bestaat een passkey uit twee delen:

• Een geheim deel dat je apparaat nooit verlaat.
• Een openbaar deel dat de website bewaart.

Bij het inloggen stuurt de website een soort puzzel, die alleen jouw apparaat met het geheime deel kan oplossen. Er gaat geen wachtwoord over de lijn en de website heeft niets in bezit waarmee een hacker kan inloggen.

Waarom dit zoveel veiliger is

Phishing werkt niet meer. Een passkey is gekoppeld aan het echte adres van de website. Op een nagemaakte pagina, hoe overtuigend ook, weigert je apparaat de passkey te gebruiken. Je kunt hem dus niet per ongeluk weggeven.

Een datalek levert niets op. De website bewaart alleen het openbare deel. Wordt die gehackt, dan hebben aanvallers niets waarmee ze bij jouw account kunnen.

Niets om te raden of te hergebruiken. Elke passkey is uniek per dienst. Zwakke of dubbel gebruikte wachtwoorden bestaan niet meer.

Het is ook nog eens sneller. Geen wachtwoord typen, geen code overnemen. Vingerafdruk erop en je bent binnen.

Waar kun je ze al gebruiken?

Steeds meer diensten ondersteunen passkeys, waaronder:

• Microsoft 365 en Microsoft-accounts
• Google Workspace en Google-accounts
• Apple-accounts
• Veel wachtwoordmanagers, zoals 1Password en Bitwarden
• Een groeiend aantal banken, webshops en zakelijke tools

Kijk bij de beveiligingsinstellingen van je account naar een optie als "Passkey toevoegen" of "Inloggen zonder wachtwoord".

Waar je op moet letten

Passkeys zijn een grote stap vooruit, maar een paar dingen wil je vooraf regelen.

Wat als je je telefoon kwijtraakt? Passkeys worden meestal gesynchroniseerd via je Apple-, Google- of Microsoft-account, of via je wachtwoordmanager. Een nieuwe telefoon krijgt ze dan gewoon terug. Zorg wel dat het account waarin ze bewaard worden zelf goed beveiligd is en dat je een herstelmethode hebt ingesteld.

Verschillende apparaten door elkaar. Werk je met een iPhone en een Windows-laptop? Dan kun je inloggen door met je telefoon een QR-code op het scherm te scannen. Handiger is een wachtwoordmanager die op al je apparaten draait en je passkeys overal beschikbaar maakt.

Gedeelde accounts. Een account dat meerdere collega's gebruiken, past niet goed bij passkeys. Dat is eigenlijk een voordeel: geef iedereen een eigen account, dan weet je ook wie wat heeft gedaan en trek je toegang per persoon in.

Niet elke dienst doet al mee. Je wachtwoordmanager blijft voorlopig nodig voor de diensten die nog geen passkeys ondersteunen.

Zo voer je passkeys in je bedrijf in

Je hoeft niet alles in één keer om te zetten. Begin waar het het meeste oplevert.

1. Start met je belangrijkste accounts. E-mail en Microsoft 365 of Google Workspace eerst. Wie daar binnenkomt, kan vaak overal wachtwoorden resetten.
2. Kies een plek voor de passkeys. Een zakelijke wachtwoordmanager is voor de meeste teams de beste keuze: werkt op elk apparaat en je houdt overzicht als iemand vertrekt.
3. Laat het team het zelf een keer doen. Een korte sessie van een kwartier, waarin iedereen een passkey aanmaakt op zijn eigen account, werkt beter dan een handleiding.
4. Zet beheerders op hardwaresleutels. Voor accounts met veel rechten, zoals de beheerder van je Microsoft- of Google-omgeving, is een fysieke beveiligingssleutel (bijvoorbeeld een YubiKey) de veiligste keuze. Leg er twee neer, waarvan één op een veilige plek als reserve.
5. Schakel daarna wachtwoorden uit waar het kan. Pas als iedereen een werkende passkey heeft, zet je inloggen met alleen een wachtwoord uit. Zo houd je niemand per ongeluk buiten.

Checklist voor deze week

1. Maak een passkey aan voor je eigen e-mailaccount.
2. Controleer of je wachtwoordmanager passkeys ondersteunt.
3. Zet op een rij welke accounts in je bedrijf beheerdersrechten hebben.

En je eigen software?

Heb je een klantportaal, webshop of web-app waar klanten of medewerkers inloggen? Ook daar kun je passkeys aanbieden. Je klanten loggen sneller in, je hebt minder last van vergeten wachtwoorden en een lek van je database levert aanvallers geen bruikbare inloggegevens op. Met de huidige standaarden is dit goed in te bouwen, ook naast het bestaande inloggen met wachtwoord.

Samengevat

Passkeys maken inloggen veiliger en makkelijker tegelijk, en dat gebeurt niet vaak in security. Het wachtwoord verdwijnt niet morgen, maar voor je belangrijkste accounts kun je vandaag al overstappen. Wil je weten hoe je dit in je organisatie aanpakt, of hoe passkeys in jouw eigen software passen? Neem contact met ons op, we denken graag mee.